Source: https://faci.net/home.asp?context=20180626-15034_4080&index_referer=
Timestamp: 2018-12-11 02:41:48+00:00
Document Index: 67730080

Matched Legal Cases: ['art. 91', 'art. 1', '§ 2', 'art. 2', 'art. 2', 'art. 4', 'art. 2', 'art. 4', 'art. 5', 'art. 4', 'art. 6', 'art. 7', 'art. 6', 'art. 13', 'art. 14', 'art. 5', '§ 3', 'art. 17', 'art. 21', 'art. 2', 'art. 4', 'art. 2', 'art. 15', 'art. 4', 'art. 28', 'art. 18', 'art. 37', 'art. 38', 'art. 39', 'art. 2', 'art. 13', 'art. 14', 'art. 4', 'art. 32', 'art. 33', 'art. 34', 'art. 23', 'art. 82', 'art. 83', 'art. 84']

OSSERVATORIO GIURIDICO-LEGISLATIVO CEI
Trattamento dei dati personali, tutela della privacy ed enti ecclesiastici:
primi indicazioni operative per le diocesi
Finalità del decreto è in primo luogo quella di garantire in modo adeguato la protezione dei dati personali trattati, in risposta alle crescenti esigenze di tutela determinate dagli sviluppi della “società dell’informazione” e alla rinnovata sensibilità verso tali temi, rispetto ai quali anche la Chiesa non può non mostrare una rinnovata sollecitudine. Inoltre l’adeguamento del testo – volto a renderlo “conforme” al Regolamento così come previsto dall’art. 91 del Regolamento - consente alla Chiesa di continuare ad applicare, per i soggetti e le finalità istituzionali, un proprio corpus completo di norme, nell’esercizio della propria autonomia e indipendenza e a tutela delle esigenze di libertà connesse all’esercizio della sua missione.
- In primo luogo, occorre considerare che la nozione di “trattamento” dei dati personali accolta nel Regolamento e nell’aggiornamento del Decreto CEI è piuttosto ampia e che essa in sostanza riguarda qualsiasi operazione riferibile
ai dati personali, compiuta con o senza l'ausilio di processi automatizzati e applicata a dati personali o insiemi di dati personali, come la raccolta, la registrazione, la conservazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, indipendentemente dal fatto che tali operazioni siano compiute in via automatizzata. Quindi, tutte o quasi le attività abitualmente compiute nell’ambito di parrocchie e/o diocesi (registri dei sacramenti, elenchi per il catechismo…) devono considerarsi trattamento dei dati personali (art. 1, § 2 e art. 2, Decreto; art. 2, par. 2 e art. 4 Regolamento).
- È necessario acquisire il consenso informato del soggetto interessato, cioè del soggetto dei cui dati si tratta (art. 2; art. 4; art. 5 Decreto; art. 4; art. 6; art. 7 Regolamento). Tale consenso deve essere espresso e inequivocabile e deve essere preceduto da una adeguata informativa (v. allegato) (art. 6 Decreto; art. 13; art. 14 Regolamento). L’interessato può sempre revocare il consenso al trattamento (art. 5, § 3 Decreto; art. 17; art. 21 Regolamento).
- È necessario nominare un “titolare del trattamento”, cioè il soggetto che determina le finalità e i mezzi del trattamento (art. 2 Decreto; art. 4 Regolamento). Tale soggetto dovrebbe essere di regola il soggetto apicale dell’ente (parroco, vescovo…), ma potrebbe anche essere un soggetto diverso, persona fisica o giuridica. Il titolare del trattamento può nominare, con contratto o altro valido atto giuridico, un “responsabile del trattamento”, colui cioè che tratta dati personali per conto del titolare del trattamento (art. 2; art. 15 Decreto; art. 4; art. 28 Regolamento). Tale nomina, tuttavia, non comporta l’esonero del titolare da eventuali responsabilità.
