Source: https://www.privacy.it/faq/
Timestamp: 2018-02-21 17:23:45+00:00

Document:
FAQ - Privacy.it
FAQ	eprivacr	2017-05-25T15:00:23+00:00
Un’ulteriore fonte di informazione
Una carellata esemplificativa delle domande che in questi anni sono pervenute al nostro servizio Quesiti, ovviamente corredata dalle nostre risposte. Esplora gli argomenti alla ricerca di informazioni che ti possono tornare utili.
Privacy e cittadini
I diritti concessi all'interessato
La Privacy e i servizi di formazione
Privacy e attività sanitarie
Privacy e mondo associativo
Privacy e sindacati
Privacy e attività sportive
Privacy ed esercizio della professione di giornalista
Privacy e servizi telematici
Vorrei avere qualche chiarimento sulla figura giuridica dell’incaricato del trattamento dei dati personali. In particolare, in relazione alle implicazioni che conseguono in termini di adempimenti previsti dal Codice della privacy (D.lgs. n.196/2003)
L’incaricato è la persona fisica che, pur non essendo stato nominato responsabile, esegue le operazioni di trattamento su indicazione del titolare o del responsabile, osservando le loro prescrizioni. Deve essere individuato per iscritto.
Vorrei capire se nell’assolvimento di operazioni di trattamento, in particolare di raccolta dati, possa essere considerato “incaricato” il soggetto terzo rispetto al titolare, nei cui confronti agisca sulla base di un mandato (es. reti di vendita che collocano presso il pubblico strumenti finanziari offerti da società “prodotto”).
Secondo l’interpretazione che ha dato il Garante, la cosa è possibile. Un classico esempio è rappresentato dalle ipotesi in cui le aziende, titolari del trattamento, conferiscono incarichi in outsourcing ad altre società e nominano le stesse responsabili del trattamento, oppure, nominano i dipendenti delle stesse, che trattano dati personali, incaricati.
Vorrei delucidazioni in merito al Titolo III del Codice, relativo alle sanzioni. Infatti, in ogni articolo non ci si riferisce ad uno specifico soggetto (titolare, responsabile o incaricati) ma si indica la generica dizione di “chiunque”. Potreste indicare, per ogni articolo, quali potrebbero essere i soggetti sanzionabili?
Art. 163 – Notificazione: chiunque, essendovi tenuto, è il titolare.
Art. 167 – Trattamento illecito: chiunque, al fine di trarne profitto, tratta i dati, nell’ambito della filiera del trattamento (anche gli incaricati).
Art. 169 – Omessa adozione delle misure di sicurezza: Chiunque, essendovi tenuto (titolare e responsabile e, alla luce del disposto del “Disciplinare tecnico in materia di misure minime di sicurezza”, All. B. -di cui agli artt. da 33 a 36 del D.Lgs.196/2003-, anche l’incaricato).
Art. 170 – Inosservanza dei provvedimenti del Garante: Chiunque, essendovi tenuto (titolare e responsabile).
Art. 168 – Falsità nelle dichiarazioni o notificazioni al Garante: chiunque (titolare).
Sto curando le procedure per l’adeguamento alla normativa sulla privacy per conto di un’Associazione a cui sono iscritto, che ha una banca dati di aziende e fornisco inoltre supporto ad un amico, presidente di un ordine professionale. Ho alcune domande da porvi.
Deve essere effettuata la notifica al Garante della Banca dati degli iscritti (associazione ed ordine)?
La notifica non deve essere effettuata. Il D.lgs. 30 giugno 2003 n.196, infatti, ha radicalmente modificato tale adempimento che, contrariamente a quanto avveniva con la precedente normativa sulla privacy, è oggi obbligatorio solo nei casi particolarissimi elencati dall’art.37, riguardanti prevalentemente dati genetici, dati relativi allo stato di salute ed alla vita sessuale, etc.; il Garante potrà individuare altri casi in cui è obbligatoria la notificazione del trattamento.
Per quanto riguarda la banca dati delle aziende, vi sono raccolte informazioni anagrafiche, di bilancio, descrizione dell’attività, appartenenza ad altre associazioni (industriali, commercianti). Inoltre, sono indicati anche i nomi di alcuni responsabili e persone di contatto. All’atto dell’iscrizione viene fatto firmare un unico consenso ad un responsabile autorizzato dell’azienda. La gestione che stiamo realizzando è quella di una banca dati senza la gestione del trattamento di dati particolari. Vi sono altre attività da svolgere per la corretta applicazione della normativa ?
Deve essere predisposto il Documento Programmatico per la Sicurezza e devono essere redatti i mansionari per gli incaricati.
Vorrei porre alcune domande circa la notifica:
E’ corretto e sufficiente indicare le categorie di interessati cui i dati si riferiscono nel modo seguente: persone fisiche e giuridiche (clienti, ex-clienti, clienti potenziali)?
Riteniamo di si: è la modalità che richiede la norma. Precisiamo che dal 1° gennaio 2004, è in vigore un nuovo modello per la notificazione, l’unico ammesso; tale adempimento può essere effettuato solo per via telematica e con la sottoscrizione tramite firma digitale.
Qualora il luogo di custodia o il titolare non siano unici, che cosa si deve indicare? Indirizzo, nome del titolare, misure tecniche di sicurezza, di ogni luogo di custodia? Eventuali accordi o contratti di outsourcing?
Devono essere indicati tutti i riferimenti, secondo le modalità stabilite dal Garante.
In caso di comunicazione e di diffusione di dati sensibili, quali siano gli adempimenti richiesti (se il consenso è richiesto oppure no)?
Ai sensi del D.lgs. 196/2003, sono obbligatori: l’informativa all’interessato (art. 13), il consenso scritto dello stesso, in molti casi la notifica al Garante (art. 37) e l’autorizzazione preventiva del Garante (art. 26), operazione, quest’ultima, non necessaria nei casi in cui il Garante stesso ha già emesso un’autorizzazione generale. Occorre, però, verificare singolarmente le varie ipotesi. Peraltro, esistono dati sensibili di cui è radicalmente vietata la diffusione.
Qual è la disciplina in caso di trasferimento di dati all’estero intra UE, per i dati sensibili e per quelli non sensibili?
La disciplina in tema di trasferimento di dati all’interno dell’Ue è stata di recente modificata; attualmente, nell’ambito dell’UE può essere effettuato il trattamento in base agli stessi criteri e con gli stessi obblighi necessari per trattare i dati all’interno del nostro Paese. In sostanza, non ricorre più la distinzione tra dati sensibili e dati comuni, che prima imponeva un regime particolare per il trasferimento dei dati sensibili all’interno del territorio europeo.
L’elencazione dei dati sensibili contenuta nell’art.4, coma 1 lett.d) del Codice deve essere considerata tassativa?
Le valutazioni sulle performances e sul potenziale dei dipendenti devono essere considerate dati personali?
Si, tali dati devono essere considerati dati personali.
La gestione di dati sensibili per conto di altri soggetti (ad esempio una Cassa che gestisce le deleghe sindacali degli operai dell’edilizia) necessita della sola autorizzazione del Garante o anche di quella dei singoli interessati?
Per il trattamento dei dati sensibili sono necessari e obbligatori, sia il consenso scritto dell’interessato, sia l’autorizzazione (richiesta ed ottenuta “una tantum”) del Garante. Quest’ultima operazione non è necessaria se è già stata emessa un’autorizzazione generale al trattamento dei dati sensibili in quell’ambito di attività. Si precisa che l’esenzione dal consenso previsto dal comma 4, lett.a), dell’art.26, non vale quando, come in questo caso, i dati siano comunicati all’esterno. Di conseguenza, nel caso in questione, sarà necessario fornire agli interessati un’adeguata informativa e raccogliere il loro consenso specifico per la comunicazione dei dati sensibili al soggetto terzo.
E’ possibile avere un’interpretazione sul senso della locuzione “documentato per iscritto”, contenuta nell’art. 23 del Codice ? Deve essere intesa nel senso che l’interessato deve comunque prestare il proprio consenso in forma scritta o nel senso che questo può essere reso oralmente e poi documentato dall’incaricato alla raccolta?
Secondo quanto già chiarito dal Garante:
se i dati non hanno natura “sensibile” (in quanto non attengono, ad esempio, alla sfera della salute, delle abitudini sessuali o delle convinzioni politiche, religiose e sindacali), la raccolta o l’elaborazione dei dati può essere basata sul consenso dell’interessato (manifestato anche oralmente, purchè documentabile per iscritto), oppure su un’ampia serie di presupposti equipollenti (es.: i dati siano estratti da un archivio pubblico accessibile a chiunque).
Nel caso di trattamenti già iniziati da tempo (anche da anni) si rientra nelle norme transitorie della Legge n.675/1996?
Si, si rientra nel regime transitorio. Dovrà, pertanto, essere effettuata la notifica al Garante nei casi richiesti e, se si tratta di dati sensibili, servirà verificare che esista l’autorizzazione generale del Garante.
L’altro giorno ho fatto un assegno in un negozio di abbigliamento per pagare un vestito e la commessa non solo voleva vedere la mia carta d’identità, ma ha fatto una fotocopia di quest’ultima. Io vorrei sapere, se poteva fare questa fotocopia, senza chiedermi un consenso.
Il comportamento riferito è senza dubbio illegittimo: la commessa le avrebbe dovuto dare l’informativa ai sensi dell’art. 13 del D.Lgs. 196/2003, il Codice della privacy, prima di fotocopiare la sua carta d’identità. Avrebbe, quindi, dovuto chiederle il consenso per trattare i suoi dati, anche se la fotocopia del documento d’identità potrebbe rientrare nel caso di esclusione legato al trattamento finalizzato all’esecuzione di una prestazione contrattuale (comunque dubbi al riguardo rimangono). Tutela: il Suo diritto di accesso ex art. 7 del Codice le consente di richiedere per raccomandata AR, la cancellazione dei suoi dati entro quindici giorni dalla richiesta, con possibilità altrimenti di adire il Garante, per denunciare il comportamento del negoziante.
Un caro amico mi ha confessato che è molto turbato dal fatto che, ogni qualvolta va presso la sua banca a fare una qualsiasi operazione di sportello, sul video dell’operatore appare una breve nota che dice che è sottoposto a continuo controllo, in quanto c’è un’ipoteca sul suo alloggio ad opera di un’altro istituto bancario. La cosa si ripropone quotidianamente ed è alla portata di tutti gli operatori. E’ possibile che un’istituto bancario si comporti in questo modo? cosa può fare il soggetto per difendersi da questa situazione?
Può esercitare i diritti di cui all’articolo 7 del Codice e pretendere di essere informato sui trattamenti effettuati dalla banca. Inoltre, la Banca dovrà rispettare l’art.11 del Codice, in particolare la parte in cui è stabilito che i dati personali oggetto del trattamento devono essere pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti e successivamente trattati.
Vorrei sapere se è possibile chiedere alle società che forniscono informazioni commerciali, i dati (sia quelli ricavati da elenchi pubblici, sia quelli ottenuti da informatori o banche…) che queste posseggono sulle mie attività, al fine di verificarne l’esattezza ed eventualmente chiederne la rettifica.
Si, è possibile ai sensi degli articoli 7, 8, 9, 10 e 11 del Codice. Tenga presente che, nel caso in cui non risulti confermata l’esistenza di dati che La riguardano, può esserLe richiesto un contributo spese, non superiore ai costi effettivamente sostenuti, secondo le modalità determinate dal Garante con provvedimento a carattere generale.
Vorrei sapere quale è il modo di conoscere se e quali informazioni personali risultano sul mio conto presso gli archivi del Ministero dell’Interno.
I trattamenti da Lei indicati non rientrano nell’ambito di applicazione del Codice, ai sensi della specifica disposizione di cui all’articolo 58. Tuttavia, anche su tali banche dati è esteso il controllo da parte del Garante che può, se ritiene, o su segnalazione, disporre specifiche ispezioni al fine di verificare la corrispondenza dell’attività di trattamento agli obblighi di legge e che non vengano compiute operazioni illegali.
Con il nuovo Codice in materia di protezione dei dati personali non dovrei più ricevere pubblicità via e-mail oppure no? Lo stesso dicasi per la pubblicità normale tramite posta?
In effetti, è così per quanto riguarda la pubblicità via e-mail. La nuova legge, infatti, oltre ai principi di correttezza liceità e trasparenza nel trattamento di dati personali ai quali chi opera deve obbligatoriamente attenersi, stabilisce (art. 130, “Comunicazioni indesiderate”) che l’uso di sistemi automatizzati di chiamata senza l’intervento di un operatore per l’invio di mateiale pubblicitario, o di vendita diretta, o per il compimento di ricerche di mercato di comunicazione commerciale è consentito con il consenso dell’interessato. Espressamente, poi, si prevede che ciò vale anche per e-mail, telefax, sms. E’ necessario, dunque, che l’interessato acconsenta espressamente all’invio di pubblicità tramite tali strumenti. Per ciò che concerne, invece, gli altri mezzi (tra i quali, dunque, anche la posta ordinaria), si applica il principio generale del consenso al trattamento del dato personale, ai sensi degli artt.23 e 24.
Peraltro, oltre al consenso rimangono in essere in capo al titolare anche gli altri obblighi previsti dalla normativa, tra i quali quello di informare l’interessato (art. 13). L’interessato, inoltre, può esercitare alcuni importanti diritti, elencati nell’articolo 7 del Codice, che consistono, in sintesi, nella possibilità di richiedere la cancellazione, la rettifica e l’aggiornamento dei dati. Ai sensi del comma 4, lett.b), inoltre, l’interessato ha sempre diritto di opporsi, in tutto o in parte, al trattamento dei dati che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per compimento di ricerche di mercato o di comunicazione commerciale.
E’ possibile, in base al Codice in materia di protezione dei dati personali, impedire che il mio Comune di residenza ceda i miei dati anagrafici ad altri enti statali o pubblici?
La pubblica amministrazione può procedere alla comunicazione e diffusione di dati personali a soggetti pubblici, esclusi gli enti pubblici economici, quando ciò sia previsto da norme di legge o di regolamento, o risulti comunque necessario per lo svolgimento delle funzioni istituzionali (art. 19).
Il mio indirizzo di e-mail è stato memorizzato nelle pagine gialle elettroniche e per questo motivo un signore continua a tempestarmi di messaggi; avendogli richiesto di essere estromesso dalla sua lista mi ha risposto che se non volevo che il mio indirizzo fosse pubblico non avrei dovuto pubblicarlo sulle pagine gialle, e poiché è pubblico, lui mi manda tutti i messaggi che vuole. Vorrei sapere: è vero che essendo stato pubblicato il mio indirizzo e-mail perdo il diritto alla mia privacy e, in secondo luogo, cosa posso fare per tutelare il mio diritto a essere lasciato in pace?
Il comportamento del signore che invia messaggi in posta elettronica, non soltanto è contrario alla netiquette – il codice non scritto dei comportamenti on-line -, ma è anche gravemente contrario al Codice per la protezione dei dati personali. In generale, infatti, è diritto di chiunque opporsi, ai sensi dell’art. 7, comma 4, lettera b), all’invio di materiale non gradito, anche se effettuato via e-mail sulla base di un elenco pubblicamente accessibile (era peraltro obbligo del mittente di avvertirla esplicitamente di tale facoltà).
