STUDIO DOTT. BONVICINI. Circolare n. 4 del 29 aprile 2004

Transcript

1 STUDIO DOTT. BONVICINI Circolare n. 4 del 29 aprile 2004 LA NOTIFICA AL GARANTE E L INDIVIDUAZIONE DEI CASI DI ESONERO - ULTIMI CHIARIMENTI Riferimenti: Art. 37, D.Lgs. n. 196/2003 Deliberazione Garante Privacy , n. 1 Comunicato Garante Privacy , prot. n. 9654/33365 Comunicato Garante Privacy In prossimità della scadenza del , con un apposita Deliberazione ed alcuni Comunicati, il Garante della Privacy è intervenuto per chiarire l ambito di applicazione della nuova disciplina concernente l obbligo della notifica, specificando in quali ipotesi sia possibile avvalersi dell esonero. Per le attività di trattamento dei dati non interessate dall esonero, la notifica va fatta prima dell inizio del trattamento e, per le attività già in essere all , entro il (salvo proroghe ulteriori proroghe ). L obbligo di notifica all Autorità Garante della Privacy, ossia di dichiarazione dell esistenza di un attività di raccolta e utilizzazione dei dati personali, è regolato dall art. 37, D.Lgs. n. 196/2003 (nuovo Codice della privacy). Nell ambito della nuova disciplina, in vigore dall , sono tenuti a tale adempimento soltanto i soggetti che effettuano le tipologie di trattamento dei dati ritenute potenzialmente pericolose, in quanto suscettibili di recare pregiudizio a terzi, specificamente previste dal citato art. 37, c. 1. Sul punto, lo stesso art. 37 dà facoltà al Garante di individuare, nell ambito dei trattamenti elencati dalla norma, le ipotesi di esonero dall obbligo della notifica. In forza di tale disposizione e considerata la genericità del dettato normativo, l Autorità Garante con la Deliberazione (pubblicata sulla G.U , n. 81) ha specificato, per ciascuna delle categorie previste dall art. 37, i casi di esonero, per i quali, non sussistendo il requisito della pericolosità, non scatta l obbligo della notifica. Ad integrazione di ciò, con i Comunicati del , n. 9654/33365 e del (quest ultimo riferito alle professioni sanitarie) sono stati forniti ulteriori chiarimenti in relazione alle ipotesi di esonero. Per ognuna delle fattispecie specificamente stabilite dalla norma, si riepilogano di seguito i casi di esonero individuati dal Garante, con i relativi chiarimenti forniti. DATI GENETICI E BIOMETRICI E POSIZIONE GEOGRAFICA DI PERSONE O OGGETTI (ART. 37, LETT. A) Dati genetici, biometrici o che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica

2 Trattamenti non sistematici di dati genetici o biometrici effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica. Ciò limitatamente ai dati e alle operazioni, compresa la comunicazione, indispensabili ai fini di tutela della salute o dell incolumità dell interessato o di un terzo. Trattamenti di dati genetici o biometrici effettuati nell esercizio della professione di avvocato, in relazione alle operazioni e ai dati necessari per svolgere le investigazioni difensive di cui alla Legge n. 397/2000, o comunque per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria. Ciò sempre che il diritto sia di rango almeno pari a quello dell interessato e i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente ai fini di sicurezza del trasporto. CHIARIMENTI (Comunicati e ) L esonero per gli esercenti le professioni sanitarie e gli avvocati opera anche nel caso di studi associati. La notifica deve essere effettuata solo se il trattamenti dei dati genetici è sistematico ed assume il carattere di costante e prevalente attività del medico (ad esempio, un genetista). Il trattamento dei dati genetici non va notificato quando il professionista viene a conoscenza di informazioni di tipo genetico (esame di screening o test genetici, indagini prenatali, diagnosi e cura di determinate patologie genetiche) nell ambito degli ordinari rapporti con il paziente. L esonero non è comunque applicabile in relazione ai trattamenti di dati genetici e biometrici svolti da strutture sanitarie pubbliche o private (ospedali, case di cura e di riposo, aziende sanitarie, laboratori di analisi cliniche, associazioni sportive). L esonero riguarda infatti soltanto le persone fisiche esercenti le professioni sanitarie (anche in forma associata) e non i trattamenti in quanto tali. Sono esonerati inoltre i medici titolari di trattamento in materia di igiene e sicurezza del lavoro e della popolazione. Quanto ai dati relativi alla posizione geografica di persone o oggetti, il trattamento va notificato quando permette di individuare in modo continuativo (anche con eventuali intervalli) la posizione dei soggetti e di risalire all identità degli stessi. Non vanno perciò notificati i trattamenti che consentono solo una rilevazione non continuativa del passaggio/presenza di persone od oggetti, come ad esempio in caso di: registrazione di ingressi o uscite presso luoghi di lavoro, tramite tessere elettromagnetiche, codici di accesso o altri dispositivi, a meno che, tramite la rete di comunicazione elettronica, sia possibile tracciare gli spostamenti degli interessati in determinati luoghi o aree sul territorio. In caso di utilizzo di dati biometrici la notifica è sempre obbligatoria; rilevazione di immagini o suoni, anche con impianti a circuito chiuso, in locali commerciali, professionali e aziendali, parcheggi, ecc., a meno che non sia possibile rilevare le diverse ubicazioni o spostamenti degli interessati in determinati luoghi o aree sul territorio; lettura di carte elettroniche per fornire beni o servizi, quali carte di pagamento, carte di credito o di fidelizzazione, purché i dati non siano rilevati con strumenti elettronici volti ad analizzare abitudini o scelte di consumo (in quest ultimo caso la notifica è obbligatoria). Esempio 1 Un impresa di autotrasporto ha installato un sistema di antifurto satellitare sui propri mezzi. Rientra tra i casi di esonero dalla notifica, in quanto il suddetto sistema, che consente di individuare la posizione geografica dei mezzi e relativi conducenti, risponde soltanto a finalità di sicurezza del trasporto (antifurto). L installazione di un sistema satellitare completo richiede invece l effettuazione della notifica. DATI SULLA SALUTE O SULLA VITA SESSUALE UTILIZZATI PER SERVIZI SANITARI TELEMATICI (ART. 37, LETT. B) Dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria

3 Trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti: a fini di procreazione assistita, di trapianto di organi e tessuti, indagine epidemiologica, rilevazione di malattie mentali, infettive, diffusive o di sieropositività. Ciò sempre che i trattamenti siano effettuati non sistematicamente, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica e limitatamente ai dati e alle operazioni indispensabili per la tutela della salute o dell incolumità fisica dell interessato o di un terzo; ad esclusivi fini di monitoraggio della spesa sanitaria o di adempimento di obblighi normativi in materia di igiene e sicurezza del lavoro e della popolazione. CHIARIMENTI (Comunicati e ) Con riferimento ai trattamenti relativi a procreazione assistita, trapianti, indagini epidemiologiche, rilevazione di malattie mentali, infettive, diffusive e sieropositività valgono i chiarimenti sopraesposti in ordine all esonero per i dati genetici e biometrici (non sistematicità del trattamento, effettuazione presso case di cura e ospedali, ecc.) È tenuto alla notificazione chi fornisce servizi sanitari per via telematica relativi ad una banca dati o alla fornitura di beni. Non vanno notificati i trattamenti di: dati sanitari e/o sulla vita sessuale effettuati per i servizi di assistenza o consultazione sanitaria telefonica (teleassistenza), come i servizi telefonici gestiti in ambito assicurativo che consentono di consultare esercenti le professioni sanitarie; dati sanitari organizzati in banche dati trattati manualmente (archivi cartacei); dati sanitari organizzati in banche dati informatizzate ma non collegate ad una rete telematica. Pertanto non sono tenuti alla notifica i medici che usano soltanto un PC nel proprio ufficio o che usano la posta elettronica per dialogare con i pazienti, ecc. DATI SULLA VITA SESSUALE O SULLA SFERA PSICHICA TRATTATI DA ORGANISMI NON PROFIT (ART. 37, LETT. C) Dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale Trattamenti di dati idonei a rivelare la sfera psichica di lavoratori: effettuati da associazioni, enti od organismi a carattere sindacale per adempiere esclusivamente a specifici obblighi o compiti previsti dalla normativa in materia di rapporto di lavoro o di previdenza, anche in tema di diritto al lavoro dei disabili; effettuati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico o religioso riguardo a dati di propri dipendenti o collaboratori, per adempiere esclusivamente a specifici obblighi previsti dalla normativa in materia di rapporto di lavoro o di previdenza. CHIARIMENTI (Comunicato ) L esclusione si riferisce anche ai casi in cui si deve adempiere a specifici obblighi stabiliti in base a contratto collettivo e giuridicamente rilevanti in base alla normativa in materia. Non vanno comunque notificati i trattamenti effettuati da associazioni, enti od organismi non aventi carattere politico, sindacale, religioso o filosofico, come per esempio cooperative che svolgono attività di ricovero e assistenza a malati psichici.

