(Consiglio: leggi attentamente il richiamo più importante!)
Il GARANTE:
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni e
integrazioni, in materia di tutela delle persone e di altri soggetti rispetto al
trattamento dei dati personali;
Visto, in particolare, l'articolo 22, comma 1, della citata legge n.
675/96, il quale individua come "sensibili" i dati personali idonei a rivelare
l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le
opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a
carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a
rivelare lo stato di salute e la vita sessuale;
Rilevato che tali dati possono essere trattati dai soggetti pubblici
solo in presenza di una disposizione di legge che specifichi i dati che possono essere
trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico
perseguite, senza necessità, pertanto, di un'autorizzazione di questa Autorità (articolo
22, comma 3, legge n. 675/96);
Constatato che i soggetti pubblici possono avvalersi di una
disposizione transitoria, in base alla quale i trattamenti di dati sensibili iniziati
prima dell'8 maggio 1997 possono essere proseguiti fino al 7 maggio 1998 anche in mancanza
di una disposizione di legge avente le caratteristiche predette, purché si effettui una
comunicazione a questa Autorità (articolo 41, comma 5, legge n. 675/96);
Considerato che i soggetti privati e gli enti pubblici economici
possono trattare tali dati solo previa autorizzazione di questa Autorità e con il
consenso scritto degli interessati, e che occorre quindi riferire solo a tali soggetti
l'ambito di applicazione delle autorizzazioni, fatta eccezione per il trattamento dei dati
idonei a rivelare lo stato di salute e la vita sessuale, che forma oggetto
dell'autorizzazione n. 2/1997;
Considerato che il Garante può rilasciare le autorizzazioni anche
d'ufficio, nei confronti di singoli titolari oppure, con provvedimenti generali di
determinate categorie di titolari o di trattamenti (articolo 41, comma 7, della legge n.
675/96, modificato dall'articolo 4, comma 1, del decreto legislativo 9 maggio 1997, n.
123);
Ritenuto opportuno rilasciare prima del 30 novembre 1997 una
autorizzazione generale volta a semplificare gli adempimenti previsti dalla legge n.
675/96, ad armonizzare le prescrizioni da impartire e a favorire la funzionalità
dell'Ufficio del Garante;
Rilevato che sono in fase di predisposizione alcuni decreti legislativi
per il completamento della disciplina sulla protezione dei dati personali, i quali in
attuazione della legge 31 dicembre 1996, n. 676, dovranno prevedere entro il 23 luglio
1998 alcune norme integrative riguardanti i dati sensibili, anche in attuazione delle
raccomandazioni adottate in materia dal Consiglio d'Europa;
Considerata l'opportunità che in questa fase transitoria le
autorizzazioni non rechino disposizioni particolarmente dettagliate, e ciò allo scopo di
evitare che l'attività dei titolari sia soggetta a modifiche sostanziali nel corso di un
breve periodo, ferme restando alcune garanzie per gli interessati;
Ritenuto pertanto opportuno rilasciare, allo stato, un'autorizzazione
provvisoria, anche in conformità a quanto previsto dall'emanando regolamento concernente
l'organizzazione e il funzionamento dell'Ufficio di questa Autorità;
Ritenuta, tuttavia, la necessità che l'autorizzazione prenda in
considerazione le finalità dei trattamenti, le categorie di dati, di interessati e di
destinatari della comunicazione e della diffusione, nonché il periodo di conservazione
dei dati stessi, in quanto la disciplina di questi aspetti è prevista dalla legge n.
