Privacy e DPS - apici.org€¦ · dre” sulla protezione dei dati personali, uniformando e...

Nadia Arnaboldi

Privacy e DPSIl decreto legislativo 30 giugno 2003, n. 196

>> Gli adempimenti per i professionistie le imprese

>> Le misure di sicurezza>> Il trasferimento dei dati all’estero

e le clausole contrattuali tipo>> La check list per le multinazionali>> I diritti dell’interessato, le forme di tutela e l'attività ispettiva del Garante>> Le sanzioni

Con formulario e modello di DPS pronti per l’uso

Aggiornamenti on line suwww.maggiolieditore.it

© Copyright 2005 by Maggioli S.p.A.Maggioli Editore è un marchio di Maggioli S.p.A.

Azienda con sistema qualità certificato ISO 9001: 2000

47822 Santarcangelo di Romagna (RN) • Via del Carpino, 8Tel. 0541/628111 • Fax 0541/622020

Internet: http://www.maggioli.itE-mail: [email protected]

Diritti di traduzione, di memorizzazione elettronica, di riproduzionee di adattamento, totale o parziale con qualsiasi mezzo sono riservati per tutti i Paesi.

Finito di stampare nel mese luglio 2005

Indice

INDICE

Presentazione ............................................................................................... 7

1. Il decreto legislativo 30 giugno 2003 n. 196 ......................................... 9

1.1 La Struttura del Codice della Privacy e le novità ........................................... 9

1.2 I principi generali........................................................................................... 12

1.3 Gli adempimenti ............................................................................................ 12

2. L’ambito oggettivo .................................................................................15

2.1 Il dato personale ........................................................................................... 15

2.2 Il trattamento del dato personale ................................................................. 162.2.1 Modalità di trattamento dei dati personali ............................................................. 17

2.2.2 Cessazione del trattamento .................................................................................. 17

2.3 I Codici di deontologia e di buona condotta ................................................ 18

3. L’ambito soggettivo ...............................................................................21

3.1 I soggetti ....................................................................................................... 213.1.1 L’interessato.......................................................................................................... 21

3.1.2 Il titolare ................................................................................................................ 22

3.1.3 Il responsabile ...................................................................................................... 22

3.1.4 Il rappresentante nel territorio dello Stato ............................................................. 23

3.1.5 L’incaricato............................................................................................................ 23

4. Gli adempimenti per le imprese e per i liberi professionisti ............24

4.1 La notificazione ............................................................................................. 244.1.1 Trattamenti di dati personali per i quali è obbligatoria

la notificazione preventiva al Garante ....................................................................... 24

4.1.2 Modalità di notificazione ....................................................................................... 25

4.1.3 Registro dei trattamenti ........................................................................................ 26

Privacy e DPS4

4.2 L’informativa ................................................................................................. 26

4.3 Il consenso dell’interessato .......................................................................... 264.3.1 Ipotesi in cui non è richiesto il consenso dell’interessato ..................................... 27

4.4 L’autorizzazione preventiva e le autorizzazioni generali ............................. 28

4.5 Le misure di sicurezza minime e idonee ...................................................... 294.5.1 Le misure di sicurezza minime ............................................................................... 294.5.1.1 Trattamenti senza l’ausilio di strumenti elettronici ................................................................ 304.5.1.2 Trattamenti con strumenti elettronici e obbligo di redazione del DPS.................................. 31

4.5.2 Le misure di sicurezza idonee .............................................................................. 33

4.6 I chiarimenti per i liberi professionisti .......................................................... 344.6.1. Le indicazioni fornite dal Garante per lo svolgimento dell’attività forense ............ 34

4.6.2. La Circolare del Consiglio Nazionale dei Dottori Commercialisti ........................ 36

4.6.3. La Circolare del Consiglio Nazionale dei Consulenti del Lavoro ........................ 36

4.6.4. L’attività dei notai e l’emanazione di un decalogo semplificato ............................ 37

4.7 Il regime di pubblicità dei dati personali degli iscrittinegli albi professionali .................................................................................... 37

5. Il trasferimento dei dati all’estero ........................................................39

5.1 Il trasferimento dei dati personali all’interno dell’Unione Europea.............. 39

5.2 Il trasferimento dei dati personali verso Paesi terzi ..................................... 395.2.1. Trasferimenti legislativamente consentiti ............................................................ 39

5.2.2. Trasferimenti consentiti sulla base di specifiche autorizzazionie le clausole contrattuali tipo..................................................................................... 40

5.2.3. Trasferimenti vietati ............................................................................................. 42

5.3 Le multinazionali e l’export di dati personali: le binding corporate rulese la check list elaborata dal Gruppo dei Garanti ............................................ 42

6. Fattispecie particolari ............................................................................44

6.1 Lavoro e previdenza sociale ......................................................................... 446.1.1. Gli annunci di lavoro e la raccolta dei curricula ................................................... 45

6.1.2. La riservatezza del fascicolo del dipendente ....................................................... 46

6.2 Pubblicità via fax, sms, mms, e-mail ............................................................. 46

6.3 La videosorveglianza .................................................................................... 47

6.4 Il trattamento di dati personali via Internet .................................................. 49

Indice 5

6.5 TV a pagamento e TV interattiva e controllo dei gustie delle abitudini dei telespettatori .................................................................. 49

6.6 Le garanzie per l’uso delle “Etichette intelligenti” (RFID) ........................... 51

6.7 Fidelity card e garanzie per i consumatori ................................................... 52

6.8 La Finanziaria 2005 e il provvedimento del Garantedel 25 maggio 2005 ......................................................................................... 56

6.9 La normativa antiriciclaggio e il trattamento dei dati personali ................... 59

6.10 La compilazione delle schede d’albergo e le garanzie per i clienti ............ 60

7. I diritti dell’interessato ed il relativo esercizio ...................................61

7.1 I diritti dell’interessato .................................................................................. 617.1.1. Diritto di accesso ................................................................................................. 61

7.1.2. Diritto di avere informazioni relative ai dati personali .......................................... 61

7.1.3. Diritto di ottenere la modifica, la cancellazione o il blocco dei propri dati ............ 61

7.1.4. Diritto di opposizione ........................................................................................... 61

7.2 L’esercizio dei diritti da parte dell’interessato ............................................. 627.2.1. Modalità di esercizio dei diritti ............................................................................. 62

7.2.2. Contributo spese ................................................................................................. 63

7.2.3. Riscontro da parte del titolare o del responsabile................................................ 64

7.3 Le forme di tutela dinanzi al Garante ....................................................................... 65

7.3.1. Reclamo circostanziato ....................................................................................... 65

7.3.2. Segnalazione ...................................................................................................... 65

7.3.3. Ricorso ................................................................................................................ 66

7.3.4. La regolarizzazione dei ricorsi irregolari .............................................................. 67

7.4 La tutela giurisdizionale ................................................................................ 68

7.5 I limiti all’esercizio dei diritti da parte dell’interessato ................................. 69

7.6 L’attività ispettiva del Garante e la collaborazionecon la Guardia di Finanza ............................................................................... 70

8. Le sanzioni ..............................................................................................72

8.1 Sanzioni civili ................................................................................................ 72

Tabella A - Adempimenti ............................................................................73

Tabella B - Scadenzario ............................................................................75

Privacy e DPS6

Tabella C - Trattamenti soggetti all’obbligo di notificazionepreventiva al garante ex art. 37 d.lgs. 196/2003 .................................76

Tabella D - Sanzioni amministrative e penali .........................................80

Nadia Arnaboldi è iscritta all’Ordine dei Dottori Commercialisti di Pavia-Voghera e al Regi-stro dei Revisori Contabili.

Svolge attività di consulenza e assistenza in materia di diritto societario, tributario e privacyper imprese industriali e commerciali sia a livello nazionale che internazionale. Si occupa dicorporate governance, riorganizzazioni societarie, operazioni straordinarie.

Consulente di Ancitel S.p.A. per la risoluzione di problematiche privacy degli Enti locali.

Presentazione 7

Presentazione

In data 1 gennaio 2004 è entrato in vigore il Decreto legislativo 30 giugno 2003 n. 196 (pubblicatosulla G.U. n. 174 del 29 luglio 2003 - S.O. n. 123) rubricato “Codice in materia di protezione di datipersonali” (c.d. Codice della Privacy), emanato in attuazione della legge delega 24 marzo 2001 n. 127ed elaborato da un’apposita commissione di studio istituita presso il Dipartimento per la funzionepubblica presieduta dal Prof. Massimo Bianca.

Il Codice della Privacy ha determinato l’abrogazione di quasi tutta la precedente normativa in ma-teria di privacy fra cui la Legge 31 dicembre 1996 n. 675, definita dallo stesso Garante la legge “ma-dre” sulla protezione dei dati personali, uniformando e coordinando l’intera legislazione vigente intema di trattamento dei dati personali.

Il legislatore non si è limitato a riunire in un unico testo normativo le disposizioni in materia di tuteladella privacy contenute nella Legge 31 dicembre 1996 n. 675 (ora abrogata) ed in tutti i decreti eprovvedimenti ad essa collegati, ma ha inoltre recepito i principi contenuti in direttive comunitarie (inparticolare nella direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vitaprivata nel settore delle telecomunicazioni) e gli orientamenti forniti dal Garante nel corso degli anni.

Le novità introdotte dal Codice della Privacy rispetto alla normativa previgente sono numerose eriguardano, in particolare, la notificazione al Garante, l’informativa da rendere ai soggetti interessati ela richiesta del relativo consenso, la designazione degli incaricati e degli eventuali responsabili altrattamento, le nuove misure di sicurezza e l’obbligo di redigere e aggiornare il documentoprogrammatico sulla sicurezza (“DPS”) entro il 31 marzo di ogni anno in caso di trattamenti construmenti informatici, riferendo circa la redazione ed aggiornamento di tale documento nella relazioneaccompagnatoria al bilancio (cfr. regola 26, Allegato B, del Codice della Privacy). Specifiche disposi-zioni sono state inoltre dettate per particolari settori e sono contenute nella parte II del Codice dellaPrivacy.

L’ambito soggettivo del Codice della Privacy è estremamente ampio: le disposizioni ivi contenutedevono infatti essere applicate da tutti i soggetti privati e pubblici (aziende, professionisti, pubblicheamministrazioni etc.), restando escluse solo le persone fisiche che trattano i dati per fini esclusiva-mente personali e a condizione che i dati trattati non siano destinati ad una comunicazione sistema-tica o alla diffusione.

Tuttavia, nonostante siano trascorsi diversi mesi dalla data di entrata in vigore del Codice dellaPrivacy, si rileva ancora parecchia confusione ed è possibile constatare che molti titolari dei tratta-menti di dati personali non si sono ancora adeguati alle nuove disposizioni.

Ciò può essere dovuto, in parte, al periodo storico di entrata in vigore del Codice della Privacycaratterizzato da altre importanti riforme (i.e. riforma del diritto societario, riforma fiscale, riforma delmercato del lavoro) con cui gli operatori si sono dovuti confrontare e, in parte, anche da errate inter-pretazioni degli interventi del Legislatore.

Ci si riferisce in particolare al termine per l’adozione delle nuove misure di sicurezza e per laredazione/aggiornamento del DPS, prorogato una prima volta dal 31 marzo al 30 giugno 2004, unaseconda volta dal 30 giugno al 31 dicembre 2004, una terza volta dal 31 dicembre 2004 al 30 giugno2005 ed infine dal 30 giugno 2005 al 31 dicembre 2005.

Privacy e DPS8

Dette proroghe hanno sortito l’effetto di riportare l’attenzione degli operatori economici sulla nuovanormativa “privacy”, ma hanno anche determinato l’errato convincimento che tutte le disposizioni intema di privacy fossero state rinviate.

In realtà ciò che deve essere chiaro è che la proroga concessa riguarda solo il termine di adozionedelle nuove misure di sicurezza e di redazione/aggiornamento del DPS.

Nessun rinvio è stato invece concesso con riferimento a tutte le altre disposizioni in vigore dal 1gennaio 2004 ed ai conseguenti adempimenti quali, a titolo esemplificativo, la comunicazione di unacorretta informativa, l’acquisizione del consenso, l’individuazione delle persone che trattano i datipersonali e che devono essere nominati “incaricati”, l’individuazione degli eventuali responsabili, lanotificazione preventiva.

Ciò che sembra mancare nei destinatari della normativa in oggetto è una cultura della privacy e lasensibilità di comprendere che l’applicazione del D.Lgs. 196/2003 non rappresenta solo un ennesimoadempimento burocratico.

Applicare correttamente il Codice della Privacy non solo evita l’irrogazione di pesanti sanzioniamministrative e penali, ma soprattutto rientra negli obblighi di corretta gestione e costituisce alcontempo un momento di analisi delle proprie procedure interne e di verifica della relativa correttezza.

Inoltre, l’adeguamento alla disciplina del Codice della Privacy ha riflessi anche in tema di bilancio:è stato infatti previsto l’obbligo di fornire indicazioni circa la redazione ed aggiornamento del DPS nellarelazione al bilancio d’esercizio.

Pertanto, il management aziendale che non ha ancora provveduto a verificare l’adeguamento dellapropria struttura alle nuove disposizioni privacy, o lo ha fatto in modo sommario, deve attivarsi con lamassima tempestività verificando la conformità delle eventuali azioni finora poste in essere.

La presente monografia ha la finalità di fornire le necessarie nozioni e gli strumenti operativi aisoggetti privati che vogliono verificare il proprio adeguamento alle nuove disposizioni privacy ed adot-tare, conseguentemente, gli opportuni rimedi. Non è oggetto della presente monografia l’esame delledisposizioni relative al trattamento effettuato da soggetti pubblici.

La monografia è suddivisa in tre parti.

La prima parte, descrittiva, fornisce le informazioni ed espone i concetti che ogni operatore deveconoscere prima di poter effettuare qualsiasi valutazione in merito a cosa fare e come. Nessunavalutazione può infatti prescindere dall’aver compreso ad esempio cosa si intende per “dato persona-le” e per “trattamento” di un dato personale. In tale ottica, sono illustrati sia gli adempimenti essenzialicomuni a tutti i soggetti privati sia alcune fattispecie particolari spesso ricorrenti nello svolgimento diun’attività economica che tengono conto degli interventi del Garante nel corso del 2004 e del 2005.

Al fine di facilitare la redazione dei documenti richiesti dalla normativa in esame, la seconda partefornisce alcuni modelli standard che possono essere modificati per tener conto delle singole specifi-cità ed utilizzati da ogni titolare di trattamento.

