CE - GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI Parere 3/2001 Adottato il 26 gennaio 2001 IL GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI, istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995 1, vista la suddetta direttiva, in particolare gli articoli 29 e 30, paragrafo 1, lettera a), e paragrafo 3, visto il suo regolamento interno, in particolare gli articoli 12 e 14, HA ADOTTATO IL SEGUENTE PARERE: Introduzione L'Australia dispone di una legislazione in merito al settore pubblico del Commonwealth (federale) dal 1988, da quando la legge sulla tutela della vita privata ha sancito i principi per la tutela dei dati personali sulla base delle linee guida 1980 dell'OCSE. La legge sulla tutela della vita privata si applica anche al settore privato nella misura in cui essa contempla disposizioni e linee guida che disciplinano il settore del credito al consumo e che limitano l'uso delle informazioni relative ai codici fiscali 2. La legge sulla tutela della vita privata ha istituito l'Ufficio del Garante per la tutela della vita privata, membro della Commissione dei diritti dell'uomo e delle pari opportunità. Dal 1° luglio 2000, tuttavia, il Garante per la tutela della vita privata è un organo a sé stante. Il progetto di emendamento della legge sulla tutela della vita privata (settore privato) è stato approvato dal parlamento australiano il 6 dicembre 2000 e ha ricevuto il "Royal Assent" il 21 dicembre 2000. La nuova legislazione contiene emendamenti alla legge del 1988 sulla tutela della vita privata che disciplineranno il trattamento dei dati personali da parte delle organizzazioni del settore privato. La legge entrerà in vigore il 21 dicembre 2001. La legge attua i principi nazionali sulla tutela della vita privata basati sui principi nazionali in materia di equo trattamento dei dati personali, elaborati dal Garante federale per la tutela della vita privata e pubblicati per la prima volta nel 1998 dopo ampie consultazioni con le imprese e i consumatori. Nella legge, i principi nazionali forniscono un quadro di base che stabilisce standard minimi per le modalità di raccolta, utilizzo e divulgazione dei dati personali da parte delle organizzazioni. Le organizzazioni del settore privato sono vincolate dai principi nazionali a meno che non possiedano un codice interno sulla tutela della vita privata approvato dal Garante. Per una più facile consultazione, i principi nazionali sono riportati in allegato. Legge 2000 di modifica della legge sulla tutela della vita privata (settore privato) Il gruppo per la tutela delle persone con riguardo ai dati personali si compiace dell'adozione della legge e del lavoro svolto negli ultimi due anni dal Garante per la tutela della vita privata, dal governo australiano e da tutti gli interessati, che ha portato alla stesura dei principi nazionali per il trattamento dei dati personali. Il gruppo condivide l'obiettivo del governo australiano di migliorare la tutela dei dati personali oggetto di trattamento da parte del settore privato e considera questa attività di grande importanza ai fini del rispetto dell'impegno assunto dall'Australia di conformarsi alle linee guida 1980 dell'OCSE. Riconosce il valore innovativo del programma volto a colmare il fossato tra legislazione e autoregolamentazione, conferendo a quest'ultima forza di legge. Da una prospettiva europea, i commissari nazionali per la tutela dei dati si compiacciono degli sviluppi intesi a rafforzare la tutela della vita privata nei paesi terzi, che rappresentano un mezzo per adempiere a quanto sancito negli articoli 25 e 26 della direttiva dell'UE riguardo ai flussi di dati verso i paesi terzi. Il gruppo constata con interesse che le organizzazioni possono rivolgersi al Garante per la tutela della vita privata per ottenere l'approvazione di un codice da applicare in sostituzione delle norme sancite dalla legislazione e che l'approvazione da parte del Garante di un siffatto codice è subordinata al fatto che esso assicuri lo stesso standard di tutela dei principi nazionali. Settori e attività esclusi Il gruppo nota con preoccupazione che alcuni settori e attività sono esclusi dalla tutela prevista dalla legge. In particolare: Piccole imprese: sono chiamate a conformarsi alla legislazione solo le piccole imprese che si ritiene rappresentino un rischio elevato per la tutela della vita privata 3. Inoltre gli operatori delle piccole imprese possono scegliere di rientrare nel campo di applicazione della legge e notificare la loro adesione alle sue disposizioni al Garante per la tutela della vita privata che tiene un apposito registro. Sebbene tale possibilità consenta di individuare le piccole imprese che rientrano