TUTELA DELLA PRIVACY - INDICAZIONI PER LA REDAZIONE E PUBBLICAZIONE DEGLI ATTI DEFINIZIONI ESSENZIALI

Transcript

1 TUTELA DELLA PRIVACY - INDICAZIONI PER LA REDAZIONE E PUBBLICAZIONE DEGLI ATTI Si ritiene utile fornire indicazioni per il trattamento di dati personali oggetto di decreti e delibere pubblicabili sull Albo Pretorio on line e sul sito web aziendale, facendo il punto su quali sono gli obblighi di pubblicità previsti dalla normativa sulla Trasparenza e da specifiche disposizioni normative di settore, rispetto ai principi/vincoli per la protezione dei dati personali previsti dal CODICE PRIVACY di cui al D.Lgs. n. 196/2013 (vd. Linee Guida del Garante Privacy in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati allegato alla Deliberazione del Garante n. 243 del ). A tale proposito, si allega schema del Garante (flow- chart) molto sintetico e utile. DEFINIZIONI ESSENZIALI DATO PERSONALE = qualunque informazione relativa a persona fisica, identificata o identificabile anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale (dati comuni, sensibili, e giudiziari) DATI IDENTIFICATIVI = i dati personali che permettono l identificazione diretta dell interessato DATI PERSONALI COMUNI = ad es. nome e cognome, sesso, data e luogo di nascita, indirizzo, cod.fiscale DATI PERSONALI SENSIBILI = dati idonei a rivelare origine razziale ed etnica, convinzioni religiose, filosofiche o di altro genere, opinioni politiche, l adesione ai partiti, sindacati, associazioni od organizzazioni a carattere religioso, politico o sindacale, filosofico, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale DATI GIUDIZIARI = dati personali idonei a rivelare informazioni riguardanti i provvedimenti di cui all art.3 DPR 313/2002 in materia di casellario giudiziale, sanzioni amministrative dipendenti da reato e carichi pendenti, o la qualità di imputato o indagato ai sensi C.P.P. art 60 e 61; DATO ANONIMO = dato che in origine o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile DIFFUSIONE = il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione 1

2 PREMESSO CHE L Autorità Garante della Privacy verifica il rispetto dei principi in materia di protezione dei dati personali in ordine ai contenuti dei siti web istituzionali La persona che ritenga di aver subito un danno per effetto della diffusione dei suoi dati personali può ricorrere davanti al giudice ordinario per l azione risarcitoria SI RIPORTANO LE REGOLE BASILARI I soggetti pubblici possono diffondere dati personali solo se ciò è ammesso e previsto da una specifica disposizione di legge o di regolamento e dalla legge sulla Trasparenza (D.lgs. 33/2013), per cui in assenza di presupposti normativi è illegittima la pubblicazione on line anche solo del nome e cognome di una persona, sanzionabile ai sensi degli artt.162 e 167 del Codice. Se non esiste una norma di legge o di regolamento che impone la pubblicazione nel sito istituzionale, la pubblicazione può avvenire (è legittima) solo procedendo all anonimizzazione dei dati personali Laddove la diffusione (pubblicazione on line) di dati, informazioni e documenti, comporti un trattamento di dati personali, devono essere contemperate le esigenze di pubblicità e trasparenza con il diritto alla riservatezza, alla dignità e all identità personale (art. 2 del Codice) per evitare eccessi in un senso e nell altro, che sarebbero entrambi contrari alla legge per l Autorità Garante della Privacy l identificazione delle persone (intesa come possibilità di risalirne all identità), avviene non solo in modo diretto attraverso il nome e il cognome, ma anche indiretto, cioè, attraverso una serie di informazioni che messe insieme possono ugualmente far risalire all identità degli interessati (es: iniziali + codice fiscale o residenza o qualifica del dipendente o matricola o patologia etc, possono dare luogo a identificazione indiretta e quindi vietata e sanzionabile). Peraltro, alcuni codici identificativi quali il codice fiscale e per i dipendenti il numero di matricola, già da soli, possono consentire l identificazione del soggetto. OBBLIGHI DI PUBBLICITA PER LE PP.AA. Per le pubbliche amministrazioni, gli obblighi di pubblicazione possono scaturire da: A. OBBLIGHI DI PUBBLICAZIONE PER FINALITA DI TRASPARENZA concernenti l organizzazione e l attività delle PP.AA, e che sono quelli specificatamente individuati dal 2

