Source: http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1368832
Timestamp: 2017-10-18 05:51:07+00:00
Document Index: 30300874

Matched Legal Cases: ['art. 67', 'art. 112', 'art. 67', 'art. 112', 'art. 65', 'art. 4', 'art. 3', 'art. 4', 'art. 3', 'art. 4', 'art. 4', 'art. 154', 'art. 112']

Trattamento dei dati sensibili e giudiziari presso il Ministero dello... - Garante Privacy
Trattamento dei dati sensibili e giudiziari presso il Ministero dello...
Pubblica Amministrazione Centrale , Dati sensibili , Dati giudiziari
Trattamenti dei dati sensibili e giudiziari presso il Ministero dell'ambiente e della tutela del territorio e del mare - 21 dicembre 2006 [1376418]
[doc. web n. 1368832]
Trattamento dei dati sensibili e giudiziari presso il Ministero dello sviluppo economico - 30 novembre 2006
Visti gli articoli 20, comma 2, e 154, commi 1, lett. g) e 5, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);
Vista la richiesta di parere sullo schema di regolamento per il trattamento dei dati sensibili e giudiziari presentata dal Ministero dello sviluppo economico in data 9 novembre 2006;
Il Ministero dello sviluppo economico ha chiesto il parere del Garante in ordine ad uno schema di regolamento per i trattamenti dei dati sensibili e giudiziari da esso effettuati.
Il Ministero, al pari degli altri soggetti pubblici, può trattare i dati sensibili e giudiziari solo in base ad un'espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. In presenza di una disposizione primaria che si limiti a specificare unicamente la finalità di rilevante interesse pubblico è necessario che, con un atto di effettiva natura regolamentare, siano identificati e resi pubblici i tipi di dati sensibili o giudiziari, nonché le operazioni eseguibili in relazione alle finalità perseguite nei singoli casi.
A tale scopo, il Ministero è tenuto ad adottare un atto di natura regolamentare conforme al parere reso dal Garante.
1. Finalità di rilevante interesse pubblico
La finalità di rilevante interesse pubblico, contemplata nella scheda n. 5, è riconducibile a quella prevista dall'art. 67 del Codice (attività di controllo e ispettiva) e non a quella individuata dall'art. 112 (instaurazione e gestione di rapporti di lavoro). Va quindi modificato tale riferimento normativo.
Analogamente, le attività di vigilanza e controllo menzionate nella scheda n. 6 sono correlate soltanto alla predetta finalità di cui all'art. 67 del Codice, anziché a quella dell'art. 112. Il riferimento a quest'ultimo articolo va quindi eliminato.
In relazione alle attività di nomina di commissari indicate nella scheda n. 8, la finalità di rilevante interesse pubblico perseguita è prevista dall'art. 65, comma 2, lett. e), del Codice, che fa espressamente riferimento alla designazione e alla nomina di rappresentanti in commissioni, enti e uffici. Tale disposizione va quindi indicata puntualmente nella scheda.
L'attività di documentazione d'interesse storico, statistico o scientifico riguarda trattamenti di dati sensibili già disciplinati in sede legislativa (artt. 41 e 122-126 del d.lg. 22 gennaio 2004, n. 42). Pertanto, la relativa scheda (n. 10) va espunta dallo schema di regolamento, fermo restando, in ogni caso, il rispetto delle disposizioni previste in materia dal Codice (artt. da 101 a 103), dal codice di deontologia e di buona condotta per il trattamento di dati personali per scopi storici (pubblicato in G.U. 5 aprile 2001, n. 80), nonché dalle citate norme di settore.
Si fa presente, in via generale, che l'individuazione con atto regolamentare delle tipologie di dati deve avere ad oggetto unicamente informazioni sensibili e giudiziarie (artt. 20 e 21 del Codice). Occorre pertanto verificare se le attività menzionate nello schema (cfr., ad esempio, nella scheda n. 7, il "riconoscimento di titoli professionali acquisiti all'estero da parte di cittadini comunitari ed extra comunitari" e la "gestione delle comunicazioni relative alle manifestazioni a premio ") comportino unicamente trattamenti di dati diversi da quelli sensibili e giudiziari; in tal caso, i riferimenti a detti trattamenti vanno espunti dallo schema.
In relazione a tale profilo, si precisa che le "informazioni riguardanti provvedimenti giudiziari dichiarativi di fallimento e di altre procedure concorsuali ", menzionate nella sintetica descrizione del trattamento (scheda n. 7) con riferimento alle comunicazioni relative alle manifestazioni a premio, non configurano dati giudiziari (art. 4, comma 1, lett. e), del Codice). Pertanto, i relativi trattamenti, ove riguardino soltanto tale tipologia di informazioni, non formano oggetto dell'identificazione prevista con il regolamento e devono essere espunti dallo schema (artt. 20 e 21 del Codice).
