Source: https://www.privacysi.it/news/guida-pratica-e-misure-di-semplificazione-per-le-piccole-e-medie-imprese/
Timestamp: 2020-02-29 12:24:40+00:00
Document Index: 40307794

Matched Legal Cases: ['art. 7', 'art. 11', 'art. 28', 'art. 29', 'art. 30', 'art. 37', 'art. 38', 'art. 13', 'art. 13', 'art. 13', 'art. 23', 'art. 24', 'art. 24', 'art. 24', 'art. 24', 'art. 23', 'art. 4', 'art. 26', 'art. 26', 'art. 29', 'art. 31', 'art. 34', 'art. 34', 'art. 42', 'art. 43', 'art. 7', 'art. 146', 'art. 145', 'art. 24', 'art. 24', 'art. 43']

Guida pratica e misure di semplificazione per le piccole e medie imprese « Privacysi
3. L’informativa
7. I doveri del titolare del trattamento in caso di esercizio dei diritti degli interessati ai sensi dell’art. 7 del codice
Con la disciplina contenuta nel decreto legislativo n. 196 del 2003 (Codice in materia di protezione dei dati personali) l’ordinamento italiano si e dotato di un quadro organico per attuare obblighi internazionali nascenti dalla Convenzione del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale (Strasburgo, 28 gennaio 1981) e per recepire direttive comunitarie (95/46/Ce e 2002/58/Ce).
Specie nello svolgimento delle ordinarie attivita d’impresa, e in particolare per le realta produttive di piccole dimensioni, alcuni adempimenti contenuti nella disciplina di protezione dei dati personali vengono reputati talvolta onerosi. Una giusta protezione dei dati personali e della riservatezza puo in verita rappresentare una risorsa per l’impresa, rendendone piu efficiente l’attivita in modo da incrementare la fiducia di consumatori e utenti.
Questa guida intende fornire a chi opera nella realta delle medie e piccole imprese uno strumento utile per curare gli adempimenti derivanti dalla normativa vigente, indicando le soluzioni semplificate a disposizione.
La guida, integrata da una check list e pubblicata sul sito web dell’Autorita, potra subire aggiornamenti nel tempo. (1)
Nello svolgimento dell’attivita di impresa e normale che vengano trattati dati personali, vale a dire informazioni riferibili a soggetti identificati o identificabili (ad esempio, dipendenti (2), clienti e fornitori). I dati devono essere pertinenti e non eccedenti rispetto a finalita legittime, esatti e aggiornati (art. 11 del Codice). Le operazioni di trattamento (quali la raccolta, comunicazione o diffusione di dati personali) sono effettuate anche a cura del responsabile (se designato) e degli incaricati del trattamento.
1.1. Chi e il titolare del trattamento?
Il "titolare del trattamento", e la "[…] entita che esercita un potere decisionale del tutto autonomo sulle finalita e sulle modalita del trattamento, ivi compreso il profilo della sicurezza" (art. 28 del Codice). In particolare, nell’ambito dello svolgimento dell’attivita economica, "titolare del trattamento" puo essere la persona fisica (si pensi all’imprenditore individuale) o giuridica (ad esempio, la societa) che tratta i dati (con la raccolta, la registrazione, la comunicazione o la diffusione).
Il "titolare del trattamento" e chiamato ad attuare gli obblighi in materia (riassunti nella presente Guida) e, se ritiene di designare uno o piu responsabili del trattamento, e tenuto a vigilare sulla puntuale osservanza delle istruzioni da impartire loro.
Il "responsabile del trattamento" (possono essere piu d’uno), e una figura che puo essere designata a propria discrezione dal titolare del trattamento con un atto scritto nel quale vanno indicati i compiti affidati. Occorre scegliere persone fisiche od organismi che per esperienza, capacita ed affidabilita, forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza (art. 29 del Codice).
