Serie Generale n. 190 del 14-8-2004
SUPPLEMENTI ORDINARI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
PROVVEDIMENTO 30 giugno 2004
Autorizzazione al trattamento dei dati sensibili nei rapporti di lavoro. (Autorizzazione n. 1/2004). (GU Serie Generale n.190 del 14-08-2004 - Suppl. Ordinario n. 141)

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del prof Stefano Rodotà,
presidente, del prof Giuseppe Santaniello, vicepresidente, del prof.
Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott.
Giovanni Buttarelli, segretario generale;
Visto il decreto legislativo 30 giugno 2003, n. 196, recante il
Codice in materia di protezione dei dati personali;
Visto, in particolare, l'art. 4, comma 1, lett. d), del citato
Codice, il quale individua i dati sensibili;
Considerato che, ai sensi dell'art. 26, comma 1, del Codice, i
soggetti privati e gli enti pubblici economici possono trattare i
dati sensibili solo previa autorizzazione di questa Autorità e, ove
necessario, con il consenso scritto degli interessati,
nell'osservanza dei presupposti e dei limiti stabiliti dal Codice,
nonchè dalla legge e dai regolamenti;
Visto il comma 4, lett. d), del medesimo art. 26, il quale
stabilisce che i dati sensibili possono essere oggetto di trattamento
anche senza consenso, previa autorizzazione del Garante, quando il
trattamento medesimo è necessario per adempiere a specifici obblighi
o compiti previsti dalla legge, da un regolamento o dalla normativa
comunitaria per la gestione del rapporto di lavoro, anche in materia
di igiene e sicurezza del lavoro e della popolazione e di previdenza
e assistenza, nei limiti previsti dall'autorizzazione e ferme
restando le disposizioni del codice di deontologia e di buona
condotta di cui all'art. 111 del Codice;
Considerato che il trattamento dei dati in questione può essere
autorizzato dal Garante anche d'ufficio con provvedimenti di
carattere generale, relativi a determinate categorie di titolari o di
trattamenti (art. 40 del Codice);
Considerato che le autorizzazioni di carattere generale sinora
rilasciate sono risultate uno strumento idoneo per prescrivere misure
uniformi a garanzia degli interessati, rendendo altresì superflua la
richiesta di singoli provvedimenti di autorizzazione da parte di
numerosi titolari del trattamento;
Ritenuto opportuno, dopo l'entrata in vigore del Codice,
rilasciare nuove autorizzazioni in sostituzione di quelle in scadenza
il 30 giugno 2004, armonizzando le prescrizioni già impartite alla
luce dell'esperienza maturata;
Ritenuto opportuno che anche tali nuove autorizzazioni siano
provvisorie e a tempo determinato ai sensi dell'art. 41, comma 5, del
Codice, e, in particolare, efficaci per il periodo di dodici mesi, in
relazione alla fase di prima applicazione delle nuove disposizioni
del Codice e ai lavori avviati per l'adozione del codice di
deontologia e buona condotta di cui all'art. 111 del Codice;
Considerata la necessità di garantire il rispetto di alcuni
principi volti a ridurre al minimo i rischi di danno o di pericolo
che i trattamenti potrebbero comportare per i diritti e le libertà
fondamentali, nonchè per la dignità delle persone, e, in
particolare, per il diritto alla protezione dei dati personali
sancito all'art. 1 del Codice;
Considerato che un elevato numero di trattamenti di dati sensibili
è effettuato nell'ambito dei rapporti di lavoro;
Visto l'art. 167 del Codice;
Visto l'art. 11, comma 2, del Codice, il quale stabilisce che i
dati trattati in violazione della disciplina rilevante in materia di
trattamento di dati personali non possono essere utilizzati;
Visti gli articoli 31 e seguenti del Codice e il disciplinare
tecnico di cui all'Allegato B) al medesimo Codice recanti norme e
regole sulle misure di sicurezza;
Visto l'art. 41 del Codice;
Visti gli atti d'ufficio;
Viste le osservazioni dell'Ufficio formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il prof. Stefano Rodotà;

Autorizza

il trattamento dei dati sensibili di cui all'art. 4, comma 1,
lett. d), del Codice, finalizzato alla gestione dei rapporti di
lavoro, secondo le prescrizioni di seguito indicate.
Prima di iniziare o proseguire il trattamento i sistemi
informativi e i programmi informatici sono configurati riducendo al
minimo l'utilizzazione di dati personali e di dati identificativi, in
modo da escluderne il trattamento quando le finalità perseguite nei
singoli casi possono essere realizzate mediante, rispettivamente,
dati anonimi od opportune modalità che permettano di identificare
l'interessato solo in caso di necessità, in conformità all'art. 3
del Codice.