4 STRUMENTI ELETTRONICI PER PROFILARE INTERESSATI O UTENTI (ART. 37, LETT. D) Dati trattati con l ausilio di strumenti elettronici volti a definire il profilo o la personalità dell interessato o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti Trattamenti di dati personali: che non siano fondati unicamente su un trattamento automatizzato volto a definire profili professionali, effettuati per esclusive finalità di occupazione o di gestione del rapporto di lavoro, fuori dei casi di cui alla lettera e) del medesimo art. 37, comma 1; che non siano fondati unicamente su un trattamento automatizzato volto a definire il profilo di un investitore, effettuati esclusivamente per adempiere a specifici obblighi previsti dalla normativa in materia di intermediazione finanziaria; relativi all utilizzo di marcatori elettronici o di dispositivi analoghi installati, oppure memorizzati temporaneamente, e non persistenti, presso l apparecchiatura terminale di un utente, consistenti nella sola trasmissione di identificativi di sessione in conformità alla disciplina applicabile, all esclusivo fine di agevolare l accesso ai contenuti di un sito Internet. CHIARIMENTI (Comunicato ) Ai fini dell obbligo di notificazione, gli strumenti elettronici devono essere volti a definire o valutare il profilo o la personalità dell interessato, oppure ad analizzare le sue abitudini o scelte di consumo. Pertanto non vanno notificati i trattamenti effettuati al sono fine di: - fornire all interessato beni o servizi, utilizzando strumenti informatici finalizzati alla gestione del relativo rapporto e degli adempimenti contabili e fiscali connessi, all invio di eventuali comunicazioni informative commerciali e al controllo della qualità dei servizi offerti, senza procedere alla profilazione degli interessati; - verificare l identità o l autorizzazione di utenti o incaricati, nell ambito di sistemi di autenticazione informatica o di autorizzazione per l accesso a dati o sistemi, purché non siano trattati dati biometrici (in quest ultima ipotesi la notificazione è sempre necessaria ex lett. a); - registrare gli accessi ad un sito web per garantire la sicurezza del sistema o elaborare statistiche anonime. SELEZIONE PERSONALE PER CONTO TERZI, RICERCHE DI MERCATO E SONDAGGI DI OPINIONE (ART. 37, LETT. E) Dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie I trattamenti di dati sensibili effettuati: al solo fine di selezione di personale per conto esclusivamente di soggetti appartenenti al medesimo gruppo bancario o societario; da soggetti pubblici per adempiere esclusivamente a specifici obblighi o compiti previsti dalla normativa in materia di occupazione e mercato del lavoro; da associazioni o organizzazioni di categoria al solo fine di svolgere ricerche campionarie relativamente a dati riguardanti l adesione alla medesima associazione o organizzazione.