Tale figura, la cui designazione da parte del "titolare del trattamento" e quindi facoltativa, ricorre frequentemente in presenza di articolazioni interne delle realta produttive dotate di una certa autonomia (ad es., possono essere designati responsabili del trattamento i dirigenti di funzioni aziendali, quali quelle del personale o del settore marketing) o, rispetto a soggetti esterni all’impresa, per svariate forme di outsourcing che comportino un trattamento di dati personali (ad es., per i centri di elaborazione dati contabili, per i servizi di postalizzazione, per le societa di recupero crediti (3), etc.)
Gli "incaricati del trattamento" sono soggetti (solo persone fisiche) che effettuano materialmente le operazioni di trattamento dei dati personali e operano sotto la diretta autorita del titolare (o del responsabile) attenendosi a istruzioni scritte (art. 30 del Codice). Il "titolare del trattamento" e tenuto a designarli.
e sufficiente assegnare un dipendente ad una unita organizzativa, a condizione che risultino per iscritto le categorie di dati cui puo avere accesso e gli ambiti del trattamento. (4)
La notificazione e una dichiarazione con la quale il titolare del trattamento, prima di iniziarlo, rende nota al Garante (che la inserisce nel registro pubblico dei trattamenti consultabile da chiunque sul sito web dell’Autorita) l’esistenza di un’attivita di raccolta e di utilizzazione dei dati personali.
2.1. e sempre necessario notificare il trattamento dei dati al Garante?
In linea di principio i trattamenti ordinari svolti presso piccole realta produttive non vanno notificati: si pensi ai trattamenti di dati relativi ai dipendenti, ai fornitori o alla clientela (5). In particolare, non devono essere notificati i dati relativi agli inadempimenti dei propri clienti tenuti da ciascuna impresa.
In questo quadro la notificazione deve essere effettuata in ipotesi particolari (indicate all’art. 37 del Codice). Con specifico riguardo all’attivita di impresa, i trattamenti soggetti a notificazione sono quelli relativi a:
dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilita economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti; come detto, non rientrano in quest’ambito, i dati relativi agli inadempimenti dei propri clienti tenuti da ciascuna impresa.
dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalita dell’interessato, o ad analizzare abitudini o scelte di consumo (c.d. profilazione), ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti;
dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi (non, quindi, quelli trattati direttamente dall’imprenditore), nonche dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie.
Solo utilizzando l’interfaccia disponibile sul sito web dell’Autorita e seguendo le istruzioni ivi indicate (v. art. 38 del Codice).
Solo in caso di cessazione del trattamento o di mutamento di alcuni elementi dell’originaria notificazione.
Chi effettua operazioni di trattamento di dati personali deve rappresentare agli interessati le caratteristiche essenziali dei trattamenti effettuati. L’informativa deve essere resa per i dati raccolti presso l’interessato e per quelli reperiti presso terzi. La disciplina prevede alcune ipotesi di semplificazione e di esonero.
3.1. Cosa e l’informativa?
L’informativa, da rendersi con chiarezza e senza inutili formalita, anche in modo sintetico e colloquiale, contiene i seguenti elementi (art. 13 del Codice):
finalita e modalita del trattamento;
Se taluno di questi elementi e gia noto all’interessato, non e necessario farlo presente nuovamente.
3.2. Quando deve essere resa l’informativa?
In caso di dati raccolti presso l’interessato, l’informativa deve essere resa, anche in forma orale, prima delle operazioni del trattamento. Nel rapporto con fornitori, clienti, dipendenti e collaboratori non e necessario ripeterla in occasione di ogni contatto: e sufficiente fornirla con una formula generale una tantum, all’inizio delle operazioni di trattamento (che potranno anche protrarsi nel tempo).
L’informativa deve essere resa anche nel caso in cui i dati personali sono raccolti presso terzi; in tal caso, deve essere fornita al momento della registrazione dei dati o, se e prevista la comunicazione a terzi da parte del titolare, non oltre la prima comunicazione. Vanno indicate anche le categorie dei dati trattati.
