Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1269050
Timestamp: 2019-10-24 02:46:56+00:00
Document Index: 175834800

Matched Legal Cases: ['art. 20', 'art. 20', 'art. 154', 'art. 4', 'art. 5', 'art. 6', 'art. 22', 'art. 22', 'art. 22', 'art. 4', 'art. 18', 'art. 65', 'art. 22', 'art. 20', 'art. 154', 'art. 22']

Trattamento dei dati sensibili e giudiziari presso gli enti parco nazionali... - Garante Privacy
[doc. web n. 1269050]
Trattamento dei dati sensibili e giudiziari presso gli enti parco nazionali - 9 marzo 2006
Vista la richiesta di parere sullo schema di regolamento, presentata dal Ministero dell´ambiente e della tutela del territorio in data 24 gennaio 2006 (prot. n. DPN/7D/2006/1887);
Il Ministero dell´ambiente e della tutela del territorio ha chiesto il parere del Garante in ordine ad uno schema di regolamento predisposto dall´Ente Parco delle Dolomiti Bellunesi al fine anche di proporlo quale schema tipo per i trattamenti dei dati sensibili e giudiziari da effettuarsi presso gli enti parco nazionali.
Tali enti, al pari degli altri soggetti pubblici, possono trattare i dati sensibili e giudiziari solo in base ad un´espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. In presenza di una disposizione primaria che si limiti a specificare unicamente la finalità di rilevante interesse pubblico è necessario che, con un atto di effettiva natura regolamentare, siano identificati e resi pubblici i tipi di dati sensibili o giudiziari, nonché le operazioni eseguibili in relazione alle finalità perseguite nei singoli casi.
A tale scopo, gli enti parco nazionali sono tenuti ad adottare o a promuovere un atto di natura regolamentare conforme al parere reso dal Garante, che, in armonia con il principio di semplificazione nel quadro di un elevato livello di tutela dei diritti, può essere fornito anche su schemi tipo (art. 20 del Codice). In questa prospettiva, il predetto schema identifica i tipi di dati che gli enti parco intendono trattare, con le operazioni individuate in relazione alle specifiche finalità perseguite nei singoli casi (art. 20, comma 2, del Codice).
Il regolamento che verrà predisposto per gli enti parco nazionali non dovrà essere sottoposto nuovamente al Garante per il parere, qualora sia conforme allo schema tipo.
Eventuali, ulteriori trattamenti di dati sensibili e/o giudiziari non considerati nello schema in esame non potranno essere effettuati. Laddove si renda indispensabile trattare ulteriori categorie di dati, o eseguire altre operazioni di trattamento per perseguire finalità di rilevante interesse pubblico individuate dalla legge, le integrazioni o modifiche dovranno essere sottoposte nuovamente al parere del Garante.
Nello schema in esame occorre fare riferimento nelle premesse (che non figurano nel documento trasmesso a questa Autorità) all´acquisizione del presente parere ai sensi dell´art. 154, comma 1, lett. g), del Codice.
È necessario altresì integrare l´art. 4, comma 2, dello schema menzionando le operazioni di diffusione individuate nel regolamento (cfr. scheda n.3).
Con riferimento all´art. 5 dello schema, occorre eliminare l´indicazione del numero dei comuni che rientrano nel territorio del parco ai quali si prevede di inviare il regolamento per la pubblicazione al relativo albo, in considerazione delle diverse aeree geografiche su cui insiste ciascun ente parco.
Va inoltre aggiornata la data di entrata in vigore del regolamento menzionata all´art. 6.
2. Fonti normative e finalità perseguite
Con riferimento alle schede nn. 1 e 2 allegate allo schema (rispettivamente, nell´indicazione delle fonti normative e delle finalità perseguite), è necessario espungere il riferimento all´autorizzazione n. 7/2004, peraltro sostituita da una nuova autorizzazione nel dicembre 2005. Infatti, il trattamento di dati giudiziari effettuato da soggetti pubblici nel quadro dell´attività contrattuale, delle gare e degli appalti, ovvero posto in essere per adempiere a disposizioni di legge in materia di comunicazioni e certificazioni antimafia (o di prevenzione della delinquenza di tipo mafioso e di altre gravi forme di manifestazione di pericolosità sociale) è già disciplinata dalla richiamata autorizzazione, anche per ciò che concerne i tipi di dati e di operazioni eseguibili (Capo IV, par. 2, lett. d)).
