Premessa
Ai sensi dell’art. 26, comma 1, del Codice in materia di protezione dei dati personali (approvato con il decreto legislativo 30 giugno 2003, n. 196 – cosiddetta legge sulla “privacy”) i dati sensibili (individuati all’art. 4, comma 1, lettera d), del medesimo provvedimento) possono essere trattati da soggetti privati ed enti pubblici economici soltanto previa autorizzazione del Garante per la privacy e, ove necessario, con il consenso scritto degli interessati, nell’osservanza delle disposizioni di legge.
La regola appena esposta prevede tuttavia alcune eccezioni:
A. il quarto comma, lettera a), dello stesso articolo stabilisce infatti che i dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante, “quando il trattamento è effettuato da associazioni, enti ed organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, relativamente ai dati personali degli aderenti o dei soggetti che in relazione a tali finalità hanno contatti regolari con l’associazione, ente od organismo, sempre che i dati non siano comunicati all’esterno o diffusi e l’ente, associazione od organismo determini idonee garanzie relativamente ai trattamenti effettuati, prevedendo espressamente le modalità di utilizzo dei dati con determinazione resa nota agli interessati all’atto dell’informativa ai sensi dell’articolo 13”;
B. per il comma 3, lettere a) e b), dell’art. 26 del Codice la regola non si applica al trattamento:
1. dei dati relativi agli aderenti alle confessioni religiose e ai soggetti che con riferimento a finalità di natura esclusivamente religiosa hanno contatti contatti
regolari con le stesse confessioni, effettuato dai relativi organi, oppure da enti civilmente riconosciuti, sempreché i dati non siano diffusi o comunicati fuori delle medesime confessioni;
2. dei dati riguardanti l’adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria.
Le confessioni religiose che prima dell’adozione del D.Lgs. n. 196/2003 abbiano adottato apposite garanzie relativamente ai trattamenti effettuati, possono proseguire l’attività di trattamento sulla base delle medesime.
Una specifica autorizzazione al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni è contenuta nell’Atto del Garante della privacy n. 3/2007, del 28 giugno 2007, pubblicata sulla Gazzetta Ufficiale n. 196 del 24 agosto 2007 – Supplemento ordinario n. 186).
Ambito di applicazione
L’autorizzazione è rilasciata ai seguenti enti:
a) associazioni, sia riconosciute che non riconosciute;
b) partiti e movimenti politici;
c) associazioni ed organizzazioni sindacali;
d) patronati ed associazioni di categoria;
e) casse di previdenza;
f) organizzazioni assistenziali o di volontariato;
g) federazioni e confederazioni;
h) fondazioni, comitati e ad ogni altro ente, consorzio od organismo senza scopo di lucro, dotati o meno di personalità giuridica, comprese le Onlus;
i) cooperative sociali e società di mutuo soccorso (di cui, rispettivamente, alle leggi 8 novembre 1991, n. 381 e 15 aprile 1886, n. 3818);
l) istituti scolastici, limitatamente al trattamento dei dati idonei a rivelare le convinzioni religiose e per le operazioni strettamente necessarie per l'applicazione dell'articolo 310 del decreto legislativo 16 aprile 1994, n. 297 e degli artt. 3 e 10 del decreto legislativo 19 febbraio 2004, n. 59.
Finalità dell’autorizzazione L'autorizzazione è rilasciata per il perseguimento degli scopi legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e in particolare per il perseguimento di finalità culturali, religiose, politiche, sindacali, sportive o agonistiche di tipo non professionistico,
di istruzione - anche con riguardo alla libertà di scelta dell'insegnamento religioso - di formazione, di ricerca scientifica, di patrocinio, di tutela dell'ambiente e delle cose di interesse artistico e storico, di salvaguardia dei diritti civili, nonché di beneficenza, assistenza sociale o socio-sanitaria, nonché per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, ed infine in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti
dalla normativa.
L’autorizzazione è rilasciata per l'esercizio del diritto di accesso ai documenti amministrativi, nei limiti di quanto stabilito dalla vigente normativa.
Per questi fini il trattamento dei dati sensibili può riguardare anche la tenuta di registri e scritture contabili, di elenchi, di indirizzari e di altri documenti necessari per la gestione amministrativa dell'associazione, della fondazione, del comitato o del diverso organismo, o per l'adempimento di obblighi fiscali, ovvero per la diffusione di riviste, bollettini e simili.
Qualora i predetti enti si avvalgano di persone giuridiche o di altri organismi con scopo di lucro o di liberi professionisti per perseguire le predette finalità, ovvero richiedano ad essi la fornitura di beni, prestazioni o servizi, l’autorizzazione è rilasciata anche ai medesimi organismi, persone giuridiche o liberi professionisti.
Gli enti, però, in tal caso possono comunicare alle persone giuridiche e agli organismi con scopo di lucro titolari di un autonomo trattamento, i soli dati sensibili strettamente indispensabili per le attività di effettivo ausilio alle predette finalità, con particolare riferimento alle generalità degli interessati e ad indirizzari, sulla base di un atto scritto che individui con precisione le informazioni comunicate, le modalità del successivo utilizzo, le particolari misure di sicurezza, nonché,
ove previsto, le idonee garanzie determinate. La dichiarazione scritta di consenso degli interessati deve porre tale circostanza in particolare evidenza e deve recare la precisa menzione dei titolari del trattamento e delle finalità da essi perseguite.
Le persone giuridiche e gli organismi con scopo di lucro possono trattare i dati così acquisiti solo per scopi di ausilio alle finalità predette, oltreché per scopi amministrativi e contabili.