3 Decreto n. 33/2013 sulla Trasparenza e dalla Delibera ANAC (ex CIVIT) n.50/2013, Allegato 1. B. OBBLIGHI DI PUBBLICAZIONE PER FINALITA DIVERSE DALLA TRASPARENZA in base a specifici obblighi di pubblicità on line contenuti in disposizioni di settore, quali gli obblighi ai fini di pubblicità legale, integrativa dell efficacia Ne deriva che: 1) le amministrazioni, prima di pubblicare sul sito web informazioni, atti e documenti (in forma integrale o per estratto, compresi gli allegati) contenenti dati personali, devono verificare che la normativa (sulla Trasparenza o altra specifica materia) preveda tale obbligo e di conseguenza, attenersi alle prescrizioni del Codice Privacy per le modalità di trattamento, in conformità dei principi e vincoli posti dai combinati disposti su Privacy e Trasparenza (D.lgs 33/2013, art. 4; Cod. Privacy art. 11 c.1, lett.d e art. 22, commi 5 e 8), che si riassumono brevemente: PRINCIPIO DI NECESSITA, art 3 del Codice = ridurre al minimo l utilizzazione dei dati personali e identificativi quando le finalità perseguite possono essere realizzate diversamente, ad esempio con dati anonimi o che consentano l identificazione solo in caso di necessità PRINCIPIO DI INDISPENSABILITA (per i dati sensibili e giudiziari) = si possono trattare solo i dati sensibili e giudiziari INDISPENSABILI per svolgere attività istituzionali che non possono essere adempiute con dati anonimi o personali di diversa natura (art. 22, c. 3, 5 e art. 68, c. 3) PRINCIPIO DI PERTINENZA E NON ECCEDENZA = (per i dati comuni) i dati eccedenti o non pertinenti o non indispensabili non possono essere utilizzati tranne che per l eventuale conservazione del documento che li contiene (art. 11, c. 1, lett.d e art. 22, c. 5 del Codice; art. 4, c. 4 del D.Lgs. 33/2013) DIVIETO (ASSOLUTO) DI DIFFUSIONE di DATI SENSIBILI IDONEI A RIVELARE LO STATO DI SALUTE art. 22 c. 8 e 9 codice; art. 4, c. 6, del D.lgs 33/13 = è vietata la pubblicazione di qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l esistenza di patologie, condizioni di invalidità, disabilità e handicap fisici e psichici DIVIETO (ASSOLUTO) DI DIFFUSIONE DI DATI SENSIBILI IDONEI A RIVELARE LA VITA SESSUALE quando la finalità è la Trasparenza (art. 4, c. 6, D.lgs ). Per altre finalità possono essere diffusi solo se indispensabili per svolgere attività istituzionali DATI GIUDIZIARI = possono essere diffusi solo se indispensabili per raggiungere le finalità della pubblicazione 3

4 2) se l obbligo normativo esiste, è necessario selezionare quali dati personali possono essere inseriti in atti e documenti, verificando caso per caso, se ricorrono i presupposti per l oscuramento di determinate informazioni, in rapporto alla finalità perseguita in base al principio di necessità e agli altri principi sopra descritti 3) per rendere effettivamente anonimo un documento non sempre basta sostituire il nome e il cognome con le iniziali dell interessato ma occorre oscurare del tutto il nominativo e le altre informazioni riferite all interessato che ne possono consentire l identificazione anche a posteriori, utilizzando l Allegato Privacy di cui infra (si veda http// 4) le PP. AA. sono tenute a mettere a disposizione solo dati personali esatti, aggiornati e contestualizzati (art. 11, c.1, lett. c Codice) 5) BENEFICIARI ECONOMICI = è esclusa la pubblicazione dei dati identificativi delle persone fisiche destinatarie dei provvedimenti di cui agli artt. 26 e 27 del D.lgs. 33/2013, qualora da tali dati sia possibile ricavare informazioni relative allo stato di salute compreso qualsiasi riferimento a invalidità, disabilità, handicap fisici e/o psichici, o alla situazione di disagio economico- sociale. Gli obblighi di pubblicazione previsti dalla Legge sulla Trasparenza di atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici e relativo elenco dei soggetti beneficiari, costituisce sì condizione legale di efficacia dei provvedimenti che ne dispongono il pagamento, ma nei limiti previsti dalla legge sopra descritti. Anche citando semplicemente la norma, soprattutto nell OGGETTO, si possono ricavare indicazioni sullo stato di salute, si pensi ad es: erogazione ai sensi della legge 104/1992, attribuzione borse di studio a soggetti portatori di handicap ; contributi per ricoveri in struttura ; indici di autosufficienza nelle attività della vita quotidiana ; Non è altresì giustificato diffondere l indirizzo dell abitazione, la residenza, il codice fiscale di persone fisiche, le coordinate bancarie (IBAN), le analitiche situazioni reddituali, secondo il principio di pertinenza e non eccedenza. 6) per la pubblicità degli esiti di prove concorsuali, prove intermedie e graduatorie finali di concorsi e selezioni pubbliche, restano salve le normative di settore che ne regolano tempi e forme di pubblicità, avendo riguardo a diffondere solo dati pertinenti e non eccedenti degli interessati: no a recapiti telefonici, indicatori Isee, indirizzi, invalidità, handicap, disabilità, etc. 7) all Albo pretorio on line gli atti devono rimanere pubblicati 15 giorni: diversamente, occorre procedere a tutelare i dati personali mediante OSCURAMENTO. RIASSUMENDO = l utilizzo dei dati personali deve essere ridotto al minimo: non devono essere inseriti dati personali vietati, eccedenti, non pertinenti, non indispensabili e sproporzionati rispetto alla finalità, per cui si forniscono alcuni accorgimenti tecnici da seguire fin dalla redazione degli atti: 4