3.3. e possibile rendere l’informativa in una forma semplificata?
e possibile fornire l’informativa anche oralmente, in modo sintetico e colloquiale, senza includere elementi gia noti all’interessato (art. 13, comma 2, del Codice). Si puo utilizzare anche uno spazio all’interno dell’ordinario materiale cartaceo e della corrispondenza.
3.4. In quali casi non e necessario rendere l’informativa agli interessati?
In relazione ai dati raccolti presso terzi, tenuto conto delle circostanze concrete, si puo omettere di fornire l’informativa se i dati sono trattati (art. 13, comma 5, lett. c), del Codice):
Inoltre, e prevista la possibilita di esonero totale o parziale dall’obbligo di fornire l’informativa:
nei casi in cui renderla, a giudizio del Garante -cui puo essere inviata apposita istanza-, risulti impossibile o manifestamente sproporzionato rispetto al diritto fatto valere.
Talora il soggetto privato che effettua operazioni di trattamento e tenuto a raccogliere il consenso dell’interessato per effettuare un trattamento di dati lecito (art. 23 del Codice). Piu spesso, pero, nello svolgimento dell’ordinaria attivita d’impresa, il consenso dell’interessato non e necessario (art. 24 del Codice).
4.1. Nello svolgimento dell’attivita d’impresa e necessario acquisire il consenso degli interessati?
Con particolare riferimento ai trattamenti di dati personali (non sensibili) nell’ordinaria attivita d’impresa, non e necessario il consenso nei casi in cui (cfr. art. 24 del Codice):
i dati sono relativi allo svolgimento di attivita economiche da parte dell’interessato (art. 24, comma 1, lett. d), del Codice).
A queste macro-categorie, che comprendono larga parte dei trattamenti effettuati ordinariamente da un’impresa, devono essere aggiunte le ulteriori ipotesi di esonero enumerate all’art. 24 del Codice. (7)
Nei casi restanti, l’interessato deve aver manifestato un consenso libero, specifico e informato in relazione al trattamento effettuato. Il consenso deve essere documentato per iscritto (art. 23 del Codice).
Cautele maggiori devono essere osservate nel trattamento dei dati sensibili: tali sono considerate le informazioni idonee a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonche dei dati personali idonei a rivelare lo stato di salute e la vita sessuale (art. 4, comma 1, lett. d), del Codice).
Per il trattamento dei dati sensibili di regola e necessario il consenso scritto, oltre l’autorizzazione del Garante.
Il Garante ha rilasciato sette autorizzazioni generali che comprendono tutti i trattamenti abitualmente effettuati nell’ordinaria attivita di impresa. Non vi e quindi bisogno di rivolgere una richiesta al Garante, che va presentata solo per casi del tutto eccezionali non contemplati dalle medesime autorizzazioni gia rilasciate (questa ipotesi si e sinora verificata in casi rari). (8)
Inoltre, per i dati sensibili il Codice non richiede il consenso dell’interessato se:
il trattamento e necessario per svolgere le investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397 o per far valere o difendere in sede giudiziaria un diritto. I dati vanno trattati solo per tali finalita e per il periodo strettamente necessario al loro perseguimento (art. 26, comma 4, lett. c) del Codice); (9)
il trattamento e necessario per adempiere a specifici obblighi o compiti previsti dalla legge oppure da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza. Occorre rispettare i limiti previsti dall’autorizzazione generale del Garante (art. 26, comma 4, lett. d) del Codice).
Il profilo della sicurezza e dell’integrita delle informazioni oggetto di legittimo trattamento e un elemento qualificante delle discipline di protezione dei dati personali (artt. 31 ss. del Codice e disciplinare tecnico di cui all’All. B al Codice).
L’obbligo generale di adottare idonee misure di sicurezza e posto dal Codice. Il titolare del trattamento puo adempiervi avvalendosi anche di un responsabile (art. 29, comma 2, del Codice).