Per quanto concerne i tipi di dati individuati nella scheda n. 1, va verificata la possibilità che vengano trattati anche dati idonei a rivelare l´origine etnica ai fini dell´applicazione della normativa in materia di proporzionale etnica negli uffici degli enti parco siti nella provincia di Bolzano (d.P.R. 26 luglio 1976 n. 752 e successive modificazioni). Analoga verifica deve essere effettuata con riferimento all´eventuale trattamento di dati idonei a rivelare convinzioni politiche nello svolgimento delle attività dell´ente finalizzate al collocamento in aspettativa del personale chiamato a ricoprire funzioni pubbliche elettive. In caso di esito positivo della valutazione, tali categorie di informazioni dovranno essere individuate nella scheda, emendabile in tal senso senza che sia necessario richiedere un nuovo parere al Garante.
Analoga integrazione dovrà essere apportata alla medesima scheda con riferimento all´eventuale trattamento di dati sulla vita sessuale in caso di rettificazione di attribuzione di sesso, anche in questo caso senza richiedere necessariamente un nuovo parere all´Autorità.
In relazione alla scheda n. 2, si rileva poi che sono stati individuati soltanto i dati relativi allo stato di salute e alle opinioni sindacali in rapporto alle attività dell´ente volte a far valere o difendere un diritto in sede amministrativa o giudiziaria, o nelle procedure di conciliazione o di arbitrato, omettendo di indicare gli altri tipi di dati suscettibili di venire in rilievo nelle svariate fattispecie che possano dare luogo ad un contenzioso. È necessario pertanto integrare in tal senso la scheda, senza che sia necessario richiedere un nuovo parere al Garante.
Infine, dalla sintetica descrizione del trattamento risulta non comprovata e dubbia l´indispensabilità dell´utilizzo dei dati personali relativi alle convinzioni religiose per l´instaurazione e la gestione di rapporto di lavoro, come pure di quelli di carattere giudiziario individuati nelle schede n. 3 e 4 (relative, rispettivamente, alle attività di documentazione dell´attività istituzionale degli organi di governo e a quelle di promozione della cultura ambientale, anche attraverso l´organizzazione di mostre, conferenze ed altre manifestazioni). Occorre quindi valutare nuovamente l´eventuale indispensabilità dell´utilizzo di tali informazioni e, in caso di esito positivo della valutazione, documentarla adeguatamente nello schema, che, in tal caso, dovrà essere invece sottoposto nuovamente al Garante per il previsto parere.
4. Particolari forme di trattamento
Relativamente alle particolari forme di elaborazione che possono spiegare effetti maggiormente significativi per l´interessato, e per le quali sono necessarie maggiori garanzie, si osserva che la scheda n. 2 non reca l´espressa previsione legislativa richiesta (art. 22, comma 11, del Codice), con riferimento al trattamento automatizzato volto a definire il profilo o la personalità dell´interessato per determinare le sanzioni amministrative fissate dalla legge e per applicare le sanzioni accessorie facoltative, previo raffronto con informazioni detenute da altri titolari del trattamento. Occorre pertanto integrare lo schema in esame con la puntuale indicazione della base normativa richiesta, in assenza della quale detto trattamento non potrà essere effettuato lecitamente.
Va poi espunta dalla scheda n. 1 la previsione relativa al trattamento automatizzato posto in essere nella predisposizione di appositi test bilanciati o di prove pratiche attitudinali tendenti ad accertare la maturità e la professionalità dei candidati, nonché di forme di preselezione informatica ai fini dell´ammissione a prove concorsuali, stante il divieto di trattare informazioni sensibili e giudiziarie nell´ambito di test psico-attitudinali volti a definire il profilo o la personalità dell´interessato (art. 22, comma 10, del Codice). In base a tale divieto, che deve intendersi riferito anche alla raccolta di tali categorie di informazioni mediante questionari volti a costruire il profilo o la personalità dell´interessato, è pertanto necessario eliminare dai test utilizzati dall´ente ogni domanda idonea a rivelare informazioni sensibili e giudiziarie riferibili agli interessati.