675/96 al fini dell'applicazione delle norme sull'esonero dall'obbligo della notificazione
e sulla notificazione semplificata (articolo 7, comma 5-quater);
Considerata la necessità che sia garantito, anche nell'attuale fase
transitoria il rispetto di alcuni principi volti a ridurre al minimo i rischi di danno o
di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà
fondamentali, nonché per la dignità delle persone, specie per quanto riguarda la
riservatezza e l'identità personale, principi valutati anche sulla base delle
raccomandazioni del Consiglio d'Europa;
Considerato che un numero elevato di trattamenti di dati sensibili è
effettuato da enti e organizzazioni di tipo associativo e da fondazioni, per la
realizzazione di scopi determinati e legittimi individuati dall'atto costitutivo, dallo
statuto o da un contratto collettivo, ove esistenti, e che è pertanto necessario che tali
trattamenti formino oggetto di un'autorizzazione generale al sensi dell'articolo 41, comma
7, della legge n. 675/96;
AUTORIZZA
il trattamento dei dati sensibili di cui all'articolo 22, comma I della
legge n. 675/96 da parte di associazioni, fondazioni, comitati e altri organismi di tipo
associativo, secondo le prescrizioni di seguito indicate:
1) Ambito di applicazione e finalità del trattamento.
L'autorizzazione è rilasciata, anche senza richiesta:
L'autorizzazione è rilasciata per il perseguimento
di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o
dal contratto collettivo, ove esistenti, e in particolare per il perseguimento di
finalità culturali, religiose, politiche, sindacali, sportive o agonistiche di tipo non
professionistico, di istruzione, di formazione, di ricerca scientifica, di patrocinio, di
tutela dell'ambiente e delle cose d'interesse artistico e storico, di salvaguardia dei
diritti civili, nonché di beneficenza, assistenza sociale o socio-sanitaria.
La presente autorizzazione è rilasciata, altresì, per far valere o
difendere un diritto in sede giudiziaria, anche da parte di terzi, sempreché il diritto
da far valere o difendere sia di rango pari a quello dell'interessato, e i dati siano
trattati esclusivamente per tale finalità e per il periodo strettamente necessario per il
suo perseguimento.
Per i fini predetti, il trattamento dei dati sensibili può riguardare
anche la tenuta di registri e scritture contabili, di elenchi, di indirizzi e di altri
documenti necessari per la gestione amministrativa dell'associazione, della fondazione,
del comitato o del diverso organismo, o per l'adempimento di obblighi fiscali, ovvero per
la diffusione di riviste, bollettini e simili.
Qualora i soggetti di cui alle lettere a), b) e c) si avvalgano di
persone giuridiche o di altri organismi con scopo di lucro per perseguire le predette
finalità, e in particolare di società editoriali o centri di assistenza fiscale, la
presente autorizzazione è rilasciata anche ai medesimi organismi e persone giuridiche. I
soggetti di cui alle lettere a), b) e c), possono comunicare alle persone giuridiche e
agli organismi con scopo di lucro, titolari di un autonomo trattamento, i soli dati
sensibili strettamente indispensabili per le attività di effettivo ausilio alle predette
finalità, con particolare riferimento alle generalità degli interessati e ad
indirizzari, sulla base di un atto scritto che individui con precisione le informazioni
comunicate, le modalità del successivo utilizzo e le particolari misure di sicurezza
adottate.
La dichiarazione scritta di consenso degli interessati deve porre tale
circostanza in particolare evidenza, e deve recare la precisa menzione dei titolari del
trattamento e delle finalità da essi perseguite.
Le persone giuridiche e gli organismi con scopo di lucro, oltre a
quanto previsto nei punti 3) e 5) in tema di pertinenza e di non eccedenza dei dati,
possono trattare i dati così acquisiti solo per scopi di ausilio alle finalità predette,
ovvero per scopi amministrativi e contabili.
2) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare i dati sensibili attinenti:
3) Categorie di dati oggetto di trattamento
L'autorizzazione non riguarda i dati idonei a rivelare lo stato di
salute e la vita sessuale, ai quali si riferisce l'autorizzazione generale n. 1/1997,
pubblicata nella Gazzetta Ufficiale della Repubblica italiana 21 novembre 1997, n.
272.