Nella sintetica descrizione dei trattamenti previsti nella scheda n. 5 non è comprovata l'indispensabilità dell'utilizzo di dati sullo stato di salute relativi ai familiari del dipendente nell'ambito dell'attività di sicurezza e di tutela dai rischi per la gestione di fonti energetiche e minerarie. Non risulta, inoltre, adeguatamente giustificato, anche alla luce del principio di necessità (art. 3 del Codice), il perseguimento delle finalità connesse all'attività di analisi dei dati relativi all'infortunistica e alle malattie professionali nel settore estrattivo, mediante il trattamento di informazioni personali attinenti alla salute degli interessati, in luogo di dati anonimi.
Analoga valutazione di indispensabilità non risulta comprovata -da quanto rappresentato- con riferimento all'utilizzo di dati relativi alle convinzioni religiose nell'ambito della concessione di contributi e altri benefici a favore di imprese e società (scheda n. 4), di informazioni sulle convinzioni politiche e sindacali nell'ambito dell'attività di verifica e controllo (scheda n. 6), di dati sulla salute per l'attività di concessione di onorificenze e patrocini (scheda n. 8), nonché delle informazioni sensibili individuate nell'ambito delle attività di sindacato ispettivo, specie quelle idonee a rivelare la vita sessuale (scheda n. 9).
Nei casi sopra menzionati, in cui non risulta documentata l'indispensabilità dell'utilizzo dei dati individuati per lo svolgimento delle finalità di volta in volta perseguite, occorre valutare nuovamente tale indispensabilità e, in caso di esito positivo della valutazione, documentarla adeguatamente, sottoponendo le schede così integrate al Garante per un nuovo parere, schede nelle quali dovrà altrimenti espungersi il riferimento ai predetti tipi di dati.
3. Operazioni eseguibili
Le operazioni di comunicazione, potendo spiegare effetti maggiormente significativi per l'interessato, devono essere delimitate rigorosamente alla luce del principio di indispensabilità ed individuate nello schema in modo più specifico, evidenziando le finalità di volta in volta perseguite e le eventuali disposizioni normative che ne costituiscono il presupposto.
Più specificamente, qualora si valuti che le operazioni di comunicazione, nell'ambito delle attività di concessione di contributi a "banche, istituti ed enti per lo svolgimento di attività istruttoria per conto del Ministero", ad "organismi di supporto e collaborazione del Ministero per assistenza tecnica", come anche a "società di consulenza incaricate dal Ministero per lo svolgimento di controlli " (scheda n. 4) consistano in flussi di dati nei confronti di terzi per il perseguimento di finalità individuate dagli stessi terzi -quali titolari o contitolari del trattamento- in effettiva autonomia rispetto al Ministero, va verificata nuovamente l'indispensabilità della comunicazione.
In senso contrario, nei casi in cui si ritenga che le citate operazioni consistano in comunicazioni verso soggetti esterni le cui attività siano riconducibili alla sfera di responsabilità del Ministero stesso, dette operazioni, non configurando una comunicazione (art. 4, comma 1, lett. l), del Codice), vanno eliminate dallo schema di regolamento e i predetti soggetti vanno designati responsabili del trattamento (artt. 4, comma 1, lett. g) e 29 del Codice).
Nell'ambito dell'attività "di sicurezza e tutela dai rischi per la gestione di fonti energetiche e minerarie", non risulta comprovata l'indispensabilità della comunicazione di dati sulla salute o giudiziari a "regioni, comuni, province cui sono attribuite competenze in materia di infortuni sul lavoro e di autorizzazioni per materiali radioattivi " (scheda n. 5). Occorre, al riguardo, verificarla nuovamente, tenuto conto dell'eventualità che, anche alla luce del principio di necessità (art. 3 del Codice), le finalità correlate alle citate attività possono essere utilmente perseguite anche mediante l'utilizzo di dati anonimi.
In relazione poi, alla concessione di contributi ed altri benefici, nonché di onorificenze e patrocini, ove si ritenga che l'operazione di comunicazione nei confronti di "componenti di commissioni per lo svolgimento di attività ispettive e di accertamento di spesa " (schede nn. 4 e 8) consista in un flusso di dati verso soggetti che operano sotto la diretta autorità del Ministero, resta ferma la necessità di designare per iscritto i soggetti sopra menzionati quali incaricati del trattamento (art. 4, comma 1, lett. h) e 30 del Codice) e di eliminare nella scheda il riferimento alla citata operazione, in quanto essa, in questo caso, non configurerebbe una comunicazione (art. 4, comma 1, lett. l), del Codice).