Il titolare del trattamento e tenuto ad adottare tutte le misure idonee, valutate alla luce delle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle caratteristiche del trattamento, a ridurre i rischi di distruzione o di perdita anche accidentale dei dati o di accesso non autorizzato o non consentito ai dati (art. 31 del Codice).
In base alla vigente disciplina, in caso di trattamento di dati sensibili e giudiziari attraverso sistemi informatici deve essere redatto il documento programmatico sulla sicurezza (art. 34, comma 1, lett. g) e regola 19 dell’Allegato B al Codice). Si puo tener conto dei suggerimenti gia formulati dal Garante che recependo le esigenze e le istanze peculiari di professionisti e piccoli operatori, con particolare riguardo alle piccole e medie imprese ha gia reso disponibile on-line, a far data dal 11 giugno 2004, una "Guida operativa".
non deve essere comunicato al Garante, ma semplicemente conservato dal titolare presso la propria struttura per essere esibito in occasione di eventuali accertamenti ispettivi (art. 34, comma 1, lett. g) del Codice e regola 19 dell’Allegato B) al Codice);
deve essere redatto dal "[…] titolare di un trattamento di dati sensibili o giudiziari anche attraverso il responsabile, se designato […]" (regola 19 dell’All. B) cit.).
Nello svolgimento dell’attivita di impresa puo risultare necessario trasferire dati personali fuori dell’Unione europea (ad esempio relativi alla clientela o ai dipendenti). Il Codice prevede specifiche regole al riguardo.
6.1. Quando si applica la disciplina del Codice in materia di trasferimento di dati fuori dall’Unione europea?
La disciplina in materia di trasferimento di dati fuori dall’Unione europea (Ue) riguarda principalmente i flussi di dati personali verso i c.d. Paesi terzi, considerato che i Paesi situati all’interno dell’Ue hanno attuato, nei rispettivi ambiti, la direttiva 95/46/Ce, adottando specifiche normative in materia di protezione dei dati personali. Il loro rispetto e considerato idoneo per trasferire dati nell’Ue (art. 42 del Codice).
6.2. In quali casi e consentito il trasferimento dei dti fuori dall’Unione europea?
Il trasferimento e sempre consentito in varie ipotesi (art. 43 del Codice), tra le quali, con particolare riferimento alle attivita d’impresa, possono ricordarsi i casi in cui:
l’interessato ha manifestato il proprio consenso espresso e, se si tratta di dati sensibili, in forma scritta;
il trasferimento e necessario per eseguire obblighi derivanti da un contratto del quale e parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato, ovvero per la conclusione o per l’esecuzione di un contratto stipulato a favore dell’interessato;
il trasferimento e necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge o con regolamento;
e necessario ai fini dello svolgimento delle investigazioni difensive (legge 7 dicembre 2000, n. 397), o, comunque, per far valere o difendere un diritto in sede giudiziaria;
6.3. Qualora non sussistano i presupposti sopra indicati, in quali circostanze il trasferimento e comunque autorizzato?
Il trasferimento e consentito anche quando e autorizzato dal Garante in presenza di adeguate garanzie per i diritti dell’interessato:
in base alle decisioni di adeguatezza adottate daalla Commissione europea in ordine al livello di protezione dei dati garantito dall’ordinamento del Paese destinatario (artt. 25, par. 6, e 26, par. 4, della direttiva 95/46/CE); (11)
in base alla decisione di adeguatezza delle garanzie contenute nel Safe Harbor per il trasferimento verso organizzazioni stabilite negli Stati Uniti d’America che ad esso aderiscono; (12)
in base all’adozione di clausole contrattuali standard tra "esportatore" e "importatore" di dati, il cui contenuto e stato ritenuto idoneo dalla Commissione europea (artt. 25, par. 6, e 26, par. 4, della direttiva 95/46/CE). (13)
La disciplina di protezione dei dati personali attribuisce a ciascun interessato il diritto di accedere ai dati personali a se riferiti e di esercitare gli altri diritti previsti dall’art. 7 del Codice. (14)
7.1. Cosa si deve fare quando l’interessato esercita il diritto d’accesso?
Se l’interessato esercita il proprio diritto d’accesso ai dati che lo riguardano o uno degli altri diritti che gli sono riconosciuti, il titolare del trattamento (o il responsabile) deve fornire riscontro (di regola) entro quindici giorni dal ricevimento dell’istanza (art. 146 del Codice).