La terza parte fornisce la normativa di riferimento, ivi inclusi i principali interventi del Garante e leautorizzazioni generali rinnovate in data 30 giugno 2004 e pubblicate sulla Gazzetta Ufficiale dellaRepubblica Italiana del 14 agosto 2004 n. 190, S.O. n. 141.

Con riferimento a specifici settori la cui disciplina è contenuta nella Parte II del Codice della Pri-vacy, saranno illustrate unicamente le disposizioni che interessano il settore del lavoro e della previ-denza sociale e la problematica della videosorveglianza.

Infine, in considerazione del potere riconosciuto al Garante di emanare propri provvedimenti modi-ficativi ed integrativi del Codice della Privacy, è previsto un servizio di aggiornamento on-line sullenovità più rilevanti che sarà attivo fino alla data del 31 dicembre 2005.

Il decreto legislativo 30 giugno 2003, n. 196 9

1. Il decreto legislativo 30 giugno 2003 n. 196

1.1 La Struttura del Codice della Privacy e le novità

Il Codice della Privacy è composto da 186 articoli ed è strutturato in tre parti:

Sono inoltre allegati al testo legislativo i Codici di deontologia e buona condotta (Allegati A1, A2, A3,A4, A5) ed il Disciplinare Tecnico in materia di misure minime di sicurezza (Allegato B). E’ previstoinoltre un Allegato C (“trattamenti non occasionali effettuati in ambito giudiziario o per fini di polizia”)non ancora pubblicato.

Il Codice della Privacy, per esplicita previsione legislativa, è altresì oggetto di modifiche ed integrazioniin seguito a provvedimenti di carattere generale da parte del Garante ed all’adozione di nuovi Codici dideontologia e buona condotta.

Si illustrano sinteticamente nel prosieguo le principali novità introdotte dal Codice della Privacyrispetto alla previgente normativa.

InformativaE’ confermato l’adempimento dell’informativa agli interessati preventiva al trattamento dei dati. Il

Garante può, comunque, individuare modalità semplificate in particolare per i servizi telefonici di assi-stenza e informazione al pubblico (call center).

ConsensoResta sostanzialmente confermata la necessità del consenso, ma si prevedono alcune altre ipo-

tesi di esonero con riferimento a settori specifici.

NotificazioneSemplificata la notificazione, ovvero l’atto con cui l’impresa, il professionista o la pubblica ammini-

strazione segnala all’Autorità i trattamenti di dati che intende effettuare. La notificazione dovrà essereeffettuata solo in particolari casi di trattamento di dati sensibili (specie se sanitari) con determinatemodalità d’uso, ma anche per trattamenti particolarmente a rischio, effettuati con strumenti elettroni-ci, nel campo della profilazione dei consumatori, oppure in relazione a procedure di selezione del

> una prima parte dedicata alle disposizioni di carattere generale (artt. da 1 a 45);

> una seconda parte che contiene disposizioni relative a specifici settori (artt. da 46 a 140);

> una terza parte dedicata invece alla tutela dell’interessato e alle modalità con cui il medesimopuò esercitare i propri diritti, ai compiti e poteri del Garante, alle sanzioni e al regime transitorio(artt. 141-186).

Privacy e DPS10

personale e ricerche di marketing, nonché in ipotesi di utilizzo di informazioni commerciali e relativealla solvibilità.

Diminuiscono le ipotesi di notifica obbligatoria, e vengono snellite anche le modalità della stessa:solo per via telematica, seguendo le indicazioni del Garante quanto all’utilizzo della firma digitale.

LavoroViene confermata l’elaborazione di un codice di deontologia e buona condotta che dovrà fissa-

re regole per l’informativa ed il consenso anche degli annunci per finalità di occupazione (selezionedel personale) e della ricezione dei curricula. Il Codice affronta anche la questione dei controlli adistanza con la riaffermazione di quanto sancito dall’articolo 4 dello Statuto dei lavoratori (legge 300/1970). Il lavoratore domestico è tenuto a mantenere la necessaria riservatezza per tutto quanto siriferisce alla vita familiare.

TelecomunicazioniI cittadini potranno meglio scegliere se essere inseriti nell’elenco telefonico o le modalità con le

quali comparire sull’elenco: potranno decidere, in particolare, se far usare i loro numeri telefonici eindirizzi anche per informazioni commerciali o solo per comunicazioni interpersonali. Vengono previ-ste misure per combattere il fenomeno delle chiamate di disturbo. E’ inoltre confermato il diritto aricevere, su richiesta, fatture dettagliate (con le ultime tre cifre “in chiaro”) in caso di contestazione.

SpammingL’invio di messaggi attraverso sistemi automatizzati (Sms, Mms, fax, posta elettronica) richiede il

consenso degli interessati. Il cliente deve essere informato della possibilità di opporsi a “messaggiindesiderati”.

Internet, videosorveglianza, direct marketing, “centrali rischi” privatePer settori così delicati il codice conferma la previsione di appositi codici deontologici che fissano

regole specifiche.

Si segnala che il Garante ha emanato un proprio provvedimento di carattere generale in data 29aprile 2004 in tema di videosorveglianza, ritenendo opportuno aggiornare ed integrare il provvedimen-to del 29 novembre 2000 ed al fine di conformare il trattamento di dati personali mediantevideosorveglianza con il Codice della Privacy ed altre disposizioni vigenti. Inoltre, con riferimento allec.d. “centrali rischi”, è stato sottoscritto in data 12 novembre 2004 il codice di deontologia e di buonacondotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità epuntualità nei pagamenti (ex “centrali rischi”). Il predetto codice di deontologia e di buona condotta èstato presentato dal Garante in data 9 dicembre 2004 ed è entrato in vigore il 1 gennaio 2005.

SanitàIn ambito sanitario si semplifica l’informativa da rilasciare agli interessati e si consente di manife-

stare il necessario consenso al trattamento dei dati con un’unica dichiarazione resa al medico di fami-glia o all’organismo sanitario (il consenso vale anche per la pluralità di trattamenti a fini di salute erogatida distinti reparti e unità dello stesso organismo, nonché da più strutture ospedaliere e territoriali).

Per il settore sanitario vengono inoltre codificate misure per il rispetto dei diritti del paziente:distanze di cortesia, modalità per appelli in sale di attesa, certezze e cautele nelle informazioni telefo-niche e nelle informazioni sui ricoverati, estensione delle esigenze di riservatezza anche agli operato-ri sanitari non tenuti al segreto professionale.


A decorrere dal 1 gennaio 2005 sono state introdotte le cosiddette ricette impersonali, la possibi-lità cioè di non rendere sempre e in ogni caso immediatamente identificabili in farmacia gli intestataridi ricette attraverso un tagliando predisposto su carta copiativa che, oscurando il nome e l’indirizzodell’assistito, consente comunque la visione di tali dati da parte del farmacista nei casi in cui sianecessario.

Per i dati genetici viene previsto il rilascio di un’apposita autorizzazione da parte del Garante,sentito il Ministro della salute.

Per quanto riguarda le cartelle cliniche sono previste particolari misure per distinguere i datirelativi al paziente da quelli eventualmente riguardanti altri interessati (comprese le informazioni rela-tive ai nascituri), ma anche specifiche cautele per il rilascio delle cartelle cliniche a persone diversedall’interessato.

Trattamento dati personali in ambito giudiziarioVengono meglio garantiti i diritti della personalità delle parti. Il Codice prevede anche che l’interes-

sato possa chiedere, nel processo, di apporre sulla sentenza un’annotazione con la quale si avvisache, in caso di pubblicazione del verdetto su riviste giuridiche o su supporti elettronici o di diffusionetelematica, devono essere omessi i dati dell’interessato. La versione della sentenza così pubblicatava sempre “criptata” quando si tratta di minori.

Con disposizione espressa si attribuisce maggiore tutela ai minori non solo nel processo penale,ma anche nei procedimenti civili e amministrativi.

Pubblica amministrazioneIl Codice innova anche, raccogliendo indicazioni del Garante, nella materia della notificazione degli

atti giudiziari e degli atti amministrativi e impone la regola della busta chiusa per i casi di notificaeffettuata a persona diversa dal destinatario.

Viene sancita espressamente la necessità per gli enti pubblici di approvare regolamenti per i trat-tamenti dei dati sensibili, ma solo con il parere conforme del Garante.

Liste elettoraliLe liste elettorali non possono essere più usate per promozione commerciale, ma solo per scopi

collegati alla disciplina elettorale e per finalità di studio, ricerca statistica, scientifica o storica o acarattere socio assistenziale.

SanzioniSanzioni pecuniarie e penali aumentate per chi viola la privacy, in particolare per l’uso dei dati

senza consenso degli interessati, per il mancato adempimento nei confronti di un provvedimento delGarante, per la mancata informativa agli interessati sull’uso che si intende fare dei dati che li riguardano.

Misure di sicurezzaVengono rafforzate, in un quadro di evoluzione tecnologica, le misure di sicurezza contro i rischi di

distruzione, intrusione o uso improprio. Alle precauzioni già previste nella normativa precedente(password, codici identificativi, antivirus etc.) che sono entrate in vigore il 1 gennaio 2004, se neaggiungono altre come: password di non meno di otto caratteri, autenticazione informatica, sistemi dicifratura, procedure per il ripristino dei dati, etc.

Privacy e DPS12

1.2 I principi generali

Il diritto alla protezione dei dati personali, già previsto nella Carta dei diritti fondamentali dell’UnioneEuropea, è riconosciuto dal Codice della Privacy come un diritto fondamentale della persona accantoal diritto alla riservatezza e all’identità personale.

L’art. 1 del Codice della Privacy recita infatti che “chiunque ha diritto alla protezione dei datipersonali che lo riguardano”.

Ai fini di tutelare tale diritto, il trattamento dei dati personali deve svolgersi nel rispetto dei diritti edelle libertà fondamentali nonché della dignità dell’interessato.

Infatti, come enunciato dall’art. 2 del Codice della Privacy, finalità del Codice stesso è di garantireche “il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonchédella dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e aldiritto alla protezione dei dati personali” e assicurando “un elevato livello di tutela dei diritti edelle libertà” citate, in un’ottica di semplificazione, armonizzazione ed efficacia delle modalità previsteper il loro esercizio da parte degli interessati, da un lato, e per l’adempimento degli obblighi da partedei titolari del trattamento, dall’altro lato.

Il trattamento dei dati personali deve inoltre essere svolto nel rispetto del principio di necessitànel trattamento dei dati di cui all’art. 3 del Codice della Privacy.

In base a tale principio il titolare del trattamento dei dati deve ridurre al minimo l’utilizzo di datipersonali e di dati identificativi quando le finalità di detto utilizzo possono comunque essere realizzatemediante dati anonimi ovvero con modalità tali che consentano di identificare l’interessato solo incaso di necessità.

1.3 Gli adempimenti

Gli adempimenti che i titolari del trattamento devono porre in essere dipendono dai dati personalioggetto di trattamento (i.e. comuni, sensibili, giudiziari, semisensibili), dalle modalità di trattamento(con strumenti elettronici e non), dalla tipologia di titolari (privati, enti pubblici, soggetti appartenenti aparticolari settori) nonché dalla struttura di riferimento.

Non esiste una regola valida per tutti i titolari. Ogni titolare dovrà invece svolgere delle verifichepreliminari e valutare quali disposizioni del Codice della Privacy sono applicabili nel proprio caso.

Molto inoltre dipenderà dall’organizzazione aziendale interna: una struttura già organizzata (vale adire dotata di un manuale operativo di procedure aziendali che individua le diverse funzioni aziendali)avrà sicuramente meno difficoltà ad applicare la normativa privacy rispetto ad una strutturadisorganizzata.

In ogni caso, i seguenti adempimenti essenziali minimi coinvolgono tutti i destinatari della normativa:

Notificazione preventivaDeve essere effettuata prima di ogni trattamento e solo nelle ipotesi previste dall’art. 37 del Codice

della Privacy e dai successivi provvedimenti del Garante (cfr. Tabella C)

Informativa ex art. 13Deve essere resa agli interessati prima di qualsiasi trattamento di dati personali.


ConsensoDeve essere raccolto prima di qualsiasi trattamento di dati personali, tranne nei casi previsti dall’art.

24 del Codice della Privacy.

Autorizzazione del GaranteDeve essere richiesta nei modi previsti dall’art. 41 del Codice della Privacy nel caso di trattamento

di dati sensibili e giudiziari, tranne nel caso in cui il trattamento rientri nell’ambito delle autorizzazionigenerali ex art. 40 del Codice della Privacy.

Nomina degli “incaricati”Deve essere formulata per iscritto in relazione al trattamento svolto da ogni persona su incarico

del titolare o del responsabile.

Nomina del/dei responsabile/iDeve essere formulata per iscritto. Si tratta di un adempimento facoltativo ma nella maggior parte

dei casi necessario.

Adozione delle misure minime di sicurezzaDevono essere adottate per qualsiasi trattamento, sia cartaceo sia con strumenti informatici, se-

condo le modalità previste dagli artt. 31-36 e dal disciplinare tecnico di cui all’Allegato B del Codicedella Privacy.

Redazione del Documento Programmatico sulla Sicurezza (DPS)

Tale adempimento è obbligatorio solo in caso di trattamento di dati con strumenti elettronici.

A ciò si aggiungono ulteriori adempimenti quali a titolo esemplificativo

> Verificare i dati personali trattati e controllare la pertinenza e la non eccedenza deglistessi rispetto alle finalità della raccolta;

> Controllare l’esattezza dei dati personali e, eventualmente, provvedere al relativo aggior-namento;

> Conservare i dati personali per il periodo di tempo necessario agli scopi per cui sonostati raccolti, superato il quale i dati personali devono essere cancellati ovvero trasformati informa anonima;

> Rispondere tempestivamente alle richieste degli interessati: in caso di mancata rispo-sta entro il termine massimo di 15 giorni l’interessato può rivolgersi al Garante ex artt. 145 ss. delCodice della Privacy;

> Aggiornare semestralmente i software antivirus (Allegato B, punto 16, del Codice dellaPrivacy) dei propri strumenti informatici e, nel caso di dati sensibili e giudiziari, dei programmi voltia prevenire la vulnerabilità di strumenti elettronici ed a correggerne i difetti (Allegato B, punto 17, delCodice della Privacy);

> Aggiornare annualmente (entro il 31 marzo di ogni anno) il DPS;

> Rivedere annualmente il piano di formazione degli incaricati;> Fornire indicazioni nella relazione al bilancio d’esercizio circa la redazione o aggior-

namento del DPS.

