Gestione dati e privacy
Principi e nozioni generali
In questa paginaIntroduzioneIl 29 luglio 2003 è stato pubblicato in Gazzetta Ufficiale il D. Lgs. 30 giugno 2003 n. 196, “Codice in materia di protezione dei dati personali” che costituisce il Testo Unico della Privacy, inglobando e novellando allo stesso tempo le diverse disposizioni normative in materia (che si erano andate stratificando dopo l’emanazione della legge 675 del 1996) e dando attuazione alla direttiva comunitaria 58/02. Il Codice è suddiviso in tre parti: Parte I: Disposizioni Generali volte a definire le regole sostanziali per la raccolta ed il trattamento dei dati personali con riferimento generale a tutti i trattamenti, salvo quanto previsto dalle disposizioni della Parte II; Parte II: Disposizioni relative a Specifici Settori che individuano le regole applicabili a particolari ambiti (sanitario, statistico, lavoro, comunicazioni elettroniche, ecc.); Parte III: Tutela dell’interessato e sanzioni. 1 - Principio di necessità (art. 3 Codice)Il Codice introduce il principio di necessità che costituisce un ampliamento dei principi (già presenti sotto la precedente normativa) di pertinenza e non eccedenza dei dati rispetto alle finalità del trattamento. In base ad esso i sistemi informativi ed i programmi informatici dovranno essere predisposti in modo da assicurare che i dati personali siano utilizzati solo e nella misura in cui sia necessario per il raggiungimento delle specifiche finalità che il titolare si prefigge. In caso contrario sarà necessario (i) utilizzare dati in forma anonima o (ii) adottare modalità che permettano di identificare l’interessato solo in caso di necessità. Il Titolare, unitamente al Responsabile dei sistemi informativi, deve quindi preventivamente adottare procedure organizzative, informatiche e materiali che permettano al singolo incaricato l’accesso ai soli dati necessari alle sue specifiche mansioni.
2 - Nozione di dato personale (art. 4 Codice)Per dato personale si intende qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Il Codice conferisce importanza a qualunque informazione che possa consentire l’individuazione – anche indiretta – del soggetto cui l’informazione stessa si riferisce, anche attraverso elementi di tipo diverso come fotografie, filmati, estremi di documenti di identità, PIN, indirizzo IP, impronte digitali, caratteristiche biometriche, caratteri alfanumerici ecc. In base ad esso i sistemi informativi ed i programmi informatici dovranno essere predisposti in modo da assicurare che i dati personali siano utilizzati solo e nella misura in cui sia necessario per il raggiungimento delle specifiche finalità che il titolare si prefigge. In caso contrario sarà necessario (i) utilizzare dati in forma anonima o (ii) adottare modalità che permettano di identificare l’interessato solo in caso di necessità. Il Titolare, unitamente al Responsabile dei sistemi informativi, deve quindi preventivamente adottare procedure organizzative, informatiche e materiali che permettano al singolo incaricato l’accesso ai soli dati necessari alle sue specifiche mansioni.
3 - Nozione di dato identificativo (art. 4 Codice)Il dato identificativo è il dato personale che consente l’identificazione diretta del soggetto interessato, quale il nome, il cognome, la data di nascita e il codice fiscale. 4 - Nozione di dato giudiziario (art. 4 Codice)Si tratta di quei dati personali diretti a rivelare:
Il trattamento dei dati giudiziari è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichi le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili.
5 - Nozione di dato sensibile (artt. 4, 20, 22 e 26 Codice)I dati sensibili, come i dati giudiziari sopra esaminati, costituiscono un sottoinsieme dei dati personali e sono quelli inerenti a:
Ai dati sensibili la legge riserva una tutela maggiormente restrittiva: per poter trattare in modo legittimo tali dati occorre, infatti, non solo il consenso scritto dell’interessato (a seguito della relativa informativa) ma anche la previa autorizzazione del Garante. Il Garante, al fine di non sovraccaricare di adempimenti quei settori nei quali il trattamento di dati sensibili è obbligatorio per legge (si pensi ai dati dei lavoratori dipendenti o a quelli trattati per fini difensivi), emana, rinnovandole annualmente, delle Autorizzazioni Generali. Tali provvedimenti autorizzano il trattamento dei dati sensibili a categorie omogenee di Titolari e di trattamenti. 6 - Nozione di dato particolare (art. 17 Codice)Il Codice, riprendendo una categoria già introdotta dal decreto legislativo 467/01, disciplina i dati particolari senza tuttavia specificarne esaurientemente i caratteri identificativi. Tali dati sono genericamente individuati in tutte quelle informazioni (diverse da quelle sensibili e giudiziarie) il cui trattamento può comportare rischi specifici per i diritti e le libertà dei soggetti cui si riferiscono e che necessitano di particolari accorgimenti. Il loro trattamento dovrà rispettare eventuali misure ed accorgimenti che potranno essere prescritti dal Garante a seguito di verifiche preliminari. Più precisamente, i dati particolari sono definiti dal legislatore come quei dati il cui trattamento presenti rischi specifici. In generale, si tratta di dati che, pur non essendo così “delicati” come quelli sensibili e giudiziari richiedono, per il loro trattamento, il rispetto delle misure e degli accorgimenti prescritti dal Garante a garanzia dei soggetti interessati. 7 - Nozione di trattamento (art. 4 Codice)Per trattamento s’intende qualunque operazione o complesso di operazioni, che siano effettuate su dati (anche senza l'ausilio di strumenti elettronici ed anche senza registrazione in una banca di dati) con riferimento a:
E’ evidente che tali attività costituiscono un insieme ampio che comprende ogni possibile operazione su dati di clienti o di terzi che un’azienda, un ente o un diverso tipo di organizzazione detiene, a prescindere dal tipo di organizzazione (informatizzata o meno) predisposta dal Titolare.