5. Operazioni eseguite
Si rileva in via preliminare che le operazioni di raccolta, registrazione, organizzazione, conservazione, elaborazione, modificazione ecc., contrariamente a quanto indicato nello schema in esame, sono operazioni "ordinarie" di trattamento che non richiedono particolari specificazioni nello schema.
Le operazioni che possono spiegare invece effetti maggiormente significativi per l´interessato, devono essere delimitate rigorosamente alla luce del principio di indispensabilità ed evidenziate nello schema, specificando di volta in volta le finalità perseguite ed individuando, infine, nell´ipotesi di interconnessione e di raffronto con banche dati di altri titolari del trattamento, anche la base normativa che le autorizza (art. 22, commi 9 e 11 del Codice). Inoltre, occorre verificare nei singoli casi se l´operazione consista in concreto in un´interconnessione, oppure sia limitata ad un collegamento volto ad ottenere in via telematica informazioni o certificazioni dal medesimo o da altri titolari escludendo, però, l´accesso diretto alle relative banche dati (scheda n. 2).
Il criterio di indispensabilità deve essere preso altresì in considerazione con riferimento alle operazioni di comunicazione, tenendo presente che i flussi di dati verso soggetti designati responsabili o incaricati del trattamento non configurano "comunicazioni" ai sensi dell´art. 4, comma 1, lett. l), del Codice. In proposito, occorre quindi verificare se taluni soggetti indicati nello schema come destinatari delle operazioni in questione svolgano unicamente il ruolo di collaboratori esterni del trattamento, le cui scelte di fondo e responsabilità permangano in capo all´ente parco (cfr. schede nn. 1 e 2).
Con riferimento all´operazione di comunicazione prevista nella scheda n. 4, non risultano poi indicate le finalità per perseguire le quali si renda indispensabile far conoscere ai soggetti che curano la realizzazione di iniziative di promozione della cultura ambientale dati personali attinenti allo stato di salute delle persone interessate. Peraltro, nella relativa descrizione del trattamento, si dichiara che l´ente non effettua alcuna comunicazione di dati a terzi. Al riguardo, occorre quindi valutare l´indispensabilità di tale operazione e, in caso di esito positivo della valutazione, specificare le finalità perseguite, modificando in tal senso anche la descrizione del trattamento. In tal caso, occorrerà acquisire un nuovo parere del Garante.
Per ciò che concerne la descrizione riportata nella scheda n. 1, va eliminato il riferimento all´autorizzazione generale del Garante relativa al trattamento dei dati sensibili nei rapporti di lavoro, peraltro rinnovata nel dicembre 2005, , in quanto essa non rappresenta una fonte idonea a legittimare il trattamento posto in essere da soggetti pubblici nell´ambito di tali attività (art. 18 e ss. del Codice).
Relativamente alla scheda n. 3, fermo restando il richiamato rispetto del quadro di garanzie previsto dall´art. 65, comma 5 del Codice, occorre fare riferimento, nella descrizione del trattamento, alle ulteriori garanzie previste dal Codice volte a prevenire l´indebita diffusione di dati idonei a rivelare lo stato di salute degli interessati (art. 22, comma 8), considerata la delicatezza, in tal caso, della diffusione (individuata nella scheda) dei verbali delle sedute degli organi di governo e delle deliberazioni dell´ente tramite il sito istituzionale del parco.
Nella scheda n. 4 occorre delimitare rigorosamente il trattamento di dati sulla salute degli interessati nell´ambito delle attività di promozione della cultura ambientale, specificando nella descrizione che queste informazioni vengono trattate soltanto quando ciò sia indispensabile nelle medesime iniziative per aderire a richieste dell´interessato o per riconoscere loro benefici, tenendo peraltro presente che non risulta giustificato l´utilizzo sistematico dei dati in questione ai fini dell´esame dei programmi educativi e formativi predisposti e nelle relazioni relative al loro esito.