7.2. Quali sono le conseguenze nel caso in cui non venga fornito il riscontro all’interessato?
In caso di omesso o incompleto riscontro, i predetti diritti possono essere fatti valere dinanzi all’autorita giudiziaria o con ricorso al Garante (art. 145 del Codice).
La seguente lista di controllo e predisposta per i "titolari del trattamento"; mira a riassumere, in forma interrogativa, i punti sopra riassunti. La risposta negativa ad uno dei quesiti, denota un possibile profilo critico dal punto di vista della protezione dei dati personali.
e stata effettuata una valutazione circa le operazioni di trattamento di dati personali, anche sensibili, effettuate dall’impresa?
I dati trattati sono pertinenti e non eccedenti rispetto alle legittime finalita del trattamento, oltre che esatti e aggiornati?
Le persone fisiche che all’interno dell’impresa trattano dati personali sono state designate tutte quali "incaricate del trattamento"?
Se all’interno dell’impresa sono stati individuati soggetti che hanno ambiti di autonomia nel trattamento dei dati personali, sono stati designati per iscritto "responsabili del trattamento"?
Se fuori dell’impresa enti o persone fisiche trattano dati personali nel suo interesse, obbligati a seguirne le istruzioni (come accade per i casi di outsourcing), sono stati designati per iscritto quali "responsabili del trattamento"?
Si e verificato, prima di intraprendere operazioni di trattamento, se l’impresa effettua i trattamenti da notificare al Garante?
Se sono intervenute modificazioni relativamente ai trattamenti gia eventualmente notificati, e stato curato il loro aggiornamento in una nuova notificazione?
Se cessano i trattamenti, cio ha formato oggetto di specifica notificazione?
e stata fornita l’informativa agli interessati in caso di dati raccolti presso di essi?
e stata fornita l’informativa agli interessati in caso di dati raccolti presso soggetti diversi dagli interessati stessi?
Il trattamento dei dati personali viene effettuato in presenza di uno dei presupposti di liceita indicati all’art. 24 del Codice?
Se non ricorre uno dei presupposti di liceita indicati all’art. 24 del Codice, e stato raccolto il consenso dell’interessato?
Se sono trattati dati sensibili e stato raccolto il consenso scritto degli interessati?
Se sono trattati dati sensibili, e stato verificato se il trattamento rientra tra quelli gia autorizzati dal Garante con le autorizzazioni generali?
Se il trattamento di dati sensibili non rientra tra quelli previsti dalle autorizzazioni generali, e stata richiesta al Garante un’autorizzazione ad hoc?
Se sono trattati dati sensibili e giudiziari, e stato redatto, quando e necessario, il documento programmatico per la sicurezza e ne vengono osservate le previsioni?
Se i dati personali trattati dall’impresa sono soggetti a trasferimento verso Paesi terzi (esterni all’Unione europea e all’area economica europea), il trasferimento avviene:
in presenza di una delle condizioni previste dall’art. 43 del Codice? oppure
verso un’impresa statunitense che aderisce al Safe Harbor? oppure
in presenza di un’autorizzazione ad hoc da parte del Garante?
In presenza dell’esercizio del diritto d’accesso, viene dato riscontro all’interessato secondo le modalita previste dalla legge?
(1) La guida ha mero valore indicativo ed esemplificativo rispetto al contenuto delle disposizioni normative, alla cui osservanza chiunque resta vincolato.