Per di più, la nuova legge, stabilisce (art. 130, “Comunicazioni indesiderate”) che l’uso di sistemi automatizzati di chiamata senza l’intervento di un operatore per l’invio di mateiale pubblicitario, o di vendita diretta, o per il compimento di ricerche di mercato di comunicazione commerciale è consentito con il consenso dell’interessato. Espressamente, poi, si prevede che ciò vale anche per e-mail, telefax, sms. E’ necessario, dunque, che l’interessato acconsenta espressamente. Se chi invia i messaggi non graditi non si conforma alla Sua richiesta, Lei potrà fare un esposto al Garante, che adotterà i provvedimenti anche sanzionatori del caso. Si ricordi, inoltre, che il mittente doveva, ai sensi dell’art. 13, fornirle l’informativa.
Può essere affisso un annuncio con cui si afferma che un condomino individuato con nome e cognome è in mora per quanto riguarda il pagamento delle rate condominiali?
No, tale prassi, purtroppo molto diffusa, è in radicale contrasto con il Codice della privacy, a meno che non venga richiesto il consenso esplicito ai condomini interessati. L’unica sede propria in cui possono essere diffusi tale dati è l’assemblea di condominio, in riunione. In caso di violazione, si può presentare reclamo al Garante e, se si è subito un danno patrimoniale o soltanto morale per effetto della illecita diffusione, si può agire per il risarcimento innanzi all’autorità giudiziaria.
Si può chiedere di rettificare i dati contenuti nelle liste dei debitori in possesso di una società finanziaria?
Si. L’articolo 7 del Codice della privacy (D.Lgs.196/2003) conferisce, tra l’altro, all’interessato il diritto di chiedere che i suoi dati siano aggiornati, rettificati ed integrati. Il titolare del trattamento, in questo caso la società finanziaria, dovrà provvedere alla correzione entro 15 giorni.
Si può chiedere ad un ospedale di conoscere i dati riportati nella cartella clinica, incomprensibili a causa di grafia illeggibile o per l’uso di codici o sigle?
Il Garante della privacy ha accolto un ricorso di un cittadino che aveva richiesto ad una azienda ospedaliera di conoscere il significato di alcuni codici utilizzati nella diagnosi e una trascrizione dattiloscritta di alcune parti della documentazione contenuta nella cartella clinica scritte con grafia illeggibile. Il Codice della privacy prevede, infatti, che i dati ai quali si riferisce una richiesta di accesso devono essere comunicati in forma intelligibile.
Si possono correggere i dati conferiti per l’assegnazione di un dominio su Internet?
Sono legittime tutte le richieste di correzione dei dati forniti al fine di registrare un nuovo dominio Internet, compresa quella volta alla rettifica delle informazioni relative al registrant.
E’ obbligatorio identificarsi per accedere ai propri dati personali?
L’interessato deve identificarsi al fine di poter esercitare i diritti ad esso attribuiti. L’interessato può essere identificato tramite l’esibizione di un documento o attraverso la presenza di elementi in possesso del titolare che comprovino comunque la sua identità (es. conoscenza personale dell’addetto alla ricezione dell’istanza). Chi ha ricevuto apposita delega, deve esibirla.
I diritti riconosciuti dal Codice della privacy possono essere esercitati anche nei confronti di p.a.?
Il Codice della privacy trova applicazione nei confronti dei trattamenti di dati personali effettuati da soggetti pubblici e privati. I diritti da questa concessi potranno essere vantati anche nei confronti di p.a., che saranno tenute a soddisfarli come ogni altro titolare privato.
A chi può essere inoltrata la richiesta di accesso?
La richiesta può essere inoltrata, oltre che al titolare e al responsabile del trattamento, anche tramite gli incaricati, senza formalità e verbalmente.
Da chi deve essere presentata la domanda di accesso?
L’interessato potrà presentare la domanda di accesso personalmente, tramite un soggetto terzo appositamente delegato, mediante procuratore o anche tramite associazioni di categoria munite di specifica delega o procura. E’ anche possibile che il diritto relativo ai dati di un deceduto sia esercitato da chi ha un interesse proprio, o agisce a tutela dell’interessato o per ragioni meritevoli di tutela. Il diritto di accesso, comunque, salvo questo caso, non riguarda dati relativi a terzi, salvo che la scomposizione dei dati renda incomprensibili i dati personali relativi all’interessato. La richiesta può essere trasmessa anche mediante lettera raccomandata, telefax o posta elettronica.
L’interessato può reiterare la richiesta di accesso ai suoi dati personali?
L’interessato può ripetere la sua richiesta di accesso solo dopo 90 giorni dalla precedente istanza.
L’esercizio di tali diritti è gratuito?
Il costo sopportato dal titolare del trattamento (Pubblica Amministrazione o soggetto privato), per l’attività di ricerca necessaria a soddisfare la richiesta dell’interessato, non deve essere fatto gravare su quest’ultimo. Nell’ipotesi in cui l’esito della ricerca effettuata dal titolare del trattamento non abbia avuto risultati positivi, il titolare del trattamento potrà richiedere all’interessato un contributo spese, che non potrà eccedere i costi effettivamente sopportati per la ricerca e, comunque, dovrà essere limitato ad una somma contenuta entro ristretti termini economici, stabiliti dal Garante.
Quando può essere presentato un ricorso al Garante per la violazione di uno dei diritti riconosciuti dal Codice della privacy?
l ricorso al Garante può essere presentato solo dopo aver fatto valere il diritto davanti al titolare del trattamento e aver ricevuto da questo un espresso rigetto o un silenzio protratto per quindici giorni.
Si deve sempre interpellare il titolare prima di proporre ricorso al Garante?
Il mancato esercizio del diritto dinnanzi al titolare del trattamento comporta l’inammissibilità del ricorso. La proposizione immediata del ricorso è possibile solo nel casi in cui il decorso del tempo necessario per interpellare il titolare esporrebbe taluno a pregiudizio imminente o irreparabile.
I diritti riconosciuti dal Codice della privacy possono essere tutelati solo davanti al Garante della privacy?
L’interessato che avrà visto violare i suoi diritti potrà presentare ricorso, alternativamente, davanti al Garante o all’autorità giudiziaria.
Si può impugnare la decisione del Garante?
Le decisioni del Garante sono impugnabili davanti al Tribunale del luogo ove risiede il titolare, entro 30 giorni dalla data di comunicazione del provvedimento o dalla data del rigetto tacito.
La domanda deve essere accessoriata da motivazioni del tipo: Internet è dato per gli scopi aziendali e non a scopo ludico; l’azienda non gradisce la frequentazione di siti non pertinenti con l’operatività dell’azienda, anche se non intende porre alcun blocco su di essi (è lasciata al dipendente la responsabilità-fiducia di non farlo); è necessario attivare la fatturazione per centri di costo e quindi sapere, settore per settore, quanto hanno usato la Rete per ripartire correttamente i costi aziendali.
Siamo sul genere: “posso installare una telecamera in azienda per vedere cosa succede (controllare i miei dipendenti)?”
A cui associo contesti del tipo: “devo sapere quanto una sedia comune è stata usata e da chi”. Se può essere utile a chiarire lo scenario (sperando di non parlare di cose che sapete meglio di me), vi dico che tecnicamente è molto semplice: si usa uno sniffer, cioè un programma che viene installato su una stazione della LAN e che controlla tutto quello che passa nella rete interna. Ogni “oggetto” (pacchetto) viene aperto e controllato per sapere cosa contiene, da dove viene e dove va…
Per ogni azione lo sniffer tiene una traccia in un file di Log che a fine giornata può essere elaborato come una semplicissima fonte di dati per ottenerne grafici e informazioni precise del tipo: Dove ha navigato oggi Tizio? Quanto traffico eMail è stato generato oggi? In percentuale e in valore assoluto? Quanto traffico ha generato il settore “A”?
La questione posta dal suo quesito rientra indubbiamente, nell’ambito della privacy in rete, una delle più scottanti. La condotta dell’azienda non pare del tutto legittima. Infatti, lo Statuto dei lavoratori, all’art. 4, vieta l’uso di tecnologie volte al controllo dell’attività dei lavoratori. Se il controllo è necessario per salvaguardare la sicurezza dei dipendenti o per ragioni organizzative, esso deve essere concordato con la Rappresentanze Sindacali Aziendali o con la Commissione interna o, in mancanza, autorizzato dall’Ispettorato del lavoro a seguito di istanza del datore di lavoro.
Anche il Codice della privacy pone limiti. L’uso dello “sniffer” comporta, di fatto, un trattamento di dati personali. Tale trattamento deve essere consentito dal lavoratore interessato (art. 24), al quale, inoltre, deve essere data l’informativa prevista dall’art. 13. In mancanza di consenso, è probabile che, a fronte di una precisa istanza, il Garante o il giudice ordinario vietino l’uso di un simile strumento.
Tutte le aziende devono chiedere ai dipendenti se sono iscritti a qualche organizzazione sindacale, allo scopo di effettuare la relativa trattenuta. Questa informazione rientra certamente tra i dati “sensibili” ed il suo trattamento è quindi soggetto (art. 26) al consenso del Garante (entro 30 giorni)?
Riteniamo che, nel parlare di “consenso” del Garante, Lei faccia riferimento alle autorizzazioni rilasciate dall’Ufficio dell’Autorità per il trattamento dei dati sensibili. Per i dati sensibili trattati nell’ambito del rapporto di lavoro, il Garante emette annualmente un’autorizzazione preventiva e generale, per cui non occorre più richiedere e ottenere l’autorizzazione specifica. Occorre però verificare che il trattamento effettuato corrisponda a quello autorizzato dal Garante.
In una Azienda privata, ciclicamente (ogni due mesi) e forzatamente (è richiesta la firma per avvenuta visione), viene messo in circolazione un tabulato riportante, nel dettaglio e senza omissioni, interi numeri di telefono appartenenti ad utenze private per telefonate in partenza da un telefono interno, il cui numero riconduce in modo univoco ad una persona (dipendente). Chiedo se in questo caso, oltre al Codice della privacy, non sia violato anche lo Statuto dei lavoratori (L. 300 del 1970), in quanto su tale tabulato vengono indicati giorni ed ore delle telefonate, esercitando così un controllo abusivo su giorni ed ore di effettiva presenza sul posto di lavoro.
L’utilizzazione di modalità di controllo del traffico telefonico non è, di per sé, contraria alle disposizioni della legge, quando vi sia informazione degli interessati e, comunque, avvenga con una modalità tale da non compromettere la riservatezza dei dipendenti, attraverso la diffusione generalizzata di elenchi e tabulati. Una di queste modalità, per esempio, potrebbe essere l’oscurare parte del numero. Per quanto attiene alla violazione dello statuto dei lavoratori, inoltre, non ci sembra che la fattispecie narrata costituisca strumento indiretto di controllo a distanza ma, su questo, non conoscendo esattamente i dettagli, non ci sentiamo di fornire una risposta definitiva, non rientrando la materia, peraltro, nell’oggetto della nostra attività di risposta a quesiti.
L’azienda in cui presto servizio, un Istituto bancario con natura giuridica di Società per Azioni, rifiuta di farmi prendere visione della documentazione contenuta nella mia cartella personale presso l’apposito servizio. Tale comportamento è corretto?
Il comportamento dell’Istituto è assolutamente illegittimo. Per avere visione completa dei dati che la riguardano, potrà farne richiesta (meglio mediante raccomandata con avviso di ricevuta) ai sensi dell’art.7 del Codice della privacy. Nel caso in cui il rifiuto persista, o in caso di mancata risposta, decorsi 15 giorni dal suo ricevimento, potrà esporre il fatto al Garante, che provvederà adottando tutte le misure necessarie, oppure potrà adire l’Autorità Giudiziaria per ottenere il risarcimento dell’eventuale danno.
Quando vado a ritirare la busta paga la trovo buttata su un bancone insieme alle altre, quindi tutti possono vedere la mia busta, come io posso vedere quella degli altri. Vorrei sapere se tutto ciò è irregolare e, in caso di risposta positiva, come posso impedire che si continui a violare la mia, anzi la nostra, privacy.
Sicuramente la situazione da Lei descritta è irregolare, poiché tutti i soggetti che trattano dati personali, datore di lavoro compreso, sono tenuti a garantire la sicurezza dei dati personali di cui sono in possesso, attraverso l’adozione di misure di sicurezza, atte a ridurre al minimo i rischi di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Il dipendente ha dunque diritto di ottenere che la consegna della busta paga avvenga in modo tale da non permettere ai colleghi di conoscere i propri dati personali retributivi che potrebbero rivelare, oltre all’importo percepito, anche l’esistenza di particolari situazioni, quali pignoramenti in atto, assegni di mantenimento a favore del coniuge separato e così via.
È lecito, da parte del datore di lavoro, notificare il licenziamento di un dipendente, con relativa motivazione, tramite lettera non inserita in busta chiusa, ma solo piegata e graffata, seppure come A.R.?
Nel caso prospettato, il datore di lavoro potrebbe essersi comportato in maniera carente sotto il profilo della sicurezza, cioè nell’adozione di misure idonee a ridurre al minimo i rischi di accesso non autorizzato alle informazioni da parte di soggetti diversi dal destinatario della comunicazione, o di trattamento non consentito o non conforme alle finalità della raccolta. L’omessa adozione (anche solo per colpa) di idonee misure di sicurezza, se dall’episodio è scaturito un danno (anche non patrimoniale) per il soggetto interessato, consente al dipendente di ottenere il risarcimento promuovendo la relativa azione giudiziaria.
L’attività descritta non è consentita poiché Il Codice della privacy ha lasciato integralmente in vigore lo Statuto dei lavoratori. L’art. 4 di tale testo stabilisce il generale divieto dell’ “uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori”, a prescindere dunque dal consenso dei lavoratori. E’ evidente che la norma tutela il lavoratore dipendente da possibili abusi del datore di lavoro, in considerazione della frequente supremazia socio-economica di quest’ultimo. Tali strumenti sono permessi solo se resi necessari da esigenze organizzative e produttive ovvero di sicurezza, ma anche in presenza di queste situazioni, sul punto deve intervenire uno specifico accordo con le rappresentanze sindacali.
L’art. 10 dello Statuto dei Lavoratori prevede, all’ultimo comma, che i datori di lavoro possono richiedere la produzione delle certificazioni necessarie all’esercizio del diritto di fruire di permessi per motivi di studio. Dal tenore letterale della disposizione, e in particolare dalla parola “necessarie”, si comprende che le certificazioni devono avere il contenuto minimo idoneo a giustificare l’assenza e certamente tale non è il voto conseguito. Nella materia è determinante l’art.11 del Codice, che stabilisce che i dati personali oggetto di trattamento devono essere pertinenti e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati. Orbene, l’indicazione della votazione conseguita non è pertinente ed è eccedente rispetto alla finalità del trattamento che è quella di verificare il motivo dell’assenza dal posto di lavoro.