Interessati ai quali i dati si riferiscono Il trattamento può riguardare i dati sensibili attinenti alle seguenti categorie di persone:
a) associati, soci e, se strettamente indispensabile per il perseguimento delle finalità istituzionali dell’ente, relativi familiari e conviventi;
b) aderenti, sostenitori o sottoscrittori, nonché soggetti che presentano richiesta di ammissione o di adesione o che hanno contatti regolari con l'associazione, la fondazione o il diverso organismo;
c) soggetti che ricoprono cariche sociali o onorifiche;
d) beneficiari, assistiti e fruitori delle attività o dei servizi prestati dall'associazione o dal diverso organismo, limitatamente ai soggetti individuabili in base allo statuto o all'atto costitutivo, ove esistenti, o comunque a coloro nell'interesse dei quali si può operare in base ad una previsione normativa;
e) studenti iscritti o che hanno presentato domanda di iscrizione agli istituti scolastici e, qualora si tratti di minori, loro genitori o chi ne esercita la potestà;
f) lavoratori dipendenti degli associati e dei soci, limitatamente ai dati idonei a rivelare l'adesione a sindacati, associazioni od organizzazioni a carattere sindacale e alle operazioni necessarie per adempiere a specifici obblighi derivanti da contratti collettivi anche aziendali.
Categorie di dati oggetto di trattamento
L'autorizzazione non riguarda i dati idonei a rivelare lo stato di salute e la vita sessuale.
Il trattamento può avere per oggetto gli altri dati sensibili, idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale.
Il trattamento può riguardare i dati e le operazioni indispensabili per perseguire le finalità statutarie dell’ente o, comunque, per adempiere ad obblighi derivanti dalla legge, che non possano essere adempiuti mediante il trattamento di dati anonimi o di dati personali di natura diversa.
A tal fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta pertinenza, non eccedenza e indispensabilità dei dati rispetto ai predetti obblighi e finalità, in particolare per quanto riguarda i dati che rivelano le opinioni personali. I dati che, anche a seguito delle verifiche, risultano
eccedenti o non pertinenti o non indispensabili non possono essere utilizzati. A tal fine l’ente dovrà nominare un responsabile, per la gestione sia dei dati “sensibili” che di quelli “non sensibili”. L’esito della verifica – anche in assenza di modifiche intervenute – dovrà essere riportato su di un apposito verbale debitamente sottoscritto, con una postilla che dà notizia circa il criterio di elaborazione adottato (che, si presume, non sia stato modificato rispetto alla verifica precedente).
Modalità di trattamento
Il trattamento dei dati deve essere effettuato unicamente con operazioni e mediante forme di organizzazione dei dati strettamente indispensabili in rapporto alle finalità statutarie. Ciò significa che se in linea di massima è una la persona incaricata ed autorizzata – per atto costitutivo, accordo tra i soci o per prassi concludente – ad utilizzare i dati, ciò dev’essere visto alla luce delle specifiche esigenze dell’ente, da valutarsi caso per caso.
Nel caso di pluralità di soggetti autorizzati, ciascuna autorizzazione dovrà costituire oggetto di specifica “proroga” o “revoca”, seguendo le modalità contemplate dai documenti associativi.
“I dati sono raccolti, di regola, presso l'interessato”; così si è espresso il Garante per la privacy. Di conseguenza si ritiene opportuno depositare i dati in questione anche presso la sede dell’ente, onde evitare da un lato ulteriori e rischiose formalità derivanti dalla movimentazione fisica del computer portatile,
dall’altro al fine di non dover duplicare gli archivi in occasione di ogni piccola modifica intervenuta.
In alternativa, è valida l’indicazione del domicilio di un soggetto, che però – ai fini della privacy - agisca in qualità di rappresentante dell’associazione.
Se è indispensabile comunicare o diffondere dati all'esterno dell'associazione, della fondazione, del comitato o del diverso organismo, il consenso scritto è acquisito previa idonea informativa resa agli interessati, la quale deve precisare le specifiche modalità di utilizzo dei dati, tenuto conto delle idonee garanzie adottate relativamente ai trattamenti effettuati.
Conservazione dei dati
I dati sensibili possono essere conservati per un periodo non superiore a quello necessario per perseguire le finalità e gli scopi prefissati. Relativamente ai dati “non sensibili”, stante il tenore del dettato normativo, non risulta necessario predisporre un apposito sistema di “password” sottoposto a modifica
periodica, né l’indicazione dei soggetti incaricati della manutenzione della strumentazione informatica necessaria alla conservazione dei dati.
Nome, cognome, data di nascita, nonché indirizzo di residenza e/o domicilio sono dati personali “comuni”; tutti gli altri si considerano prudenzialmente “sensibili” (come ad esempio la professione). Per cui è opportuno catalogarli alla luce del disposto normativo.
Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati a soggetti pubblici o privati, e ove necessario diffusi, solo se strettamente pertinenti alle finalità, agli scopi e agli obblighi
indicati.
I dati sensibili possono essere comunicati alle autorità competenti se necessario per finalità di prevenzione, accertamento o repressione dei reati.
I dati relativi allo stato di salute e alla vita sessuale non possono essere diffusi.
Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell'ambito di applicazione dell’autorizzazione non sono tenuti a presentare una. richiesta di autorizzazione al Garante, qualora il trattamento che si intende effettuare sia conforme alle prescrizioni suddette.
E-mail:
This email address is being protected from spambots. You need JavaScript enabled to view it.