5 RILEVAZIONE DEL RISCHIO DI SOLVIBILITÀ ECONOMICA O DI COMPORTAMENTI ILLECITI (ART. 37, LETT. F) Dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti Trattamenti di dati personali: effettuati da soggetti pubblici per la tenuta di pubblici registri o elenchi conoscibili da chiunque; registrati in banche di dati utilizzate in rapporti con l interessato di fornitura di beni, prestazioni o servizi, o per adempimenti contabili o fiscali, anche in caso di inadempimenti contrattuali, azioni di recupero del credito e contenzioso con l interessato; registrati in banche di dati utilizzate da soggetti pubblici o privati per adempiere esclusivamente ad obblighi normativi in materia di rapporto di lavoro, previdenza o assistenza; registrati in banche di dati utilizzate da soggetti pubblici al solo fine della tenuta ed esecuzione di atti, provvedimenti e documenti, in tema di riscossione di tributi, applicazione di sanzioni amministrative, o rilascio di licenze, concessioni o autorizzazioni; relativi a immagini o suoni conservati temporaneamente per esclusive finalità di sicurezza o di tutela delle persone o del patrimonio; trattati, in base alla legge, dai soggetti autorizzati in relazione alle operazioni e ai dati necessari all esclusivo fine di prestare l attività di garanzia collettiva dei fidi e i servizi a essa connessi o strumentali ("confidi"). CHIARIMENTI (Comunicato ) Non vanno notificati i trattamenti relativi: a clienti o fornitori effettuati da liberi professionisti o organismi (ad esempio, CAAF) per adempimenti fiscali (come, ad esempio, l elaborazione delle dichiarazioni dei redditi) o contabili (come, ad esempio, redazione del bilancio) oppure per svolgere investigazioni difensive o curare la difesa in sede giudiziaria dei diritti degli assistiti; alla fornitura di beni o servizi anche in fase pre-contrattuale; a obbligazioni, comportamenti illeciti o fraudolenti, trattati solo per adempiere ad obblighi normativi in materia di rapporto di lavoro, previdenza o assistenza, comprendendo anche quelli concernenti obblighi derivanti dai contratti collettivi. Devono essere notificati i trattamenti relativi: alla riscossione dei tributi, all applicazione di sanzioni amministrative o rilascio di licenze, concessioni e autorizzazioni effettuati da privati, a meno che essi svolgano formalmente ed effettivamente la funzione di responsabile del trattamento per conto del soggetto pubblico; ad immagini o suoni che, benché registrati temporaneamente, siano inseriti in banche dati elettroniche relative a comportamenti illeciti o fraudolenti. Esempio 2 Esempio 3 Esempio 4 Un dottore commercialista elabora la contabilità e le dichiarazioni dei redditi per i propri clienti. Non è tenuto alla notifica al Garante. Restano fermi gli obblighi di rilascio dell Informativa all interessato e di acquisizione del consenso scritto in caso di trattamento di dati sensibili (lo è, ad esempio, la scelta di destinazione dell 8 per mille). Si ipotizzi che le attività di cui all esempio n. 2 siano svolte da un dottore commercialista per il tramite di una società di servizi (centro elaborazione dati) di cui è socio. Valgono i chiarimenti forniti con riferimento all esempio n. 2. Un consulente del lavoro tratta la gestione dei cedolini paga per le aziende clienti. Non è tenuto alla notifica al Garante.

6 Restano fermi gli obblighi di rilascio dell Informativa all interessato e di acquisizione del consenso scritto in caso di trattamento di dati sensibili. MODALITÀ DI PRESENTAZIONE DELLA NOTIFICA I soggetti che rientrano nelle casistiche previste dall art. 37 e per i quali non sia stato espressamente previsto, come sopra illustrato, un esonero da parte dell Autorità Garante, devono procedere alla notifica. Dall la stessa deve essere effettuata: solo in via telematica compilando il modello disponibile sul sito Internet Non è quindi più ammesso l utilizzo di modelli cartacei o floppy disk, né per la compilazione né per l invio; con sottoscrizione mediante firma digitale. Qualora il titolare del trattamento non sia in possesso di tale dispositivo, può effettuare l invio telematico attraverso un intermediario autorizzato. Tra i soggetti ad oggi convenzionati si segnalano le Poste Italiane Spa, l U.NA.P.P.A. (Unione nazionale professionisti pratiche amministrative) e l'a.l.a.r. (Associazione lavoratori autonomi riuniti). La trasmissione della notifica tramite un intermediario è effettuata ad un costo massimo di 25. NOTIFICA AL GARANTE Invio telematico Firma digitale Su apposito modello informatico La notifica va inoltrata, da parte del titolare, una sola volta e prima dell inizio del trattamento. ATTIVITÀ GIÀ IN ESSERE ALL Per le attività di trattamento in essere prima dell , la notifica, se necessaria sulla base delle nuove disposizioni, deve essere effettuata entro il (salvo proroghe), anche se è stata inviata in precedenza in base alla Legge n. 675/96. In tal caso, il titolare deve dichiarare comunque di effettuare una nuova notifica. È in ogni caso richiesta una nuova notifica: a) prima della definitiva cessazione dell attività di trattamento; b) prima che si apportino all attività di trattamento alcune modifiche agli elementi da indicare nella notifica. DIRITTI DI SEGRETERIA Per ogni notifica inviata al Garante devono essere corrisposti i diritti di segreteria, il cui importo è fissato in 150. Il pagamento può essere effettuato on line mediante carta di credito ovvero utilizzando altre modalità quali: bonifico bancario sul c/c intestato a Garante per la protezione dei dati personali, ABI CAB 03202, presso Banca Popolare di Lodi, agenzia n. 2 di Roma, via Bevagna n. 24, ROMA; versamento sul c/c/p n intestato a Garante per la protezione dei dati personali, Piazza di Monte Citorio 115/121, ROMA, causale diritti di segreteria per notifica ; indicando gli estremi del pagamento nell apposito riquadro del modello. Dott. Bonvicini