Un’azienda che fornisce ai dipendenti un collegamento ad Internet per esigenze di servizio, può poi servirsi del “log” che registra gli accessi ai singoli siti ed usarlo contro il dipendente stesso nel caso di accessi ritenuti non di pertinenza aziendale?
In linea generale tale tipo di controllo non è permesso, posto che lo Statuto dei lavoratori stabilisce i divieti dell’installazione di impianti audiovisivi o altri strumenti di controllo a distanza e di indagini sulle opinioni, a tutela del diritto alla riservatezza del dipendente sul luogo di lavoro, al fine di tutelare la libertà e la dignità dello stesso (privacy compresa). L’impiego di strumenti di controllo a distanza (nella specie i logs, ma anche i bookmarks o la cache memory) deve rispondere a precise esigenze di sicurezza e organizzazione del lavoro e deve essere comunque concordato con le rappresentanze sindacali, come previsto dallo Statuto dei Lavoratori. Nel caso in cui tali strumenti di controllo a distanza vengano installati, sarà anche necessario rispettare i principi sanciti dal Codice sulla privacy e, in particolare, sarà, necessario fornire ai dipendenti l’informativa di cui all’art. 13, richiedere loro il consenso al trattamento dei dati e, infine, rispettare l’art.11.
Può l’azienda ritrarre i suoi dipendenti per effettuare spot pubblicitari?
Tale ipotesi è riconducibile ai trattamenti temporanei di dati finalizzati alla pubblicazione o diffusione di articoli, saggi e altre manifestazioni del pensiero, per i quali si applicano le particolari disposizioni relative ai trattamenti effettuati per fini giornalistici (articolo 136 del Codice). In questi casi, non è necessario richiedere il consenso degli interessati, purché il trattamento avvenga nel rispetto dei limiti fissati dal codice deontologico di categoria. Per la ripresa di tali immagini sarà, quindi, sufficiente rilasciare ai dipendenti un’adeguata informativa (ex articolo 13 del Codice sulla privacy).
Le raccolte di dati effettuate in occasione delle valutazioni periodiche del personale, tramite test o interviste nominative, si configurano come un trattamento di dati personali da realizzare, quindi, in conformità alle norme dettate dal Codice. In particolare, il datore di lavoro dovrà fornire ai dipendenti da valutare una preventiva e completa informativa e potrà raccogliere le sole informazioni funzionali alla valutazione professionale del lavoratore, utilizzandole per il solo fine per il quale sono state acquisite.
Nella redazione dei moduli di valutazione deve esser tenuto conto del diritto sancito dall’articolo 1 dello Statuto dei Lavoratori (L. n.300/1970), che garantisce la libertà di espressione del pensiero, tutelando anche il diritto a non manifestare una propria opinione. Detti schemi di valutazione non dovranno, in ogni caso, costituire metodi per svolgere indagini sulle opinioni politico-sindacali del lavoratore (nel rispetto dell’art.8 dello Statuto dei Lavoratori).
No. Anzi, gli artt. 113 e 114 del Codice richiamano espressamente il disposto rispettivamente degli artt. 8 e 4 sulla raccolta di dati relativi alle opinioni politico-sindacali del lavoratore e sul divieto di controllo a distanza.
Non è contrario alla legge chiedere ai lavoratori di esporre un cartellino, al fine di renderli identificabili per finalità di trasparenza, in particolare nei rapporti con il pubblico o con terzi estranei; tuttavia, non sempre i dati riportati su tali cartellini appaiono pertinenti e non eccedenti rispetto alle finalità del trattamento. Non sembra, ad esempio, pertinente esibire anche la data di nascita del dipendente ovvero ogni altra informazione non strettamente necessaria, essendo sufficiente indicare il nome (anche di fantasia), un numero, un codice, che comunque permetta di risalire al dipendente in caso di necessità. Con analoghi accorgimenti, la finalità della trasparenza sarà rispettata senza esporre il lavoratore ad un’inutile diffusione dei suoi dati personali.
Possono essere esercitati i diritti di accesso di cui all’art. 7 del Codice nei confronti del proprio datore di lavoro?
Certamente sì. Qualora il prestatore di lavoro inoltri una richiesta di accesso ai sensi dell’art. 7, il datore è tenuto, come ogni altro titolare, ad indicare tutte le informazioni comuni e sensibili in suo possesso relative al dipendente, ivi comprese le c.d. note di qualifica.
Le visite fiscali non violano la privacy, in quanto disposizioni di legge e contrattuali prevedono la possibilità di tali controlli anche in caso di brevi assenze e ove ne ricorra la necessità.
Tali società dovranno in primo luogo informare gli aspiranti lavoratori dell’uso che faranno dei dati personali contenuti nei curricula inviati, nonché acquisire un consenso libero e specifico, qualora intendano mettere i dati a disposizione di terzi per fini diversi dall’adempimento di obblighi contrattuali. Se, inoltre, i curricula dovessero contenere informazioni di tipo sensibile si dovrà richiedere, sempre, un consenso scritto e rispettare l’autorizzazione generale rilasciata dal Garante.
Inoltre, ai sensi dell’art. 38 comma 1 lett. e) del Codice della privacy, se si tratta di dati sensibili registrati in banche dati a fini di selezione del personale per conto terzi, il trattamento deve essere notificato al Garante. Restano fermi, infine, gli obblighi in tema di sicurezza di dati (vale a dire l’adozione delle misure di sicurezza, obbligatorie per tutti i trattamenti) ed i principi di pertinenza e non eccedenza degli stessi dati, nonché di formazione dei soggetti incaricati del trattamento.
La conservazione è ammissibile in quanto richiesta espressamente da alcune disposizioni di legge. Dunque, ai sensi dell’art. 26, comma 4 lett. d) del codice, il trattamento di tali dati può essere effettuato senza il consenso dell’interessato. Dovranno, tuttavia, essere rispettate le regole che saranno previste dall’adottando codice di deontologia e buona condotta, nonché della autorizzazione generale annualmente rilasciata dal Garante.
Cosa deve intendersi, nella interpretazione dell’articolo 24, lettera d), del Codice della privacy (D.Lgs.196/2003), per dati relativi allo svolgimento di una attività economica, quale ipotesi di esclusione dell’obbligo di acquisizione del consenso da parte dell’interessato?
Tale eccezione deve essere intesa nel senso della non necessarietà del consenso dell’interessato, qualora il trattamento dei dati concerna informazioni strumentali e funzionali allo svolgimento di attività economiche. Il termine attività economiche deve intendersi riconducibile alle informazioni sulla solvibilità, sullo stato di insolvenza di una impresa e sulla correttezza commerciale. Tale deroga non può superare l’articolata disciplina del segreto aziendale e industriale, per espressa disposizione di legge.
Siamo una Società di elaborazione dati che gestisce le contabilità di aziende, dichiarazioni dei redditi, paghe, iscrizioni all’INPS, alla C.C.I.A.A., al Tribunale, ai sindacati, paghe per i dipendenti, ecc.. In merito alla nostra attività quali sono le incombenze da espletare riguardo alla normativa sulla privacy?
Le attività da voi gestite rientrano senza dubbio nell’ambito di applicazione del Codice della privacy. In un contesto tipo nel quale in genere si opera, deve essere fatta una primissima valutazione, prima di procedere nell’attuazione negli adempimenti imposti dalla legge, di come è strutturata la gestione organizzativa dei servizi da voi prestati, di quali siano le figure soggettive dedicate ai trattamenti (titolare, responsabile e incaricati) e predisporre, eventualmente, precise deleghe e mansionari per gli incaricati.
quali tipi di dati personali vengono trattati;
quale è l’ambito di comunicazione e diffusione dei dati (per esempio alla pubblica amministrazione);
se vengono trattati dati sensibili (vi facciamo notare, ad esempio, che nella gestione delle buste paga, se nelle stesse è riportata la delega per la trattenuta sindacale, quello è un dato sensibile; altra problematica legata ai dati sensibili è la gestione della sorveglianza sanitaria nell’ambito delle norme sulla sicurezza nei luoghi di lavoro: vedi, al proposito, un intervento nei “saggi” del nostro sito);
se vengono effettuati trattamenti incompatibili con le finalità di raccolta (ad esempio: nel caso di dati raccolti per le buste paga, utilizzati, anche, per compilare mailing di invio di pubblicazioni, ecc.).
Dopo la valutazione, occorre passare alla gestione degli adempimenti. Per una gestione di trattamenti in conformità al Codice della privacy, inoltre, non deve assolutamente essere trascurato l’aspetto della sicurezza degli archivi.
L’informazione dell’iscrizione di un’impresa ad una Associazione Sindacale di Categoria non è un dato sensibile in quanto riguarda le imprese e, quindi persone giuridiche? Pensiamo, infatti, che tra gli obiettivi generali del Codice della privacy è indicata la tutela della riservatezza delle persone fisiche, e nella identificazione dei dati sensibili (art. 4, comma 1 lett. d) si parla di dati che si possono riferire solo a persone fisiche (convinzioni religiose, eccetera, origine razziale, etnica, organizzazioni a carattere religioso, filosofico politico, eccetera, salute, sesso). Sembrerebbe, quindi, si possa tener fuori l’iscrizione di un’Impresa ad una Associazione di categoria.
Il Codice sulla privacy si applica sia alle persone fisiche, sia ad enti, persone giuridiche e associazioni; l’articolo 4 considera dato sensibile quello idoneo a rivelare, tra l’altro, l’appartenenza a sindacati o ad associazioni sindacali. Ciò è confermato tanto dall’art. 1 (“Chiunque ha diritto alla protezione dei dati personali che lo riguardano”), quanto dall’art. 4, comma 1, lettera h, che espressamente definisce “interessato” le persone fisiche, le persone giuridiche, gli enti e le associazioni. L’iscrizione ad un’associazione di categoria è, pertanto, dato sensibile, sia se riferito a persone che ad aziende.
Si deve evidenziare, tuttavia, che l’art. 26, comma 3, del Codice precisa che, sebbene dati sensibili, i dati riguardanti l’adesione di associazioni e organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria possono essere trattati senza il consenso dell’interessato e l’autorizzazione del Garante; il che conferma quanto detto innanzi.
Per una generica azienda, i dati necessari a tenere scritture contabili riguardanti persone fisiche (es: idraulico che fa una riparazione) si possono considerare pubblici e quindi non soggetti a consenso? (tra questi, di norma c’è il codice fiscale).
Più che pubblici, tali dati dovrebbero essere considerati “dati relativi allo svolgimento di attività economiche” e quindi esclusi – dall’articolo 24, comma 1, lett. d), – dall’obbligo di acquisizione del consenso dell’interessato. Resta fermo, invece, l’obbligo di fornire una completa informativa ai sensi dell’art. 13 del Codice della privacy.
Molte aziende, nello svolgimento del servizio paghe chiedono ai dipendenti di comunicare l’eventuale iscrizione al sindacato per l’effettuazione della trattenuta; questo può essere considerato un dato sensibile e quindi devono richiedere l’autorizzazione preventiva del Garante (art 26)? Se non lo ottengono entro 30 giorni (rigetto) cosa devono fare?
L’autorizzazione non è più necessaria, in quanto il Garante ha rilasciato, in materia di dati relativi allo svolgimento del rapporto di lavoro, una autorizzazione, in via generale e preventiva. Ciò è accaduto anche per molti altri settori.
Nella formula per l’acquisizione del consenso degli interessati occorrerà aggiungere, se rivolta a persone giuridiche, il titolo di rappresentatività del sottoscrivente?
Si, purché sia il legale rappresentante della società.
Vorrei porre i seguenti quesiti sul Codice della privacy:
I dati della mia clientela di Studio legale consistono unicamente in generalità, codice fiscale e partita IVA, che richiedo ai fini della fatturazione. Le altre notizie, che occorrono per la causa, vengono inserite unicamente negli atti giudiziari e la loro riservatezza è già coperta dal segreto professionale. A quali adempimenti sono tenuto?
La notifica al Garante non è necessaria. Neanche il consenso è necessario per il trattamento dei dati comuni, fermo restando l’obbligo di ottenere per iscritto quello al trattamento dei dati sensibili. È obbligatorio, comunque, informare l’interessato ai sensi dell’articolo 13 e rispettare i principi di cui all’articolo 11.
Una Società Cooperativa che svolge attività di raccolta del prestito sociale chiede a ciascun socio prestatore generalità e titolo di studio. I dati vengono semplicemente registrati ai fini della gestione del conto. A quali adempimenti è tenuta?
Se i dati non sensibili raccolti sono strettamente necessari all’adempimento di obblighi contrattuali, ferma restando l’informativa, non è necessario il consenso. Anche la notifica al Garante non è necessaria, ma rimane in vigore l’obbligo del rispetto dei principi affermati dall’art. 11.
Un’impresa di ristorazione chiede ai propri clienti i dati necessari alla stipula del contratto e alla fatturazione dei servizi (denominazione, sede, codice fiscale, partita IVA). A quali adempimenti è tenuta?
Deve dare l’informativa agli interessati (chiarendo che l’unica finalità è quella legata al contratto) senza obbligo di consenso. La notifica al Garante, invece, non è necessaria.
Un’impresa di emissione buoni pasto ha ricevuto una richiesta da parte di una società cliente (che acquista buoni pasto spendibili presso esercizi pubblici per i propri dipendenti) di restituire ad essa i buoni usati con indicazione del luogo e ora dove sono stati spesi. La richiesta è legittima ?
Occorre verificare, alla luce del contratto tra le parti, il rispetto del principio di non eccedenza del trattamento rispetto alle finalità della raccolta, affermato nell’art. 11 del Codice della privacy. Nel caso in cui dovesse essere verificata la fattibilità della cosa, occorrerebbe, comunque, informare l’interessato ed acquisirne il consenso espresso.
Siamo un’azienda che possiede un archivio interno per la fatturazione ai Clienti contenente dati anagrafici. Vorremmo porre alcune domande:
Il Codice della privacy si applica anche in questi casi ? Se si applica, cosa dobbiamo fare?
Il trattamento dei dati in questione, in quanto effettuato sulla base di obblighi di legge, o comunque connesso all’adempimento di obbligazioni contrattuali di cui l’interessato è parte, non è soggetto all’obbligo di consenso. Per i dati comuni, in ogni caso, occorre dare l’informativa prevista dall’art.13 e rispettare i principi di cui all’art.11 del Codice. Rimangono, inoltre, come per ogni trattamento di dati personali, gli obblighi di adottare le misure minime di sicurezza, di cui all’All. B (“Disciplinare tecnico in materia di misure minime di sicurezza”), di nominare per iscritto gli incaricati del trattamento, fornendo loro istruzioni e formazione.
Una login e una password, devono essere considerati dati personali?
Sì, secondo la definizione fornita dall’art. 4 del Codice. Si considera dato personale ogni informazione che, anche indirettamente (come nel caso in questione), mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale, consenta di identificare una persona fisica o giuridica.
Che cosa si intende con cessazione del trattamento?
Si ha cessazione del trattamento ogni qualvolta si intenda, per qualsiasi causa, interrompere in via definitiva l’intero complesso di operazioni concernenti uno specifico trattamento di dati personali.