(2) In relazione al trattamento dei dati personali dei dipendenti si vedano altresi le "Linee guida in materia di trattamento di dati personali di lavoratori per finalita di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati" , doc. web n. 1364099.
(3) In materia v. il provvedimento generale del 30 novembre 2005 , doc. web n. 1213644.
(4) Cosi, in un’azienda nella quale ad una unita organizzativa sono stati assegnati un determinato numero di dipendenti, si potra ovviare ad una formale designazione (ad esempio, mediante consegna di apposita comunicazione scritta), qualora si individuino gli ambiti di competenza (in ordine ai trattamenti di dati consentiti) di quella unita mediante una previsione scritta (ad es. nell’organigramma, nel contratto, nei mansionari, ecc.) e risulti inoltre che tali dipendenti sono stati assegnati stabilmente a tale unita.
(5) Specifiche indicazioni sono contenute anche nel provvedimento del Garante del 31 marzo 2004 Provvedimento relativo ai casi da sottrarre all’obbligo di notificazione, in G.U. del 6 aprile 2004, n. 81 e in www.garanteprivacy.it, doc. web 852561. V. pure, Chiarimenti sui trattamenti da notificare al Garante , 23 aprile 2004, doc. web. n. 993385.
(6) V. in materia Provv. 22 febbraio 2007 , doc. web n. 1389918.
(7) Art. 24. Casi nei quali puo essere effettuato il trattamento senza consenso
1. Il consenso non e richiesto, oltre che nei casi previsti nella Parte II, quando il trattamento:
a) e necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) e necessario per eseguire obblighi derivanti da un contratto del quale e parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalita che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilita e pubblicita dei dati;
d) riguarda dati relativi allo svolgimento di attivita economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
e) e necessario per la salvaguardia della vita o dell’incolumita fisica di un terzo. Se la medesima finalita riguarda l’interessato e quest’ultimo non puo prestare il proprio consenso per impossibilita fisica, per incapacita di agire o per incapacita di intendere o di volere, il consenso e manifestato da chi esercita legalmente la potesta, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l’interessato. Si applica la disposizione di cui all’articolo 82, comma 2;
f) con esclusione della diffusione, e necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalita e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
g) con esclusione della diffusione, e necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, anche in riferimento all’attivita di gruppi bancari e di societa controllate o collegate, qualora non prevalgano i diritti e le liberta fondamentali, la dignita o un legittimo interesse dell’interessato;
h) con esclusione della comunicazione all’esterno e della diffusione, e effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferimento a soggetti che hanno con essi contatti regolari o ad aderenti, per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, e con modalita di utilizzo previste espressamente con determinazione resa nota agli interessati all’atto dell’informativa ai sensi dell’articolo 13;
i) e necessario, in conformita ai rispettivi codici di deontologia di cui all’allegato A), per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici presso archivi privati dichiarati di notevole interesse storico ai sensi dell’articolo 6, comma 2, del decreto legislativo 29 ottobre 1999, n. 490, di approvazione del testo unico in materia di beni culturali e ambientali o, secondo quanto previsto dai medesimi codici, presso altri archivi privati.
(8) V., allo stato, l’Autorizzazione n. 1/2005 al trattamento dei dati sensibili nei rapporti di lavoro – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web 1203930; Autorizzazione n. 2/2005 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web 1203946; Autorizzazione n. 3/2005 al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web n. 1203934; Autorizzazione n. 4/2005 al trattamento dei dati sensibili da parte dei liberi professionisti – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web n. 1203954; Autorizzazione n. 5/2005 al trattamento dei dati sensibili da parte di diverse categorie di titolari – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web n. 1203938; Autorizzazione n. 6/2005 al trattamento dei dati sensibili da parte degli investigatori privati – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web n. 1203950; Autorizzazione n. 7/2005 al trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di soggetti pubblici – 21 dicembre 2005, in G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1 e doc. web n. 1203942.