Privacy e DPS14

Si rinvia inoltre alla Tabella A allegata in calce alla presente Parte I, ove sono riassunti in formaschematica gli adempimenti essenziali e periodici.

In ogni caso, deve essere inteso che nessuno degli adempimenti sopra indicati può pre-scindere da un esame preliminare della propria struttura.

Ad esempio un’informativa ex art. 13 redatta senza una preventiva corretta analisi dei dati perso-nali trattati (verificando altresì se il trattamento di quei dati necessita del preventivo consenso dell’inte-ressato ovvero se può rientrare nei casi in cui si può prescindere dal consenso degli interessati) saràsicuramente un’informativa sbagliata che può determinare conseguenze in capo al titolare ovvero alresponsabile che l’ha resa.

Ogni operatore che si trova nella situazione di dover applicare il Codice della Privacy dopo avercompreso il significato dei termini “privacy” definiti nell’art. 4 (i.e. interessato, dato personale, datosensibile, incaricato, informativa etc.) dovrà pertanto porsi anzitutto le seguenti domande:

In base a quanto emergerà da detta analisi, il titolare ovvero il responsabile del trattamento potràcorreggere eventuali comportamenti scorretti e predisporre un dossier privacy che rappresenti il pun-to di riferimento non solo per la prima implementazione del Codice della Privacy ma anche per isuccessivi adempimenti periodici.

- Quali sono i dati personali trattati dalla mia struttura e a chi si riferiscono?- Sono trattati solo dati comuni ovvero anche dati sensibili e/o giudiziari?- I dati sono trasferiti anche all'estero?- Chi tratta i dati personali all’interno della struttura e con quali mezzi?- Sono stati nominati gli incaricati del trattamento?- E' stato nominato un eventuale responsabile del trattamento?- Sono stati nominati eventuali responsabili esterni?- I soggetti a cui i dati personali si riferiscono (c.d. interessati) sono stati previamente informati conforme-

mente alle indicazioni contenute nell’art. 13 del Codice della Privacy?- Il trattamento effettuato è conforme all’informativa resa?- Il trattamento di quei dati richiede il consenso degli interessati?- Il trattamento di quei dati rientra nell’ambito delle sette autorizzazioni generali del Garante?- E’ stata effettuata la notificazione preventiva, se del caso?- Sono necessari tutti i dati trattati ovvero alcuni possono essere resi in forma anonima ovvero cancellati?- Sono state fornite idonee istruzioni agli incaricati del trattamento circa le modalità da seguire per il

trattamento dei dati e la loro messa in sicurezza?- Sono state adottate idonee misure di sicurezza?- E’ stato redatto il DPS?

L’ambito oggettivo 15

2. L’ambito oggettivo

2.1 Il dato personale

L’art. 5 del D.Lgs. 196/2003 (“Codice della Privacy”), che disciplina l’ambito di applicazione, dispo-ne che il Codice della Privacy si applica al trattamento di dati personali, anche se detenuti all’estero,effettuato da chiunque è stabilito nel territorio dello Stato ovvero in altro luogo comunque soggetto allasovranità dello Stato.

Si applica inoltre al trattamento di dati personali effettuato da chiunque è stabilito nel territorio di unpaese non appartenente all’Unione Europea ed impiega per il trattamento strumenti situati nel territo-rio dello Stato anche diversi da quelli elettronici con obbligo, in tale ipotesi, di nominare un propriorappresentante nel territorio dello Stato, salvo che ci si avvalga di strumenti situati nel territorio delloStato solo per far transitare i dati all’interno dell’Unione Europea.

E’ pertanto essenziale comprendere cosa si intende per “dato personale”.

Al riguardo l’art. 4 del Codice della Privacy dispone che per “dato personale” deve intendersi:

“qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione,identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra infor-mazione, ivi compreso un numero di identificazione personale”.

Dalla definizione fornita dal legislatore si evince come rientrano nell’ambito di applicazione dellanormativa in esame anche tutte quelle informazioni che consentono di risalire all’interessato, mentrerestano esclusi dall’altro lato i dati che non possono essere associati ad alcun soggetto identificato odidentificabile (c.d. dati anonimi) quali ad esempio i dati statistici.

Nell’ambito della categoria dei dati personali il legislatore individua i “dati sensibili” definiti come: “idati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosoficheo di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni o organizza-zioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei arivelare lo stato di salute e la vita sessuale”.

Il legislatore individua inoltre nell’ambito della categoria dei dati personali anche i “dati giudiziari”definiti come: “dati personali idonei a rivelare provvedimenti di cui all’art. 3, comma 1, lettere daa) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, dianagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o laqualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale”.

Infine, esiste la categoria dei “dati c.d. semisensibili” disciplinati dall’art. 17 del Codice della Privacy.

A titolo esemplificativo è un dato personale il nome, il cognome, la denominazionesociale, l’indirizzo (anche di e-mail), il codice fiscale, la partita IVA, il numero di conto corrente, ilnumero di telefono, il numero di cellulare, così come tutte quelle informazioni che sono in grado in

qualunque modo di ricondurre ad un determinato soggetto.

Privacy e DPS16

Si tratta dei: “dati diversi da quelli sensibili e giudiziari il cui trattamento presenta rischispecifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazio-ne alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare”.

E’ importante distinguere quali dati personali sono trattati da ciascun operatore perché la tutelaprevista dal legislatore è maggiore per i dati sensibili e giudiziari rispetto ai dati comuni.

2.2 Il trattamento del dato personale

Come indicato nel precedente paragrafo, il Codice della Privacy si applica al trattamento dei datipersonali.

Ma quando si è in presenza di un “trattamento” di dati personali?

Ai sensi dell’art. 4 del Codice della Privacy, per “trattamento” deve intendersi: “qualsiasi opera-zione o complesso di operazioni, svolte manualmente o in modo automatizzato, concernentila raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazio-ne, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco,la comunicazione, la diffusione, la cancellazione e la distruzione dei dati, anche se questi nonsono ancora registrati in una banca di dati”.

Occorre precisare che:

La comunicazione e la diffusione dei dati personali sono vietate espressamente dall’art. 25 delCodice della Privacy nei seguenti casi:

Come accennato nel precedente paragrafo, la tutela prevista dal legislatore è maggiore in caso ditrattamento di dati personali sensibili e giudiziari rispetto al trattamento di dati comuni.

Premesso che in ogni caso deve essere resa all’interessato l’informativa ex art. 13, il legislatoreprevede i seguenti vincoli.

>> Il trattamento di dati comuni è ammesso solo con il consenso espresso dell’interessato, adeccezione delle ipotesi indicate nell’art. 24 del Codice della Privacy come illustrato nel successivo cap. 4.

Per il trattamento di dati sensibili e giudiziari è stata invece dettata una disciplina più rigorosa.

>> Nel caso di trattamento di dati sensibili è richiesto, oltre al consenso espresso dell’interessa-to, anche la preventiva autorizzazione del Garante (art. 26 del Codice della Privacy), mentre nel casodi trattamento di dati giudiziari è richiesta un’autorizzazione da espressa disposizione di legge o da

> con il termine comunicazione si intende il “dare conoscenza dei dati personali a uno o piùsoggetti diversi dall’interessato, dal rappresentante del titolare nel territorio dello Stato, dal respon-sabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o con-sultazione”;

> con il termine diffusione si intende il “dare conoscenza dei dati personali a soggetti indeter-minati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”;

> mentre con il termine banca dati si intende “qualsiasi complesso organizzato di dati persona-li, ripartito in una o più unità dislocate in uno o più siti”.

- per divieto disposto dal Garante o dall’autorità giudiziaria;- con riferimento ai dati personali dei quali è stata ordinata la cancellazione;- quando è decorso il periodo di tempo che ne giustifica la relativa detenzione;- per finalità diverse da quelle indicate nella notificazione del trattamento.


un provvedimento del Garante (art. 27 del Codice della Privacy), tranne nelle ipotesi in cui il tratta-mento dei dati sensibili e giudiziari rientri nei casi previsti nelle autorizzazioni generali rilasciate dalGarante ai sensi dell’art. 40 del Codice della Privacy ovvero nelle esimenti previste dall’art. 24 delCodice della Privacy.

>> Per quanto riguarda invece il trattamento dei dati c.d. semisensibili, lo stesso è ammessosolo nel rispetto di misure e accorgimenti prescritti dal Garante nell’ambito di una verifica preliminareall’inizio del trattamento anche in relazione a determinate categorie di titolari o di trattamenti ed anchea seguito di un interpello del titolare.

2.2.1 Modalità di trattamento dei dati personali

Il legislatore detta apposite disposizioni relative alle modalità di trattamento dei dati personali, la cuiinosservanza determina l’impossibilità del relativo utilizzo (cfr. art. 11, comma 2).

L’art. 11 del Codice della Privacy dispone infatti che i dati personali devono essere:

Chiunque tratti dati personali in violazione delle predette modalità incorre, oltre che nelle sanzionispecifiche previste dal Codice della Privacy, anche in responsabilità ex art. 2050 del codice civile incaso di danno anche non patrimoniale.

2.2.2 Cessazione del trattamento

In caso di cessazione del trattamento di dati personali per qualsiasi causa, il Codice della Privacyprevede (art. 16) che i dati siano:

La cessione dei dati in violazione della precedente lettera b) o di altre disposizioni rilevanti in mate-ria di trattamento dei dati personali è priva di effetti ed è punita con la sanzione amministrativa delpagamento di una somma da euro cinquemila a trentamila.

- trattati in modo lecito e secondo correttezza;- raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del tratta-

mento in termini compatibili con tali scopi;- esatti e, se necessario aggiornati;- pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente

trattati;- conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non

superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

a) distrutti;b) ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i

dati sono raccolti;c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla

diffusione;d) conservati o ceduti ad altro titolare per scopi storici, statistici o scientifici, in conformità alla legge, ai

regolamenti, alla normativa comunitaria e ai Codici di deontologia e di buona condotta.

Privacy e DPS18

2.3 I Codici di deontologia e di buona condotta

Nell’ambito delle modalità di trattamento dei dati personali è necessario tener conto anche delledisposizioni contenute nei Codici di deontologia e buona condotta relativi a specifici settori la cuisottoscrizione è promossa dal Garante a norma dell’art. 12 del Codice della Privacy. I Codici dideontologia e buona condotta sono pubblicati sulla Gazzetta Ufficiale della Repubblica Italiana a curadel Garante e riportati nell’Allegato A del Codice della Privacy con decreto del Ministro della Giustizia.

Come disposto dall’art. 12, comma 3, del Codice della Privacy, il rispetto delle disposizioni conte-nute nei Codici di deontologia e buona condotta rappresenta la condizione essenziale per la liceità ecorrettezza del trattamento dei dati personali.

Ciò ovviamente non esime dall’obbligo di rendere l’informativa ex art. 13 e di raccogliere il consen-so dell’interessato, se dovuto, prima di procedere a qualsiasi trattamento di dati personali, secondo lemodalità contenute nel Codice della Privacy.

Ad oggi risultano adottati i seguenti cinque codici di deontologia e buona condotta:A.1. – Codice di deontologia relativo al trattamento dei dati personali nell’esercizio dell’attività giornalisticaA.2. – Codice di deontologia relativo al trattamento dei dati personali per scopi storiciA.3. – Codice di deontologia relativo al trattamento dei dati personali a scopi statistici in ambito SistanA.4. – Codice di deontologia relativo al trattamento di dati personali per scopi statistici e scientifici.A.5. – Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di

crediti al consumo, affidabilità e puntualità nei pagamenti.Si segnala in particolare che il codice di deontologia e di buona condotta per i sistemi infor-

mativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei paga-menti di cui alla precedente lettera A.5, sottoscritto in data 12 novembre 2004, presentato dal Garantein data 9 dicembre 2004 e pubblicato sulla Gazzetta Ufficiale della Repubblica Italiana del 23 dicem-bre 2004, n. 300, è entrato in vigore il 1 gennaio 2005 anche se il Garante ha concesso ai relatividestinatari il maggior termine del 30 aprile 2005 per adottare le nuove misure.

Detto codice di deontologia e di buona condotta trova applicazione nell’ambito del trattamento didati personali effettuato per il rilascio di prestiti personali, mutui, finanziamenti per l’acquisto di beni diconsumo, dilazioni di pagamento, rilascio di carte di credito etc..

In considerazione della notevole rilevanza che esso riveste a livello di operatività quotidiana, ven-gono individuati nel seguito i principali tratti salienti.

CODICE DI DEONTOLOGIA E DI BUONA CONDOTTA PER I SISTEMI INFORMATIVIGESTITI DA SOGGETTI PRIVATI IN TEMA DI CREDITI AL CONSUMO, AFFIDABILITÀ

E PUNTUALITA’ NEI PAGAMENTIDestinatari del nuovo codice di deontologia e buona condotta sono tutti i titolari soggetti privati (c.d.

“gestori”) che gestiscono un sistema di informazioni creditizie (Sic), nonché i soggetti privati che invirtù di un contratto o accordo con il gestore partecipano al relativo sistema di informazioni creditiziee possono utilizzare i dati presenti nel sistema (c.d. “partecipanti”). Il Garante precisa che, fatta ecce-zione dei soggetti che esercitano attività di recupero crediti, il partecipante può essere una banca, unintermediario finanziario o un altro soggetto privato che, nell’esercizio di un’attività commerciale oprofessionale, concede una dilazione di pagamento del corrispettivo per la fornitura di beni o servizi.

Non rientrano nell’ambito delle predette disposizioni i sistemi informativi di cui sono titolari soggettipubblici, e in particolare, il servizio di centralizzazione dei rischi gestito dalla Banca d’Italia. Con riferi-mento invece al sistema centralizzato di rilevazione dei rischi di importo contenuto istituito con delibe-razione Cicr del 3 maggio 1999 trovano applicazione alcuni principi in materia di informativa agliinteressati e di esercizio dei diritti, ove compatibili con la disciplina speciale di riferimento. In partico-lare, entro il 30 aprile 2005 sia il gestore del sistema centralizzato di rilevazione dei rischi di importocontenuto sia i relativi partecipanti devono adottare le misure necessarie per l’applicazione degli artt.


5 e 8, commi 1, 2, 3, 4 e 5, primo periodo, del codice di deontologia e di buona condotta in tema diinformativa agli interessati e di esercizio dei diritti, ad integrazione di quanto previsto nel punto 3 delleistruzioni della Banca d’Italia.