La soppressione di un singolo archivio (es. dipendenti cessati) è una cessazione del trattamento?
No, finché prosegue la complessiva attività di trattamento (es. paghe e stipendi) di dati personali nel suo complesso.
Alcune campagne pubblicitarie da noi realizzate riportano in calce un coupon per la richiesta di informazioni sul prodotto pubblicizzato. Che cosa dispone in proposito il Codice della privacy? Possiamo continuare ad inserire i coupons? A quali condizioni?
Se la richiesta di informazioni prevede la raccolta di dati personali (anche la semplice anagrafica di chi risponde) non in forma anonima, occorre rispettare il Codice e, dunque, quanto meno fornire agli interessati una completa informativa (art.13) in cui venga fatta espressa menzione del diritto concesso dall’art. 7, comma 4, lett.b, all’interessato, di opporsi, in tutto o in parte ed a titolo gratuito, al trattamento previsto a fini di informazione commerciale, o di invio di materiale pubblicitario, o di vendita diretta, ovvero, per il compimento di ricerche di mercato o di comunicazione commerciale interattiva. Tale diritto deve essere espressamente reso noto dal titolare all’interessato.
I dati raccolti dalla nostra azienda sia per la banca dati, sia per le informazioni commerciali, sono in numero elevatissimo, tanto che rendere l’informativa all’interessato, prevista dall’art. 13, comporta un impiego di mezzi manifestamente sproporzionato al diritto che si intende tutelare. Vorremmo quindi chiedere al Garante di essere esentati da tale obbligo. È possibile?
Si, l’art. 13, comma 5, lett.c, prevede che, nei casi in cui i dati non siano raccolti presso l’interessato, ma presso terzi, il Garante possa dichiarare manifestamente sproporzionato l’impiego dei mezzi necessari per fornire l’informativa agli interessati rispetto al diritto tutelato, esonerando, quindi, dall’obbligo dell’informativa i titolari che lo richiedano e dimostrino l’esistenza di tale circostanza.
Quando è possibile considerare due strutture operative contitolari di un trattamento?
Nei grandi enti, persone giuridiche o pubbliche amministrazioni, articolate in direzioni generali o in sedi decentrate o periferiche, dotate di poteri decisionali del tutto autonomi circa i trattamenti che si effettuano nel loro ambito, è possibile considerare tali articolazioni contitolari di uno stesso trattamento.
Le note di qualifica sono dati personali?
Si, tutte le informazioni oggettive, le descrizioni, i giudizi e le analisi sui dipendenti che danno origine a valutazioni complessive di questi sono state ricondotte all’ampia definizione di dato personale di cui all’art. 4, comma 1 lett. b) del Codice della privacy.
In situazioni in cui una società di servizi informatici svolge service elaborativo (elaborazione dati, gestione della rete trasmissiva, gestione delle lan e dei server di rete su cui operano le società clienti, ecc.) per altre società, pur appartenendo tutte allo stesso Gruppo Bancario (compresa la stessa società di servizi informatici), quali sono, relativamente alla normativa sulla privacy, gli adempimenti e le responsabilità che spettano a ciascuna delle parti?
Ci sembra di poter inquadrare il Vs. caso nell’ambito dell’attività di “incaricati” sempre che, da parte del committente di servizi, non sia stata scelta la strada di qualificarVi come “responsabili del trattamento”. È il caso di precisare che la qualifica di “incaricato” può essere attribuita solo a persone fisiche. Nel caso le Vostre persone rivestano la qualifica di incaricati del committente di servizi, la Vs. opera dovrà essere svolta nell’ambito delle istruzioni ricevute dallo stesso, che avrà avuto l’accortezza di integrare le lettere di incarico nel senso indicato dal Codice della privacy. Nel caso, invece, di conferimento di “responsabile del trattamento”, sarete chiamati a condividere le responsabilità connesse ad alcuni adempimenti indicati dalla legge, nell’ambito del mandato ricevuto.
La CCIAA, della quale sono dipendente, autorizza da qualche anno una società di informatica all’utilizzo dei dati nominativi contenuti negli elenchi dei protesti, non appena ufficializzati (secondo la legge 77/1955 questo è possibile). La suddetta società li custodisce in una banca dati e li distribuisce a sua volta. I quesiti che vorrei porre sono i seguenti:
Il privato può comunicare o diffondere quei dati senza il consenso degli interessati ? (gli elenchi ufficiali dei protesti sono cioè “elenchi conoscibili da chiunque”?)
Sono conoscibili da chiunque nell’ambito della finalità di “pubblicità” enunciata dalla legge.
La notificazione al Garante deve essere fatta?
L’art. 37, comma 1, lett.f), del Codice della privacy prevede l’obbligo della notificazione dei trattamenti dei dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento delle obbligazioni, a comportamenti illeciti o fraudolenti. Occorre, pertanto, valutare attentamente se il trattamento effettuato dalla società rientra in questa ipotesi. In mancanza di ulteriori elementi, sembrerebbe di sì.
Il trattamento dei dati relativi alle trattenute sindacali in busta paga deve considerarsi “dato sensibile” o no?
Un’azienda raccoglie dati di molti corrispondenti (anche persone fisiche), necessari a tenere le normali relazioni commerciali e scritture contabili; non tutti questi dati si possono considerare “pubblici”. Sono comunque soggetti a consenso?
È possibile considerare tali dati come rientranti nell’ambito dello svolgimento di un’attività economica e quindi sottratti al consenso ai sensi dell’articolo 24 del Codice della privacy.
La raccolta di dati da parte di una Associazione o Organizzazione Sindacale o altro gruppo di persone (ad esempio una parrocchia) fa parte indispensabile, vitale ed irrinunciabile della sua attività; l’appartenenza a molti di questi enti è considerato dato “sensibile”. Si può ritenere che questa raccolta (e tutti i trattamenti connessi) siano automaticamente autorizzati con la nascita legale dell’ente, tenuto conto che, negare il consenso, equivale a negare la possibilità di esistenza?
Il problema non esiste, in quanto il Garante ha rilasciato una autorizzazione preventiva e generale (n. 3/1997, e successive modifiche) che consente alle Associazioni di trattare dati sensibili, naturalmente nei limiti e con le modalità fissate dall’autorizzazione stessa.
La nostra attività (un albergo), detiene come da obbligo di legge copia delle schedine questura (e queste non sono soggette, quindi, a obbligo di notifica); per velocizzare il servizio ai clienti, nel caso che gli stessi pernottino frequentemente nel nostro albergo, provvedevamo (fino a ieri) ad inserirli in un archivio anagrafico, facente parte del nostro programma alberghiero (l’archivio contiene i seguenti dati: nome, cognome, data e luogo di nascita, residenza, sesso, tipo di documento ed a volte n.ro di telefono e fax); vorrei avere conferma che il presente archivio deve essere notificato, e che i futuri dati devono essere dotati di consenso.
I trattamenti, in virtù del sistema introdotto dall’art. 37 del Codice della privacy, non devono essere notificati. La notificazione, infatti, è diventata un adempimento residuale, previsto come necessario solo in alcuni casi particolari.
Un archivio similare, è stato creato per le ditte, a scopo di velocizzare l’emissione di fatture; anche questo deve essere notificato?
Vale lo stesso ragionamento.
Un’agenda con riportati i numeri di telefono dei fornitori deve essere dichiarata?
Come si potrà dimostrare che, parte dei dati sono stati acquisiti prima del 8/5/1997 e, quindi, non sono soggetti a consenso?
Con le modifiche apportate di recente alla normativa sulla privacy, la situazione dei dati acquisiti prima dell’entrata in vigore della legge 675/1996, vale a dire prima della data da Lei testè indicata, è radicalmente mutata. Ed infatti, l’art.18 del d.lgs. 28 dicembre 2001 n.467 ha previsto che le disposizioni dell’art. 41, comma 1, della legge 675/1996 (vale a dire quelle che esimevano dall’obbligo del consenso per i dati raccolti prima della entrata in vigore della legge stessa) restano in vigore sino alla data del 30 giugno 2003. Né il Codice sulla Privacy, entrato in vigore il 1 gennaio 2004, ha disposto nulla al riguardo. Pertanto, la disciplina transitoria deve intendersi abrogata. E per ogni dato trattato, dunque, laddove richiesto dalla legge e non ricorrano esenzioni, allo stato attuale, è necessario munirsi del consenso delll’interessato, a prescindere dalla data di raccolta.
È possibile effettuare la notifica attraverso la Camera di Commercio?
L’art.38, comma 3, stabilisce che il Garante provvederà a fornire la disponibilità del modello, anche attraverso convenzioni stipulate con soggetti autorizzati, anche presso associazioni di categoria e ordini professionali. Resta ferma, in ogni caso, la necessità che la notificazione sia sottoscritta dal notificante.
Riguardo alla sicurezza dei dati informatici, quali norme sono previste?
L’articolo 31 del Codice della privacy stabilisce che i dati personali oggetto di trattamento devono essere protetti, mediante l’adozione di misure di sicurezza preventive e idonee a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito, o non conforme alle finalità della raccolta. È necessario, inoltre, adottare standard minimi di sicurezza, individuati dall’All. B, cd. “Disciplinare tecnico”, la cui mancata adozione è sanzionata penalmente.
Con il Codice della privacy è stata abrogata la legge 121/1981 che prevedeva la notificazione alla questura del possesso di archivi magnetici?
NO!!! La legge 121/1981 è stata abrogata dalla legge 675/1996 e rimane quella abrogazione!!
Gradirei avere alcune informazioni sulla nomina del Responsabile del trattamento, se scelto all’interno della Società:
Mentre i compiti devono essere indicati esplicitamente ed analiticamente per iscritto dal Titolare al/ai responsabile/i, non si parla minimamente della Nomina del Responsabile. Deve avvenire anch’essa per iscritto o semplicemente basta una comunicazione orale di servizio?
L’art. 29 del Codice della privacy parla espressamente di compiti affidati al responsabile, analiticamente specificati per iscritto. La nomina, dunque, deve avvenire per iscritto, con l’attribuzione analitica degli incarichi e dell’ambito di intervento della nomina.
La relativa accettazione dell’incarico deve avvenire per iscritto?
È preferibile che ci sia una accettazione esplicita dell’incarico, dato che l’acquisizione della qualifica di responsabile del trattamento comporta l’assunzione di specifiche responsabilità.
Gradirei anche conoscere il riferimento legislativo/normativo a cui fare riferimento.
Il già menzionato art.29 del Codice della privacy.
Nel caso in cui un’azienda gestisca un albo subfornitori in cui sono memorizzati: la ragione sociale del subfornitore, l’indirizzo, i nominativi di riferimento, deve sottoporsi alla normativa sulla privacy?
Se i dati sono detenuti per l’adempimento di obblighi contrattuali di cui l’interessato è parte, non deve essere acquisito il consenso, altrimenti, sarà necessario provvedere ai sensi dell’art. 24 del Codice della privacy. Gli interessati, comunque, devono essere informati secondo quanto previsto dall’articolo 13.
Il Codice della privacy si applica anche ad aziende che operano in Italia, pur avendo la sede principale all’estero?
Si, la normativa trova applicazione verso tutti i soggetti che compiano attività di trattamento nel territorio italiano, indipendentemente dal luogo in cui è situato l’archivio, così come, dalla nazionalità o residenza del titolare. Attualmente, a seguito delle modifiche introdotte prima dal d.lgs. 467/2001, e dal Codice in materia di protezione dei dati personali, la legge si applica a chiunque, anche avente sede al di fuori dell’UE, utilizzi per il trattamento mezzi che si trovano nel territorio italiano, anche diversi da quelli elettronici o comunque automatizzati, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell’UE. In questo caso, il titolare stabilito fuori dall’UE deve designare un proprio rappresentante, stabilito nel territorio italiano, ai fini dell’applicazione della legge. L’indicazione del rappresentante deve, inoltre, essere inserita nell’eventuale notifica al Garante.
Può un cittadino denunciare al Garante un’azienda che non abbia consentito l’accesso ai suoi dati personali da questa detenuti?
Si. Gli artt. 141 e seguenti del Codice della privacy conferiscono all’interessato, dopo quindici giorni dalla presentazione dell’istanza, ex art. 7, al titolare del trattamento, il diritto di adire, alternativamente, l’Autorità garante o giudiziaria per far valere i suoi diritti.
Sono un Consulente del Lavoro (L. 12/1979). Vorrei porre alcune domande:
Quali sono gli adempimenti relativi alla gestione dei dati del personale dipendente/autonomo, della mia clientela?
Occorre dare l’informativa e raccogliere il consenso scritto per i dati sensibili trattati, nonché rispettare i principi di cui all’art. 11 del Codice. Anche per quanto riguarda i dati comuni, in mancanza di una nomina a incaricato o a responsabile del trattamento da parte delle aziende che si avvalgono della Sua collaborazione, dovrà provvedere alla raccolta del consenso.
Anche i dati della clientela saranno soggetti alla legge sulla privacy. Come mi dovrò comportare con le trattenute sindacali e relativi versamenti?
Sarà sufficiente ottenere dagli interessati il consenso scritto al trattamento dei loro dati sensibili e fornire loro una completa informativa, ai sensi dell’art. 13 della legge.
Da qualche parte abbiamo letto che le operazioni di trattamento aventi finalità di marketing devono ritenersi legittime e non hanno bisogno del consenso dell’interessato.
Per effettuare attività di marketing è sempre necessario fornire all’interessato una completa informativa, ai sensi dell’art. 13 del Codice della privacy. Nell’informativa dovrà essere indicato, tra l’altro, il diritto dell’interessato di opporsi gratuitamente e in qualunque momento a tale attività. Il disposto dell’art.130 del codice impone, invece, l’obbligo di raccogliere il consenso preventivo se si utilizzano strumenti particolarmente invasivi, ivi indicati (tra gli altri, e-mail, fax e SMS).
Siamo una società di sviluppo software, avremmo una domanda da sottoporre alla vostra attenzione.
La nostra strategia commerciale si basa quasi esclusivamente sul telemarketing e direct-marketing. Con l’avvento della legge sulla privacy ci siamo subito informati sulle incombenze nei confronti dei nostri utenti-clienti. In teoria, a quanto abbiamo letto e capito, dovremmo avvisare tutti i clienti, preventivamente, dell’invio di fax e materiale informativo, e saremo autorizzati a spedire il nostro materiale esclusivamente con il consenso del ricevente.
Risposta: In effetti, è così. Non è possibile inviare, tramite fax od e.mail, materiale pubblicitario senza chiedere preventivamente il consenso dell’interessato che, nel silenzio della legge, deve ritenersi valido anche se prestato oralmente (ma documentabile per eventuali contestazioni al Garante).
Vorrei, se possibile, un chiarimento in merito al seguente quesito postomi da un cliente: se è possibile effettuare un servizio telematico di questo tipo: mediante computer effettuare telefonate ai privati. Alla risposta diffondere un breve messaggio preregistrato che dia poi la possibilità al chiamato di essere messo in contatto con un operatore o, se non lo desidera, di chiudere la telefonata?