volontariamente nel campo di applicazione della legge, la complessità di tale esclusione è tale da rendere molto difficile stabilire: a) quali imprese australiane siano una piccola impresa e b) se esse siano escluse o meno dalle disposizioni della legge. Il gruppo osserva che questa incertezza rende necessario ipotizzare che tutti i trasferimenti di dati alle imprese australiane sono potenzialmente diretti a un piccolo imprenditore non soggetto alla legge, a meno che il nome della piccola impresa figuri nel registro del Garante per la tutela della vita privata. Dati inerenti ai dipendenti: qualsiasi atto o pratica posti in essere da un'organizzazione che è o è stata il datore di lavoro di un soggetto non rientrano nel campo di applicazione della legge qualora tale atto o pratica siano direttamente correlati: a) a un rapporto di lavoro attuale o precedente tra il datore di lavoro e il soggetto interessato; b) alla documentazione sul dipendente detenuta dall'organizzazione e relativa all'interessato. La documentazione sui dipendenti è definita, in senso lato, nella sottosezione 6 (1) e comprende le informazioni relative all'assunzione e alle condizioni contrattuali, il materiale valutativo sulle prestazioni contrattuali, i nominativi delle persone da contattare in caso di emergenza, l'iscrizione a un sindacato, i permessi e le ferie, l'imposizione fiscale, i dati bancari, ecc. Il gruppo osserva che i dati inerenti ai dipendenti contengono spesso dati sensibili e non vede alcuna ragione per escluderli almeno dalla tutela prevista dal principio 10 relativo a tali dati. Inoltre, le esenzioni permettono di raccogliere e divulgare a terzi (ad esempio, un futuro datore di lavoro) informazioni su un ex dipendente senza che quest'ultimo ne sia informato. È opinione del gruppo che il rischio di violazioni della vita privata rende molto importante imporre controlli di sicurezza supplementari quando questo tipo di dati viene esportato in Australia 4 e raccomanda agli operatori di mettere in atto strumenti adeguati a tale scopo (ad esempio, mediante clausole contrattuali). Deroghe Deroghe ai principi sulla tutela dei dati secondo quanto autorizzato dalla legge Il principio nazionale sulla tutela della vita privata 2.1 (g) consente di utilizzare o divulgare informazioni per scopi secondari laddove l'uso o la divulgazione siano previsti o autorizzati dalla legge o ai sensi di legge 5. A parere del gruppo, è accettabile prevedere una deroga quando le organizzazioni siano soggette a obblighi giuridici contrastanti, ma estendere la deroga a tutte le opzioni offerte dalle leggi specifiche al settore, passate, presenti e future, rischia di minare la certezza del diritto e di snaturare la tutela fondamentale. Il termine "autorizzati" contrapposto a "specificamente autorizzati", che era presente nella versione del mese di gennaio 1999 dei principi nazionali, può inoltre lasciare intendere che tutti gli scopi secondari non vietati siano consentiti. Secondo il gruppo, una deroga così ampia svuoterebbe virtualmente di qualsiasi valore il principio della limitazione degli scopi. Dati disponibili pubblicamente La raccolta di dati da inserire in una pubblicazione disponibile al pubblico rientra nel campo di applicazione del principio 1 (raccolta), ma, una volta che le informazioni sono state compilate in un formato tale da essere assimilato a una pubblicazione disponibile al pubblico, i restanti principi sulla tutela della vita privata non si applicano. Ciò esclude tutti i diritti personali quali l'accesso e la correzione. Il gruppo osserva che l'esclusione dei dati personali disponibili pubblicamente, e in particolare i relativi usi secondari, da qualsiasi tutela è contrario alla linea adottata dalla direttiva. Inoltre, le linee guida 1980 dell'OCSE non prevedono un esonero così generale. Trasparenza per i soggetti interessati Il principio 1.3 (raccolta) consente alle organizzazioni di informare i soggetti interessati prima o durante la raccolta, ma aggiunge anche che, qualora ciò non sia possibile, esse potranno informare gli interessati non appena possibile in un momento successivo. Il gruppo osserva che consentire alle organizzazioni di informare i soggetti interessati dopo la raccolta è contrario al principio 9 delle linee guida dell'OCSE 6. Tale questione è particolarmente importante con riguardo ai dati sensibili dove il consenso è uno dei presupposti per la legittimità della raccolta secondo quanto previsto dal principio 10.1. Raccolta e uso di dati con riguardo, in particolare, al direct marketing I principi 1 (raccolta) e 2 (uso e divulgazione) si basano sul principio della limitazione degli scopi in quanto prevedono che la raccolta dei dati