Con riferimento all’ambito oggettivo, il codice di deontologia e di buona condotta detta specifichedisposizioni relative al trattamento di dati personali contenuti in un Sic, trattamento che deve essereeffettuato dal “gestore” e dai “partecipanti” esclusivamente per finalità correlate alla tutela del creditoe al contenimento dei relativi rischi e, in particolare, per valutare la situazione finanziaria e il meritocreditizio degli interessati o, comunque, la loro affidabilità e puntualità nei pagamenti.

Non sono consentite altre finalità di trattamento, in particolare se relative a ricerche di mercato epromozione, pubblicità o vendita diretta di prodotti o servizi.

Specifiche regole sono dettate in merito ai requisiti e categorie di dati, alle modalità di raccolta eregistrazione, all’informativa, alla conservazione ed aggiornamento dei dati personali e delle informazio-ni creditizie di tipo positivo e negativo, all’utilizzazione dei dati, all’esercizio dei diritti degli interessati,all’uso di tecniche o sistemi automatizzati di credit scoring, al trattamento di dati provenienti da fontipubbliche, alle misure di sicurezza da adottare in considerazione del carattere riservato dei dati personali.

E’ inoltre allegato un modello unico di informativa che deve essere utilizzato da tutti i soggetti privatititolari dei trattamenti di dati personali i quali potranno apportare eventuali modifiche sostanziali ointegrazioni solo previo assenso del Garante, salvo eventuali adattamenti meramente formali. L’infor-mativa deve essere resa agli interessati per iscritto e, qualora inserita in un modulo, deve essereopportunamente evidenziata e collocata in modo autonomo ed unitario.

Per quanto concerne le sanzioni, oltre a quelle amministrative, civili e penali previste dal Codicedella Privacy, i gestori ed i partecipanti prevedono misure sanzionatorie graduate a seconda dellagravità della violazione.

Come accennato in precedenza, il codice di deontologia e di buona condotta in esame è entrato invigore il 1° gennaio 2005 con facoltà di usufruire del maggior termine del 30 aprile 2005 per adottare lenuove misure.

Tuttavia, sono stati previsti alcuni ulteriori adempimenti da parte dei gestori.

Entro il 30 giugno 2005 ogni gestore deve comunicare al Garante:

Entro il 30 giugno 2005 i gestori devono ridurre i tempi di conservazione dei dati personali relativi adinformazioni creditizie di tipo positivo ad un termine non superiore a 36 mesi. Entro il 31 dicembre2005 ogni gestore deve valutare con atto motivato se il predetto termine di 36 mesi debba esseremantenuto sulla base dell’esperienza maturata e dell’incidenza delle misure previste dal codice dideontologia e di buona condotta. Il termine è comunque mantenuto se il Garante non dispone diversa-mente. Entro il 31 gennaio 2006 un provvedimento o un avviso del Garante indicante il termine daosservare sarà pubblicato sulla Gazzetta Ufficiale.

Entro il 30 luglio 2005, nell’ambito delle comunicazioni periodiche inviate alla clientela, dovrannoessere fornite agli interessati già registrati in un Sic le informazioni contenute nella nuova informativadi cui all’art. 5, commi 1 e 2, del codice di deontologia e buona condotta non contenute nelle preceden-ti informative.

i) oltre ai propri estremi identificativi e recapiti, una descrizione generale delle modalità di funzionamentodel sistema di informazioni creditizie e di accesso da parte dei partecipanti, per consentire una valuta-zione dell’adeguatezza delle misure, anche tecniche ed organizzative, adottate;

ii) i modelli di contratti, accordi, convenzioni, regolamenti o istruzioni che disciplinano le modalità dipartecipazione ed accesso dei partecipanti al sistema di informazioni creditizie, nonché la documenta-zione circa le misure adottate in tema di sicurezza, riservatezza e segretezza dei dati;

iii) i documenti di cui all’art. 3, commi 3 e 4, all’art 5, commi 4 e 5, e di cui all’art. 7 del codice dideontologia e di buona condotta.

Privacy e DPS20

Con cadenza annuale il gestore deve effettuare verifiche periodiche circa la liceità e correttezzadel trattamento. Il controllo deve essere eseguito da un organismo composto da almeno un rappre-sentante del gestore, un rappresentante dei partecipanti designato a rotazione e un rappresentantedelle associazioni dei consumatori designato dal consiglio nazionale dei consumatori ed utenti. Deveessere redatto un apposito verbale dei controlli da trasmettere successivamente al Garante.

Per vigilare sulla corretta applicazione del codice di deontologia e di buona condotta il Garante,oltre ai poteri di accertamento e controllo previsti dal Codice della Privacy, può concordare con ilgestore l’esecuzione di altre verifiche periodiche presso i luoghi dove si svolge il trattamento, verifi-cando il Sic anche a campione. Analoghi controlli concordati possono essere svolti sugli accessieffettuati dai partecipanti.

L’ambito soggettivo 21

3. L’ambito soggettivo

3.1 I soggetti

L’ambito soggettivo del Codice della Privacy è estremamente ampio.

Il Codice della Privacy si applica infatti al trattamento di dati personali, anche se detenuti all’estero,effettuato da:

E’ evidente che le disposizioni del Codice della Privacy interessano tutti i soggetti privati e pubblici(aziende, professionisti, pubbliche amministrazioni etc.) ed anche singole persone fisiche.

Il Codice della Privacy individua le seguenti distinte figure soggettive:

> l’interessato;

> il titolare;

> il responsabile;

> il rappresentante nel territorio dello Stato;

> l’incaricato.

3.1.1 L’interessato

L’interessato è la persona fisica, la persona giuridica, l’ente o l’associazione a cui si riferiscono idati personali.

E’ il soggetto a cui si deve rendere l’informativa ex art. 13 e di cui bisogna raccogliere il consensonei casi previsti dalla legge.

E’ il soggetto a cui il Codice della Privacy riconosce precisi diritti in ordine alla tutela dei suoi datipersonali.

> chiunque è stabilito nel territorio dello Stato ovvero in altro luogo comunque soggetto allasovranità dello Stato;

> chiunque è stabilito nel territorio di un paese non appartenente all’Unione Europea ed impiegaper il trattamento strumenti situati nel territorio dello Stato anche diversi da quelli elettronici conobbligo, in tale ipotesi, di nominare un proprio rappresentante nel territorio dello Stato, salvo che cisi avvalga di strumenti situati nel territorio dello Stato solo per far transitare i dati all’interno del-l’Unione Europea;

> persone fisiche per fini esclusivamente personali, solo se i dati sono destinati ad una comu-nicazione sistematica o alla diffusione.

Privacy e DPS22

3.1.2 Il titolare

Il titolare è “persona fisica o giuridica … cui competono, anche unitamente ad altro titolare, ledecisioni in ordine alle finalità ed alle modalità del trattamento di dati personali e agli strumenti utilizza-ti, ivi compreso il profilo della sicurezza”.

Il titolare è pertanto il soggetto a cui fanno capo tutti gli obblighi e i doveri contenuti nel Codice dellaPrivacy.

Ha piena autonomia decisionale nel decidere le azioni da porre in essere nel rispetto del Codicedella Privacy.

Al titolare compete l’individuazione delle persone a cui affidare le operazioni di trattamento (i.e.responsabile e incaricati) e risponde delle violazioni commesse dai soggetti che trattano i dati perso-nali in nome e per suo conto essendo tenuto a vigilare sull’osservanza delle disposizioni impartite.

Ai sensi dell’art. 28 del Codice della Privacy, quando il trattamento è effettuato da una personagiuridica, il titolare del trattamento è l’entità nel suo complesso.

3.1.3 Il responsabile

Si tratta della persona fisica o giuridica preposta dal titolare al trattamento dei dati personali la cuifigura è disciplinata dall’art. 29 del Codice della Privacy.

E’ una figura non obbligatoria.

L’art. 29 del Codice della Privacy dispone infatti che il responsabile è designato dal titolare “facolta-tivamente”. In tale ipotesi tutte le responsabilità ed i compiti operativi restano in capo al titolare stesso.

Tuttavia, nelle società con organizzazioni complesse, ovvero con diverse sedi, la nomina del re-sponsabile risulta necessaria per controllare che tutti gli adempimenti previsti dalla normativa Privacysiano stati correttamente effettuati, essendo difficilmente in grado il titolare di eseguire direttamentetutte le operazioni necessarie.

E’ consentito designare più responsabili anche mediante suddivisione dei compiti (ad es. respon-sabile privacy nei rapporti di lavoro, responsabile privacy nei rapporti con i clienti/fornitori etc.). In talcaso, occorre ricordarsi di indicare nell’informativa da rendere all’interessato ex art. 13 del Codicedella Privacy, il nominativo di almeno un responsabile, indicando il sito della rete di comunicazione ole modalità attraverso cui è riconoscibile in modo agevole l’elenco aggiornato dei responsabili.

Come individuare il responsabile?La risposta si rinviene nell’art. 29 del Codice della Privacy secondo cui il titolare deve scegliere il

responsabile “tra i soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia delpieno rispetto delle disposizioni in tema di trattamento, incluso il profilo della sicurezza”.

La nomina del responsabile, che non esime in ogni caso il titolare da responsabilità mantenendo ilmedesimo un potere direttivo e rispondendo per culpa in eligendo e culpa in vigilando, deve avvenirein forma scritta a cura del titolare che deve specificare analiticamente i compiti affidati ed impar-tire apposite istruzioni. Il responsabile deve accettare la nomina sottoscrivendo l’atto con cui gli èstata conferita e in cui sono chiaramente dettagliati compiti, limiti e responsabilità.

Quali sono i doveri e i poteri del responsabile?Il responsabile ha il dovere di attenersi alle istruzioni impartite dal titolare che a sua volta ha il potere

di svolgere verifiche periodiche, deve eseguire i compiti affidatigli dal titolare nonché rispondere ad

L’ambito soggettivo 23

eventuali richieste formulate dagli interessati nell’esercizio dei propri diritti ai sensi dell’art. 7 del Codi-ce della Privacy.

In caso di violazione delle istruzioni impartite dal titolare e qualora detta violazione determini untrattamento illecito dei dati personali, il responsabile incorrerà nelle sanzioni previste dalla legge.

Per quanto concerne i poteri, il Codice della Privacy attribuisce al responsabile il potere di nomina-re gli incaricati del trattamento dei dati i quali opereranno sotto la sua diretta responsabilità e nei limitidelle istruzioni impartite ai medesimi.

3.1.4 Il rappresentante nel territorio dello Stato

Ai sensi dell’art. 5, comma 2, del Codice della Privacy, il titolare del trattamento di dati personalistabilito in un paese non appartenente all’Unione Europea e che impiega per il trattamento strumentisituati nel territorio dello Stato anche diversi da quelli elettronici, è tenuto a designare un proprio rap-presentante nel territorio dello Stato ai fini dell’applicazione della disciplina del Codice della Privacy.

La designazione del rappresentante nel territorio dello Stato non è necessaria solo se gli strumenti,elettronici e non, sono utilizzati per finalità di transito nel territorio dell’Unione Europea.

3.1.5 L’incaricato

Ai sensi dell’art. 30 del Codice della Privacy, le operazioni di trattamento dei dati personali possonoessere effettuate, oltre che dal titolare e dal responsabile eventualmente nominato, solo da incaricati,che operano sotto la diretta autorità del titolare o del responsabile e che si attengono alle istruzioniimpartite.

Ciò significa che tutti i soggetti che nello svolgimento delle proprie mansioni lavorative all’interno diuna struttura trattano dati personali devono essere nominati incaricati del trattamento.

Gli incaricati possono essere solo persone fisiche.

La relativa nomina deve essere effettuata per iscritto e deve individuare puntualmente l’ambi-to del trattamento consentito.

Per la redazione dell’atto di nomina è, pertanto, necessario identificare esattamente quali tratta-menti effettua ogni singolo dipendente e collaboratore.

Ai sensi dell’art. 30, comma 2, del Codice della Privacy è designazione non solo l’atto di nominadella singola persona fisica, ma anche la “documentata preposizione della persona fisica ad una unitàper la quale è individuato, per iscritto, l’ambito del trattamento consentito agli addetti all’unità medesima”.

Privacy e DPS24

4. Gli adempimenti per le imprese e per i liberi professionisti

4.1 La notificazione

Il legislatore ha profondamente innovato rispetto all’obbligo di notificazione del trattamento dei datipersonali, in un’ottica di semplificazione e razionalizzazione del sistema delle notificazioni.

Mentre nel sistema previgente la notificazione rappresentava un obbligo generalizzato salvo alcunilimitati casi di esonero, a decorrere dal 1° gennaio 2004 la notificazione preventiva deve essereeffettuata solo nei casi espressamente previsti e secondo precise modalità.

Si sottolinea che in ogni caso, sussiste l’obbligo in capo ai soggetti non tenuti ad effettuare lanotificazione al Garante di fornire comunque le notizie contenute nel modello di comunicazione a chine faccia richiesta, tranne nel caso in cui il trattamento riguardi pubblici registri, elenchi, atti o docu-menti conoscibili da chiunque (cfr. art. 38, comma 6, del Codice della Privacy).

La regola generale è che la notificazione deve essere effettuata prima dell’inizio del trattamentodei dati, ad eccezione dei trattamenti di dati personali iniziati prima del 1° gennaio 2004, con riferi-mento ai quali l’obbligo di notificazione scadeva il 30 aprile 2004 (cfr. art. 181, comma 1, lett. c). A taleproposito, si sottolinea che la notificazione era dovuta indipendentemente dal fatto di avere già effet-tuato la notificazione in passato ai sensi della L. 675/96 (ora abrogata).

4.1.1 Trattamenti di dati personali per i quali è obbligatoria la notificazione preventivaal Garante

Il legislatore ha indicato nell’art. 37, comma 1, del Codice della Privacy il seguente elenco di tipi didati il cui trattamento determina l’obbligo in capo al titolare di effettuare la notificazione preventiva alGarante:

a) Dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti medianteuna rete di comunicazione elettronica;

b) Dati idonei a rivelare lo stato di salute e la vita sessuale, trattati ai fini di procreazione assistita,prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indaginiepidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi etessuti e monitoraggio della spesa sanitaria;

c) Dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismisenza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale;

d) Dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato,o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazioneelettronica;

e) Dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché datisensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie;

Gli adempimenti per le imprese e per i liberi professionisti 25

Tale elenco non è tuttavia rigido. Infatti, ai sensi dell’art. 37, comma 2, il Garante può individuarecon proprio provvedimento ulteriori trattamenti suscettibili di arrecare pregiudizio ai diritti e alle libertàdell’interessato, così come può individuare nell’ambito dei trattamenti di cui al comma 1 eventualitrattamenti sottratti all’obbligo di notificazione.