1) Ambito di applicazione.

La presente autorizzazione è rilasciata:

a) alle persone fisiche e giuridiche, alle imprese, agli enti, alle
associazioni e agli organismi che sono parte di un rapporto di
lavoro o che utilizzano prestazioni lavorative anche atipiche,
parziali o temporanee, o che comunque conferiscono un incarico
professionale alle figure indicate al successivo punto 2, lett. b)
e c);
b) ad organismi paritetici o che gestiscono osservatori in materia di
lavoro, previsti dalla normativa comunitaria, dalle leggi, dai
regolamenti o dai contratti collettivi anche aziendali;
l'autorizzazione riguarda anche l'attività svolta:
c) dal medico competente in materia di igiene e di sicurezza del
lavoro, in qualità di libero professionista o di dipendente dei
soggetti di cui alla lettera a) o di strutture convenzionate;
d) da associazioni, organizzazioni, federazioni o confederazioni
rappresentative di categorie di datori di lavoro, al solo fine di
perseguire le finalità di cui al punto 3), lett. h).

2) Interessati ai quali i dati si riferiscono.

Il trattamento può riguardare i dati sensibili attinenti:

a) a lavoratori dipendenti, anche se prestatori di lavoro temporaneo
o in rapporto di tirocinio, apprendistato e formazione e lavoro,
ovvero ad associati anche in compartecipazione e, se necessario in
base ai punti 3) e 4), ai relativi familiari e conviventi;
b) a consulenti e a liberi professionisti, ad agenti, rappresentanti
e mandatari;
c) a soggetti che effettuano prestazioni coordinate e continuative o
ad altri lavoratori autonomi in rapporto di collaborazione con i
soggetti di cui al punto 1);
d) a candidati all'instaurazione dei rapporti di lavoro di cui alle
lettere precedenti;
e) a persone fisiche che ricoprono cariche sociali o altri incarichi
nelle persone giuridiche, negli enti, nelle associazioni e negli
organismi di cui al punto 1);
f) a terzi danneggiati nell'esercizio dell'attività lavorativa o
professionale dai soggetti di cui alle precedenti lettere.

3) Finalità del trattamento.

Il trattamento dei dati sensibili deve essere indispensabile:

a) per adempiere o per esigere l'adempimento di specifici obblighi o
per eseguire specifici compiti previsti dalla normativa
comunitaria, da leggi, da regolamenti o da contratti collettivi
anche aziendali, in particolare ai fini dell'instaurazione,
gestione ed estinzione del rapporto di lavoro, nonchè
dell'applicazione della normativa in materia di previdenza ed
assistenza anche integrativa, o in materia di igiene e sicurezza
del lavoro o della popolazione, nonchè in materia fiscale,
sindacale, di tutela della salute, dell'ordine e della sicurezza
pubblica;
b) anche fuori dei casi di cui alla lettera a), in conformità alla
legge e per scopi determinati e legittimi, ai fini della tenuta
della contabilità o della corresponsione di stipendi, assegni,
premi, altri emolumenti, liberalità o benefici accessori;
c) per perseguire finalità di salvaguardia della vita o
dell'incolumità fisica dell'interessato o di un terzo;
d) per far valere o difendere un diritto anche da parte di un terzo
in sede giudiziaria, nonchè in sede amministrativa o nelle
procedure di arbitrato e di conciliazione nei casi previsti dalle
leggi, dalla normativa comunitaria, dai regolamenti o dai
contratti collettivi, sempre che i dati siano trattati
esclusivamente per tali finalità e per il periodo strettamente
necessario al loro perseguimento. Qualora i dati siano idonei a
rivelare lo stato di salute e la vita sessuale, il diritto da far
valere o difendere deve essere di rango pari a quello
dell'interessato, ovvero consistente in un diritto della
personalità o in un altro diritto o libertà fondamentale e
inviolabile;
e) per esercitare il diritto di accesso ai documenti amministrativi,
nel rispetto di quanto stabilito dalle leggi e dai regolamenti in
materia;
f) per adempiere ad obblighi derivanti da contratti di assicurazione
finalizzati alla copertura dei rischi connessi alla
responsabilità del datore di lavoro in materia di igiene e di
sicurezza del lavoro e di malattie professionali o per i danni
cagionati a terzi nell'esercizio dell'attività lavorativa o
professionale;
g) per garantire le pari opportunità;
h) per perseguire scopi determinati e legittimi individuati dagli
statuti di associazioni, organizzazioni, federazioni o
confederazioni rappresentative di categorie di datori di lavoro o
dai contratti collettivi, in materia di assistenza sindacale ai
datori di lavoro.