È un’attività, quella da Lei descritta che rientra nel divieto previsto dall’art.130, comma 1 del Codice della privacy, in mancanza di preventivo consenso del destinatario.
Sono un ragioniere iscritto all’albo e mi occupo principalmente di amministrazione del personale. Pur essendoci la autorizzazione generica per i professionisti iscritti agli albi, trattando dati sensibili (iscrizioni ai sindacati dei lavoratori) ho l’obbligo di fare la notifica al garante?
No, la notifica ormai (dopo l’entrata in vigore del Codice della Privacy) non è più un obbligo generale. E’ importante evidenziare, però, che restano fermi tutti gli altri obblighi imposti dalla legge.
Quali gli adempimenti per uno studio legale munito anche di apparati informatici?
In un contesto tipo nel quale in genere si opera, deve essere fatta una primissima valutazione, prima di procedere nella attuazione negli adempimenti imposti dalla legge, di come è strutturata la gestione organizzativa delle attività di trattamento, di quali siano le figure soggettive dedicate ai trattamenti (titolare, responsabile e incaricati) e predisporre, eventualmente, precise deleghe e mansionari per gli incaricati. Successivamente, per ciascuna attività deve essere fatta una puntuale valutazione su:
se vengono trattati dati sensibili;
Dopo la valutazione, occorre passare alla gestione degli adempimenti. Per una gestione di trattamenti in conformità alla legge, inoltre, non deve assolutamente essere trascurato l’aspetto della sicurezza degli archivi. Inoltre, per quanto attiene al caso specifico di uno studio legale, rileviamo che: anche la semplice raccolta di fascicoli di causa dei clienti in faldoni deve considerarsi un trattamento di dati personali, svolto senza l’ausilio di strumenti automatizzati, non soggetto all’obbligo di notifica al Garante né al consenso dell’interessato, in quanto riguarda dati necessari all’adempimento di obblighi derivanti da un contratto di cui l’interessato è parte (articolo 24, lettera b del Codice). E’ obbligatorio, però, informare l’interessato ai sensi dell’articolo 13. Non si dimentichi, infine, l’obbligo dell’adozione delle misure per sicurezza dei dati, dettato dal combinato disposto dell’art.31 e segg. del Codice e dall’All.B.
Può la Federazione Nazionale di un qualsivoglia Ordine Professionale Provinciale:
Divulgare gli indirizzi privati degli iscritti all’Ordine, contro il volere dei singoli Ordini Provinciali, qualunque sia lo scopo per il quale la divulgazione avvenga?
L’art. 61 del Codice prevede la possibilità di divulgare i dati degli iscritti, poiché questa è una delle precipue finalità di un ordine professionale. Un’eventuale diffusione degli indirizzi per scopi diversi da quelli previsti per la tenuta dell’albo, però, sarebbe in ogni modo illegittima per violazione dei principi di cui all’art.11 del Codice.
Se la sua domanda, però, vuole intendere per “indirizzi privati” gli indirizzi diversi da quelli dove si trova lo studio professionale, evidentemente tale attività sarebbe illegittima in quanto il menzionato articolo prevede la possibilità di diffondere quei dati — diversi da quelli sensibili e giudiziari- che devono essere inseriti in un albo professionale. Tra essi, chiaramente non rientrano gli “indirizzi privati” delle abitazioni degli iscritti. Solo a richiesta dell’interessato, potranno essere diffusi dati ulteriori.
Per scendere nel particolare: per compiti non istituzionali e a richiesta di un singolo, possono essere divulgati gli indirizzi privati degli iscritti ai singoli Collegi Provinciali afferenti a detta Federazione?
Il contenuto informativo degli elenchi pubblici deve essere definito per legge o per norma regolamentare: in un Albo o Elenco professionale non possono comparire dati la cui “pubblicazione” non sia espressamente prevista. Le informazioni, pertanto, non potranno essere eccedenti rispetto alle finalità di raccolta.
Svolgo la professione di avvocato. I quesiti che pongo sono i seguenti:
La semplice raccolta di fascicoli di causa dei clienti in faldoni è trattamento dati?
Si, costituisce un trattamento svolto senza l’ausilio di strumenti automatizzati, non soggetto all’obbligo di notifica al Garante né al consenso dell’interessato, in quanto riguarda dati necessari all’adempimento di obblighi derivanti da un contratto di cui l’interessato è parte (articolo 24, lettera b del Codice). E’ obbligatorio, però, informare l’interessato ai sensi dell’articolo 13. Si rammenti, infine, l’obbligo di raccogliere il consenso per il trattamento dei dati sensibili.
I fascicoli attinenti al penale sono dati sensibili?
I dati sensibili sono unicamente quelli elencati dall’articolo 4 comma 1 lett.d) del Codice. Tali dati rientrano, invece, tra quelli cd. “giudiziari”.
I fascicoli dove si descrive lo stato di salute del cliente (ai fini del giudizio anche civile per es. incidente stradale o quant’altro) sono dati sensibili?
Si. Il trattamento di questo tipo di dati da parte di professionisti è stato comunque consentito, in via generale dal Garante, con autorizzazione rilasciata annualmente. Tenga conto, peraltro, nella valutazione delle problematiche di applicazione della legge alla Sua professione, l’aspetto della sicurezza delle banche dati, perchè, probabilmente, è la più rilevante (anche in termini di adeguamento).
Sono un notaio e vorrei sapere per quanto attiene la mia professione come mi devo comportare riguardo alla legge in oggetto.
E’ difficile dare una risposta generale al quesito da Lei posto, perchè occorrerebbe verificare, nello specifico, quali tipologie di dati personali vengono trattati nell’ambito della Sua professione. Tenga conto, comunque, delle seguenti indicazioni di massima. In generale, il trattamento inizia al momento della raccolta dei dati presso l’interessato. Non sussiste, invece, l’obbligo di notifica al Garante, in quanto tale adempimento non ha più carattere generale. Per le diverse scadenze previste dalla legge, verifichi periodicamente lo specifico documento nelle “news” del nostro sito.
Senza dubbio, molte delle attività di trattamento effettuate da professionisti e aziende rientrano nell’ambito di applicazione del Codice della Privacy. In un contesto tipo nel quale in genere si opera, deve essere fatta una primissima valutazione, prima di procedere nella attuazione negli adempimenti imposti dalla legge, di come è strutturata la gestione organizzativa delle attività di trattamento, di quali siano le figure soggettive dedicate ai trattamenti (titolare, responsabile e incaricati) e predisporre, eventualmente, precise deleghe e mansionari per gli incaricati. Successivamente, per ciascuna attività deve essere fatta una puntuale valutazione su:
quale e’ l’ambito di comunicazione e diffusione dei dati (per esempio alla pubblica amministrazione);
se vengono fatti trattamenti incompatibili con le finalita’ di raccolta.
Dopo la valutazione, occorre passare alla gestione degli adempimenti. Per una gestione di trattamenti in conformità alla legge, inoltre, non deve essere assolutamente trascurato l’aspetto della sicurezza degli archivi.
Ho uno studio professionale ed a suo tempo ho inviato alla Prefettura di Chieti, la comunicazione di possedere archivi anagrafici informatici con la specifica dell’attività da me svolta: consulenza amministrativa, fiscale. Vorrei sapere se questa comunicazione fatta, con la legislazione presente renderà possibile l’invio di un questionario da parte dell’Autorità garante della privacy. La lista dei soggetti che hanno comunicato di essere in possesso di archivi anagrafici, dovrebbe essere nelle Prefetture.
No, la notifica a suo tempo effettuata alla Prefettura non sostituisce la notifica al Garante di cui alla legge in oggetto. Evidenziamo però che, ormai, la notificazione al garante è un adempimento residuale, previsto solo per ipotesi particolari. Peraltro, tenga conto che gli adempimenti imposti dalla legge non si esauriscono con la sola notifica, ma sono ben altri.
L'amministrazione comunale di Vado Ligure (SV) ha affidato ad una società di servizi l'incarico di costituire una banca dati di tutte le unità immobiliari esistenti sul territorio e di tutte le aziende con la finalità di garantire una presunta equità fiscale. La società incaricata raccoglierà tutti i dati esistenti nei vari uffici pubblici riguardanti ogni unità immobiliare, visionerà i progetti edilizi esistenti nell'ufficio tecnico, i dati catastali dell'UTE di Savona, le informazioni della Camera di Commercio, del Ministero delle Finanze, dell' Enel, degli attuali contribuenti per i tributi comunali ecc. ed, inoltre, con un volantino distribuito a cura del Comune, i cittadini sono stati informati che verranno inviate specifiche lettere ad ognuno dei proprietari di fabbricati per chiedere di portare in visione alcuni documenti specifici. Può la società di servizi costituire questa banca dati e quale materiale può essere fornito dal comune e dagli altri enti, senza una specifica autorizzazione da parte dei cittadini e senza violare il Codice sulla privacy?
L’articolo 19, comma 3 del D.lgs.196/2003 stabilisce che i soggetti pubblici possono comunicare i dati personali che trattano a privati e enti pubblici economici soltanto se la comunicazione sia prevista espressamente da norme di legge o regolamento. E’ questa, dunque, la condizione che il Comune e gli altri enti, cui Lei fa riferimento, dovranno rispettare nel fornire il materiale alla società di servizio, per operare in ottemperanza alle disposizioni in materia di tutela della privacy.
In attesa di emanazione della normativa specifica relativa al trattamento di dati sensibili di enti pubblici (es: Azienda Ospedaliera) è necessario richiedere ai dipendenti il consenso espresso per il trattamento dei propri dati sensibili (malattia, deleghe sindacali ecc.)?
Gli artt. 75 e seguenti del Codice della privacy hanno introdotto le attese regole sul trattamento di dati personali in ambito sanitario. Tuttavia, nel caso di specie è da rilevare che il trattamento indicato rientra nel normale trattamento di dati sensibili da parte di soggetti pubblici, regolato dall’art. 20 del D.lgs.196/2003. Tale articolo dispone che il trattamento di dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge, nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguito. Nei casi in cui sia specificata la finalità, di rilevante interesse pubblico (come per il caso da Lei evidenziato), ma non i tipi di dati e ed operazioni eseguibili, i soggetti pubblici dovranno identificare e rendere pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente. In nessun caso, ad ogni modo, per gli enti pubblici sarà necessario chiedere il consenso per il trattamento di dati sensibili.
In base alla Legge sulla 'Privacy', segnalo che dovrebbero essere rifatti i cartellini arancione che noi portatori di handicap dobbiamo esporre sul parabrezza dell'autovettura, in quanto il nominativo del possessore è ben leggibile.
E’ un grave problema che si è riproposto spesso, e sul quale è intervenuto il Garante con una Pronuncia del 19 gennaio 1999, sollecitando gli enti che rilasciano i cartellini ad una maggiore attenzione. L’art. 74 del nuovo Codice della privacy, comunque, prevede espressamente l’obbligo di omettere l’indicazione del nominativo del portatore di handicap o di stamparlo nella parte posteriore del tagliando, mettendo in evidenza, per finalità di controllo, solo l’indicazione dell’ente che ha rilasciato la concessione e il numero della stessa. I contrassegni dovranno, in altre parole, esporre solo i dati strettamente indispensabili per le dovute verifiche sul rilascio delle autorizzazioni.
Vorrei porre una questione: dal complesso delle norme sulla privacy non mi risulta chiaro se, almeno in via generale, i soggetti pubblici, che pur possono prescindere a certe condizioni dal consenso, debbano comunque rispettare il principio relativo alle informative da rendersi in merito al trattamento.
I soggetti pubblici possono trattare dati, a prescindere dal consenso, soltanto per il perseguimento di finalità istituzionali e nell’ambito di norme di legge o regolamentari. L’informativa, invece, deve essere sempre data, in quanto non vi sono eccezioni specificamente a favore della pubblica amministrazione; valgono, perciò, le medesime regole stabilite per i soggetti privati. I soggetti pubblici, inoltre, devono dotarsi di norme regolamentari specifiche che garantiscano i diritti fondamentali riconosciuti dalla legge.
Siamo una Società di servizi che ha avuto l'incarico da parte di alcune amministrazioni comunali di elaborare un progetto e di organizzare un ufficio per la tariffazione dei rifiuti. A tale scopo ci occorrono i dati anagrafici dei cittadini, i dati dei tributi e delle abitazioni. Quali sono le incombenze da espletare in merito al nuovo Codice della privacy? Quale materiale può essere fornito dai Comuni e quale no?
Se non siete stati qualificati altrimenti da parte delle amministrazioni comunali (meglio se con nomina a Responsabile del trattamento o ad incaricato), le stesse potranno comunicare dati alla vostra Società soltanto se esiste una norma di legge o di regolamento che autorizzi simili comunicazioni, ai sensi dell’art. 19, comma 3 del D.lgs.196/2003.
La nostra Società esplica le seguenti attività:
Informazioni commerciali (con autorizzazione ex art. 134 TULPS); Banca dati – raccolta, trattamento e comunicazione di dati provenienti da pubblici uffici.Dopo l’entrata in vigore della legge sulla privacy alcuni Comuni rifiutano il rilascio di certificazioni anagrafiche (stato di famiglia, certificato di nascita, etc.), necessarie per le informazioni commerciali. Ritenete il comportamento di questi Comuni lecito o meno?
La P.A., ai sensi dell’articolo 19, comma 3 del Codice della Privacy può comunicare dati a privati soltanto se la circostanza è prevista da norme di legge o di regolamento. Tra i doveri di un’amministrazione comunale c’è quello, stabilito per legge, della tenuta dei “pubblici” registri anagrafici che, in quanto pubblici, sono consultabili ed accessibili nei limiti previsti dall’art. 107 d.lgs. 29 ottobre 1999 n. 490.
In generale, gli uffici pubblici detentori di dati sino ad oggi liberamente consultabili (visure ACI per la ricerca tramite numero di targa), visure della CCIAA (ove peraltro compaiono data, luogo di nascita, residenza), conservatorie dei registri immobiliari, catasti) potranno rifiutarsi di fornire i dati? Quale interpretazione date del problema e come possiamo tutelarci?
Proprio alla luce delle considerazioni sopra svolte, non è improbabile che molti archivi detenuti dalla P.A. contengano dati eccedenti rispetto alle finalità di raccolta: ad esempio non è infrequente il caso in cui alcuni riferimenti anagrafici siano ininfluenti rispetto agli scopi di pubblicità che si propone l’ente, per cui sarà necessario, alla luce delle nuove disposizioni introdotte dalla legge, rivedere molti elenchi pubblici.
Gli enti pubblici, inoltre, non potranno comunicare dati personali a soggetti privati se non – come si è detto – in presenza di norme di legge o di regolamento che li autorizzino.
Si chiede di sapere in quale misura sono interessate le amministrazioni comunali nella applicazione del Codice sulla privacy?
Il Codice sulla privacy si applica anche alla Pubblica Amministrazione, pur se, per i trattamenti da essa effettuati sono previste importanti deroghe rispetto agli obblighi imposti ai soggetti privati. In ogni caso, le norme che regolano l’applicazione della legge alla P.A. si fondano sul principio generale per cui ogni trattamento è lecito ed ammissibile, senza il consenso dell’interessato, purché sia effettuato per lo svolgimento di funzioni istituzionali. In particolare, poi, la legge disciplina la comunicazione di dati dalla P.A. verso enti pubblici e verso privati, secondo quanto disposto dagli artt. 19 e seguenti del D.lgs.196/2003.