In forza del potere riconosciutogli dalla citata disposizione, il Garante è intervenuto più volte:i) con propria deliberazione n. 1 del 31 marzo 2004 ha introdotto nuove semplificazioni individuando alcuni

trattamenti di dati personali sottratti all’obbligo di notificazione;ii) successivamente, il Garante ha fornito ulteriori chiarimenti con proprio parere in data 23 aprile 2004 e con

un parere in data 26 aprile 2004 (relativo ai trattamenti in ambito sanitario);iii) infine, in considerazione delle difficoltà incontrate dagli utenti nell’effettuare l’invio della notificazione per

via telematica (unica modalità consentita), il Garante ha diffuso in data 29 aprile 2004 un avviso con cui hareso noto che le notificazioni iniziate e sospese sarebbero state considerate validamente effettuate anchese completate ed inviate entro le ore 24.00 del 15 maggio p.v. (invece del 30 aprile), a condizione, tuttavia,che si fossero rappresentate le difficoltà incontrate entro le ore 24.00 del 30 aprile 2004 contattando l’ufficiodel Garante via e-mail o via fax ed indicando gli estremi identificativi del titolare del trattamento oggetto dinotificazione, l’indirizzo ed i recapiti telefonici o di posta elettronica.

Nella Tabella B sono elencati i trattamenti soggetti all’obbligo di notificazione preventiva e le deroghepreviste dal Garante alla data di pubblicazione della presente monografia.

4.1.2 Modalità di notificazione

La procedura da osservare per effettuare la notificazione è contenuta nell’art. 38 del Codice dellaPrivacy.

Il soggetto obbligato ad effettuare la notificazione è il titolare del trattamento che deve procederecon un unico atto anche quando il trattamento comporta il trasferimento di dati all’estero (art. 37,comma 3, Codice della Privacy).

La notificazione deve essere trasmessa per via telematica mediante compilazione del modellopubblicato sul sito Internet del Garante (www.garanteprivacy.it) che deve essere sottoscritto confirma digitale ai sensi dell’art. 10, comma 3, DPR 28 dicembre 2000 n. 445.

Devono essere corrisposti euro 150,00 a titolo di diritti di segreteria con pagamento on-line, conconto postale o con bonifico bancario.

La firma digitale può essere richiesta presso gli enti certificatori accreditati il cui elenco è disponi-bile sul sito internet www.cnipa.gov.it.

Chi non dispone del dispositivo di firma digitale potrà rivolgersi per la sottoscrizione della notifica-zione a soggetti qualificati che hanno stipulato apposite convenzioni con il Garante.

La notificazione si intende validamente effettuata solo se sono state rispettate le modalità di tra-smissione del modello, di sottoscrizione con firma digitale ed è stato ricevuto il messaggio di confer-ma del ricevimento della notificazione.

Qualsiasi modifica di alcuni elementi della notificazione ovvero la cessazione del trattamento deidati comporta l’obbligo di effettuare una nuova notificazione.

La violazione delle disposizioni in tema di notificazione comporta l’applicazione di sanzioni ammi-nistrative e penali (cfr. Tabella D).

f) Dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sullasolvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a compor-tamenti illeciti o fraudolenti.

Privacy e DPS26

4.1.3 Registro dei trattamenti

Ai sensi dell’art. 37, comma 4, del Codice della privacy, le notificazioni ricevute dal Garante sonoinserite in un registro dei trattamenti accessibile a chiunque mediante consultazione gratuita per viatelematica, anche mediante convenzioni con soggetti pubblici o presso il proprio ufficio.

4.2 L’informativa

Prima di trattare qualunque dato personale, all’interessato deve essere resa l’informativa ex art. 13del Codice della Privacy il cui contenuto dovrà essere conforme alle prescrizioni contenute nellostesso art. 13.

Precisamente, le informazioni da fornire all’interessato sono le seguenti:

L’informativa può essere resa in forma scritta o oralmente. Si suggerisce tuttavia, per finalitàprobatorie, di rendere l’informativa in forma scritta e di farla sottoscrivere all’interessato.

Come accennato nel paragrafo 2.3, nel caso di dati trattati nell’ambito di un sistema di informazionicreditizie l’informativa deve essere resa per iscritto utilizzando il modello unico di informativa chedeve essere utilizzato da tutti i soggetti privati titolari dei trattamenti di dati personali i quali potrannoapportare eventuali modifiche sostanziali o integrazioni solo previo assenso del Garante, salvo even-tuali adattamenti meramente formali. Qualora l’informativa è inserita in un modulo, la stessa deveessere opportunamente evidenziata e collocata in modo autonomo ed unitario.

Il Garante può individuare modalità semplificate per l’informativa soprattutto nei casi di servizi tele-fonici di assistenza e di informazione al pubblico. Per il settore degli esercenti le professioni sanitarieè lo stesso legislatore che prevede modalità di informativa semplificate.

Inoltre nell’ipotesi di dati personali non raccolti presso l’interessato il legislatore consente di darel’informativa all’interessato all’atto della registrazione dei dati o, quando è prevista la comunicazione,non oltre la prima comunicazione.

4.3 Il consenso dell’interessato

Per poter lecitamente trattare i dati personali di un interessato non è sufficiente rendere l’informa-tiva ma è obbligatorio raccogliere, in alcuni casi, il consenso espresso dell’interessato al trattamen-to dei propri dati personali.

Il consenso può riguardare l’intero trattamento ovvero una o più operazioni di trattamento e siintende validamente prestato solo se espresso “liberamente e specificatamente in riferimento ad un

a) le finalità e le metodologie di trattamento cui sono destinati i dati;b) l’obbligo ovvero la facoltà di rilasciare i propri dati;c) le conseguenze di un eventuale rifiuto di rispondere;d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono

venirne a conoscenza in qualità di responsabili o incaricati e l’ambito di diffusione dei dati;e) i diritti spettanti all’incaricato ex art. 7;f) gli estremi di identificazione del titolare e, se designati, del responsabile e del rappresentante nel

territorio dello Stato. Nel caso in cui fossero stati designati più responsabili, indicare almeno uno di essispecificando il sito della rete di comunicazione o altre modalità con cui si può venire a conoscenzadell’elenco di tutti i responsabili. Nel caso in cui fosse stato designato un responsabile per il riscontroalle richieste dell’interessato ex art. 7 occorre indicare tale responsabile.


trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all’interes-sato le informazioni di cui all’art. 13”.

Il consenso deve pertanto essere “libero” ed “informato”.

Inoltre, nell’ipotesi di trattamento di dati sensibili, il medesimo è ammesso solo con il consensoscritto dell’interessato e previa autorizzazione del Garante.

4.3.1 Ipotesi in cui non è richiesto il consenso dell’interessato

Il legislatore ha previsto dei casi in cui il trattamento di dati personali può essere effettuato senza ilprevio consenso dell’interessato e, nel caso di dati sensibili, senza previa autorizzazione del Garante.

A) Trattamento di dati personali comuniCon riferimento ai dati personali comuni, l’art. 24 del Codice della Privacy prevede alcune ipotesi in

cui il trattamento può essere effettuato senza il consenso dell’interessato, e in particolare se:

B) Trattamento di dati personali sensibiliIl trattamento di dati personali sensibili è ammesso senza consenso e senza autorizzazione

del Garante se si tratta di dati relativi agli aderenti alle confessioni religiose e ai soggetti che conriferimento a finalità di natura esclusivamente religiosa hanno contatti regolari con le medesime con-fessioni, ovvero si tratta di dati riguardanti l’adesione di associazioni od organizzazioni a caratteresindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacaleo di categoria.

Il trattamento di dati personali sensibili è inoltre ammesso senza consenso e previa autorizza-zione del Garante se:

a) è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla direttivacomunitaria;

b) è necessario per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o peradempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato;

c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque;d) riguarda dati relativi alle attività economiche (ad esempio, ragione sociale, indirizzo, numero di partita

IVA, codice fiscale, categoria merceologica etc.), trattati nel rispetto della vigente normativa in materiadi segreto aziendale e industriale;

e) è necessario per la salvaguardia della vita o dell’incolumità fisica di un terzo;f) esclusa la diffusione, è necessario ai fini dello svolgimento di investigazioni difensive o per far valere o

difendere un diritto in sede giudiziaria;g) ad eccezione della diffusione, è necessario nei casi individuati dal Garante, sulla base dei principi

sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati,anche in riferimento all’attività di gruppi bancari e di società controllate e collegate;

h) è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferi-mento a soggetti che hanno con essi contatti regolari o ad aderenti, per il perseguimento di scopideterminati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, sempre chei dati non siano comunicati all’esterno dell’associazione o diffusi;

i) è necessario in conformità ai rispettivi codici di deontologia per scopi scientifici o statistici, o per scopistorici presso archivi privati dichiarati di notevole interesse storico, o, secondo quanto stabilito daimedesimi Codici, presso altri archivi privati.

a) effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a caratterepolitico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, per il perseguimento di

Privacy e DPS28

4.4 L’autorizzazione preventiva e le autorizzazioni generali

Come accennato nel capitolo 2.2, il trattamento di dati personali sensibili richiede non solo il pre-ventivo consenso dell’interessato ma anche la preventiva autorizzazione del Garante (cfr. art. 26 delCodice della Privacy), mentre il trattamento di dati personali giudiziari è consentito solo se autorizzatoda espressa disposizione di legge o da provvedimento del Garante che specifichino le rilevanti finalitàdi interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili.

L’autorizzazione è richiesta al Garante osservando le modalità di cui all’art. 41 del Codice dellaPrivacy, secondo cui detta richiesta deve essere:

Il Garante comunica entro 45 giorni la decisione adottata: la mancata pronuncia equivale a rigetto.

Qualora il Garante richieda ulteriori informazioni o documenti, i 45 giorni iniziano a decorrere dalladata di scadenza del termine fissato per tale adempimento.

Nell’autorizzazione il Garante prescrive le misure e gli accorgimenti a garanzia dell’interessato cheil titolare deve adottare. Inoltre, il Garante ha facoltà di prescrivere ulteriori misure successivamente alrilascio dell’autorizzazione anche sulla base di eventuali verifiche.

Ai sensi dell’art. 40 del Codice della Privacy, il Garante può rilasciare anche delle autorizzazioni dicarattere generale relative a determinate categorie di titolari o di trattamento.

Ad oggi sono state rilasciate le seguenti 7 autorizzazioni generali rinnovate in data 30 giugno 2004(pubblicate sulla G.U. n. 190 del 14 agosto 2004 - S.O. n. 141) e valide fino al 30 giugno 2005 e a cuii titolari di trattamenti si sarebbero dovuti adeguare entro il 30 settembre 2004:

>> n. 1/2004: trattamento dei dati sensibili nei rapporti di lavoro

>> n. 2/2004: trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale

>> n. 3/2004: trattamento dei dati sensibili da parte degli organismi di tipo associativo e dellefondazioni

>> n. 4/2004: trattamento dei dati sensibili da parte dei liberi professionisti

>> n. 5/2004: trattamento dei dati sensibili da parte di diverse categorie di titolari

>> n. 6/2004: trattamento di dati sensibili da parte di investigatori privati

>> n. 7/2004: trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economi-ci e di soggetti pubblici.

Pertanto, se un trattamento di dati sensibili e giudiziari rientra nell’ambito di una delle predette auto-

scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, sem-pre che i dati non siano comunicati all’esterno dell’associazione o diffusi;

b) quando il trattamento è necessario per salvaguardare la vita o l’incolumità fisica di un terzo;c) quando è necessario ai fini di investigazioni difensive o per far valere o difendere in sede giudiziaria un

diritto;d) quando è necessario per adempiere a specifici obblighi o compiti previsti dalle legge, da un regolamen-

to o dalla normativa comunitaria per la gestione del rapporto di lavoro anche in materia di igiene esicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall’autorizzazio-ne e ferme restando le disposizioni del Codice di deontologia e di buona condotta di cui all’art. 111.

> formulata utilizzando il modello predisposto dal Garante;

> trasmessa al Garante per via telematica e sottoscritta con firma digitale e con conferma diricevimento ex art. 38, comma 2, del Codice della Privacy, ovvero via fax o lettera raccomandata.


rizzazioni generali non sussiste l’obbligo della preventiva autorizzazione del Garante a condizioneche il trattamento rispetti tutte le regole stabilite nella relativa autorizzazione generale. Permane, in-vece, l’obbligo del preventivo consenso dell’interessato nei casi previsti dal Codice della Privacy.

Nel caso in cui un trattamento rientri nell’ambito di un’autorizzazione generale ex art. 40 del Codicedella Privacy è comunque possibile presentare una richiesta di autorizzazione al Garante, il qualeprovvede in merito solo se le specifiche modalità di trattamento lo giustificano. Come ha infatti preci-sato il Garante nelle recenti autorizzazioni generali, non sono prese in considerazione richieste diautorizzazione per trattamenti difformi dalle prescrizioni contenute nelle autorizzazioni generali tran-ne nel caso in cui il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazionieccezionali non considerate nelle citate autorizzazioni generali.

4.5 Le misure di sicurezza minime e idonee

Tutti i soggetti che trattano dati personali devono adottare un adeguato sistema di sicurezza ingrado di proteggere i dati oggetto di trattamento.

Il legislatore opera una distinzione fra misure di sicurezza “minime” ed “idonee”.

4.5.1 Le misure di sicurezza minime

Le misure di sicurezza minime, previste dagli artt. 33 e ss. del Codice della Privacy ed individuatedettagliatamente nel Disciplinare Tecnico di cui all’Allegato B del Codice della Privacy (che annulla esostituisce il precedente “regolamento recante norme per l’individuazione delle misure minime disicurezza per il trattamento dei dati personali” approvato con DPR 318/1999 ora abrogato), sono voltead assicurare un livello minimo di protezione dei dati personali e devono essere adottate da tutti ititolari prima di qualsiasi operazione di trattamento di dati personali.

Alcune misure minime di sicurezza, così come la redazione del DPS per i soggetti a ciò tenuti aisensi del DPR 318/1999, erano già previste nell’ambito della normativa abrogata dal Codice dellaPrivacy ed avrebbero dovuto essere già adottate dai titolari del trattamento. Tuttavia la vigente norma-tiva introduce nuove misure minime di sicurezza (ad esempio password di almeno 8 caratteri – cfr.Disciplinare Tecnico regola n. 5) che impongono ad ogni titolare di trattamento una revisione completadel proprio sistema di sicurezza.

Il Codice individua diverse misure di sicurezza in relazione alla modalità di effettuazione del tratta-mento – con o senza l’ausilio di strumenti elettronici – per la cui applicazione operativa è necessariofar riferimento alle indicazioni contenute nel Disciplinare Tecnico contenuto nell’Allegato B del Codicedella Privacy.

Se il trattamento è effettuato con strumenti elettronici, l’art. 34 del Codice della Privacy individua 8misure minime di sicurezza, mentre nel caso in cui il trattamento sia effettuato senza l’ausilio distrumenti elettronici l’art. 35 del Codice della Privacy individua 3 misure minime di sicurezza.

Conseguentemente, considerato che il trattamento di dati personali viene svolto sia con sia senzastrumenti informatici, ciascun titolare dovrà verificare se nell’ambito della propria struttura sono stateadottate tutte le 11 misure minime di sicurezza previste dagli artt. 34 e 35 del Codice della Privacy enei modi previsti dal Disciplinare Tecnico.

Fra le misure di sicurezza minime in caso di trattamento con strumenti elettronici è prevista anche laredazione del Documento Programmatico sulla Sicurezza (DPS), che sarà esaminato nel prosieguo edella cui redazione e aggiornamento è necessario riferire nella relazione accompagnatoria del bilancio.

Privacy e DPS30

Nel caso in cui il titolare intenda avvalersi di soggetti esterni alla propria struttura per l’adozionedelle misure minime di sicurezza, l’installatore deve rilasciare una descrizione scritta dell’interventoeffettuato ed attestarne la conformità alle prescrizioni del Disciplinare Tecnico di cui all’Allegato B.

Circa i termini temporali di adozioni delle misure di sicurezza la regola generale è quella di adozio-ne delle misure minime di sicurezza prima di iniziare un qualsiasi trattamento.

Con riferimento alle nuove misure di sicurezza e alla redazione ed aggiornamento del DPS confor-memente alle nuove disposizioni contenute nel Codice della Privacy, il recente DL 314/2004 conver-tito nella L. 26/2005 ha previsto la possibilità della relativa adozione entro il 31 dicembre 2005,ovvero entro il 31 marzo 2006 qualora non si disponga di strumenti informatici che, per ragioni tecni-che di natura oggettiva, non consentano in tutto o in parte l’immediata applicazione delle misureminime di sicurezza e purché tale impossibilità risulti da un documento avente data certa redattoentro il 31 dicembre 2005 da esibire in caso di accertamento.

Il termine sopra citato del 31 marzo 2006 non è utilizzabile per la redazione/aggiornamentodel DPS, che deve pertanto essere improrogabilmente redatto o aggiornato entro il 31 di-cembre 2005.

Si rammenta che, ai sensi dell’art. 169 del Codice della Privacy, la mancata adozione delle misureminime di sicurezza determina l’irrogazione della sanzione penale dell’arresto fino a due anni o del-l’ammenda da euro 10.000,00 ad euro 50.000,00. E’ prevista tuttavia la possibilità di estinzione delreato se la regolarizzazione avviene entro il termine fissato dal Garante, in ogni caso non eccedentesei mesi, e a fronte del pagamento di una sanzione ridotta pari ad 1/4 del massimo dell’ammendastabilita per la contravvenzione (euro 12.500,00).

4.5.1.1 Trattamenti senza l’ausilio di strumenti elettroniciIn caso di trattamento senza strumenti informatici il Codice della Privacy prevede le seguenti misu-

re minime di sicurezza.

a) Aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito aisingoli incaricati ed alle unità organizzative

In merito alle periodicità di tale aggiornamento il Disciplinare Tecnico di cui all’Allegato B prescriveche lo stesso venga effettuato con cadenza almeno annuale.

Agli incaricati devono essere impartite apposite istruzioni scritte relative al controllo ed alla custo-dia, per tutta la durata del trattamento, degli atti e dei documenti contenenti dati personali.

E’ necessario inoltre redigere una lista degli incaricati individuando l’ambito del trattamento consentito.

b) Previsione di procedure per un’idonea custodia di atti e documenti affidati agli incarica-ti per lo svolgimento dei relativi compiti

Tutti gli atti e i documenti, contenenti dati personali sensibili e giudiziari, affidati ai singoli incaricatiper lo svolgimento dei relativi compiti devono essere controllati e custoditi dai medesimi incaricati alfine di evitare l’accesso a persone prive di autorizzazione e devono essere restituiti al termine delleoperazioni.

c) Previsione di procedure per la conservazione di determinati atti in archivi ad accessoselezionato e disciplina delle modalità di accesso finalizzata all’identificazione degli incaricati

L’accesso ad archivi che contengono dati sensibili e giudiziari deve essere controllato. E’ richiestal’identificazione e la registrazione di ogni persona che può avere accesso all’archivio dopo l’orario dichiusura. Nel caso in cui non vi siano strumenti elettronici che verifichino gli accessi ovvero incaricatidella vigilanza, l’accesso deve essere consentito solo a persone preventivamente autorizzate.


4.5.1.2 Trattamenti con strumenti elettronici e obbligo di redazione del DPSIl trattamento con strumenti elettronici è subordinato all’adozione delle seguenti misure minime di

sicurezza.

a) Autenticazione informaticaOgni soggetto che tratta i dati personali all’interno di una struttura deve essere dotato di una o più

credenziali di autenticazione, quali a titolo di esempio la user ID e la password, che consentano diriconoscere la persona che accede ai dati personali.

Come precisato nel Disciplinare Tecnico, le credenziali di autenticazione consistono:

Gli incaricati devono essere adeguatamente istruiti circa le cautele da adottare per assicurare lasegretezza della credenziale a loro assegnata e la relativa custodia, nonché circa l’obbligo di nonlasciare incustodito e accessibile il proprio strumento elettronico durante una sessione di trattamento.

La parola chiave deve essere composta da almeno 8 caratteri numerici o dal numero massimo dicaratteri consentito dallo strumento elettronico e non deve contenere riferimenti facilmente riconduci-bili all’incaricato (ad es. il nome).

b) Adozione di procedure di gestione delle credenziali di autenticazioneLa parola chiave deve essere modificata dall’interessato al primo utilizzo e periodicamente con

cadenza semestrale, ovvero in caso di trattamenti di dati sensibili e giudiziari, con cadenza trimestrale.

Occorre ricordarsi che il codice identificativo non può essere assegnato agli incaricati nemmenoin tempi diversi.

Le credenziali sono disattivate in caso di mancato utilizzo da almeno 6 mesi ovvero di perdita dellaqualità che consente all’incaricato di accedere ai dati personali.

Nel caso in cui il titolare abbia necessità di avere accesso ai dati personali trattati da un singoloincaricato per ragioni di operatività e di sicurezza del sistema e l’incaricato sia assente ovvero impos-sibilitato a soddisfare tempestivamente le esigenze del titolare, è previsto che vengano impartitepreventivamente apposite disposizioni scritte che informino in merito alle modalità di accesso a dettidati da parte del titolare. In tal caso la custodia delle copie delle credenziali è organizzata individuandoper iscritto i soggetti incaricati della relativa custodia, che in caso di accesso urgente, debbono infor-mare tempestivamente l’incaricato esponendo l’intervento effettuato.

c) Utilizzazione di un sistema di autorizzazioneIl sistema di autorizzazione consiste nel permesso concesso ad un determinato soggetto (incari-

cato), previamente “autenticato” ai sensi della precedente lett. a, di accedere a determinati dati perso-nali piuttosto che ad altri.

Ad ogni incaricato o a classi omogenee di incaricati sono associati distinti profili di autorizzazioneche consentono l’accesso solo ai dati necessari per effettuare le operazioni di trattamento.

d) Aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito aisingoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici

Con cadenza periodica deve essere verificata la sussistenza delle condizioni che hanno determi-nato il rilascio dei profili di autorizzazione.

> in un codice per l’identificazione dell’incaricato associato a una parola chiave conosciuta solo dalmedesimo;

> oppure in un dispositivo di autenticazione in possesso ed uso esclusivo dell’incaricato eventualmenteassociato a un codice identificativo o a una parola chiave;

> oppure in una caratteristica biometrica dell’incaricato, eventualmente associata a un codice identificativoo a una parola chiave.

Privacy e DPS32

La lista degli incaricati a cui sono associati i diversi profili di autorizzazione può essere redattaanche per classi omogenee.

e) Protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, adaccessi non consentiti e a determinati programmi informatici

Le misure di sicurezza devono ridurre al minimo i rischi di distruzione o perdita, anche accidentaledei dati personali, di accesso non autorizzato o di trattamento non consentito o non conforme allefinalità della raccolta.

E’ necessario a tal fine aggiornare periodicamente, con cadenza almeno annuale ovvero semestralein caso di trattamenti di dati sensibili o giudiziari i programmi elettronici volti a prevenire la vulnerabilitàdi strumenti elettronici e a correggerne difetti.

E’ necessario attivare appositi programmi da aggiornare almeno semestralmente e che protegga-no gli strumenti contro il rischio di intrusione e dell’azione di cui all’art. 615-quinquies c.p. (programmidiretti a danneggiare o interrompere un sistema informatico).

Inoltre, con particolare riferimento ai dati sensibili e giudiziari è necessario attivare idonei strumentielettronici per proteggere tali dati contro l’accesso abusivo ex art. 615-ter c.p., impartire istruzioniorganizzative e tecniche per la custodia e l’uso dei supporti rimovibili ove sono memorizzati i dati,distruggere o rendere inutilizzabili i supporti rimovibili se non utilizzati.

f) Adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibi-lità dei dati e dei sistemi

Agli incaricati devono essere impartite apposite istruzioni che prevedano il salvataggio dei dati concadenza almeno settimanale.

Devono inoltre essere adottate idonee misure atte a garantire il ripristino dell’acceso ai dati in casodi danneggiamento degli stessi o degli strumenti elettronici, in tempi certi e compatibili con i diritti degliinteressati e non superiori a 7 giorni.

g) Tenuta di un aggiornato Documento Programmatico sulla Sicurezza (DPS)Nell’ambito delle misure minime di sicurezza previste in caso di trattamento effettuato con stru-

menti elettronici rientra la tenuta di un aggiornato Documento Programmatico sulla Sicurezza (“DPS”)il cui contenuto è indicato nelle regole da 19.1 a 19.8 del Disciplinare Tecnico di cui all’Allegato B delCodice della Privacy.

Tale misura minima era già prevista dall’abrogato DPR 318/1999, tuttavia, rispetto alla previgentenormativa si è notevolmente ampliato il numero dei titolari obbligati alla relativa redazione.

La normativa abrogata prevedeva, infatti, l’obbligo di redazione del DPS solo per quei soggetti cheeffettuavano trattamenti di dati sensibili e giudiziari mediante elaboratori accessibili mediante una retedi telecomunicazioni disponibile al pubblico.

Ora invece, ai sensi del combinato disposto dell’art. 34 e del punto 19 del Disciplinare Tecnico,sono obbligati alla redazione del DPS tutti i titolari di un trattamento di dati sensibili o di datigiudiziari svolto mediante strumenti elettronici.

Inoltre i titolari che avevano già predisposto il DPS secondo le disposizioni contenute nel DPR 318/1999 sono comunque tenuti ad aggiornare il predetto DPS al fine di adeguarne il contenuto alle nuoveindicazioni contenute nel punto 19 (regole da 19.1 a 19.8) del Disciplinare Tecnico.

Le informazioni che devono essere fornite nel DPS riguardano:

1) l’elenco dei trattamenti di dati personali;2) la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei

dati;


Per la redazione del DPS può essere di ausilio la Guida Operativa resa nota dal Garante l’11giugno 2004 con la precisazione che la predetta Guida Operativa non è in alcun modo vincolante: ciòche rileva è il contenuto del DPS che deve essere conforme alle prescrizioni contenute nel Disciplina-re Tecnico.

Per comodità, si allega alla presente monografia una bozza di DPS in formato word.

Si rammenta che è obbligatorio riferire nella relazione al bilancio circa la redazione o l’ag-giornamento del DPS.

h) Adozione di tecniche di cifratura o codici identificativi per determinati trattamenti di datiidonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari

In considerazione del carattere particolarmente riservato di tali dati, è necessario prevedere misu-re che garantiscano un particolare livello di sicurezza.

E’ pertanto necessario adottare misure che consentano anche il trattamento disgiunto di tali dati daaltri dati personali che consentono di identificare l’interessato.

I dati relativi all’identità genetica devono essere trattati esclusivamente all’interno di locali protettiaccessibili ai soli incaricati dei trattamenti ed ai soggetti specificamente autorizzati ad accedervi. Iltrasporto dei dati all’esterno dei locali riservati al loro trattamento deve avvenire in contenitori muniti diserratura o dispositivi equipollenti, mentre il trasferimento dei dati in formato elettronico deve esserecifrato.

4.5.2 Le misure di sicurezza idonee

L’adozione delle predette misure minime di sicurezza non è tuttavia sufficiente.

Infatti, ai sensi dell’art. 31 del Codice della Privacy, il titolare del trattamento deve verificare che lemisure minime adottate risultino altresì idonee, in relazione alle conoscenze acquisite in base alprogresso tecnico, alla natura dei dati ed alle specifiche caratteristiche del trattamento, a ridurre alminimo i “rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o ditrattamento non consentito o non conforme alle finalità della raccolta”.

Ciò significa che il titolare del trattamento non deve limitarsi ad adottare le misure minime indicatedal Codice della Privacy ma, tenuto conto dell’eventuale progresso tecnologico e della propria struttu-ra aziendale, deve adottare anche tutte le ulteriori misure di sicurezza che risultassero necessarieper garantire la sicurezza dei dati trattati ed evitare di provocare dei danni all’interessato.

L’adozione di idonee misure di sicurezza rileva anche dal punto di vista della responsabilità in cuipuò incorrere il titolare o il responsabile del trattamento. Infatti, se l’adozione delle misure minime di

3) l’analisi dei rischi che incombono sui dati;4) le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché la protezione delle aree

e dei locali, rilevanti ai fini della loro custodia e accessibilità;5) la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distru-

zione o danneggiamento;6) la previsione di interventi di formazione degli incaricati al trattamento;Tale formazione deve essere programmata già al momento dell’ingresso in servizio, nonché in occasione

di cambiamenti di mansioni o di introduzione di nuovi significativi strumenti, rilevanti rispetto al tratta-mento di dati personali.

7) la descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in casodi trattamenti di dati personali affidati all’esterno della struttura del titolare;

8) l’individuazione dei criteri da adottare in caso di trattamento di dati personali idonei a rivelare lo statodi salute e la vita sessuale per la cifratura o per la separazione di tali dati dagli altri dati personalidell’interessato.

Privacy e DPS34

sicurezza consente di evitare l’irrogazione della sanzione penale, solo l’adozione di misure “idonee”consente di essere esente da responsabilità civile ex art. 2050 c.c. richiamata dall’art. 15 del Codicedella Privacy secondo cui “chiunque cagiona danno ad altri per effetto del trattamento di dati persona-li” è tenuto al risarcimento del danno, di natura sia patrimoniale sia non patrimoniale ai sensi dell’art.2050 c.c..

4.6 I chiarimenti per i liberi professionisti

Tutti gli adempimenti illustrati nella presente monografia interessano sia le imprese sia i liberi pro-fessionisti.

Si forniscono nei seguenti paragrafi gli ulteriori i chiarimenti forniti dal Garante e dai Consigli Nazio-nali di alcuni ordini professionali.

Si precisa che i chiarimenti forniti dal Garante nel parere indirizzato al Consiglio nazionale forensepossono valere, per alcuni aspetti, anche per altri liberi professionisti.

4.6.1. Le indicazioni fornite dal Garante per lo svolgimento dell’attività forense

Il Garante sollecitato dal Consiglio Nazionale Forense, ha fornito un proprio Parere in data 3 giugno2004 relativo al trattamento di dati personali per lo svolgimento dell’attività forense. Il Consiglio Nazio-nale Forense ha inoltre reso noto in data 18 giugno 2004 il proprio Vademecum sottoposto al pareredel Garante.

Con riferimento al parere del 3 giugno 2004, il Garante ha fornito i seguenti chiarimenti.

>> Individuazione del titolare: se l’attività professionale è prestata individualmente, il titolare deltrattamento è la persona fisica dell’avvocato esercente. Se l’attività è svolta congiuntamente da dueprofessionisti entrambi assumono la qualità di contitolari del medesimo trattamento. Se, invece, l’at-tività è svolta in forma societaria o da un’associazione professionale o da una società tra avvocati, iltitolare è l’entità nel suo complesso. In questo caso, gli adempimenti previsti dal Codice della Privacyvanno pertanto attuati in termini unitari, evitando la loro frammentazione o ripetizione a cura dei singoliprofessionisti.

>> Notificazione: il Garante ricorda che la maggior parte dei trattamenti di dati personali effettuatinell’esercizio dell’attività forense non è soggetta a notificazione e rammenta al riguardo le esimentiindividuate nei primi mesi del 2004. Non sono quindi soggetti più a notificazione i trattamenti di datigenetici o biometrici effettuati nell’esercizio della professione di avvocato, in relazione alle operazionie ai dati necessari per svolgere le investigazioni difensive di cui alla legge n. 397/2000, o comunqueper far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria. Ciò sempre che ildiritto sia di rango almeno pari a quello dell’interessato e i dati siano trattati esclusivamente per talifinalità e per il periodo strettamente necessario al loro perseguimento. Per quanto riguarda, invece, lebanche dati relative alla solvibilità economica, il Garante ha altresì sottratto dall’obbligo di notificazione“i trattamenti di dati registrati in banche di dati utilizzate in rapporti con l’interessato di fornitura di beni,prestazioni o servizi, o per adempimenti contabili o fiscali, anche in caso di inadempimenti contrattua-li, azioni di recupero del credito e contenzioso con l’interessato”, incluso il caso in cui il trattamento siaeffettuato in fase precontrattuale. Pertanto, non devono essere tra l’altro notificati i trattamenti relativia clienti o fornitori effettuati da liberi professionisti per svolgere investigazioni difensive o curare ladifesa in sede giudiziaria di diritti degli assistiti, salvo che il professionista costituisca un’appositabanca dati, gestita con strumenti elettronici, contenente dati relativi al rischio sulla solvibilità economi-ca, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti ofraudolenti.


>> Misure di sicurezza: i dati personali trattati devono essere protetti da idonee e preventivemisure di sicurezza. Se i dati sono trattati anche con strumenti elettronici occorre redigere il DPS.

>> Organizzazione del lavoro quotidiano di studio: non occorre depennare il nome delle partidalla copertina dei fascicoli cartacei, utilizzando al suo posto solo numeri identificativi. Resta invecenecessario seguire opportune modalità per rendere i fascicoli e la relativa documentazione accessi-bili agli incaricati del trattamento nei casi e per le finalità previsti.

>> Soggetti preposti al trattamento: la designazione del responsabile, che può essere ancheun soggetto esterno, è facoltativa e deve avvenire conformemente ai criteri indicati nell’art. 29 delCodice della Privacy. Tutte le persone fisiche che hanno accesso ai dati a vario titolo (avvocati, prati-canti, collaboratori e personale amministrativo) devono essere designate per iscritto quali incaricatidel trattamento. L’atto di designazione, da parte del titolare o dell’eventuale responsabile, deve indi-viduare l’ambito del trattamento consentito agli incaricati, i quali devono attenersi alle istruzioni impartite.

>> Difesa di diritti e investigazioni difensive: le disposizioni che agevolano il lavoro dell’avvo-cato per effetto del bilanciamento operato dal Codice tra il diritto di difesa e gli altri diritti e libertàfondamentali delle persone interessate non operano solo durante lo svolgimento di un giudizio neces-sariamente già instaurato. In senso analogo dispone anche la legge n. 397/2000 per ciò che attiene alrapporto tra indagini difensive e procedimento penale. Le disposizioni del Codice possono essereutilmente applicate anche nella fase propedeutica all’instaurazione del giudizio, se l’attività è finalizza-ta effettivamente ed esclusivamente a verificare l’esistenza di un diritto da tutelare in giudizio o l’even-tualità di tale utile difesa nel giudizio medesimo. Ad analoga conclusione deve giungersi per particolariprocedimenti o fasi propedeutiche nelle quali il diritto viene tutelato anche in sede amministrativa o inprocedure di arbitrato o conciliazione previste dalla normativa comunitaria, da leggi, regolamenti ocontratti collettivi.

>> Informativa: il cliente deve ricevere un’informativa, orale o scritta, prima della raccolta dei dati,ad esempio al momento del conferimento dell’incarico dal contenuto conforme all’art. 13 del Codicedella Privacy. E’ consentito utilizzare formule colloquiali. L’informativa è sempre necessaria quando idati sono raccolti direttamente presso l’interessato, anche in caso di raccolta di dati attraverso ascol-to, registrazione o intercettazione di conversazioni. È possibile, conformemente all’art. 29, comma 2,del Codice della Privacy, non indicare gli elementi già noti alla persona che fornisce il dato. Se èprevista una raccolta presso terzi di dati relativi al cliente, questa circostanza può essere evidenziatasubito nell’informativa al cliente stesso, rendendo in tal modo superflua l’ulteriore informativa che, inalcuni casi, è necessaria in caso di dati raccolti presso terzi.

Quando i dati personali trattati riguardano persone diverse dal cliente, se i dati sono trattati solo alfine di svolgere investigazioni difensive o comunque per far valere o difendere un diritto in sedegiudiziaria, l’informativa è necessaria solo se i dati sono trattati per un periodo superiore a quellostrettamente necessario per perseguire tali finalità, oppure per altre finalità con esse non incompatibili.

>> Consenso: Non occorre richiedere il consenso del cliente quando il trattamento dei dati comu-ni è necessario per adempiere agli obblighi del contratto di prestazione d’opera. Se, invece, i dati siriferiscono a terzi, il consenso non è egualmente richiesto quando il trattamento è necessario persvolgere indagini difensive o per far valere o difendere un diritto in sede giudiziaria. I dati devonoessere però trattati esclusivamente per tali finalità e per il periodo strettamente necessario a perse-guirle. Se non ricorrono queste priorità, il consenso è necessario se non è possibile fare utile applica-zione di altri presupposti equipollenti del trattamento (dati “pubblici”, informazioni relative ad attivitàeconomiche, adempimento di un obbligo di legge, ecc.).

Nel caso di trattamento di dati sensibili non occorre richiedere il consenso quando il trattamento ènecessario per svolgere indagini difensive o per far valere e difendere un diritto in sede giudiziaria. Intal caso, i dati devono essere trattati esclusivamente per tali finalità e per il periodo strettamentenecessario al loro perseguimento.

Non è parimenti necessario richiedere al Garante il rilascio di una specifica autorizzazione, dalmomento che l’Autorità ne ha rilasciata una di carattere generale (aut. gen. n. 4/2004). Il trattamento

Privacy e DPS36

può riguardare i dati sensibili relativi ai clienti. I dati sensibili relativi a terzi possono essere trattati seciò è strettamente indispensabile per eseguire specifiche prestazioni professionali richieste dai clientiper scopi determinati e legittimi. In ogni caso, i dati devono essere strettamente pertinenti e noneccedenti rispetto ad incarichi conferiti che non possono essere svolti trattando dati anonimi o datipersonali di natura diversa.

Quando, tra i dati sensibili, si utilizzano quelli idonei a rivelare lo stato di salute e la vita sessuale, illoro trattamento può avvenire senza consenso quando il diritto difeso o fatto valere in giudizio è dirango pari a quello della persona cui si riferiscono i dati. In tal caso, il diritto tutelato deve consistere inun diritto della personalità o in un altro diritto o libertà fondamentale o inviolabile. Nel procedere a talespecifica valutazione, è necessario utilizzare come parametro di raffronto il diritto sottostante che ilterzo intende far valere sulla base del materiale documentale che chiede di conoscere, anziché il“diritto di azione e difesa”, pure costituzionalmente garantito. Sempre in materia di dati sulla salute ela vita sessuale, va richiamata l’attenzione sulla necessità di rispettare anche le specifiche prescrizio-ni dell’autorizzazione generale n. 2/2004.

Non è richiesto il consenso per trattare i dati giudiziari che il Codice individua ora in termini più ampirispetto al passato. Il professionista deve rispettare le prescrizioni di una specifica autorizzazione,anch’essa già rilasciata con un atto di carattere generale avente le caratteristiche suindicate (aut.gen. n. 7/2004). In particolare, i dati giudiziari relativi a terzi possono essere trattati quando ciò èstrettamente indispensabile per eseguire specifiche prestazioni professionali richieste dai clienti perscopi determinati e legittimi.

>> Attività stragiudiziale: all’attività stragiudiziale non sono applicabili le eccezioni previste dalCodice della Privacy per gli obblighi di informativa in tema di dati raccolti presso terzi e di consenso.Tuttavia, anche in materia stragiudiziale potrà comunque farsi utile applicazione, per i dati comuni, dialtri presupposti equipollenti al consenso (dati relativi ad attività economiche; adempimento di obblighidi legge; ecc.). L’informativa, resa nei termini illustrati, in caso di raccolta presso terzi deve essereresa all’interessato all’atto della registrazione dei dati o non oltre la prima comunicazione a terzi. Ilconsenso del cliente non è richiesto secondo quanto sopra esposto. Il trattamento dei dati comuni disoggetti diversi dal cliente, nel caso in cui non possa applicarsi uno degli altri presupposti di cui all’art.24 del Codice (ad esempio, dati “pubblici”), deve avvenire con il consenso dell’interessato. Il tratta-mento di dati sensibili richiede il consenso scritto dell’interessato. Per quanto riguarda l’autorizzazio-ne del Garante, opera l’autorizzazione generale n. 4/2004. L’incarico ricevuto dal professionista deverientrare tra quelli che quest’ultimo può eseguire in base all’ordinamento professionale di riferimento.Analogamente a quanto già accennato, il trattamento dei dati idonei a rivelare lo stato di salute e la vitasessuale richiede il consenso scritto dell’interessato e deve essere effettuato anche nel rispetto del-l’autorizzazione generale n. 2/2004. Per il trattamento di dati giudiziari valgono considerazioni analo-ghe a quanto illustrato in precedenza.

4.6.2. La Circolare del Consiglio Nazionale dei Dottori Commercialisti

Si segnala che il Consiglio Nazionale dei Dottori Commercialisti ha emanato una Circolare in data28 aprile 2004 al fine di fornire alcuni chiarimenti sull’applicazione della normativa “privacy” negli studiprofessionali.

4.6.3. La Circolare del Consiglio Nazionale dei Consulenti del Lavoro

Si segnala che il Consiglio Nazionale dei Consulenti del Lavoro ha emanato una Circolare in data11 maggio 2004 al fine di fornire alcuni chiarimenti sull’applicazione della normativa “privacy” perl’attività del Consulente del Lavoro.


4.6.4. L’attività dei notai e l’emanazione di un decalogo semplificato

Il Garante ha reso noto nella newsletter n. 236 del 29 novembre-5 dicembre 2004 di aver rilasciatoun parere al Consiglio Nazionale del Notariato in risposta ad alcuni quesiti formulati sulla correttaapplicazione della normativa da parte dei notai.

La disciplina sulla protezione dei dati personali non pone in discussione la peculiarità della funzio-ne notarile e si affianca alle regole generali sul segreto professionale per assicurare l’integrità e ladisponibilità dei dati, indicando come debbano essere custoditi e trattati in concreto. Da questa disci-plina i notai possono trarre vantaggi, svolgendo la professione in condizioni operative più sicure.

Nella citata newsletter il Garante informa che sarà emanato un breve decalogo, messo a punto incollaborazione tra il Garante e il Consiglio nazionale, che riassumerà i principali adempimenti in ma-teria di privacy nello svolgimento dell’attività notarile e le “regole del giuoco” al fine di permettere allacategoria dei Notai di perseguire gli scopi professionali, tenendo conto delle regole già stabilite cheassicurano riservatezza e pubblicità.

In particolare, saranno previste brevi informative alla clientela in forma sintetica e colloquiale.

Non ci sarà alcun obbligo di sostituire con codici identificativi i nomi delle parti sui fascicoli: èsufficiente adottare opportune precauzioni per rendere la documentazione accessibile solo al perso-nale autorizzato.

Verranno ricordati i vari presupposti del trattamento equipollenti al consenso dell’interessato.

Si forniranno, inoltre, altre indicazioni pratiche per adempiere agevolmente all’adozione delle misu-re di sicurezza (graduate secondo la delicatezza delle informazioni) e alla redazione, nel caso ditrattamento di dati sensibili e/o giudiziari in via informatica, del documento programmatico sulla sicu-rezza (DPS).

Oltre all’adozione delle cosiddette “misure minime”, ai notai, in qualità di titolari del trattamento,spetta predisporre ogni altra misura di sicurezza necessaria per ridurre al minimo il rischio di acces-so non autorizzato, distruzione o perdita, anche accidentale di dati personali.