personali deve essere necessaria e deve essere effettuata mediante strumenti equi e legittimi 7, e pongono limiti e condizioni all'uso e alla divulgazione 8. I limiti relativi all'uso e alla divulgazione, tuttavia, riguardano solo gli scopi secondari. L'elaborazione per lo scopo "primario" della raccolta e per gli "scopi correlati nell'ambito delle ragionevoli aspettative dell'interessato" è consentita, sempre che l'interessato ne sia stato informato. Non è necessario il consenso. Un risultato pratico di questa disposizione è che per utilizzare dati personali a scopo di direct marketing non è necessario ottenere il consenso dell'interessato - od osservare talune delle limitazioni previste nel principio 2 - quando il direct marketing rappresenti lo scopo primario della raccolta. Qualora, invece, il direct marketing sia lo scopo secondario, ogni volta che l'organizzazione invia materiale di direct marketing deve essere offerta all'interessato la possibilità di manifestare il desiderio di non ricevere altro materiale. Il gruppo ricorda il suo parere sui "Trasferimenti di dati personali a paesi terzi — WP 12" in cui ha stabilito che consentire l'uso di dati personali a scopo di direct marketing senza offrire la possibilità di rifiuto non è da considerarsi adeguato in alcuna circostanza. Dati sensibili Il principio nazionale sulla vita privata 10 (dati sensibili) pone limitazioni solo alla raccolta di dati sensibili. Non vi sono restrizioni o condizioni speciali circa l'uso o la divulgazione di tali dati, ad eccezione dei dati sanitari per i quali sono previste alcune disposizioni nel principio 2. La legge, pertanto, consente l'uso per altri scopi della maggior parte dei dati sensibili raccolti per finalità legittime, subordinatamente alle normali restrizioni che riguardano tutti i tipi di dati. Il gruppo osserva che nell'UE è vietato trattare (cioè raccogliere, usare e divulgare) dati sensibili a meno che non si applichi almeno una di una serie di esenzioni specifiche. Assenza di diritti di correzione per i cittadini dell'UE La sezione 41 (4) consente al Garante per la tutela della vita privata di esaminare un atto o una pratica oggetto del principio 6 o 7 solo qualora sussista un'interferenza con la vita privata dei cittadini australiani e dei residenti permanenti. Ne consegue che i cittadini dell'UE che non risiedono in via permanente in Australia ma i cui dati sono stati trasferiti dall'UE all'Australia non possono esercitare alcun diritto di accesso e correzione in relazione ai propri dati. Trasferimenti successivi dall'Australia ad altri paesi terzi Il principio 9 vieta le esportazioni di dati personali da parte di un'organizzazione a un destinatario all'estero (ad eccezione delle consociate dell'organizzazione in questione) salvo che non si applichi almeno una delle sei condizioni previste. Con riferimento al principio 9 (a) (che si applica allorché il destinatario delle informazioni sia soggetto a una legge, a un programma vincolante o a un contratto che promuova in modo efficace principi relativi al trattamento equo delle informazioni sostanzialmente simili ai principi nazionali australiani sulla tutela della vita privata), il gruppo è dell'opinione che sia consigliabile l'assistenza del Garante per la tutela della vita privata nell'indicare quale regime di un paese terzo possa essere considerato sostanzialmente simile alla situazione interna australiana. Con riferimento al principio 9 (f) (che si applica quando tutte le altre cinque condizioni non sono applicabili e cioè quando il destinatario non è soggetto ad alcuna legge, programma vincolante o contratto), il gruppo nota che questa disposizione non tiene conto del diritto degli interessati a vedere riconosciuti i propri diritti. Infine, il gruppo nota che la sezione 5 sugli effetti extraterritoriali della legge riguarda solo gli australiani e non estende la tutela del principio 9 agli stranieri. Ciò significa che una società australiana può importare dati da cittadini europei e, successivamente, esportarli verso un paese privo di leggi sulla tutela della vita privata senza che la legge australiana si applichi. Tale misura potrebbe consentire l'aggiramento della direttiva dell'UE, qualora si riconoscesse che la tutela fornita dall'Australia è adeguata. Conclusioni Alla luce di quanto sopra esposto, il gruppo ritiene che il livello di protezione per quanto riguarda i trasferimenti di dati verso l'Australia potrebbe essere considerato adeguato soltanto in seguito all'adozione di appropriate disposizioni che permettano di fugare le perplessità esposte in precedenza. Ad esempio, ciò potrebbe avvenire con il ricorso a codici deontologici volontari previsti nella parte IIIAA della legge, tenendo presente che all'applicazione di codici volontari sovrintende lo stesso Garante per la tutela della vita privata o un soggetto indipendente. Allo scopo di ottenere una valutazione di adeguatezza più ampia il gruppo invita tuttavia la Commissione a continuare a seguire la questione onde ricercare miglioramenti di generale applicazione e a tenere il medesimo al corrente degli sviluppi. Bruxelles, 26 gennaio 2001