5 ALLEGATO PRIVACY Occorre utilizzare l Allegato Privacy ogni qualvolta il provvedimento deve includere dati personali e/o sensibili quale parte integrante e sostanziale dell atto: l Allegato è strutturato per contenere tutte le informazioni coperte da riservatezza, che non andranno automaticamente in pubblicazione sull Albo Pretorio. Nel testo dell atto, quindi, verificata caso per caso la necessità di includere dati personali, tanto più se sensibili e giudiziari, verranno apposte solo le iniziali dell interessato inserendo il resto delle informazioni nell Allegato Privacy (patologia, struttura e periodo di accoglienza, importi erogati, generalità complete e quant altro possa ricondurre all identità), solo ed esclusivamente se dall oggetto, dal contenuto e dal contesto dell atto sia impossibile risalire all identità dell interessato, anche a posteriori (si pensi ad es. ad un doppio nome o doppio cognome): in tali casi, non vanno messe neanche le iniziali ed è necessario anonimizzare. OSCURAMENTO/ANONIMIZZAZIONE Dopo attenta valutazione, si può decidere di depurare il testo anche delle iniziali oltre che dei dati personali e sensibili, facendo riferimento al fascicolo del procedimento agli atti dell ufficio (istanza, istruttoria, dati personali e sensibili, etc.) che non devono essere allegati e che rimangono consultabili solo da interessati e contro- interessati. In alternativa, si può ricorrere anche a codici numerici Tipologie di atti soggetti alla tutela della privacy (tabella NON esaustiva): - Legge 104/92: riconoscimento giorni permesso lavorativo per situazioni familiari di handicap grave (la protezione deve riguardare sia l istante, cioè l operatore aziendale interessato, sia il familiare) - Concessione congedi retribuiti (ove riferibili a informazioni idonee a rivelare o stato di salute, la protezione riguarda gli interessati ed i loro familiari) - Inserimenti diagnostico- terapeutici in luoghi di cura e/o di lavoro - Riconoscimento benefici economici in denaro e non per situazioni di disagio/bisogno personale, inclusi le erogazioni per rimborso farmaci e gli assegni di cura per determinate malattie - Esiti riconoscimento inabilità temporanea o permanente all attività lavorativa - Inserimento lavorativo di appartenenti alle categorie protette - Richieste di indennità per causa di servizio - Atti che riguardano i minori (l anonimato deve estendersi a chi esercita la patria potestà o agli altri rappresentanti legali) - Concessione di aspettative dal servizio che facciano riferimento a informazioni idonee a rivelare lo stato di salute - Provvedimenti disciplinari 5

6 - Percorsi processuali e prese d atto di profili di responsabilità, anche di natura penale Tipologie di atti non soggetti alla tutela della privacy (tabella NON esaustiva): - Recesso dal servizio - Collocamento a riposo - Esiti selezioni concorsuali (senza però riferimenti a dati idonei a rivelare lo stato di salute dei candidati) - Esiti selezioni o altri provvedimenti per mobilità, comando o distacco (senza però riferimenti a dati idonei a rivelare lo stato di salute degli interessati) - Nomina componenti commissioni e liquidazione eventuali gettoni di presenza - Partecipazione a corsi di formazione ed incarichi di docenza - Esiti processuali e liquidatori di contenziosi legali e misura degli onorari (senza però riferimenti idonei a rivelare lo stato di salute degli interessati ) - Pagamento notule a professionisti e relativo ammontare - Stipula di convenzioni - Conferimento di incarichi di responsabilità di struttura o di consulenza esterna - Liquidazione e relativo importo della retribuzione di risultato - Trasformazione del rapporto di lavoro (in part- time ad esempio) - Liquidazione compensi a vario titolo erogati - Affidamento incarichi lavoro autonomo e/o libero professionale - Autorizzazioni alla copertura di posti in pianta organica o a frequenze a scopo di tirocinio Per i casi non censiti o che comunque necessitano di approfondimento gli operatori sono invitati a consultare i Referenti Privacy delle ex Aziende di appartenenza. AZIENDA U.S.L. TOSCANA NORD OVEST Referente Privacy Dr.ssa Manuela Folena