4) Categorie di dati.

Il trattamento può avere per oggetto i dati strettamente
pertinenti ai sopra indicati obblighi, compiti o finalità che non
possano essere adempiuti o realizzati, caso per caso, mediante il
trattamento di dati anonimi o di dati personali di natura diversa, e
in particolare:

a) nell'ambito dei dati idonei a rivelare le convinzioni religiose,
filosofiche o di altro genere, ovvero l'adesione ad associazioni
od organizzazioni a carattere religioso o filosofico, i dati
concernenti la fruizione di permessi e festività religiose o di
servizi di mensa, nonchè la manifestazione, nei casi previsti
dalla legge, dell'obiezione di coscienza;
b) nell'ambito dei dati idonei a rivelare le opinioni politiche,
l'adesione a partiti, sindacati, associazioni od organizzazioni a
carattere politico o sindacale, i dati concernenti l'esercizio di
funzioni pubbliche e di incarichi politici, di attività o di
incarichi sindacali (sempre che il trattamento sia effettuato ai
fini della fruizione di permessi o di periodi di aspettativa
riconosciuti dalla legge o, eventualmente, dai contratti
collettivi anche aziendali), ovvero l'organizzazione di pubbliche
iniziative, nonchè i dati inerenti alle trattenute per il
versamento delle quote di servizio sindacale o delle quote di
iscrizione ad associazioni od organizzazioni politiche o
sindacali;
c) nell'ambito dei dati idonei a rivelare lo stato di salute, i dati
raccolti e ulteriormente trattati in riferimento a invalidità,
infermità, gravidanza, puerperio o allattamento, ad infortuni, ad
esposizioni a fattori di rischio, all'idoneità psico-fisica a
svolgere determinate mansioni, all'appartenenza a determinate
categorie protette, nonchè i dati contenuti nella certificazione
sanitaria attestante lo stato di malattia, anche professionale
dell'interessato, o comunque relativi anche all'indicazione della
malattia come specifica causa di assenza del lavoratore.

5) Modalità di trattamento.

Fermi restando gli obblighi previsti dagli articoli 11 e 14 del
Codice, nonchè dagli articoli 31 e seguenti del Codice e
dall'Allegato B) al medesimo Codice, il trattamento dei dati
sensibili deve essere effettuato unicamente con operazioni, nonchè
con logiche e mediante forme di organizzazione dei dati strettamente
indispensabili in rapporto ai sopra indicati obblighi, compiti o
finalità.
I dati sono raccolti, di regola, presso l'interessato.
La comunicazione di dati all'interessato deve avvenire di regola
direttamente a quest'ultimo o a un suo delegato (fermo restando
quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso o
con altro mezzo idoneo a prevenire la conoscenza da parte di soggetti
non autorizzati, anche attraverso la previsione di distanze di
cortesia.
Restano inoltre fermi gli obblighi di informare l'interessato e,
ove necessario, di acquisirne il consenso scritto, in conformità a
quanto previsto dagli articoli 13, 23 e 26 del Codice.

6) Conservazione dei dati.

Nel quadro del rispetto dell'obbligo previsto dall'art. 11, comma
1, lett. e), del Codice, i dati sensibili possono essere conservati
per un periodo non superiore a quello necessario per adempiere agli
obblighi o ai compiti di cui al punto 3), ovvero per perseguire le
finalità ivi menzionate. A tal fine, anche mediante controlli
periodici, deve essere verificata costantemente la stretta
pertinenza, non eccedenza e indispensabilità dei dati rispetto al
rapporto, alla prestazione o all'incarico in corso, da instaurare o
cessati, anche con riferimento ai dati che l'interessato fornisce di
propria iniziativa. I dati che, anche a seguito delle verifiche,
risultano eccedenti o non pertinenti o non indispensabili non possono
essere utilizzati, salvo che per l'eventuale conservazione, a norma
di legge, dell'atto o del documento che li contiene. Specifica
attenzione è prestata per l'indispensabilità dei dati riferiti a
soggetti diversi da quelli cui si riferiscono direttamente le
prestazioni e gli adempimenti.