Qualora, invece, si tratti di comunicazioni nei confronti di soggetti che non operano sotto la direzione del Ministero, occorre verificarne l'indispensabilità.
In caso di esito positivo della verifica che si richiede di effettuare in tale ultimo caso e in tutte le ipotesi sopra menzionate, l'indispensabilità delle operazioni di comunicazione va documentata adeguatamente, sottoponendo la scheda così integrata al Garante per un nuovo parere, scheda nella quale dovrà altrimenti espungersi il riferimento alla comunicazione medesima.
In relazione all'attività di sindaco ispettivo, si rileva che non risulta individuata nella sezione dedicata alle operazioni di trattamento, la comunicazione agli organi richiedenti, limitatamente ai dati indispensabili per la formulazione delle risposte all'interrogazione o all'atto di sindacato ispettivo –comunicazione che è, invece, desumibile dalla descrizione sintetica del trattamento (scheda n. 9). Occorre pertanto integrare la scheda in tal senso.
Si rileva, infine, che nella sintetica descrizione del trattamento relativa all'attività di verifica e controllo è indicata una comunicazione nei confronti dell'Amministrazione autonoma dei Monopoli di Stato e dell'Agenzia delle dogane, che non è individuata nella sezione della scheda dedicata alle operazioni eseguibili. Tale riferimento va quindi espunto, salvo che si tratti di un'erronea compilazione della scheda che dovrà in tal caso, previa documentata valutazione dell'indispensabilità di tale operazione, essere integrata e sottoposta al Garante per un nuovo parere (scheda n. 6).
Il Ministero dello sviluppo economico è invitato a conformare lo schema in esame alle indicazioni formulate nei punti da 1 a 3, tenendo presente che il trattamento dei dati sensibili e giudiziari non potrà essere effettuato in difformità dalle indicazioni medesime.
ai sensi dell'art. 154, comma 1, lett. g), del Codice, esprime parere favorevole sullo schema di regolamento predisposto dal Ministero dello sviluppo economico, soltanto a condizione che siano rispettate le indicazioni fornite nei punti da 1 a 3, riguardanti:
la menzione degli artt. 67 e 65, comma 2, lett. e), del Codice in relazione alle finalità di rilevante interesse pubblico indicate rispettivamente nelle schede nn. 5 e 8; l'eliminazione del riferimento all'art. 112 (scheda n. 6) e dell'individuazione dei tipi di dati e delle operazioni eseguibili con riferimento all'attività di documentazione d'interesse storico, statistico o scientifico (scheda n. 10);
la verifica delle attività menzionate nello schema di regolamento e l'eventuale eliminazione dei trattamenti che hanno ad oggetto informazioni diverse da quelle sensibili e giudiziarie, specie con riferimento a quelli indicati nell'ambito dell'attività di gestione delle comunicazioni sulle manifestazioni a premio (scheda n. 7); la verifica relativa all'indispensabilità dell'utilizzo dei dati relativi a: la salute dei familiari del dipendente nell'ambito dell'attività di sicurezza e di tutela dai rischi per la gestione di fonti energetiche e minerarie e la salute degli interessati per l'attività di analisi dei dati relativi all'infortunistica e alle malattie professionali nel settore estrattivo (scheda n. 5), le convinzioni religiose nell'ambito della concessione di contributi e altri benefici a favore di imprese e società (scheda n. 4), le convinzioni politiche e sindacali per l'attività di verifica e controllo (scheda n. 6), la salute degli interessati per l'attività di concessione di riconoscimenti ed onorificenze (scheda n. 8) e la vita sessuale nell'ambito di attività di sindacato ispettivo (scheda n. 9);
la verifica relativa alle operazioni di comunicazione, specie con riferimento a quelle previste nei confronti di: "banche, istituti ed enti per lo svolgimento di attività istruttoria per conto del Ministero", "società di consulenza incaricate dal Ministero per lo svolgimento di controlli" ed "organismi di supporto e collaborazione del Ministero per assistenza tecnica" (scheda n. 4), "regioni, comuni, province cui sono attribuite competenze in materia di infortuni sul lavoro e di autorizzazioni per materiali radioattivi" (scheda n. 5), "componenti di commissioni per lo svolgimento di attività ispettive e di accertamento di spesa " (schede nn. 4 e 8); l'individuazione della comunicazione agli organi richiedenti, limitatamente ai dati indispensabili per la formulazione delle risposte all'interrogazione o all'atto di sindacato ispettivo (scheda n. 9); l'eventuale eliminazione della comunicazione nei confronti dell'Amministrazione autonoma dei Monopoli di Stato e dell'Agenzia delle dogane (scheda n. 6).