Il trattamento può avere per oggetto gli altri dati sensibili di cui
all'articolo 22, comma 1, della legge 31 dicembre 1996, n. 675, idonei a rivelare
l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le
opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a
carattere religioso, filosofico, politico o sindacale.
Il trattamento può riguardare i dati e le operazioni indispensabili
per perseguire le finalità di cui al punto 1) o, comunque, per adempiere a obblighi
derivanti dalla legge, dai regolamenti, dai contratti collettivi o dalla normativa
comunitaria.
A tal fine, anche mediante controlli periodici, deve essere verificata
costantemente la stretta pertinenza e la non eccedenza dei dati rispetto ai predetti
obblighi e finalità, in particolare per quanto riguarda i dati che rivelano le opinioni e
le intime convinzioni.
4) Modalità di trattamento
Fermi restando gli obblighi previsti dagli articoli. 9, 15, 17 e 28
della legge n. 675/96; concernenti i requisiti dei dati personali, la sicurezza, i limiti
posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli
interessati, nonché il trasferimento all'estero dei dati, il trattamento dei dati
sensibili deve essere effettuato unicamente con logiche e mediante forme di organizzazione
dei dati strettamente correlate alle finalità, agli scopi e agli obblighi di cui al punto
1).
Restano inoltre fermi gli
obblighi di acquisire il consenso scritto dell'interessato e di informare l'interessato
medesimo, in conformità a quanto previsto dagli articoli 10 e 22 della legge n. 675/96.
5) Conservazione del dati
Nel quadro del rispetto dell'obbligo previsto dall'articolo 9, comma 1,
lettera e) della legge 31 dicembre 1996, n. 675, i dati sensibili possono essere
conservati per un periodo non superiore a quello necessario per perseguire le finalità e
gli scopi di cui al punto 1), ovvero per adempiere agli obblighi ivi menzionati.
Le verifiche di cui al punto 3) devono riguardare anche la pertinenza e
la non eccedenza dei dati rispetto all'attività svolta dall'interessato o al rapporto che
intercorre tra l'interessato e l'associazione, la fondazione, il comitato o il diverso
organismo, tenendo presente il genere di prestazione, di beneficio o di servizio offerto
all'interessato e la posizione di quest'ultimo rispetto all'associazione, alla fondazione,
al comitato o al diverso organismo.
6) Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati, e ove necessario diffusi,
solo se strettamente pertinenti alle finalità, agli scopi e agli obblighi di cui al punto
1) e tenendo presenti le altre prescrizioni sopra indicate.
7) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell'ambito di applicazione
della presente autorizzazione non sono tenuti a presentare una
richiesta di autorizzazione a questa Autorità, qualora il trattamento che si
intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione
per trattamenti da effettuarsi in difformità alle prescrizioni del presente
provvedimento, salvo che il loro accoglimento sia giustificato da circostanze del tutto
particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
8) Norme finali
Restano fermi gli obblighi previsti da norme di legge o di regolamento o dalla normativa comunitaria che stabiliscono divieti o limiti in materia di trattamento di dati personali.
Restano inoltre ferme le norme volte a prevenire discriminazioni, e in
particolare le disposizioni contenute nel decreto legge 26 aprile .1993, n. 122,
convertito con modificazioni, dalla legge 25 giugno 1993, n. 205, in materia di
discriminazione per motivi razziali, etnici, nazionali o religiosi e di delitti di
genocidio.
9) Efficacia temporale e disciplina transitoria
La presente autorizzazione ha efficacia a decorrere dal 30 novembre 1997, fino al 30 settembre 1998.
Qualora alla data del 30 novembre 1997 il trattamento non sia già
conforme alle prescrizioni della presente autorizzazione, il titolare può adeguarsi a
esse entro il 31 dicembre 1997, sempreché le caratteristiche del trattamento non
permettano un adeguamento entro un termine più breve.
Roma, 29/11/1997
Il Presidente: Rodotà.