(9) Tuttavia "se i dati sono idonei a rivelare lo stato di salute e la vita sessuale, il diritto deve essere di rango pari a quello dell’interessato, ovvero consistente in un diritto della personalita o in un altro diritto o liberta fondamentale e inviolabile".
(10) Le misure minime di sicurezza contenute nell’allegato B) del Codice riguardano anzitutto i trattamenti effettuati con strumenti elettronici: esse comprendono un sistema di autenticazione informatica con credenziali di autenticazione (cioe, un codice per l’identificazione dell’incaricato associato a una parola chiave), programmi per elaboratore volti a prevenirne la vulnerabilita (ad esempio, antivirus), procedure per realizzare il salvataggio periodico dei dati (c.d. procedure di back up ) e la redazione di un documento programmatico sulla sicurezza in caso di trattamento di dati sensibili. Per i trattamenti effettuati senza l’ausilio di strumenti elettronici rientrano tra le misure minime le istruzioni scritte finalizzate al controllo ed alla custodia dei dati impartite agli incaricati e l’uso di contenitori o locali con idonea serratura per custodire i dati personali.
(11) Per l’Argentina, Decisione della Commissione del 30 giugno 2003, n. 2003/490/CE; per il Canada, Decisione della Commissione del 20 dicembre 2001, n. 2002/2/CE; per il Baliato di Guernesy, Decisione della Commissione del 21 novembre 2003, n. 2003/821/CE; per l’Isola di Man, Decisione della Commissione del 28 aprile 2004, n. 2004/411/CE; per la Svizzera, Decisione della Commissione del 26 luglio 2000, n. 2000/518/CE. In relazione ad esse v., nell’ordine, le autorizzazioni rilasciate dal Garante: Autorizzazione del 9 giugno 2005 in G.U. del 25 luglio 2005, n. 171, doc. web n. 1151846; Autorizzazione del 30 aprile 2003 in G.U. n. 191 del 19 agosto 2003, doc. web n. 1075324; Autorizzazione del 7 settembre 2004 in G.U. del 22 luglio 2005, n. 169, doc. web n. 1139333; Autorizzazione del 9 giugno 2005 in G.U. del 25 luglio 2005, n. 171, doc. web n. 1151889; Autorizzazione del 17 ottobre 2001 in G.U. del 26 novembre 2001 n. 275 – Suppl. Ordinario n. 250, doc. web n. 39428.
(12) Cfr. Decisione della Commissione europea del 26 luglio 2000 n. 2000/520/CE e la correlativa l’ Autorizzazione del 10 ottobre 2001 (in G.U. 26 novembre 2001), doc. web n. 39939. Le organizzazioni aderenti al Safe Harbor sono pubblicate sul sito web: www.export.gov/….
(13) Cfr. Decisione della Commissione europea del 27 dicembre 2001, n. 2002/16/Ce, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a "incaricati" del trattamento residenti in paesi terzi, a norma della direttiva 95/46/Ce (e correlativa deliberazione del Garante n. 3 del 10 aprile 2002 , doc. web n. 1065361); Decisione della Commissione europea del 15 giugno 2001, n. 2001/497/CE, relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso paesi terzi a norma della direttiva 95/46/Ce (e correlativa deliberazione del Garante del 10 ottobre 2001 , doc. web 42156). La Commissione ha altresi individuato un modello alternativo di clausole contrattuali tipo (definito Insieme II) con la decisione del 27 dicembre 2004, n. 2004/915/Ce (e la correlativa autorizzazione del Garante del 9 giugno 2005 , doc. web n. 1151949 ).
(14) Art. 7. Diritto di accesso ai dati personali ed altri diritti.
21/06/2007 – Garante Privacy
Questo articolo è stato pubblicato il giovedì, 21 giugno 2007 alle 09:15 e classificato in News.	È possibile seguire tutte le repliche a questo articolo tramite il feed RSS 2.0. Sia i commenti che i ping sono attualmente chiusi.