1 GU L 281 del 23.11.1995, pag. 31, disponibile al sito: 2 Altre leggi del Commonwealth contemplano disposizioni specifiche sulla vita privata con riguardo alle informazioni relative agli indennizzi in campo sanitario, all'adeguamento dei dati, ai dati relativi a precedenti condanne penali e ai dati personali divulgati dalle società di telecomunicazione (legge 1997 sulle telecomunicazioni). 3 Le piccole imprese sono identificate nella sezione 6D della legge come le imprese con un fatturato annuo pari o inferiore a $3.000.000 che:
4 Nella legge 1988 sulla tutela della vita privata nel settore pubblico non è prevista alcuna esclusione in relazione alla documentazione sui dipendenti. 5 Secondo la relazione illustrativa (pag. 119), il termine "autorizzati" abbraccia le circostanze in cui la legge consente, ma non impone, l'uso o la divulgazione. Il riferimento alla legge (e non alla legislazione) è ampio e può comprendere qualsiasi atto vincolante. 6 " Gli scopi per cui vengono raccolti i dati personali devono essere specificati entro e non oltre il momento della raccolta dei dati e il successivo uso deve essere limitato al conseguimento di tali scopi ovvero di altri non incompatibili con gli scopi suddetti e secondo quanto specificato in occasione della modifica dello scopo ". 7 Legge 2000 di modifica della legge sulla tutela della vita privata (settore privato), Allegato 3, principi 1.1 e 1.2. 8 Legge 2000 di modifica della legge sulla tutela della vita privata (settore privato), Allegato 3, principio 2.
Principi nazionali sulla tutela della vita privata (allegati alla legge 2000 di modifica della legge sulla tutela della vita privata (settore privato)) 1 Raccolta 1.1 Un'organizzazione non può raccogliere dati personali salvo quelli strettamente necessari per l'espletamento di una o più delle proprie funzioni o attività. 1.2 Un'organizzazione è tenuta a raccogliere dati personali esclusivamente mediante strumenti leciti ed equi, e non in modo irragionevolmente invadente. 1.3 Al momento o prima (o, se ciò non sia fattibile, non appena possibile in un momento successivo) di raccogliere dati personali riguardanti un soggetto presso l'interessato, l'organizzazione è tenuta ad adottare misure ragionevoli per garantire che l'interessato sia informato circa: (a) l'identità dell'organizzazione e le modalità per contattarla; (b) la possibilità di accedere alle informazioni; (c) le finalità della raccolta delle informazioni; (d) i soggetti (o le categorie di soggetti) cui l'organizzazione è solita divulgare informazioni di quel tipo; (e) le leggi che prevedono la raccolta delle informazioni; e (f) le eventuali conseguenze per l'interessato qualora non fornisca, in tutto o in parte, le informazioni. 1.4 Ove ragionevole e possibile, un'organizzazione è tenuta a raccogliere i dati personali relativi a un soggetto solo presso l'interessato. 1.5 Qualora un'organizzazione raccolga dati personali relativi a un soggetto presso terzi, essa è tenuta a adottare misure ragionevoli per garantire che l'interessato sia o sia stato informato di quanto previsto al paragrafo 1.3, a meno che tale informativa non rappresenti una grave minaccia per la vita o la salute delle persone. 2 Uso e divulgazione 2.1 Un'organizzazione non può utilizzare o divulgare dati personali relativi a un soggetto per scopi (scopi secondari) diversi dallo scopo primario della raccolta tranne nel caso in cui: (a) si applichino entrambi i punti che seguono: (i) lo scopo secondario sia correlato allo scopo primario della raccolta e, qualora si tratti di informazioni sensibili, sia direttamente correlato allo scopo primario della raccolta; (ii) l'interessato possa ragionevolmente prevedere che l'organizzazione utilizzerà o divulgherà le informazioni per lo scopo secondario; (b) l'interessato abbia espresso il proprio consenso all'uso o alla divulgazione; (c) qualora non si tratti di informazioni sensibili e le informazioni siano destinate allo scopo secondario del direct marketing: (i) sia impossibile per l'organizzazione richiedere il consenso dell'interessato prima di quell'uso particolare; (ii) l'organizzazione non richieda all'interessato alcun pagamento per dar corso alla richiesta di non ricevere comunicazioni di direct marketing, presentata dal soggetto