Infine, occorre riformulare la sintetica descrizione del trattamento riportata in ciascuna delle schede allegate al regolamento, in relazione alle modifiche, integrazioni ed osservazioni formulate nel presente parere.
Nel caso in cui, come prospettato, si intenda rendere lo schema in esame idoneo a regolamentare i trattamenti dei dati sensibili e giudiziari da effettuarsi anche presso enti parco nazionali diversi da quello delle Dolomiti Bellunesi, occorre eliminare gli specifici riferimenti a quest´ultimo (cfr. schede nn. 2 e 3).
Il Ministero dell´ambiente e della tutela del territorio è invitato a conformare lo schema alle indicazioni sopra formulate, tenendo presente che il trattamento dei dati sensibili e giudiziari non potrà essere effettuato in difformità dalle indicazioni medesime, e che l´individuazione dei tipi di dati e delle operazioni eseguibili dovrà essere effettuata necessariamente con un atto di effettiva natura regolamentare ai sensi dell´art. 20, comma 2, del Codice, suscettibile di produrre effetti giuridici per gli interessati.
ai sensi dell´art. 154, comma 1, lett. g) del Codice, esprime parere favorevole sullo schema tipo di regolamento curato dall´Ente Parco delle Dolomiti Bellunesi e trasmesso dal Ministero dell´ambiente e della tutela del territorio, a condizione che siano rispettate le indicazioni fornite nei punti da 1 a 8, riguardanti:
la menzione dell´acquisizione del presente parere e la conformità del regolamento allo schema tipo oggetto del presente parere; l´integrazione relativa all´operazione di diffusione; l´eliminazione dell´indicazione del numero dei comuni cui si prevede l´invio del presente regolamento; le modifiche relative all´entrata in vigore dello stesso regolamento;
l´eliminazione del riferimento all´autorizzazione generale n. 7/2004 (schede nn. 1 e 2);
la verifica relativa all´eventuale utilizzo di dati sull´origine etnica, di quelli idonei a rivelare convinzioni politiche ed attinenti la vita sessuale (scheda n. 1); l´indispensabilità dell´utilizzo di dati personali relativi alle convinzioni religiose (scheda n. 1) e di carattere giudiziario (schede nn. 3 e 4); le integrazioni concernenti i tipi di dati rilevabili nelle fattispecie che possono dar luogo ad un contenzioso (scheda n. 2);
la puntuale indicazione della previsione legislativa che autorizza il trattamento automatizzato volto a definire il profilo o la personalità dell´interessato per determinare le sanzioni amministrative fissate dalla legge e per applicare le sanzioni accessorie facoltative (scheda n. 2); l´eliminazione della previsione relativa al trattamento automatizzato effettuato per l´ammissione a prove concorsuali e la selezione di candidati all´assunzione e la conseguente cancellazione dai questionari utilizzati delle domande idonee a rivelare informazioni sensibili o giudiziarie riferibili all´interessato (scheda n. 1);
le modifiche relative al riferimento alle operazioni "ordinarie"; la specifica individuazione delle finalità perseguite dalle operazioni che possono spiegare effetti maggiormente significative per l´interessato e, ove necessario, della relativa base normativa; le verifiche concernenti le interconnessioni (scheda n. 2) e ai rapporti intercorrenti con i soggetti indicati quali destinatari delle operazioni di comunicazione (schede nn. 1 e 2); l´indispensabilità della comunicazione di dati sulla salute ai soggetti che curano la realizzazione di iniziative di promozione della cultura ambientale (scheda n. 4);
l´eliminazione del riferimento all´autorizzazione generale relativa al trattamento dei dati sensibili nei rapporti di lavoro; l´integrazione concernente il quadro di garanzie previsto dall´art. 22, comma 8, del Codice (scheda n. 3); le modifiche riguardanti il trattamento di dati sulla salute nello svolgimento di attività culturali (scheda n. 4); la riformulazione della sintetica descrizione di ciascuna delle schede allegate alla luce delle modifiche da effettuarsi a seguito delle indicazioni fornite con il presente parere;
l´eliminazione di ogni riferimento all´Ente Parco delle Dolomiti Bellunesi (schede nn. 2 e 3);