Vorrei sottoporre alla vostra attenzione la nostra situazione:
Sono il responsabile amministrativo dell’Ente pubblico presso il quale sono occupato come funzionario e mi trovo a dover applicare il Codice della privacy. La nostra attività riguarda la concessione di vari tipi di benefici agli studenti universitari (mense, alloggi, borse di studio: legge regione Veneto 22/10/1982 n. 50), benefici per i quali gli studenti devono presentare richiesta scritta per la concessione. All’interno di questa richiesta sono presenti, oltre a dati anagrafici, anche dati fiscali e reddituali. Vorrei sapere come mi devo comportare al riguardo (avrei pensato di aggiungere in calce alla domanda lo spazio per la firma di autorizzazione alla raccolta e al trattamento).
La Pubblica Amministrazione può raccogliere dati personali soltanto per il perseguimento di finalità istituzionali, a prescindere dalla raccolta del consenso dell’interessato (art. 18, comma 3 del Codice).
Nel caso proposto, pertanto, occorre verificare se sussistano i presupposti indicati dalla legge e, nel caso, il problema da porsi è un eventuale adeguamento ai parametri normativi. La Pubblica Amministrazione, infatti, deve fornire agli interessati l’informativa di cui all’art. 13 e rispettare i principi generali individuati dall’art. 11.
Inoltre, ci si pone il problema di chi debba essere nominato come titolare e responsabile: la nostra struttura è composta da un Presidente, da un Consiglio di Amministrazione (organi che vengono rinnovati ogni 4 anni), da un Direttore e dai restanti dipendenti. Io sono quello con la carica più alta tra di essi, ma non sono un dirigente. Può essere eletto il Presidente come Titolare oppure il Direttore, e quindi come Responsabile posso essere nominato io oppure il Direttore?
Il problema posto è molto serio: l’unico indicatore che la legge prevede, a proposito della individuazione del titolare, è riferito alla identificazione del soggetto cui competono le scelte strategiche in ordine al trattamento, anche se tale parametro è difficilmente applicabile a soggetti pubblici, perché, generalmente, le scelte strategiche sulle finalità e modalità del trattamento sono fissate direttamente da atti normativi. Il Garante, nelle istruzioni per la compilazione della notifica, ha dato soluzione formale a questo problema, identificando -nel caso della P.A.- il titolare nello stesso Ente pubblico / Amministrazione statale / Università / Ordine professionale, come Titolare del trattamento. Non è, pertanto, necessaria alcuna nomina per ciò che riguarda il Titolare del trattamento, perché tale qualifica si desume dalla situazione di fatto. Viceversa, qualora si ritenga opportuno nominare un Responsabile (si tenga presente che la nomina di tale soggetto non è obbligatoria), la scelta potrà ricadere su persone fisiche o giuridiche, secondo le necessità e la struttura organizzativa di ogni singolo ente. Per completezza, infine, ricordiamo che è invece obbligatorio individuare per iscritto i soggetti incaricati del trattamento dei dati personali (in questo caso, si tratterà di sole persone fisiche).
Siamo una Società di Formazione professionale senza fini di lucro che opera ai sensi della legge quadro sulla formazione professionale (845/1978). Vorremmo chiedervi alcune informazioni a riguardo:
La realizzazione dei percorsi formativi prevede la raccolta dei dati relativi agli allievi (pre-iscrizioni e iscrizioni: dati anagrafici, situazione scolastica ed occupazionale) sulla base di disposizioni regionali e comunitarie (realizziamo progetti finanziati dal Fondo Sociale Europeo). Sempre sulla base di tali disposizioni, siamo obbligati a raccogliere dati anagrafici, curriculum personali, statuti e atti costitutivi di società e collaboratori professionisti in quanto richiesti dalle Amministrazioni pubbliche come documentazione indispensabile alla realizzazione e alla conseguente rendicontazione di tutta l’attività. Tutta questa documentazione viene consegnata in copia alle Amministrazioni di cui sopra.
Questi trattamenti, effettuati per obbligo di legge, comportano unicamente l’obbligo di fornire agli interessati l’informativa prevista dall’art.13 del Codice della privacy, non essendo necessario per il trattamento dei dati comuni, né acquisire il consenso dell’interessato, né provvedere alla notifica al Garante. Qualora si raccolgano, invece, anche dati sensibili (ad esempio quelli sulle condizioni di salute degli allievi), sarà necessario acquisire il consenso scritto degli interessati. E’ necessario, tuttavia, rammentare che esistono alcuni obblighi a carattere organizzativo necessari per ogni trattamento, come adottare le misure minime di sicurezza, nominare gli incaricati del trattamento, fornire la necessaria formazione a tutti coloro che operano sui dati personali.
Alla nostra Società pervengono frequentemente, da parte di Aziende, richieste di nominativi di allievi qualificati finalizzate all’occupazione.
Per questa specifica circostanza, Vi consigliamo di acquisire il consenso dell’interessato, al momento del conferimento dei dati, informandolo espressamente, ai sensi dell’articolo 13 della legge, che i dati potranno essere destinati alla comunicazione agli enti e alle società che li richiederanno.
A nostra volta, per esigenze connesse alla pianificazione dell’attività (fabbisogni occupazionali e ricerche di mercato, pubblicità dei corsi), utilizziamo elenchi di diplomati richiesti ad altri Istituti scolastici o ad Aziende operanti in Regione.
L’art.96 del Codice della privacy prevede che, al fine di agevolare l’orientamento, la formazione e l’inserimento professionale,anche all’estero, gli istituti scolastici di istruzione secondaria e le scuole, su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti scolastici, intermedi e finali, degli studenti, ed altri dati pertinenti in relazione alle predette finalità, purché non siano dati sensibili. Tuttavia, tali istituti scolastici dovranno fornire agli interessati una idonea informativa ai sensi dell’art. 13 del Codice. Tali dati potranno essere trattati successivamente solo per le finalità sopra ricordate.
Sono un medico convenzionato per la continuità assistenziale (ex guardia medica). Ai sensi dell'accordo collettivo vigente di cui al d.P.R. 484/1996, sono obbligato a registrare sul registro visite il nome cognome età e indirizzo del chiamante, le eventuali generalità del richiedente, la visita (nel caso sia persona diversa), la sintomatologia prospettata, e la tipologia dell'intervento richiesto ed effettuato. E' evidente che sono costretto, in forza di un regolamento (dpr 484/1996), a manipolare dati personali e dati sensibili. Vorrei sapere se ho l'obbligo di chiedere il consenso scritto dell'interessato?
Sí, agli operatori della sanità si applica il Codice della privacy, D.lgs.196/2003, artt. 75 e seguenti: per il trattamento di dati sanitari occorre fornire l’informativa, ai sensi dell’art. 13, anche con le modalità semplificate previste dagli artt. 77 e seguenti, e richiedere il consenso dell’interessato. Detto consenso può essere manifestato anche oralmente ma, in quest’ultimo caso, va documentato tramite annotazione da parte dell’esercente l’attività sanitaria.
Quali sono gli adempimenti cui sono tenuti gli organismi sanitari pubblici? In particolare, se è pur vero che in generale i soggetti pubblici non necessitano del consenso, è anche vero che c'è una apposita disciplina circa i dati inerenti la salute, anche per gli organismi sanitari pubblici. Anche questi, dunque, necessitano, in tal caso, dell'autorizzazione del Garante e del consenso dell'interessato?
Agli organismi sanitari pubblici si applicano le prescrizioni dell’articolo 76 del Codice, che escludono l’obbligo di richiesta di autorizzazione al Garante, con il consenso dell’interessato, nel caso di trattamento di dati idonei a rivelare lo stato di salute, limitatamente ai dati e alle operazioni indispensabili per il perseguimento di finalità di tutela della incolumità fisica e della salute dell’interessato.
Uno studio dentistico che raccoglie dati personali anagrafici generali ai fini gestionali ed anamnestici di natura medica per la tutela della salute del paziente stesso, ed inserisce tutti questi dati in una banca dati elettronica programma gestionale dello studio il cui uso è esclusivamente riservato all'operatore ed al personale all'interno dello studio medico stesso, deve richiedere a) il consenso del singolo paziente al trattamento dei dati e b) l'autorizzazione del Garante per poter tenere la banca dati stessa?
Affinché il trattamento di tali dati sensibili possa essere considerato lecito, è necessario che lo studio renda l’informativa ai sensi dell’art.13 del D.lgs.196/2003 e richieda ai pazienti il consenso. Non sarà, invece, necessario richiedere l’autorizzazione al Garante, in quanto esiste una autorizzazione generale, rinnovata annualmente.
In caso positivo, il consenso deve essere richiesto anche ai pazienti memorizzati precedentemente all’entrata in vigore della legge?
Sì, essendo state abrogate dal 30/6/2003 le disposizioni transitorie che consentivano il trattamento senza consenso di dati raccolti prima dell’entrata in vigore del testo originario della legge 675/1996.
Sono il responsabile dei sistemi informativi di un'azienda ospedaliera, ed ho impostato i primi adempimenti della privacy c.s.:
a) Nomina dei responsabili scritta a firma del Direttore Generale, individuando nei seguenti i responsabili del trattamento dei dati: il sottoscritto, relativamente al trattamento informatico, nonché alla sicurezza logica e fisica delle banche dati facenti capo al sistema informatico centrale; il Direttore sanitario, per i trattamenti relativi alle prestazioni di assistenza erogate; il dirigente del servizio bilancio, per la gestione dei dati amministrativi delle prestazioni di assistenza, nonché, per quanto di competenza, relativamente ai dati dei fornitori e del personale con incarichi di lavoro autonomo; i dirigenti dei servizi provveditorato, tecnico e farmacia interna, relativamente ai fornitori per le rispettive competenze merceologiche; il dirigente del servizio patrimonio, relativamente ai conduttori degli immobili; il dirigente del personale, relativamente ai dati dei dipendenti.
b) Definizione di un modello di notifica scritta di raccolta e trattamento dei dati personali contestualmente al ricovero.
Secondo noi, la raccolta dei dati personali al momento del ricovero, o al momento delle altre prestazioni sanitarie (pronto soccorso, ambulatoriali), costituiscono obbligo in forza di leggi specifiche; mentre per la libera professione, fornitori, dipendenti e conduttori di immobili, si tratta di informazioni precontrattuali: contratti di acquisto, assunzione, locazione e quindi non richiedono il consenso.
L’accesso ai dati personali e quindi il loro trattamento è consentito solo ai responsabili ed ai designati per iscritto da questi, con la conseguenza di un’infinità di incarichi a tutti i dipendenti (primari, medici, infermieri, addetti, tutti gli impiegati)? E’ corretto, o è un’interpretazione eccessiva?
L’interpretazione è corretta: tutti i coloro che trattano i dati devono essere incaricati per iscritto.
Attualmente, il Direttore sanitario non ha ancora provveduto agli incarichi ai medici ed al personale sanitario, ma l’intenzione è quella di dare un incarico ad ogni primario, con la delega ad incaricare il personale da lui dipendente a micro incarichi operativi. E’ possibile operare un incarico con delega a sotto-incarichi?
No, non è possibile poiché, in base alla legge, gli incaricati al trattamento dei dati possono essere nominati solo dal titolare o dal responsabile del trattamento. E’ chiaro però che ciò è possibile se ogni primario viene nominato anche Responsabile del Trattamento per i dati attinenti al proprio reparto.
Per finalità di ricerca medica, utilizziamo frequentemente cartelle sanitarie nelle quali sono contenuti, quali unici riferimenti al paziente, campi relativi alle prime lettere del cognome, nome, data di nascita e sesso. Con dati organizzati in questa maniera, le cartelle possono essere considerate anonime?
Assolutamente no, in quanto per dati anonimi si intendono quelle informazioni che in origine, o a seguito di trattamento, non possono essere associate in alcun modo ad un interessato identificato o identificabile (art. 4, comma 1, lett. n del Codice della privacy).
Ci sono criteri, scritti da qualche parte, che indichino quale dataset minimo di dati possa essere considerato anonimo?
Al momento, la legge fornisce soltanto la definizione “legale” di dato anonimo, prevedendo che tale sia il dato che, in origine o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile (art. 4, comma 1, lett. n del D:lgs.196/2003). Un tipico esempio di dati anonimi sono le statistiche: il conoscere le abitudini di un gruppo di persone attraverso percentuali, non ci permette di risalire all’identità dei singoli soggetti.
Elaboriamo un programma software per ottici-optometristi. Il programma permette di archiviare le informazioni riguardanti la situazione oculare dei clienti, le correzioni e le lenti applicate. Non abbiamo ben capito se gli ottici debbano richiedere il consenso dei propri clienti per continuare a raccogliere dati.
Il caso da Voi segnalato necessita di uno specifico approfondimento, anche in relazione a tutti gli adempimenti pratici connessi all’adeguamento del software da Voi realizzato per gli ottici optometristi. Infatti, il programma da Voi predisposto tratta dati considerati in maniera particolare dalla legge, i “dati sanitari” (artt. 75 e seguenti del Codice della privacy). Esistono, dunque, esigenze di informativa e consenso da parte degli interessati.
Nell'ambito di attività sanitaria svolta in regime libero-professionale, come ci si deve comportare per permettere al personale dipendente di aggiornare le cartelle cliniche detenute in archivio magnetico? Detto personale può essere considerato 'incaricato del trattamento dei dati'? Deve essere fatto Ordine di Servizio scritto? L'eventuale ordine di servizio deve essere solo custodito presso lo studio medico oppure deve essere data comunicazione a qualche organismo o autorità?
Affinché i dipendenti possano trattare i dati sensibili contenuti nelle cartelle cliniche, è indispensabile nominarli incaricati del trattamento, conferendo le necessarie istruzioni. Tali nomine, in base al disposto dell’art. 30 del D.lgs.196/2003, devono essere effettuate per iscritto e sarà sufficiente conservarle presso lo studio, poiché non è previsto l’obbligo di notificare il trattamento al Garante.
E' possibile fornire informazioni sanitarie sul paziente ai suoi parenti?
L’art. 30 del codice deontologico dei medici prevede che ció sia possibile solo se il paziente acconsente; è, quindi, necessario informare il paziente e richiedere il suo consenso a che i suoi parenti o alcuni di essi siano messi al corrente del suo stato di salute. Anche per il Codice della privacy (art. 84) tali informazioni possono essere rese note ad un prossimo congiunto, ad un familiare, ad un convivente, col consenso dell’interessato.
Può un centro di documentazione didattica pubblicare su Internet informazioni circa la presenza nell'istituto scolastico di alcuni alunni portatori di handicap e le relative patologie?
Assolutamente no. La pubblicazione di dati su Internet costituisce una forma di diffusione delle informazioni personali. Nel caso prospettato si tratterebbe di una diffusione di dati relativi allo stato di salute di un soggetto, espressamente vietata dal comma 5 dell’art. 26 del Codice della privacy (D.lgs.196/2003). Chiunque, al fine di trarne profitto per sé o per altri, o con lo scopo di danneggiare terzi, effettui tali diffusione sarà punibile con la reclusione da uno a tre anni.
Si può indicare nelle graduatorie di trasferimento la dicitura 'portatore di handicap' come titolo di precedenza?
Tale dicitura rivelerebbe a chiunque leggesse la graduatoria una specifica condizione di salute di alcuni lavoratori, andando a costituire, così, una forma di diffusione di dati sanitari espressamente vietata dall’ultimo comma dell’art. 26 del Codice della privacy. La formula “portatore di handicap” potrà essere sostituita con diciture generiche o con codici numerici, al fine di rispettare la riservatezza dei soggetti interessati e di garantire la trasparenza dell’azione amministrativa.
Può essere annotata la patologia di un elettore sulla sua tessera elettorale, al fine di ammetterlo all'esercizio del voto assistito?
Al fine di evitare che, anche accidentalmente, altri soggetti, oltre ai componenti del seggio elettorale, possano venire a conoscere le condizioni di salute dell’elettore, sarà opportuno riportare sulla scheda elettorale soltanto un codice, o un simbolo comprensibile solo a chi dovrà consentire, in sede di consultazioni elettorali, il voto assistito.
Le associazioni che rappresentano gli invalidi civili, di guerra o del lavoro, in che modo possono conoscere i dati personali degli assistiti sottoposti a visita medica per il riconoscimento di benefici?
Le associazioni dovranno, in primo luogo, informare i loro assistiti circa le modalità e finalità del trattamento (art. 13 del Codice sulla privacy), nonché ricevere una apposita delega, al fine di accedere per loro conto ai dati personali in possesso della pubblica amministrazione. I dati dovranno essere conservati, inoltre, nel pieno rispetto delle misure minime di sicurezza descritte nell’Allegato B del D.lgs.196/2003 (“Disciplinare tecnico in materia di misure minime di sicurezza”).
Può un portatore di handicap conoscere quali dati relativi alla sua patologia siano in possesso del suo datore di lavoro?
Certamente. L’art. 7 del Codice sulla privacy riconosce fondamentali diritti a tutti gli interessati di un trattamento. Il lavoratore, sia portatore di handicap o meno, potrà avanzare una specifica richiesta di accesso al suo datore di lavoro, al fine di conoscere i dati comuni e sensibili in suo possesso. Il titolare del trattamento dovrà rispondere entro 15 gg., decorsi i quali il lavoratore potrà presentare ricorso al Garante per la protezione dei dati personali o all’Autorità Giudiziaria.
Appartengo ad un'Associazione di categoria che detiene dati da più di dieci anni su supporto informatico... Ora abbiamo il problema di pubblicare, ad uso esclusivo dei soci, un annuario riportante i dati essenziali di ciascuno di noi. Come dobbiamo comportarci con le norme sulla privacy?
E’ sufficiente chiedere ed ottenere il consenso dei soci alla diffusione dei loro dati personali. Il trattamento, però, obbliga il titolare a fornire agli interessati, cioè ai soci, l’informativa prevista dall’art. 13 del Codice sulla privacy (D.lgs.196/2003 ) ed a rispettare i principi affermati nell’art. 11.
Siamo un'Associazione con alcuni iscritti e vorrei sapere se siamo tenuti a notificare al Garante l'elenco di tutti gli iscritti, che viene tenuto per ragioni organizzative interne e senza che, rispetto ad esso si faccia alcun trattamento, salvo utilizzarli per inviare inviti ad esposizioni o gli auguri di Natale.
La notifica non deve essere fatta. Tale adempimento, infatti, non è più obbligatorio in generale, ma solo per casi particolari previsti dall’art. 37 del Codice della privacy.
Una associazione di categoria può agire per conto dell'interessato per far valere i diritti a questo concessi dalla normativa sulla privacy?
I diritti sanciti dall’art. 7 e seguenti del Codice della privacy possono essere esercitati dall’interessato personalmente ma anche tramite associazioni di categoria o altri soggetti, muniti di specifica delega o procura conferita per iscritto (art. 9, comma 2 del D.lgs.196/2003).
La normativa introdotta con la legge n. 675 del 1996, trova applicazione anche nei confronti delle Associazioni sindacali, quali le Organizzazioni professionali maggiormente rappresentative del settore agricolo, per quel che riguarda i dati personali dei propri associati ovvero di coloro che prestano attività di lavoro subordinato presso le strutture centrali e periferiche delle stesse Associazioni?
Certamente si. In data 1 gennaio 2004 è entrato in vigore il Codice della privacy, introdotto dal D.lgs. 30 giugno 2003 n. 196, che ha abrogato la legge 675/1996. Gli oneri sono, peraltro, molto delicati, dal momento che i dati relativi agli associati, in quanto “dati idonei a rivelare l’appartenenza ad associazioni sindacali”, devono essere considerati dati sensibili, soggetti ai più stringenti requisiti previsti dall’art. 26 del Codice della privacy.
Presso un sindacato è norma registrare gli aderenti su un archivio elettronico il quale viene regolarmente usato per aggiornare la banca dati centrale sita in Roma. In tal caso, la banca dati locale è da considerarsi come una banca dati diversa dalla banca dati centrale? Deve, cioè, considerarsi il travaso di dati come comunicazione verso altri, anche se appartenenti alla medesima struttura? A chi compete la responsabilità del 'titolare', al segretario nazionale o al segretario territoriale? Lo stesso dicasi per un'associazione che ha una banca dati anagrafica centrale costituita dall'insieme delle informazioni provenienti dalle sedi territoriali.
Per rispondere in modo completo ed esaustivo occorrerebbe capire se le due banche dati sono gestite da soggetti (in senso giuridico) diversi o da uno stesso soggetto in due luoghi diversi. Da quanto sembra di capire, però, l’associazione locale è indipendente da quella nazionale, alla quale si limita ad aderire. Quindi – se effettivamente è così – siamo nella fattispecie della “comunicazione” di dati personali. Attenzione, però, perché i dati in esame, in quanto idonei a rivelare l’appartenenza ad un sindacato, devono considerarsi “dati sensibili” ai sensi dell’articolo 4 comma 1 lett. d) del Codice della privacy, con tutte le maggiori tutele e i più gravosi adempimenti che la legge, come è noto, prevede. Per quanto riguarda, infine, la titolarità delle banche dati, essa spetta ai responsabili legali delle associazioni (locale e nazionale) che trattano i dati. Per l’identificazione del titolare del trattamento occorre fare riferimento agli Statuti associativi che, in genere, individuano tale figura nel Presidente o nel Segretario generale.
Siamo una associazione operante nel settore agricolo. In relazione alla Legge che abbiamo letto vorremmo formulare i seguenti quesiti di immediata valenza pratica:
il sistema informatico della Associazione ospita dati relativi a dichiarazioni redditi, dichiarazioni e documenti IVA, dati relativi ad altre imposte, dati relativi alla condizione previdenziale dei propri associati trattati dal proprio Patronato, dati relativi al tesseramento e alla adesione senza particolari elementi di qualificazione soggettiva delle persone, ma con alcune sintetiche rilevazioni di superfici aziendali e dati di produzione, dati relativi ai provvedimenti concessi dallo Stato italiano per provvidenze comunitarie. Si chiede se esistano e quali siano precisamente gli obblighi. Si chiede inoltre, da quando essi decorrano.
Il caso da Voi sottoposto è, purtroppo per Voi, uno dei più delicati in relazione agli adempimenti richiesti dalla normativa sulla privacy. In primo luogo, occorre rilevare che la “Legge” cui si fa riferimento è la legge 675/1996, che è stata però abrogata dal Codice sulla privacy, introdotto dal D.lgs. 30 giugno 2003 n. 196 ed entrato in vigore in data 1 gennaio 2004. I dati da Voi trattati, in quanto idonei a rivelare l’appartenenza ad un “sindacato”, devono essere considerati “dati sensibili”, sottoposti, pertanto, ad una maggior tutela.
Per i dati sensibili, infatti, è necessario acquisire il consenso scritto dell’interessato e dare allo stesso l’informativa, nonché operare nel rispetto delle autorizzazioni generali rilasciate dal Garante. Il comma 4 dell’art. 26 del Codice della privacy, inoltre, prevede un’ipotesi di esenzione dalla raccolta del consenso per enti, associazioni od organismi senza scopo di lucro, a carattere sindacale, relativamente ai dati personali degli aderenti e dei soggetti che, per quelle finalità, hanno contatti regolari con l’associazione. Vengono però posti dei limiti:
devono essere rispettate le autorizzazioni rilasciate dal Garante;
i dati non devono essere comunicati e diffusi al di fuori del relativo ambito;
l’associazione determini idonee garanzie relativamente ai trattamenti effettuati.
Si ricordi, inoltre, che molte delle attività di trattamento effettuate nell’ambito della Vs. attività istituzionale rientrano senza dubbio nell’ambito di applicazione della normativa sulla privacy. E’ necessario, comunque, effettuare per ciascuna attività di trattamento dei dati personali una puntuale valutazione su:
quali tipo di dati personali vengono trattati;
se vengono trattati dati sensibili (vi facciamo notare, ad esempio, che nella gestione delle buste paga, se nelle stesse è riportata la delega per la trattenuta sindacale, quello è un dato sensible; altra problematica legata ai dati sensibili è la gestione della sorveglianza sanitaria nell’ambito delle norme sulla sicurezza nei luoghi di lavoro: vedi al proposito l’intervento nelle news del nostro sito a ciò dedicato);
se vengono fatti trattamenti incompatibili con le finalità di raccolta (ad esempio nel caso di dati raccolti per le buste paga, utilizzati, magari, per compilare mailing di invio di pubblicazioni di categoria).
Dopo la valutazione, occorre passare alla gestione degli adempimenti. Per una gestione di trattamenti in conformità alla legge, inoltre, non deve assolutamente essere trascurato l’aspetto della sicurezza degli archivi.
Siamo una società addetta all'organizzazione di manifestazioni sportive. Le nostre banche dati contengono i vari dati di ogni singolo partecipante (Cognome e nome, indirizzo, Data di Nascita). Questi dati, finita la manifestazione, servono per stilare le classifiche (delle quali, vengono pubblicati sui giornali solo Cognome e Nome, nr. di gara e il tempo impiegato) e per l'invio di materiale informativo per altre manifestazione organizzate dalla nostra società. Per questo tipo di archiviazione bisogna avere il consenso dell'interessato firmato oppure basta che noi mettiamo una nota scritta nel regolamento della manifestazione ove segnaliamo cosa facciamo con questi dati?
Nel caso da Voi presentato, sarebbe bene fornire una idonea e completa informativa agli interessati, di cui all’articolo 13 del Codice, nell’ambito del regolamento della manifestazione ed acquisire, comunque, il consenso dell’interessato in calce al modulo di raccolta.
Ho il seguente problema: gestisco insieme ad altre persone un sito amatoriale di una squadra di calcio che, forse, in futuro diventerà ufficiale.
In una pagina del sito abbiamo la descrizione degli aderenti al club, con tanto di indirizzi di posta elettronica e breve descrizione personale.
E’ necessario chiedere agli aderenti al Club il loro consenso informato alla pubblicazione dei loro dati personali e specificare, sulla pagina Web relativa, che i dati sono pubblicati previo consenso da parte degli interessati.
Il nostro giornale archivia, nel Centro di Documentazione, centinaia di migliaia di dossier su personaggi pubblici, enti, associazioni o su semplici cittadini coinvolti in fatti di cronaca (rosa, bianca o nera). Questi dossier sono di due tipi: fotografici e documentali. Come dobbiamo comportarci con il Garante? C'è identificazione tra funzione di responsabile del Centro di Documentazione e responsabile del trattamento?
Il trattamento di dati effettuato nell’ambito della professione di giornalista (nei limiti del cd. “diritto di cronaca”) gode di notevoli deroghe previste dal Codice della privacy (artt.136 sgg., D:lgs. n.196/2003). Detti dati possono essere trattati senza il consenso dell’interessato e possono essere comunicati e diffusi a prescindere dal consenso stesso, sempre che siano rispettati i limiti del diritto di cronaca ed, in particolare, quello relativo all’essenzialità dell’informazione riguardo a fatti di interesse pubblico. Possono essere trattati dati relativi a circostanze o fatti resi noti direttamente dagli interessati o attraverso loro comportamenti in pubblico.
Quanto alla domanda attinente la figura del “responsabile” del trattamento, la legge non prevede tale identificazione, ma nulla toglie che il responsabile del Centro di Documentazione venga nominato responsabile del trattamento dei dati.
Nell'ambito di una società editrice, sembrerebbe opportuno che, relativamente ai trattamenti svolti nell'ambito delle redazioni, il titolare possa essere il Direttore Responsabile della testata, anche nel rispetto della autonomia della redazione.
Il titolare è lo stesso giornale, in persona del suo legale rappresentante pro tempore: vale a dire il soggetto cui competono le scelte strategiche in ordine alla tenuta e gestione delle banche.
Ma in questo caso, sempre per evitare ingerenze, dovrebbe essere un membro della redazione anche il Responsabile del trattamento; e se non fosse dotato dell’esperienza e delle capacità in ambito informatico che la legge richiede?
Infatti, non sembrerebbe il caso: il Codice esige che colui che svolge mansioni di Responsabile del trattamento, se designato, sia persona capace e tecnicamente all’altezza. E’ pensabile, pertanto, che se si esercita la facoltà di individuare un responsabile, questi debba essere individuato ad hoc, rispettando i requisiti imposti dalla normativa e non possa essere fatto riferimento ad un soggetto qualunque. Si rammenti, comunque, che il “responsabile del trattamento” non è figura obbligatoria.
Lavoro in un giornale della mia città e vorrei avere qualche delucidazione sui rapporti tra legge sulla privacy e informazione locale. Quest'ultima, specialmente in provincia, si regge infatti in buona parte sulla cronaca di incidenti automobilistici e domestici. Vorrei sapere in che modo il diritto all'informazione e quello alla privacy vengono a interagire in questi casi. Sarà possibile pubblicare ancora questo tipo di notizie e, se sí, entro quali limiti?
Le rispondiamo con le parole del Prof. Santaniello, uno dei membri dell’Autorità Garante, comunicate all’ANSA: “Non c’è nessuna volontà di comprimere la libertà di stampa. La nuova normativa sulla tutela della riservatezza personale deve essere intesa dal mondo dell’informazione con criteri di ragionevolezza” (…).
Il diritto di cronaca e la privacy dei cittadini convivono nella misura in cui l’informazione personale data è conferente con la notizia. Il Codice della privacy ha confermato la validità dei limiti sul diritto di cronaca, individuati, in particolare, nella sentenza della Corte Costituzionale n. 5259/1984: verità, anche putativa, del fatto narrato, correttezza della forma espositiva e interesse pubblico alla notizia. In particolare, il Codice ha riaffermato l’importanza del requisito dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico.
Salve, vorrei sapere due cose riguardo ai servizi telematici:
Può un provider di servizi Internet fornire i dati di un suo cliente a chiunque ne faccia richiesta?