7) Comunicazione e diffusione dei dati.

I dati sensibili possono essere comunicati e, ove necessario
diffusi, nei limiti strettamente pertinenti agli obblighi, ai compiti
o alle finalità di cui al punto 3), a soggetti pubblici o privati,
ivi compresi organismi sanitari, casse e fondi di previdenza ed
assistenza sanitaria integrativa anche aziendale, istituti di
patronato e di assistenza sociale, centri di assistenza fiscale,
agenzie per il lavoro, associazioni ed organizzazioni sindacali di
datori di lavoro e di prestatori di lavoro, liberi professionisti,
società esterne titolari di un autonomo trattamento di dati e
familiari dell'interessato.
Ai sensi dell'art. 26, comma 5, del Codice, i dati idonei a
rivelare lo stato di salute non possono essere diffusi.

8) Richieste di autorizzazione.

I titolari dei trattamenti che rientrano nell'ambito di
applicazione della presente autorizzazione non sono tenuti a
presentare una richiesta di autorizzazione a questa Autorità,
qualora il trattamento che si intende effettuare sia conforme alle
prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche
successivamente alla data di adozione del presente provvedimento,
devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di
autorizzazione per trattamenti da effettuarsi in difformità dalle
prescrizioni del presente provvedimento, salvo che, ai sensi
dell'art. 41 del Codice, il loro accoglimento sia giustificato da
circostanze del tutto particolari o da situazioni eccezionali non
considerate nella presente autorizzazione.

9) Norme finali.

Restano fermi gli obblighi previsti da norme di legge o di
regolamento, ovvero dalla normativa comunitaria, che stabiliscono
divieti o limiti in materia di trattamento di dati personali e, in
particolare, dalle disposizioni contenute:

a) nell'art. 8 della legge 20 maggio 1970, n. 300, che vieta al
datore di lavoro ai fini dell'assunzione e nello svolgimento del
rapporto di lavoro, di effettuare indagini, anche a mezzo di
terzi, sulle opinioni politiche, religiose o sindacali del
lavoratore, nonchè su fatti non rilevanti ai fini della
valutazione dell'attitudine professionale del lavoratore;
b) nell'art. 6 della legge 5 giugno 1990, n. 135, che vieta ai datori
di lavoro lo svolgimento di indagini volte ad accertare, nei
dipendenti o in persone prese in considerazione per
l'instaurazione di un rapporto di lavoro, l'esistenza di uno stato
di sieropositività;
c) nelle norme in materia di pari opportunità o volte a prevenire
discriminazioni;
d) fermo restando quanto disposto dall'art. 8 della legge 20 maggio
1970, n. 300, nell'art. 10 del d.lg. 10 settembre 2003, n. 276,
che vieta alle agenzie per il lavoro e agli altri soggetti privati
autorizzati o accreditati di effettuare qualsivoglia indagine o
comunque trattamento di dati ovvero di preselezione di lavoratori,
anche con il loro consenso, in base alle convinzioni personali,
alla affiliazione sindacale o politica, al credo religioso, al
sesso, all'orientamento sessuale, allo stato matrimoniale o di
famiglia o di gravidanza, alla età, all'handicap, alla razza,
all'origine etnica, al colore, alla ascendenza, all'origine
nazionale, al gruppo linguistico, allo stato di salute e ad
eventuali controversie con i precedenti datori di lavoro, nonchè
di trattare dati personali dei lavoratori che non siano
strettamente attinenti alle loro attitudini professionali e al
loro inserimento lavorativo.

10) Efficacia temporale e disciplina transitoria.

La presente autorizzazione ha efficacia a decorrere dal 1 luglio
2004 fino al 30 giugno 2005.
Qualora alla data della pubblicazione della presente
autorizzazione il trattamento non sia già conforme alle prescrizioni
non contenute nella precedente autorizzazione n. 1/2002, il titolare
deve adeguarsi ad esse entro il 30 settembre 2004.
La presente autorizzazione sarà pubblicata nella Gazzetta
Ufficiale della Repubblica italiana.

Roma, 30 giugno 2004

Il presidente: RODOTÀ

Il relatore: RODOTÀ

Il segretario generale: BUTTARELLI