all'organizzazione; (iii) l'interessato non abbia fatto richiesta all'organizzazione di non ricevere comunicazioni di direct marketing; (iv) in ciascuna comunicazione di direct marketing con l'interessato, l'organizzazione inserisca una avvertenza opportunamente evidenziata o attiri l'attenzione dell'interessato sulla possibilità di poter scegliere di non ricevere ulteriori comunicazioni di direct marketing; e (v) ciascuna comunicazione scritta di direct marketing tra l'organizzazione e l'interessato (fino alla comunicazione che riguarda l'utilizzo, inclusa) riporti l'indirizzo e il numero di telefono dell'organizzazione e, qualora la comunicazione con l'interessato avvenga mediante fax, telex, o altri mezzi elettronici, un numero o un indirizzo presso il quale l'organizzazione può essere contattata direttamente per via elettronica; (d) qualora si tratti di informazioni sanitarie e l'uso o la divulgazione siano necessari per scopi di ricerca ovvero per la stesura o l'analisi di dati statistici relativi alla salute pubblica o alla pubblica sicurezza: (i) sia impossibile per l'organizzazione richiedere il consenso dell'interessato prima di utilizzare o divulgare le informazioni; (ii) l'uso o la divulgazione avvengano in conformità alle linee guida approvate dal Garante in virtù della sezione 95A per le finalità del presente sottoparagrafo; e (iii) in caso di divulgazione, l'organizzazione ritenga, ragionevolmente, che il destinatario delle informazioni sanitarie non divulgherà tali informazioni ovvero i dati personali ricavati dalle informazioni sanitarie; (e) l'organizzazione ritenga, ragionevolmente, che l'uso o la divulgazione siano necessari per ridurre o prevenire: (i) una grave e imminente minaccia per la vita, la salute o la sicurezza di un individuo; oppure (ii) una grave minaccia per la salute pubblica o la pubblica sicurezza; (f) l'organizzazione abbia motivo di sospettare che sia stata messa in atto, sia in atto o potrebbe essere messa in atto un'attività illecita e utilizzi o divulghi i dati personali in quanto parte necessaria delle proprie indagini in merito o per riferire i propri timori alle persone o alle autorità competenti; (g) l'uso o la divulgazione siano previsti o autorizzati dalla legge o ai sensi di legge; oppure (h) l'organizzazione abbia ragione di ritenere che l'uso o la divulgazione siano ragionevolmente necessari per uno o più dei seguenti motivi da parte o per conto di un organo esecutivo: (i) la prevenzione, l'individuazione, l'investigazione, il perseguimento o la punizione di illeciti penali, delle violazioni di una legge che impone una penale o una sanzione, ovvero delle violazioni di una legge determinata; (ii) l'applicazione di leggi relative alla confisca dei proventi da attività criminose; (iii) la tutela delle entrate pubbliche; (iv) la prevenzione, l'individuazione, l'investigazione o la correzione di comportamenti gravemente scorretti o di condotte prescritte; (v) la preparazione o la conduzione dell'istruttoria dinanzi a qualsiasi corte o tribunale, ovvero l'attuazione delle ingiunzioni di una corte o di un tribunale. Nota 1 - Non si intende scoraggiare le organizzazioni dalla cooperazione legittima con gli organismi che svolgono mansioni esecutive nell'esercizio delle loro funzioni. Nota 2 - Le disposizioni di cui al paragrafo 2.1 non cancellano gli obblighi giuridici esistenti relativi alla non divulgazione dei dati personali. Nessuna delle disposizioni di cui al paragrafo 2.1 impone a un'organizzazione di divulgare dati personali; un'organizzazione ha sempre il diritto di non divulgare dati personali in assenza di un obbligo giuridico contrario. Nota 3 - In caso di trasferimento di dati personali a un soggetto in un paese terzo, l'organizzazione è inoltre tenuta ad ottemperare al principio 9. 2.2 Qualora utilizzi o divulghi dati personali in conformità al paragrafo 2.1, lettera (h), un'organizzazione dovrà notificare tale uso o divulgazione per iscritto. 2.3 Il paragrafo 2.1 si riferisce ai dati personali che un'organizzazione, ossia una società, ha raccolto da una società correlata come se lo scopo primario di raccolta delle informazioni da parte dell'organizzazione fosse lo scopo primario per il quale la società correlata ha raccolto le informazioni. 