- Se il trattamento si svolge su “larga scala” (il Decreto non definisce la nozione di larga scala, che deve essere quindi valutata nel caso concreto. Il Regolamento fornisce un orientamento al considerando 91. A ogni modo, il
WP29, organo consultivo dell’UE per la materia della Privacy, raccomanda di tenere conto, in particolare, al fine di stabilire se un trattamento sia effettuato su larga scala, dei seguenti elementi: a. il numero di soggetti interessati dal trattamento, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento; b. il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento; c. la durata, ovvero la persistenza, dell'attività di trattamento; d. la portata geografica dell'attività di trattamento) o appare di particolare delicatezza (questo criterio, secondo il WP29, include categorie particolari di dati personali così come definite all'articolo 9 del Regolamento, ad esempio informazioni sulle opinioni politiche delle persone) deve essere nominato un “responsabile della protezione dei dati” (art. 18 Decreto; art. 37; art. 38; art. 39 Regolamento). Il responsabile della protezione dei dati può essere alle dipendenze del titolare del trattamento o del responsabile del trattamento o essere un professionista esterno.
Tra i compiti del responsabile per la protezione dei dati (specificamente indicati nel decreto) vi è quello di informare e fornire consulenza al titolare del trattamento e al responsabile del trattamento e ai dipendenti che effettuano il trattamento dei dati personali in merito ai loro obblighi in materia di protezione dei dati, sorvegliare l'osservanza del decreto e delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali.
- Deve essere tenuto un “registro delle attività di trattamento”, anche in formato elettronico, che contiene le seguenti informazioni: a) il nome e i dati di contatto del titolare del trattamento e, ove presenti, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; b) le finalità del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali; d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi diversi od organizzazioni internazionali; e) ove possibile, una descrizione generale
- Una particolare attenzione deve essere prestata per assicurare l'inviolabilità degli archivi, specie qualora si tratti di archivi informatici. L'archivio deve essere dotato di un sistema di chiusura che garantisca una sufficiente sicurezza da tentativi di furto e di scasso. Le chiavi dell'archivio devono essere custodite personalmente e accuratamente dal titolare del trattamento. Spetta al titolare del trattamento autorizzare agli estranei l'accesso ai dati. Il titolare del trattamento deve denunciare quanto prima all'autorità ecclesiastica competente e, se del caso, anche all'autorità civile, ogni incursione nell'archivio che abbia causato sparizione, sottrazione o danneggiamento di registri, atti, documenti pubblici, elenchi e schedari contenenti dati personali. Il titolare del trattamento deve documentare qualsiasi violazione dei dati personali, comprese le circostanze in cui si è verificata, le sue conseguenze e i provvedimenti adottati per porvi rimedio (art. 2; art. 13; art. 14 Decreto; art. 4; art. 32; art. 33; art. 34 Regolamento).
- Sono previste sanzioni, di non poco rilievo (art. 23 Decreto; art. 82; art. 83, art. 84 Regolamento).
Indicazioni per la redazione dell’ informativa
Il titolare del trattamento deve fornire all'interessato tutte le informazioni di seguito indicate in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, elettronici.
In caso di raccolta presso l'interessato, il titolare del trattamento, nel momento in cui i dati personali sono ottenuti, rende noto all’interessato che i dati saranno trattati nel pieno rispetto della normativa canonica e civile e gli fornisce le seguenti informazioni:
b) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento;
c) il diritto di proporre reclamo a un'autorità di controllo;
d) se l'interessato ha l'obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
e) l'esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca.
Fac simile (provvisorio) INFORMATIVA SULLA TUTELA DEI DATI PERSONALI
Il trattamento dei dati personali acquisiti dalla Diocesi/Parrocchia ...[inserire nome dell’ente Diocesi/Parrocchia], ente ecclesiastico civilmente riconosciuto, avverrà nel rispetto delle garanzie previste dall’ordinamento canonico (Decreto generale della Conferenza Episcopale Italiana del 25 maggio 2018) e tenuto conto del Regolamento UE 679/2018, precisandosi: