Source: https://www.ancebrescia.it/2004/tutela-della-privacy-d-lgs-30-giugno-2003-n-196/
Timestamp: 2020-07-13 18:25:47+00:00

Document:
ANCE Brescia – Collegio Costruttori Edili » Blog Archive » TUTELA DELLA PRIVACY – D.LGS. 30 GIUGNO 2003, N. 196
01.12.2004 - economia
TUTELA DELLA PRIVACY – D.LGS. 30 GIUGNO 2003, N. 196
TUTELA DELLA PRIVACY – D TUTELA DELLA PRIVACY – D.LGS. 30 GIUGNO 2003, N. 196
Sulla Gazzetta Ufficiale n. 174 del 29 luglio 2003 è stato pubblicato il D.Lgs. 30 giugno 2003, n. 196, in materia di protezione dei dati personali, di seguito denominato Codice.
Il provvedimento dovrebbe entrare in vigore il 1° gennaio 2005.
Si formula riserva di successiva nota informativa con cui si forniranno ulteriori chiarimenti, anche in ordine alla documentazione che le imprese dovranno predisporre per adeguarsi alle previsioni del Decreto, in considerazione della prean-nunciata possibile proroga dell’entrata in vigore del provvedimento. Gli uffici del Collegio comunque sono a disposizione per eventuali chiarimenti.
Il provvedimento in commento riunisce in unico contesto la legge 675/1996 e gli altri decreti legislativi, regolamenti e codici deontologici che si sono succeduti nel tempo. Il nuovo provvedimento, pur introducendo alcune importanti novità, non modifica sostanzialmente la previgente disciplina. Pertanto, salvo quanto di seguito esposto, le imprese, in tema di trattamento dei dati potranno continuare ad operare come in passato.
Prima di illustrare i principali obblighi posti a carico delle imprese si rileva che, in via generale e salvo casi particolari, le imprese del settore non devono effettuare alcuna comunicazione-notificazione al Garante né devono ottenere alcuna autorizzazione per il trattamento dei dati. Più precisamente, non è necessaria alcuna notificazione né alcuna autorizzazione per il trattamento di tutti i dati relativi ai dipendenti dell’impresa e per i dati personali di clienti e fornitori. Infatti, per il trattamento dei soli dati personali, che sono gli unici normalmente richiesti ai clienti e fornitori, il Codice non richiede alcun provvedimento autorizzatorio da parte del Garante, che, invece, è necessario solo per il trattamento dei dati sensibili. Per quanto attiene i rapporti di lavoro, il Garante con il provvedimento n. 1/2004, pubblicato sulla Gazzetta Ufficiale n. 190 del 4 agosto 2004, ha autorizzato il trattamento dei dati sensibili nel rispetto di alcune indicazioni fornite dallo stesso Garante.
Prima di illustrare i principali adempimenti cui sono tenute le imprese, si riportano le definizioni di alcuni termini che verranno utilizzati. Ai sensi dell’art. 4 del Codice, si intende per:
– dato personale qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
– dati sensibili, i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale (a mero titolo esemplificativo rientrano tra i dati sensibili: i certificati di malattia, maternità e puerperio, di appartenenza a categorie protette, richiesta di fruire permessi per festività religiose, per svolgere incarichi politici e/o sindacali);
– dati giudiziari, i dati personali idonei a rivelare provvedimenti di cui all’articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale;
– interessato qualunque soggetto (persona fisica, società, pubblica amministrazione) cui si riferiscono i dati personali in possesso dell’impresa;
– titolare è la società (e non il legale rappresentante della società stessa) cui competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza;
– responsabile è la persona fisica, la persona giuridica preposta dal titolare al trattamento di dati personali;
– incaricati le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile.
2) Adempimenti a carico delle imprese
I principali adempimenti cui sono tenute le imprese consistono:
a) nel designare gli incaricati al trattamento dei dati;
b) nel rendere l’informativa agli interessati e nell’acquisire, dove previsto dal Codice, il consenso degli interessati;
c) nel rispettare, nel trattamento dei dati, la normativa vigente in materia e l’autorizzazione generale rilasciata dal Garante;
d) nell’adottare e applicare le misure di sicurezza previste dal Codice;
e) nel tenere corsi di aggiornamento per gli incaricati.
In ogni caso il titolare dovrà, periodicamente, verificare la precisa applicazione ed osservanza delle disposizioni in materia e delle istruzioni impartite.
a) Designazione degli incaricati
La nomina degli incaricati è obbligatoria. L’art. 30 del Codice prevede due modalità di designazione: in forma scritta oppure mediante documentata preposizione della persona fisica ad un ufficio.
Secondo la prima modalità, il conferi-mento dell’incarico dovrà risultare da atto scritto, contenente le istruzioni cui dovrà attenersi nonché l’indicazione dei trattamenti affidati all’incaricato.
Nella seconda modalità, la designazione dell’incaricato è effettuata per mezzo della preposizione della persona fisica ad un’unità (ufficio, reparto) per la quale è individuato, per iscritto, l’ambito del trattamento consentito agli addetti all’unità medesima.
b) Informativa e consenso
L’impresa, prima di acquisire un qualsiasi tipo di dato personale, deve informare gli interessati e, quando necessario, deve farsi rilasciare, da tali soggetti, il consenso al trattamento.
L’informativa, il cui contenuto è fissato dall’art. 13 del Codice, deve riportare:
– le finalità e le modalità del trattamento dei dati;
– che il conferimento di tali dati è obbligatorio per il corretto svolgimento del rapporto contrattuale;
– che l’eventuale rifiuto a conferire i dati impedisce l’instaurarsi del rapporto contrattuale;
– i soggetti o le categorie di soggetti a cui i dati personali saranno eventualmente comunicati (ad esempio: studi legali, commercialista, studi di consulenza fiscale e elaborazioni paghe,);
– gli estremi identificativi del titolare del trattamento e del responsabile;
– la circostanza che i dati comunicati potranno venire conosciuti anche dagli incaricati dell’impresa.
Per quanto attiene il trattamento dei dati sensibili in ogni caso deve avvenire previa autorizzazione rilasciata dal Garante. Come detto per quanto attiene, tra l’altro, i rapporti di lavoro tale autorizzazione è già stata rilasciata dal Garante e pertanto non deve essere richiesta dalle imprese.
1) per quanto attiene i dati relativi ai dipendenti:
all’atto dell’assunzione, il datore di lavoro deve, in forma scritta o verbale, fornire al dipendente le informazioni indicate nell’art. 13 del Codice e sopra indicate.
Al solo fine di rendere più agevole la prova di aver fornito la prescritta informativa nel caso di contenzioso, è opportuno che l’informativa sia resa in forma scritta.
Inoltre, il datore di lavoro deve acquisire il consenso al trattamento dei dati da parte del dipendente. Il consenso deve essere reso obbligatoriamente in forma scritta.
Tali adempimenti devono essere posti in essere solo nei confronti dei nuovi assunti. Infatti, per i dipendenti già in forza sono validi sia l’informativa sia il consenso già rilasciati ed acquisiti dall’impresa al momento dell’assunzione.
2) per quanto attiene ai dati relativi a fornitori e clienti:
nel caso vengano richiesti, come normalmente accade, solo i dati strettamente necessari per lo svolgimento del rapporto contrattuale (ad esempio: dati dell’impresa, dati anagrafici delle persone fisiche, coordinate bancarie, codice fiscale e partita IVA) le imprese dovranno fornire a tali soggetti solamente un’informativa, anche in forma non scritta (e dunque oralmente).
Per tali soggetti non è obbligatorio acquisire il consenso, ai sensi dell’art. 24, comma 1 lett. a) e b) del Codice.
Peraltro, al solo fine di rendere più agevole la prova di aver fornito la prescritta informativa nel caso di contenzioso, l’informativa potrà essere resa in forma scritta, ed eventualmente potrà anche essere richiesto ed acquisito il consenso dell’interessato.
c) Rispetto, nel trattamento dei dati, della normativa vigente e dell’autorizzazioni generali rilasciate dal Garante
In generale, il Codice dispone che il trattamento dei dati avvenga nel rispetto dei diritti e delle libertà fondamentali, della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale ed al diritto alla protezione dei dati personali. Più precisamente, i dati personali oggetto del trattamento devono essere:
Inoltre, il trattamento dei dati diversi da quelli sensibili e giudiziari che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dell’interessato, ove prescritti (art. 17 del Codice).
Secondo quanto previsto dall’art. 16 del Codice, in caso di cessazione, per qualsiasi causa, di un trattamento i dati sono:
Tale previsione deve essere coordinata con quanto stabilito dalla normativa civilistica, fiscale, previdenziale ed assicurativa in materia di conservazione della documentazione.
Infine, come già detto, in materia di rapporti di lavoro il Garante ha rilasciato l’Autorizzazione n. 1/2004 al trattamento dei dati sensibili, fornendo alcune prescrizioni. Di seguito si pubblica un ampio stralcio del provvedimento del Garante, che riguarda il solo trattamento dei dati sensibili nei rapporti di lavoro.
Il trattamento può riguardare i dati sensibili attinenti:
c) nell’ambito dei dati idonei a rivelare lo stato di salute, i dati raccolti e ulteriormente trattati in riferimento a invalidità, infermità, gravidanza, puerperio o allat-tamento, ad infortuni, ad esposizioni a fattori di rischio, all’idoneità psico-fisica a svolgere determinate mansioni, all’appartenenza a determinate categorie protette, nonché i dati contenuti nella certificazione sanitaria attestante lo stato di malattia, anche professionale dell’interessato, o comunque relativi anche all’indicazione della malattia come specifica causa di assenza del lavoratore.
Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e), del Codice, i dati sensibili possono essere conservati per un periodo non superiore a quello necessario per adempiere agli obblighi o ai compiti di cui al punto 3), ovvero per perseguire le finalità ivi menzionate. A tal fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta pertinenza, non eccedenza e indispensabilità dei dati rispetto al rapporto, alla prestazione o all’incarico in corso, da instaurare o cessati, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non indispensabili non possono essere utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto o del documento che li contiene. Specifica attenzione è prestata per l’indispensabilità dei dati riferiti a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni e gli adempimenti.
I dati sensibili possono essere comunicati e, ove necessario diffusi, nei limiti strettamente pertinenti agli obblighi, ai compiti o alle finalità di cui al punto 3), a soggetti pubblici o privati, ivi compresi organismi sanitari, casse e fondi di previdenza ed assistenza sanitaria integrativa anche aziendale, istituti di patronato e di assistenza sociale, centri di assistenza fiscale, agenzie per il lavoro, associazioni ed organizzazioni sindacali di datori di lavoro e di prestatori di lavoro, liberi professionisti, società esterne titolari di un autonomo trattamento di dati e familiari dell’interessato.
Ai sensi dell’art. 26, comma 5, del Codice, i dati idonei a rivelare lo stato di salute non possono essere diffusi.
d) Adozione e applicazione delle misure di sicurezza previste dal Codice
Il Codice ha introdotto rilevanti novità in materia di misure di sicurezza.
Gli articoli 31-36 e l’Allegato B del Codice individuano distinti obblighi in capo al titolare: l’obbligo di adottare misure idonee e l’obbligo di adottare misure minime.
1) Obbligo generale di adottare misure di sicurezza idonee
L’art. 31 del Codice impone al titolare di adottare misure di sicurezza idonee e preventive in modo da ridurre al minimo i rischi:
– di distruzione o perdita, anche accidentale, dei dati;
– di accesso non autorizzato ossia il rischio che i dati vengano conosciuti da soggetti non autorizzati;
– di trattamento non consentito o non conforme alle finalità della raccolta.
Secondo il parere reso dal garante il 22 marzo 2004, l’inosservanza di questo obbligo generale rende il trattamento illecito, anche se non determina un danno per gli interessati, viola inoltre i loro diritti ed espone a responsabilità civile per danno, anche non patrimoniale, qualora davanti al giudice ordinario il titolare non dimostri di aver adottato tutte le misure idonee ad evitarlo.
2) Obbligo di adottare misure minime di sicurezza
Nel quadro dell’obbligo generale di adottare misure idonee, il titolare deve comunque adottare talune misure di sicurezze minime, espressamente indicate dal Codice. Si tratta di misure indispensabili, la cui omissione costituisce anche reato, affinché sia assicurato un adeguato livello minimo di protezione dei dati personali.
Il Codice mantiene la previgente distinzione tra trattamento effettuato con o senza l’ausilio di strumenti elettronici, oppure riguardi dati sensibili o giudiziari.
Pertanto, al fine di individuare quali siano gli obblighi posti a carico del titolare del trattamento è necessario, preliminarmente, verificare se in impresa vengono tratti, o meno, dati personali mediante strumenti elettronici.
– Trattamento di dati personali con strumenti elettronici
Qualora l’impresa rientri in tale ipotesi dovranno essere adottate le seguenti misure minime (art. 34 Codice), nei modi previsti dall’Allegato B del Codice:
d)aggiornamento periodico dell’individua-zione dell’ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;
Al riguardo si osserva che è posta una distinzione tra autenticazione informatica e sistema di autorizzazione.
L’autenticazione consiste in una procedura con la quale il sistema informatico riconosce e, dunque autentica l’utente abilitandolo all’accesso al sistema stesso. L’autorizzazione invece è una fase ulteriore all’autenticazione con la quale il sistema autorizza l’utente, già autenticato, ad accedere a determinate categorie di dati o file. I sistemi di autenticazione sono sempre obbligatori e quindi devono sempre essere previsti, mentre i sistemi di autorizzazione sono necessari solo quando per gli incaricati, già autenticati, sono previsti profili di autorizzazione di ambito diverso (così ad esempio, all’interno dell’uffico amministrativo dell’impresa, ad ogni incaricato è assegnato un codice personale di autenticazione – che deve avere almeno otto caratteri – con il quale è possibile accedere al sistema informatico nel suo complesso. Se però all’interno del medesimo uffico solo alcuni incaricati possono accedere a specifiche banche dati – ad esempio quelle relative alle paghe – dovrà essere previsto un sistema di autorizzazione che consenta solo a questi incaricati di prendere visione di tali banche dati).
Si osserva ancora che l’obbligo della redazione del documento programmatico sulla sicurezza non è obbligatoria in tutti i casi di trattamento di dati con strumenti elettronici ma solo in talune ipotesi. A tal proposito si rinvia a quanto si dirà più avanti.
– Trattamento di dati personali senza l’ausilio di strumenti elettronici
a) aggiornamento periodico dell’indivi-duazione dell’ambito del trattamento consentito ai singoli incaricati o alle unità organizzative;
In tale ambito l’Allegato B al Codice precisa che:
– agli incaricati sono impartite istruzioni scritte finalizzate al controllo ed alla custodia, per l’intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. Nell’ambito dell’aggiornamento periodico con cadenza almeno annuale dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati, la lista degli incaricati può essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione;
– quando gli atti e i documenti contenenti dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate;
– l’accesso agli archivi contenenti dati sensibili o giudiziari è controllato. Le persone ammesse, a qualunque titolo, dopo l’orario di chiusura, sono identificate e registrate. Quando gli archivi non sono dotati di strumenti elettronici per il controllo degli accessi o di incaricati della vigilanza, le persone che vi accedono sono preventivamente autorizzate.
Tali prescrizioni dovranno essere contenute nelle lettere di designazione degli incaricati.
3) Obbligo di adottare e aggiornare il documento programmatico sulla sicurezza
Come precisato dal Garante nel parere del 22 marzo 2004, il documento programmatico sulla sicurezza (DPS) è una delle misure minime di sicurezza previste dal Codice. Peraltro esso deve essere predisposto ed aggiornato solo qualora siano trattati dati sensibili o giudiziari avvalendosi di elaboratori elettronici, anche isolati (ossia non collegati ad una rete pubblica o locale).
– la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi;
– per i dati personali idonei a rivelare lo stato di salute e la vita sessuale l’indi-viduazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell’interessato.
Dell’avvenuta adozione e, per gli anni successivi, dell’aggiornamento deve essere data informazione nella relazione al bilancio.
Sul sito del Garante per la privacy (www.garanteprivacy.it) nella sezione fac-simili e adempimenti è reperibile una guida operativa per redigere il Documento Programmatico per la Sicurezza.
Il Codice razionalizza il sistema sanzio-natorio che prevede illeciti amministrativi e reati penali.
Per gli illeciti penali si rendono punibili le condotte richiamate solo se dal fatto deriva nocumento, mentre in precedenza il nocumento costituiva solo un’aggravante.
Si riassumono i principali illeciti penali e le violazioni amministrative, rammentando che rimane comunque ferma la responsabilità civile per danni ex art. 2050 cod. civ., in base al quale è il titolare del trattamento che deve provare di aver adottato tutte le misure idonee ad evitare il danno (anche attraverso il Documento programmatico per la sicurezza).
– art. 167 – Chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli art. 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell’art. 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.
– Chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli artt. 17 (trattamento che presenta rischi specifici) 20, 21, 22, co. 8 e 11, 25, 26, 27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni.
– art. 168 – Chiunque, nella notificazione di cui all’art. 37 o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito con la reclusione da sei mesi a tre anni.
– art. 169 – Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall’art. 33, è punito con l’arresto sino a due anni o ammenda da diecimila euro a cinquantamila euro.
– art. 170 – Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi degli artt. 26, co. 2, 90, 150, co. 1 e 2, e 143, co. 1, lett. c), è punito con la reclusione da tre mesi a due anni.
Omessa/inidonea informativa
– art. 161 – Violazione delle disposizioni di cui all’art. 13 (informativa all’interessato): sanzione da tremila euro a diciottomila euro.
Quando la violazione riguarda dati sensibili o giudiziari, trattamenti che presentano rischi specifici ai sensi dell’art. 17 o, comunque, di maggiore rilevanza del pregiudizio per uno o più interessati: sanzione da cinquemila euro a trentamila euro. La somma può essere aumentata sino al triplo se inefficace in ragione delle condizioni economiche del contravventore.
Omessa/incompleta notificazione
– art. 163 – Chiunque, essendovi tenuto, non provvede tempestivamente alla notificazione ai sensi degli artt. 37 e 38, ovvero indica in essa notizie incomplete, è punito con la sanzione da diecimila euro a sessantamila euro e pubblicazione dell’ordinanza-ingiunzione.
Omessa informazione/esibizione al Garante
– art. 164 – Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai sensi degli artt. 150, co. 2, e 157, è punito con la sanzione da quattromila euro a ventiquattro mila euro.

References: provvedimento n. 
 art. 2050
 art. 167
 art. 18
 art. 168
 art. 169
 art. 170
 art. 161
 art. 163
 art. 164