2.4 Fatto salvo quanto previsto al paragrafo 2.1, un'organizzazione che fornisce una prestazione sanitaria a un soggetto può divulgare le informazioni sanitarie ad esso relative a una persona responsabile per l'interessato se: (a) il soggetto: (i) è nell'incapacità fisica o giuridica di dare il proprio consenso alla divulgazione; oppure (ii) è fisicamente impossibilitato a manifestare il consenso alla divulgazione; (b) la persona fisica (curante) che fornisce la prestazione sanitaria per conto dell'organizzazione è convinta che: (i) la divulgazione sia necessaria per poter fornire cure o terapie adeguate all'interessato; oppure (ii) la divulgazione è giustificata da motivi di pietà; (c) la divulgazione non è contraria ad eventuali desideri: (i) espressi dall'interessato prima di diventare incapace di esprimere o manifestare il proprio consenso; (ii) di cui la persona curante è a conoscenza o di cui potrebbe ragionevolmente prevedere di venire a conoscenza; e (d) la divulgazione è limitata alla misura ragionevole e necessaria a uno degli scopi indicati alla lettera (b). 2.5 Ai fini di quanto previsto al paragrafo 2.4, una persona è responsabile per l'interessato se la persona in questione è: (a) un genitore dell'interessato; (b) un figlio/una figlia o un fratello/una sorella dell'interessato e abbia almeno 18 anni; (c) il coniuge o il convivente dell'interessato; (d) un parente dell'interessato, di almeno 18 anni, e un membro della famiglia dell'interessato; (e) un tutore dell'interessato; (f) una persona che eserciti permanentemente le funzioni di legale rappresentante dell'interessato in forza di una procura da questi conferitale ed esercitabile in relazione alle decisioni riguardanti la salute dell'interessato; (g) una persona che ha un rapporto personale intimo con l'interessato; oppure (h) una persona indicata dall'interessato come persona da contattare in caso di emergenza. 2.6 Al paragrafo 2.5: per figlio/figlia di un soggetto si intendono i figli adottivi, i figliastri e i bambini in affido; per genitore si intendono i genitori adottivi, i genitori affidatari, i patrigni e le matrigne; per parente si intendono i nonni, gli zii, le zie, i nipoti e le nipoti; per fratello/sorella si intendono i fratellastri, le sorellastre, i fratelli adottivi, le sorelle adottive, i fratelli e le sorelle in affido. 3 Qualità dei dati Un'organizzazione è tenuta ad adottare misure ragionevoli per assicurare che i dati personali da essa raccolti, utilizzati o divulgati siano esatti, completi e aggiornati. 4 Sicurezza dei dati 4.1 Un'organizzazione è tenuta a adottare misure ragionevoli per proteggere i dati personali da essa detenuti dal rischio di uso improprio e perdita, nonché di accesso, modifica o divulgazione non autorizzati. 4.2 Un'organizzazione è tenuta a adottare misure ragionevoli per distruggere o rendere anonimi in modo permanente i dati personali non più necessari per lo scopo per cui possono essere utilizzati o divulgati in virtù del principio 2. 5 Apertura 5.1 Un'organizzazione è tenuta a indicare chiaramente per iscritto in un apposito documento i criteri cui si ispira la sua gestione dei dati personali. L'organizzazione è tenuta a mettere il documento a disposizione di chiunque ne faccia richiesta. 5.2 Su richiesta dell'interessato, un'organizzazione è tenuta ad adottare misure ragionevoli per informarlo, in via generale, sul tipo di dati personali detenuti, sulle finalità e sulle modalità di raccolta, conservazione, utilizzo e divulgazione di tali dati. 6 Accesso e correzione 6.1 Qualora un'organizzazione detenga dati personali relativi a un soggetto, essa è tenuta a consentire all'interessato, su sua richiesta, l'accesso alle informazioni, tranne nel caso in cui: (a) per i dati personali diversi da quelli sanitari, la concessione dell'accesso comporterebbe una grave e imminente minaccia per la vita o la salute delle persone; (b) per le informazioni sanitarie, la concessione dell'accesso comporterebbe una grave minaccia per la vita o la salute delle persone; (c) la concessione dell'accesso avrebbe un impatto irragionevole sulla vita privata di altri soggetti; (d) la richiesta di accesso sia frivola o vessatoria; (e) le informazioni si riferiscano a procedimenti legali in corso o previsti tra l'organizzazione e l'interessato, e le informazioni non sarebbero accessibili mediante il processo di comunicazione dei documenti nell'ambito dei procedimenti in questione; (f) la concessione dell'accesso rivelerebbe le intenzioni dell'organizzazione in relazione a trattative con il soggetto in modo tale da pregiudicare dette trattative; (g) la concessione dell'accesso sarebbe illegale; (h) il rifiuto dell'accesso sia previsto o autorizzato dalla legge o ai sensi di legge; (i) la concessione dell'accesso potrebbe pregiudicare le indagini relative ad eventuali attività illecite; (j) la concessione dell'accesso potrebbe pregiudicare: (i) la prevenzione, l'individuazione, l'investigazione, il perseguimento o la punizione di illeciti penali, delle violazioni di una legge che impone una penale o una sanzione, ovvero delle violazioni di una legge determinata; (ii) l'applicazione di leggi relative alla confisca dei proventi da attività criminose; (iii) la tutela delle entrate pubbliche; (iv) la prevenzione, l'individuazione, l'investigazione o la correzione di comportamenti gravemente scorretti o di condotte prescritte; oppure (v) la preparazione o la conduzione dell'istruttoria dinanzi a qualsiasi corte o tribunale, ovvero l'attuazione delle ingiunzioni di una corte o di un tribunale; oppure (k) un organo esecutivo che svolge un'operazione di sicurezza legittima invita l'organizzazione a non consentire l'accesso alle informazioni poiché la concessione dell'accesso potrebbe compromettere la sicurezza dell'Australia. 