Solo se ha preventivamente e chiaramente informato l’interessato dell’ambito di comunicazione e diffusione dei dati e ne ha acquisito il consenso a tali operazioni.
Può un provider essere ritenuto responsabile della violazione da parte di crackers e criminali informatici della password e del user-id di un suo utente, una volta che con i dati violati si commettano atti illegali?
Si, se non ha adottato le idonee misure di sicurezza. E’ responsabile, peraltro, anche se non si commettono illeciti penali, ma l’interessato subisce un danno dall’uso non autorizzato della sua ID (ad esempio gli viene cancellata la mailbox). Si vedano, a tal proposito, gli artt. 31 sgg. del Codice della privacy (D.lgs n. 196/2003). Il cracker è comunque responsabile ai sensi della legge anticrimini informatici.
Vorremmo avere chiarimenti sull'applicazione del Codice della privacy agli Internet Providers. In particolare, abbiamo l'elenco dei ns. clienti in un database. Questi dati vengono utilizzati per il conteggio del traffico utenti, per le scadenze, e per gli avvisi all'utente. Immagino che rientriamo fra coloro che debbano fare notifica al garante.
La Sua domanda richiede alcune precisazioni. Innanzitutto, evidenziamo che la notificazione al Garante è divenuta, con l’emanazione del Codice della privacy, un adempimento residuale, richiesto in casi molto particolari elencati dall’art. 37 del Codice stesso. In particolare, il comma 1 lett. d) di detto articolo prescrive l’obbligo di effettuare la notificazione se il trattamento riguarda “dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero, a monitorare l’utilizzo di servizi di comunicazione elettronica, con esclusione di trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti”. Pertanto, in virtù di quanto sopra, se la raccolta è effettuata al fine esclusivo di fornire i servizi richiesti agli utenti, e non vi è eccedenza nella raccolta dei dati rispetto alle suddette finalità, non c’è obbligo di notificare il trattamento.
Nelle pagine Web dei nostri clienti ci sono elenchi di distributori, rivenditori, ecc.; cosa si fa in questo caso?
Il contenuto informativo delle pagine è responsabilità dei singoli realizzatori e gestori di pagine web, che dovranno verificare, di volta in volta, se rientrano ed in che misura nell’ambito di applicazione della legge. Nel caso in cui la cura e la realizzazione tecnica (e non contenutistica) delle pagine fosse a vostro carico, Voi potreste essere considerati, se esiste un preciso incarico scritto in tal senso, responsabili del trattamento, se curate anche aspetti organizzativi complessi (ad esempio, aspetti connessi alla sicurezza delle informazioni); altrimenti, siete esclusivamente incaricati del trattamento, con il compito di “mettere in rete” contenuti informativi sulla base delle precise indicazioni a Voi fornite, sempre per iscritto, dal titolare del trattamento.
Come si applica il Codice della privacy ad una società che si occupa di fornire servizi alle aziende ed ai privati su Internet?
Il Codice della privacy ha introdotto un’apposita sezione riguardante “Internet e reti telematiche”, rinviando, però, ad un adottando codice deontologico il compito di definire alcune particolari modalità dell’applicazione della normativa, quale, ad esempio, la possibilità di fornire informative più semplici e chiare.
Il nostro sito, ospita quindi, sia spazi commerciali di aziende, sia pagine personali di privati. Quali adempimenti dobbiamo svolgere ai fini della normativa sulla privacy? In pratica gli unici dati che pubblichiamo sono gli indirizzi e-mail dei singoli utenti che, comunque, sono loro stessi ad inserire le pagine relative al loro sito. Naturalmente le aziende pubblicano anche il loro indirizzo e numeri di telefono e fax, come avviene in ogni pagina web commerciale che si rispetti.
E’ necessario mettere in calce alla “form” di raccolta una informativa ai sensi dell’art. 13 del D.lgs. n.196/2003, in cui dare agli utenti idonee indicazioni circa il trattamento dei loro dati da parte vostra.
Come posso dichiarare che tali dati non saranno diramati fuori della CEE se Internet è mondiale? come posso impedire ad un americano di leggere le pagine dei nostri clienti!!!
Ovviamente, non è possibile !!! Sarà necessario specificare tale ambito di diffusione nell’informativa.
Ho bisogno di particolari autorizzazioni anche per mettere in rete gli spazi dei miei clienti? In pratica noi abbiamo affittato spazio su server americani e lo riaffittiamo qui a pezzetti. C’è qualcosa di illegale in questo? Abbiamo bisogno di qualche autorizzazione?
Diremmo di no, salvo quanto detto sopra.
Vorrei sapere se la gestione di una mailing list comporta anche il trattamento dei dati personali, vale a dire, nel caso di specie, dell'indirizzo di posta elettronica dell'iscritto, dal momento che sono iscritto ad alcune liste, ma non ho mai ricevuto alcun messaggio da parte del list owner del possibile trattamento che il mio nome o indirizzo di posta elettronica potrebbe subire.
Il gestore della mailing-list avrebbe già dovuto fornirLe l’informativa prevista dall’art. 13 del Codice della privacy. Inoltre, avrebbe dovuto raccogliere il consenso al trattamento dei dati e alla loro diffusione via Internet. Le segnaliamo che è in arrivo un’apposita disciplina della privacy on-line; nel frattempo, comunque, operano i principi e le norme generali del Codice.
Stiamo organizzando una 'banca dati tecnologica' da mettere su Internet, contenente indicazioni sulle diverse tecnologie nel settore ambientale, le aziende che le forniscono e i loro prodotti. Nella fase di raccolta dati invieremo ad ogni azienda una scheda da compilare, in cui vengono richiesti sia dati anagrafici dell'azienda (nome, indirizzo, telefono, fax, e-mail...), sia soprattutto dati relativi ai loro prodotti. Le mie domande sono le seguenti: è necessario inviare anche il modulo per il consenso al trattamento di tali dati, anche se sono dati di tipo commerciale? Per non dovere mandare la richiesta di consenso, quali dati non bisogna chiedere?
Nel caso in questione, il consenso sia al trattamento che alla diffusione dei dati non è necessario, in quanto il trattamento riguarderà dati relativi allo svolgimento di attività economiche (art. 24, lett. d, D.lgs. 196/2003). Occorre, però, prestare molta attenzione a che i dati rientrino tutti, effettivamente, in questa categoria. Alle aziende, comunque, dovrà essere data l’informativa prevista dall’art. 13.
Nei moduli di adesione ai provider compare un avviso di questo tenore 'Il cliente prende atto e accetta l'esistenza del registro elettronico del funzionamento, compilato e custodito a cura del 'provider'. Il contenuto del Log ha il carattere della riservatezza assoluta e potrà essere esibito solo ed esclusivamente su richiesta delle Autorità competenti. Al fine di identificare con certezza la provenienza della connessione, il cliente prende atto del fatto che il 'provider' identifica l'utente nel momento del collegamento alla rete mediante il numero identificativo del chiamante'. Ma non mi è chiaro: che tipo di informazioni raccoglie questo registro; è una scelta del provider o un obbligo di legge?; i dati ivi contenuti devono essere conservati presso la sede, inviati a terzi, o all'autorità?; si ha diritto di visionarli, modificarli, o cancellarli?; hanno scadenza?
I file di log registrano la navigazione in Internet dell’utente, consentendo di risalire ai siti visitati, ai file scaricati, al tempo di connessione, all’orario di connessione e ad altro ancora. Essi integrano a tutti gli effetti un trattamento di dati personali che deve sottostare agli obblighi posti dal Codice della privacy. Occorre in primo luogo che il provider fornisca l’informativa prevista dall’art. 13 della citata legge agli utenti e consegua da questi il consenso al trattamento dei dati raccolti nel file di log e alla loro eventuale comunicazione; consenso che, peraltro, dovrà essere scritto per i dati sensibili. L’interessato, inoltre, vanta, nei confronti di questo trattamento, i diritti previsti dall’art. 7 del D.lgs. n. 196/2003. Può quindi, in ogni momento, chiedere che gli vengano comunicati i dati raccolti che lo riguardano e può chiederne, tra l’altro, la cancellazione o la rettifica sempre a norma dell’art. 7 e nei casi previsti da detto articolo, fatte salve le norme emanate per la sicurezza nazionale.
L’art. 123, comma 2 del Codice della privacy prevedeva che i dati relativi al traffico strettamente necessari a fini di fatturazione per l’abbonato, o di pagamenti in caso di interconnessione, potevano essere conservati per un periodo non superiore a sei mesi, a fini di documentazione in caso di contestazione della fattura o per la pretesa di pagamento; restava salva la possibilità di conservare ulteriormente i dati per l’effetto di una contestazione anche in sede giudiziale.
Inoltre, ai sensi dell’art. 132 del Codice, i dati relativi al traffico erano conservati per trenta mesi per finalità di accertamento e repressione di reati, secondo modalità stabilite con regolamento ministeriale, sentito il parere del Garante.
Epperò, in data 29 dicembre 2003, il Decreto Legge 24 dicembre 2003, n. 354 (Pubblicato sulla G.U. n. 300 del 29/12/2003), all’articolo 3, ha modificato detto disposto legislativo, disponendo che i dati possono essere conservati per ulteriori trenta mesi (e dunque per complessivi cinque anni) per la repressione di delitti a danno di sistemi informatici e telematicinonché dei delitti particolarmente gravi di cui all’art. 407, comma 2 lett. a) del codice di procedura penale, tra cui sono compresi i reati commessi per finalità di terrorismo.
Buongiorno. Vorrei sapere cosa è possibile fare, in concreto, per evitare che società senza scrupoli inviino e-mail pubblicitarie indesiderate in forma massiccia.
Lo spamming è senza dubbio uno dei fenomeni più odiosi che si sono sviluppati di pari passo con la costante crescita ed utilizzo delle reti telematiche; lo spamming è, peraltro, vietato dalle norme di Netiquette, cioè dalle regole di buona educazione stabilite dagli utenti di Internet e disponibili per la consultazione sul sito della Naming Authority italiana. La Naming Authority, per assicurare l’applicazione di tale disposizione, ha istituito una sorta di lista nera dello spamming, ossia uno spazio presso il proprio sito ove sono presenti tutte le segnalazioni di violazioni delle norme di Netiquette provenienti da privati cittadini.
Le violazioni delle norme di Netiquette devono essere segnalate alla Naming Authority Italiana e alla Registration Authority Italiana, tramite posta elettronica, inviando un e-mail a abuse@na.nic.it. La Naming Authority prende contatto con i responsabili, nonché con i loro providers, per segnalare la questione e permettere il contraddittorio. L’utilizzo della posta elettronica per l’invio di materiale pubblicitario o di vendita diretta, in mancanza del consenso espresso del destinatario è, inoltre, vietato dall’art.130 del D.lgs. n.196/2003. E’, altresì, vietato l’invio di comunicazioni effettuate a scopi promozionali, camuffando o celando l’identità del mittente o senza fornire un idoneo recapito presso il quale esercitare i diritti di cui all’art. 7. La sanzione è quella prevista dall’art. 167 per il trattamento illecito dei dati.
Ci sono tantissimi providers italiani e mondiali che utilizzano liste nere anti-spamming. In queste liste nere sono inseriti gli indirizzi degli spammer segnalati dagli utenti. In questo modo tutti coloro che hanno un account sul provider che utilizza queste liste non riceverà mai e-mail dagli indirizzi inseriti in questa lista. Per tutto il tempo in cui sono inseriti nella lista le e-mail spedite verso le caselle di posta dei providers che usano queste liste torneranno indietro. Mi chiedo: è lecito l'utilizzo di queste liste nere da parte dei providers, soprattutto quelli molto grossi? I loro clienti sanno che non riceveranno posta legittima?
E’ evidente che la prassi di utilizzare le black lists o i filtri antispam, può dar luogo a distorsioni del sistema, quale quella di alcuni providers che si sono dotati di alcuni software che respingono determinati messaggi di posta elettronica “classificati” come indesiderati. Di solito, questo meccanismo viene attivato su segnalazione di un utente e dopo aver verificato che l’attività di spamming è stata inserita nella black-list della Naming Authority. In questo modo, tutti i messaggi provenienti dal presunto reo vengono cancellati e non recapitati. Spesso, però, accade che l’attivazione di tale filtro avvenga all’insaputa degli utenti del provider, i quali possono così perdere messaggi di posta elettronica (desiderati) senza rendersene conto; a ciò si aggiunga che al mittente non viene inviata alcuna comunicazione di mancata trasmissione.
Può quindi accadere che, a causa della segnalazione di un utente, una certa impresa venga inserita nella black-list della Naming Authority e che il provider attivi il filtro antispam nei suoi confronti. Tale sistema, dunque, può dar luogo ad effetti non desiderati, in questo caso addirittura – a nostro parere – al di fuori dell’alveo della legittimità, che potrebbero giungere addirittura a ledere il principio dell’inviolabilità della corrispondenza (anche telematica), costituzionalmente sancito.
In primo luogo, dovranno essere determinate le zone in cui saranno installate le videocamere e le modalità di ripresa. Le riprese dovranno consentire un’inquadratura panoramica dell’interno delle vetture o dell’area di fermata, evitando, così, i dettagli. Le immagini visionate per finalità di polizia giudiziaria non potranno assolutamente essere utilizzate per altri scopi e dovranno essere conservate per il tempo strettamente necessario al perseguimento delle suddette finalità e nel pieno rispetto delle misure minime di sicurezza descritte dall’Allegato B del Codice della privacy (D.lgs. n.196/2003).
Il titolare del trattamento dovrà fornire una completa ed idonea informativa agli interessati (art. 13 del Codice), anche attraverso l’affissione della stessa sulle vetture e alle fermate dell’autobus. Si segnala comunque che, prossimamente, dovrà essere adottato, ai sensi dell’art. 134, un Codice di deontologia e buona condotta in cui saranno specificate le modalità del trattamento e forme semplificate di informativa.
Chiunque può chiedere al titolare del trattamento, in questo caso la banca, che siano cancellati i suoi dati personali (immagini), qualora non siano più necessari in relazione agli scopi per i quali erano stai raccolti. Qualora l’istituto di credito conservasse le immagini oltre il tempo indicato nell’informativa, e senza altri fini espressamente contemplati (es.indagini giudiziarie in corso, per rapina), l’interessato potrà, dunque, chiederne e ottenerne la cancellazione gratuita.
Tali strumenti sono permessi solo se resi necessari da esigenze organizzative e produttive ovvero di sicurezza, ma anche in presenza di queste situazioni, sul punto deve intervenire uno specifico accordo con le rappresentanze sindacali. Non c’è, dunque, in questo caso un divieto assoluto all’installazione, ma comunque dovrà essere attuata di concerto con le rappresentanze dei lavoratori, posto che, nel caso di specie, sussistono comprovate ragioni di sicurezza e l’impianto riguarda non i luoghi strettamente deputati allo svolgimento dell’attività lavorativa.

References: Art. 163

Art. 167

Art. 169

Art. 170

Art. 168
 art. 7
e contrario
 articolo 13
 art.29
 art. 7
 art. 134
 sentenza