8 - L’ambito di applicazione (art. 5 Codice)L’ambito di applicazione delle disposizioni in materia di Privacy subisce una modifica significativa rispetto alla vecchia legge. Le disposizioni del Codice regolano qualsiasi trattamento di dati personali che venga effettuato da chiunque sia “stabilito” nel territorio dello Stato, anche se i dati vengano poi detenuti all’estero. Con il termine “stabilito” il legislatore fa riferimento alla presenza di una stabile organizzazione economica anche se si tratta di una succursale, una filiale o un ufficio. Per quel che riguarda i trattamenti eseguiti al di fuori della UE, ma che impiegano strumenti (anche non elettronici) situati in Italia, non ci sono sostanziali modifiche. Sarà quindi ancora necessario che il Titolare designi un rappresentante stabilito in Italia, a meno che non si tratti di modalità di puro transito.
9 - Modalità del trattamento e requisiti dei dati (art. 11 Codice)La descrizione delle modalità di trattamento è pressoché identica a quella stabilita dalla legge 675/96. A carico del Titolare è previsto un obbligo generale di correttezza nei confronti dell’interessato in occasione di tutte le operazioni di trattamento. Secondo il Codice ogni fase del trattamento deve essere conforme a quanto previsto dalla disciplina sulla Privacy. I dati devono essere trattati per motivi determinati, espliciti e legittimi e le successive operazioni di trattamento devono essere compatibili con le finalità dichiarate al momento della raccolta. La violazione delle disposizioni relative alle modalità del trattamento comporta l’impossibilità per il Titolare di utilizzare i dati trattati. Nell’ambito delle modalità del trattamento, l’individuazione puntuale delle finalità (cioè degli scopi per cui si raccolgono determinate categorie di dati) rappresenta senza dubbio uno degli adempimenti fondamentali richiesti dalla legge. Il Titolare deve individuare e determinare preventivamente le finalità e gli scopi ai quali la raccolta ed il trattamento sono tesi; tali scopi devono essere determinati, espliciti e legittimi, non essendo ammissibile una indicazione vaga o generica.
10 - Natura della raccolta dei dati e conseguenze di un eventuale rifiutodi rispondere (art. 13 Codice)Sembra utile accennare (nell’ambito dei principi generali qui descritti) alle conseguenze di un eventuale rifiuto di fornire i dati (che non va confuso con un mancato consenso). Infatti, in base a quanto previsto dalla legge, il Titolare già nell’informativa è tenuto a specificare se il conferimento dei dati sia “obbligatorio” o “facoltativo”: nel primo caso è opportuno specificare in base a quali disposizioni vi sia l’obbligo. A tale riguardo, l’aggettivo “obbligatorio” si deve riferire ad eventuali disposizioni normative, non ad una mera decisione del soggetto che tratta i dati: ad esempio, un’impresa che offrisse un determinato servizio gratuito solo a chi fosse disposto a rilasciare determinati dati di natura personale, non potrebbe indicare che tale conferimento di dati è obbligatorio; dovrebbe invece più correttamente informare il soggetto interessato che, come conseguenza dell’eventuale rifiuto di rispondere, il servizio gratuito non può essere erogato. È inoltre necessario precisare chiaramente quali siano le conseguenze dell’eventuale rifiuto di rispondere. In merito, il Garante ha avvertito diversi soggetti economici (tra cui le banche per prime) che hanno fornito una informativa tesa a “drammatizzare” le conseguenze di un eventuale rifiuto di fornire i dati, prospettando ad esempio immediate chiusure dei rapporti di conto corrente e “spacciando” per obbligatorio il conferimento di taluni dati, che era in realtà del tutto facoltativo, essendo gli stessi semplicemente utili per azioni di marketing, da parte del titolare del trattamento. Il Garante, a tale proposito, ha chiarito che “non è conforme alla legge la prospettazione della circostanza che il rifiuto di fornire i dati personali possa comportare la mancata prosecuzione del rapporto, inducendo così l'interessato a confondere situazioni che hanno rilevanza giuridica diversa. È fondamentale, invece, che l'interessato venga posto nella condizione di distinguere se i dati che deve fornire corrispondano ad un obbligo previsto dalla legge o dal contratto in essere o invece siano solo strettamente funzionali all'esecuzione strumentale del rapporto come l’offerta di nuovi prodotti e servizi”.
| 
In questo articolo
|
Ascolta online
RSS
Scarica bNews