6.2 Tuttavia, laddove la concessione dell'accesso rivelerebbe informazioni valutative generate nell'ambito dell'organizzazione in relazione a un processo decisionale sensibile sotto il profilo commerciale, l'organizzazione potrà fornire all'interessato una spiegazione della decisione commercialmente sensibile in luogo dell'accesso diretto alle informazioni. Nota - Un'organizzazione viola il paragrafo 6.1 qualora essa si appelli al paragrafo 6.2 per fornire a un soggetto la spiegazione di una decisione commercialmente sensibile in circostanze in cui il paragrafo 6.2 non si applica. 6.3 Qualora un'organizzazione non sia tenuta a consentire all'interessato l'accesso alle informazioni in virtù di una o più delle lettere da (a) a (k), inclusa, di cui al paragrafo 6.1, l'organizzazione, ove ragionevole, dovrà considerare se il ricorso a intermediari reciprocamente approvati consentirebbe un accesso sufficiente a soddisfare le esigenze di entrambe le parti. 6.4 Qualora l'organizzazione consenta l'accesso ai dati personali dietro pagamento, le tariffe: (a) non devono essere eccessive; e (b) non devono riguardare la presentazione della richiesta di accesso. 6.5 Qualora un'organizzazione detenga dati personali relativi a un soggetto e l'interessato sia in grado di stabilire che le informazioni non sono esatte, complete e aggiornate, l'organizzazione è tenuta ad adottare misure ragionevoli per correggere le informazioni e renderle esatte, complete e aggiornate. 6.6 Qualora l'interessato e l'organizzazione siano in disaccordo sul fatto che le informazioni siano esatte, complete e aggiornate, e l'interessato inviti l'organizzazione a unire alle informazioni una dichiarazione in cui si affermi che le informazioni non sono esatte, complete o aggiornate, l'organizzazione è tenuta ad adottare misure ragionevoli in tal senso. 6.7 Un'organizzazione è tenuta a motivare il diniego dell'accesso o il rifiuto di correggere i dati personali. 7 Identificativi 7.1 Un'organizzazione non può adottare come proprio identificativo di un soggetto, un identificativo assegnato da: (a) un'agenzia; (b) un agente di un'agenzia che agisce in tale qualità; (c) un fornitore di servizi in appalto a fronte di un contratto del Commonwealth, che agisce in tale qualità a fronte del contratto in questione. 7.1a Tuttavia il paragrafo 7.1 non si applica all'adozione da parte di una determinata organizzazione di un determinato identificativo in determinate circostanze. Nota - Ciò è subordinato al rispetto di taluni requisiti, cfr. sottosezione 100 (2). 7.2 Un'organizzazione non può utilizzare o divulgare l'identificativo assegnato a un soggetto da un'agenzia, un agente o un fornitore di servizi in appalto secondo quanto indicato nel paragrafo 7.1, tranne nel caso in cui: (a) l'uso o la divulgazione siano necessari all'organizzazione per adempiere ai propri obblighi nei confronti dell'agenzia; (b) uno o più dei casi di cui al paragrafo 2.1 (dalla lettera (e) alla lettera (h), inclusa) si applichino all'uso o alla divulgazione; (c) l'uso o la divulgazione riguardino un determinato identificativo da parte di una determinata organizzazione in determinate circostanze. Nota - Quanto previsto alla lettera (c) è subordinato al rispetto di taluni requisiti, cfr. sottosezione 100 (2). 7.3 Ai fini del presente principio: per identificativo si intende un numero assegnato da un'organizzazione a un soggetto per identificarlo in modo esclusivo ai fini delle operazioni dell'organizzazione. Il nome dell'interessato o il codice ABN (definito nella legge 1999 relativa a un nuovo sistema fiscale (anagrafe delle imprese australiane)) non costituiscono tuttavia un identificativo. 8 Anonimato Ove lecito e possibile, agli interessati dovrà essere riconosciuta la facoltà di non essere identificati nelle loro transazioni con un'organizzazione. 9 Trasferimento di dati all'estero Un'organizzazione australiana o di un territorio esterno può trasferire dati personali relativi a un soggetto a terzi (diversi dall'organizzazione o dall'interessato) residenti in un paese straniero solo qualora: (a) l'organizzazione abbia ragione di ritenere che il destinatario delle informazioni sia soggetto a una legge, a un programma vincolante o a un contratto che promuova in modo efficace principi relativi al trattamento equo delle informazioni sostanzialmente simili ai principi nazionali australiani sulla tutela della vita privata; (b) l'interessato acconsenta al trasferimento; (c) il trasferimento sia necessario per l'esecuzione di un contratto in essere tra l'interessato e l'organizzazione, ovvero per l'esecuzione di misure precontrattuali adottate a richiesta dell'interessato; (d) il trasferimento sia necessario ai fini della conclusione o dell'esecuzione di un contratto concluso a beneficio dell'interessato tra l'organizzazione e un terzo; (e) si applichino tutti i seguenti punti: (i) il trasferimento sia nell'interesse del soggetto; (ii) sia impossibile ottenere il consenso al trasferimento da parte dell'interessato; (iii) qualora fosse possibile ottenere tale consenso, l'interessato probabilmente lo esprimerebbe; oppure (f) l'organizzazione abbia adottato misure ragionevoli per garantire che le informazioni da essa trasferite non verranno detenute, utilizzate o divulgate dal destinatario delle informazioni in modo difforme dai principi nazionali sulla tutela della vita privata. 10 Dati sensibili 10.1 Un'organizzazione potrà raccogliere dati sensibili relativi a un soggetto soltanto a condizione che: (a) l'interessato abbia manifestato il proprio consenso; (b) la raccolta sia prevista dalla legge; (c) la raccolta sia necessaria per prevenire o ridurre una grave e imminente minaccia per la vita o la salute delle persone, laddove il soggetto cui le informazioni si riferiscono: (i) sia nell'incapacità fisica o giuridica di dare il proprio consenso alla raccolta; oppure (ii) sia fisicamente impossibilitato a manifestare il proprio consenso alla raccolta; (d) qualora le informazioni vengano raccolte nel corso delle attività di un'organizzazione senza scopo di lucro, siano soddisfatte le seguenti condizioni: (i) le informazioni si riferiscono esclusivamente ai membri dell'organizzazione o a soggetti che hanno un contatto regolare con essa in relazione alle sue attività; (ii) al momento o prima di raccogliere le informazioni, l'organizzazione si impegna nei confronti del soggetto cui le informazioni si riferiscono a non divulgarle senza il suo consenso; oppure (e) la raccolta sia necessaria per far valere, esercitare o difendere un diritto giuridico o equo. 10.2 Fermo restando il paragrafo 10.1, un'organizzazione può raccogliere informazioni sanitarie relative a un soggetto qualora: (a) le informazioni siano necessarie per fornire una prestazione sanitaria all'interessato; e (b) le informazioni vengano raccolte: (i) secondo quanto prevede la legislazione (oltre alla presente legge); oppure (ii) in conformità alle norme sancite dagli organismi sanitari o medici competenti, che prevedono l'obbligo del segreto professionale a carico dell'organizzazione. 10.3 Fermo restando il paragrafo 10.1, un'organizzazione può raccogliere informazioni sanitarie relative a un soggetto qualora: (a) la raccolta sia necessaria per uno di seguenti scopi: (i) attività di ricerca relative alla sanità pubblica o alla pubblica sicurezza; (ii) l'elaborazione o l'analisi di dati statistici relativi alla salute pubblica o alla pubblica sicurezza; (iii) la gestione, il finanziamento o il monitoraggio di una prestazione sanitaria; (b) tale scopo non possa essere conseguito mediante la raccolta di informazioni che non identificano il soggetto e da cui l'identità del soggetto non possa ragionevolmente essere accertata; (c) sia impossibile per l'organizzazione ottenere il consenso alla raccolta da parte dell'interessato; e (d) le informazioni vengano raccolte: (i) secondo quanto prevede la legislazione in vigore (oltre alla presente legge); (ii) in conformità alle norme sancite dagli organismi sanitari o medici competenti, che prevedono l'obbligo del segreto professionale a carico dell'organizzazione; oppure (iii) in conformità alle linee guida approvate dal Garante in virtù della sezione 95A per le finalità di cui al presente sottoparagrafo. 10.4 Qualora un'organizzazione raccolga informazioni sanitarie relative a un soggetto in conformità al paragrafo 10.3, l'organizzazione dovrà adottare misure ragionevoli per rendere anonimi in via permanente le informazioni prima di divulgarle. 10.5 Per organizzazione senza scopo di lucro si intende un'organizzazione che abbia solo finalità umanitarie, etniche, politiche, religiose, filosofiche, professionali, commerciali o sindacali. Fatto a Bruxelles, il 26 gennaio 2001 Per il Gruppo |