4.7 Il regime di pubblicità dei dati personali degli iscritti negli albiprofessionali

Il Garante ha sottolineato in più occasioni che la normativa in materia di tutela dei dati personali nonha modificato la disciplina legislativa relativa al regime di pubblicità degli albi professionali e allaconoscibilità degli atti connessi, e che tali albi “per loro stessa natura, sono destinati ad un regime dipubblicità, anche in funzione della tutela dei diritti di coloro che a vario titolo hanno rapporti con gliiscritti all’Albo”.

Nel Codice della Privacy il regime di pubblicità dei dati personali degli iscritti negli albi professionaliè disciplinato espressamente dall’art. 61, il quale prevede che gli ordini e i collegi professionali posso-no, ai sensi dell’art. 19, commi 2 e 3, comunicare a soggetti pubblici e privati e diffondere anche pervia telematica i dati personali diversi da quelli sensibili o giudiziari che, in base a disposizioni legisla-tive o regolamentari di settore, devono necessariamente essere inseriti negli albi professionali.

Ai sensi dell’art. 61, comma 3, del Codice della Privacy, su richiesta del professionista iscritto, l’ordi-ne o collegio professionale può integrare i dati contenuti negli albi con ulteriori informazioni che l’iscrittochieda di aggiungere purché siano pertinenti e non eccedenti in relazione all’attività professionale.

Inoltre, ai sensi dell’art. 61, comma 4, del Codice della Privacy, sempre su richiesta del professio-nista iscritto, l’ordine o collegio professionale può fornire a terzi informazioni supplementari relative, inparticolare, a speciali qualificazioni professionali non menzionate nell’albo, ovvero alla disponibilità ad

Privacy e DPS38

assumere incarichi o a ricevere materiale informativo a carattere scientifico inerente anche a conve-gni o seminari.

Con riferimento alla divulgazione delle informazioni relative a provvedimenti disciplinari, l’art. 61,comma 1, del Codice della Privacy sancisce che nelle comunicazioni a soggetti pubblici o privati, o insede di diffusione, anche on line, di dati inseriti nell’albo professionale, può anche essere “menzionatal’esistenza di provvedimenti che dispongono la sospensione o che incidono sull’esercizio della pro-fessione”. Al riguardo il Garante ha precisato che “può essere resa nota l’esistenza di provvedimentidisciplinari che dispongono la sospensione dalla professione, ma non il provvedimento nella suaintegralità, fermo restando il dovere di porre in circolazione informazioni corrette, complete ed aggior-nate, specie con riguardo ad eventuali sviluppi favorevoli per gli interessati”.

Pertanto, non viola la privacy dare notizia anche on line dell’esistenza di un provvedimento discipli-nare adottato nei confronti di professionisti iscritti in un albo professionale, e gli Ordini e collegi profes-sionali possono affiggere nell’albo e pubblicare sulle loro riviste, sia cartacee sia on line, le sanzionidisposte nei confronti dei loro iscritti e darne comunicazione ad amministrazioni pubbliche o a privatiche lo richiedano.

Il Garante ha inoltre precisato che “l’esistenza e l’esito del provvedimento di sospensione possonoessere comunicati a soggetti privati che abbiano presentato esposto, ferma restando, peraltro, l’appli-cazione nel caso concreto delle disposizioni della legge 241/1990 in tema di accesso ai documentiamministrativi” (Cfr. Relazione 2004, p. 74).

Il trasferimento dei dati all’estero 39

5. Il trasferimento dei dati all’estero

Il legislatore applica una disciplina diversa al trasferimento di dati personali all’interno dell’UnioneEuropea rispetto al trasferimento verso Paesi terzi.

5.1 Il trasferimento dei dati personali all’interno dell’Unione Europea

Il trasferimento di dati personali all’interno dell’Unione Europea non richiede l’osservanza di regoleulteriori rispetto a quelle già contenute nel Codice della Privacy per qualsiasi trattamento.

Esso è consentito sulla base del principio di cui all’art. 42 del Codice della Privacy, secondo il qualele disposizioni del Codice “non possono essere applicate in modo tale da restringere o vietare lalibera circolazione dei dati personali fra gli Stati membri dell’Unione Europea”.

Tuttavia, il Garante può adottare provvedimenti in caso di trasferimenti di dati effettuati al fine dieludere le predette disposizioni.

5.2 Il trasferimento dei dati personali verso Paesi terzi

Per il trasferimento di dati personali verso Paesi terzi il legislatore ha previsto specifiche regole (artt. 43-45 del Codice della Privacy) che tutelino maggiormente gli interessati sulla base del presupposto che iPaesi non comunitari non forniscono un livello di protezione adeguato al trattamento di dati personali.

Il legislatore opera una distinzione tra trasferimenti legislativamente consentiti (art. 43), trasferimenticonsentiti sulla base di specifiche autorizzazioni del Garante (art. 44) e trasferimenti vietati (art. 45).

5.2.1. Trasferimenti legislativamente consentiti

Anzitutto, il trasferimento verso Paesi extracomunitari è consentito a condizione che:

> l’interessato abbia manifestato il proprio consenso espresso, e in caso di dati sensibili dettoconsenso sia stato reso in forma scritta;

> sia necessario per l’esecuzione di obblighi derivanti da un contratto del quale è parte l’interes-sato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato,ovvero per la conclusione o per l’esecuzione di un contratto stipulato a favore dell’interessato;

> sia necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge ocon regolamento o, se il trasferimento riguarda dati sensibili o giudiziari, specificato ed individuatoai sensi degli artt. 20 e 21 del Codice della Privacy;

Privacy e DPS40

5.2.2. Trasferimenti consentiti sulla base di specifiche autorizzazioni e le clausolecontrattuali tipo

Se il trasferimento di dati personali verso Paesi terzi non rientra nelle ipotesi sopra elencate, lostesso deve essere autorizzato dal Garante, il quale decide sulla base delle garanzie per i dirittidell’interessato fornite dal Paese terzo.

Dette garanzie sono individuate:

>> anche in relazione a garanzie prestate con un contratto;

>> ovvero con le decisioni ex art. 25, par. 6, della direttiva 95/46/CE con le quali la CommissioneEuropea constata che un Paese non comunitario garantisce un livello di protezione adeguato;

>> ovvero con le decisioni ex art. 26, par. 4, della direttiva 95/46/CE con le quali la CommissioneEuropea constata che alcune clausole contrattuali offrono garanzie sufficienti.

Ai sensi dell’art. 44 del Codice della Privacy, sia il trasferimento di dati personali verso Paesi extraUEindividuati dalla Commissione Europea in base al livello di protezione adeguato ex art. 25, par. 6, delladirettiva 95/46/CE, sia l’adozione di clausole contrattuali tipo individuate dalla Commissione ex art. 26,par. 4, della direttiva 95/46/CE, sono ammessi previa autorizzazione del Garante.

In attuazione del citato art. 25, par. 6, la Commissione Europea ha riconosciuto adeguato il livello ditutela dei dati personali esistente in Svizzera, Ungheria, Stati Uniti (per le organizzazioni che hannosottoscritto l’accordo di Safe Harbor), Canada, Bailato di Guernsey, Argentina, Isola di Man. Tale rico-noscimento è avvenuto mediante apposite decisioni che sono state rese operative in Italia con auto-rizzazioni del Garante come illustrato nella seguente tabella:

> sia necessario per la salvaguardia e l’incolumità fisica di un terzo o dell’interessato;

> sia necessario ai fini dello svolgimento di investigazioni difensive o per far valere o difendereun diritto in sede giudiziaria;

> sia effettuato in accoglimento di una richiesta di accesso ai documenti amministrativi, o diuna richiesta di informazioni estraibili da un pubblico registro, elenco, atto o documento conoscibileda chiunque;

ESEAP ESEAP ESEAP ESEAP ESEAP ECENOISICED ECENOISICED ECENOISICED ECENOISICED ECENOISICED ENOIZAZZIROTUA ENOIZAZZIROTUA ENOIZAZZIROTUA ENOIZAZZIROTUA ENOIZAZZIROTUAELARENEG

itinUitatS itinUitatS itinUitatS itinUitatS itinUitatS

.n0002oilgul62ledaeporuEenoissimmoCalledenoisiceDelledelaiciffUattezzaGallusatacilbbup(EC/025/0002

acifitteravitalere0002otsoga52led512LeeporueàtinumoCLeeporueàtinumoCelledelaiciffUattezzaGallusatacilbbup

ruobraHefaSodroccA–)1002elirpa52led511

led63.nenoizarebileD1002erbotto01

arezzivS arezzivS arezzivS arezzivS arezzivS.n0002oilgul62ledaeporuEenoissimmoCalledenoisiceD

elledelaiciffUattezzaGallusatacilbbup(EC/815/0002)0002otsoga52led512LeeporueàtinumoC


airehgnU airehgnU airehgnU airehgnU airehgnU.n0002oilgul62ledaeporuEenoissimmoCalledenoisiceD

elledelaiciffUattezzaGallusatacilbbup(EC/915/0002)0002otsoga52led511LeeporueàtinumoC


adanaC adanaC adanaC adanaC adanaC.n1002erbmecid02ledaeporuEenoissimmoCalledenoisiceD

àtinumoCelledelaiciffUattezzaGallusatacilbbup(EC/2/2002)2002oianneg4led312Leeporue

led6.nenoizarebileD3002elirpa03

anitnegrA anitnegrA anitnegrA anitnegrA anitnegrA.n3002onguig03ledaeporuEenoissimmoCalledenoisiceD

elledelaiciffUattezzaGallusatacilbbup(EC/094/3002)3002oilgul5led861LeeporueàtinumoC

asettanienoizarebileD.U.Gnienoizacilbbupid

idotaliaB idotaliaB idotaliaB idotaliaB idotaliaByesnreuG

.n3002erbmevon12ledaeporuEenoissimmoCalledenoisiceDelledelaiciffUattezzaGallusatacilbbup(EC/128/3002

)3002erbmevon52led803LeeporueàtinumoC

led2.nenoizarebileD4002elirpa51

idalosI idalosI idalosI idalosI idalosInaM

.n4002elirpa82ledaeporuEenoissimmoCalledenoisiceDelledelaiciffUattezzaGallusatacilbbup(EC/114/4002

)4002elirpa03led151LeeporueàtinumoC

asettanienoizarebileD.U.Gnienoizacilbbupid

Il trasferimento dei dati all’estero 41

Per quanto riguarda i trasferimenti indirizzati verso gli Stati Uniti occorre accertarsi che l’operatorestatunitense abbia aderito all’accordo del “Safe Harbor”, adesione che risulta da appositeautocertificazioni che le imprese americane sono tenute a presentare al Dipartimento del commercioo agli altri organi governativi competenti degli Stati Uniti.

Inoltre, in attuazione del citato art. 26, par. 4, la Commissione Europea ha adottato nel 2001 leseguenti decisioni, autorizzate dal Garante, relative all’individuazione di clausole contrattuali tipoche possono essere utilizzate su base volontaria dall’importatore e dall’esportatore:

La decisione 2001/497/CE individua clausole contrattuali tipo (Insieme I) in caso di trasferimentodi dati personali tra autonomi titolari;

La relativa autorizzazione del Garante (deliberazione n. 35 del 10 ottobre 2001) precisa che iltrasferimento di dati personali fra autonomi titolari verso Paesi terzi è consentito purché effettuato inbase ed in conformità alle clausole contrattuali tipo individuate dalla Commissione Europea nelladecisione 2001/497/CE ed a condizione che l’importatore e l’esportatore di dati personali:

La decisione 2002/16/CE individua invece le clausole contrattuali tipo in caso di trasferimento didati da un titolare stabilito in un Paese europeo verso un suo responsabile stabilito in unPaese non comunitario.

Al riguardo l’autorizzazione del Garante (deliberazione n. 3 del 10 aprile 2002) consente il trasferi-mento di dati personali verso responsabili aventi sede in un Paese terzo purché effettuato in confor-mità alle clausole contrattuali tipo individuate dalla Commissione Europea nella decisione 2002/16/CE ed a condizione che il titolare (“l’azienda madre”) con sede in Italia ed il responsabile con sede nelPaese terzo abbiano sottoscritto un contratto che incorpori le clausole in questione.

Tali clausole devono essere conoscibili anche dalle persone cui si riferiscono i dati e che chiedanodi averne conoscenza, così come deve essere fornita, agli interessati che lo richiedano, un’adeguatadescrizione delle misure di sicurezza adottate.

Infine, la decisione 2004/915/CE, applicabile a decorrere dal 1 aprile 2005, adottata dalla Commis-sione Europea in data 27 dicembre 2004, modifica la sopra citata decisione 2001/497/CE, relativa aitrasferimenti di dati personali fra autonomi titolari, indicando un ulteriore insieme di clausolecontrattuali tipo (Insieme II) che possono essere utilizzate dai titolari di Stati comunitari per trasferirei dati personali ad altri titolari non comunitari. Tale insieme di clausole è alternativo rispetto alle clauso-

ECENOISICED ECENOISICED ECENOISICED ECENOISICED ECENOISICED ELARENEGENOIZAZZIROTUA ELARENEGENOIZAZZIROTUA ELARENEGENOIZAZZIROTUA ELARENEGENOIZAZZIROTUA ELARENEGENOIZAZZIROTUA

.n1002onguig51ledaeporuEenoissimmoCalledenoisiceDàtinumoCelledelaiciffUattezzaGallusatacilbbup(EC/794/1002

)1002oilgul4led181Leeporue

erbotto01led53.nenoizarebileD1002

.n1002erbmecid72ledaeporuEenoissimmoCalledenoisiceDàtinumoCelledelaiciffUattezzaGallusatacilbbup(EC/61/2002

)2002oianneg01led6Leeporue

elirpa01led3.nenoizarebileD2002

.n4002erbmecid72ledaeporuEenoissimmoCalledenoisiceDatacilbbup(EC/794/1002enoisicedalacifidomehcEC/519/4002

92led583LeeporueàtinumoCelledelaiciffUattezzaGallus)4002erbmecid

idasettanienoizarebileD.U.Gnienoizacilbbup

- inseriscano le clausole relative al trattamento dei dati personali all’interno del contratto per renderleconoscibili agli interessati;

- forniscano al Garante, in caso di richiesta, copia del contratto ed altre eventuali informazioni;- comunichino al Garante il tipo di azione legale scelta (mediazione, azione in giudizio, arbitrato) in caso

di controversia con gli interessati.

Privacy e DPS42

le indicate dalla Commissione con la decisione 2001/497/CE, ma non è ammesso modificare leclausole ovvero effettuare una combinazione delle clausole o dei due Insiemi.

Il Garante ha informato nella newsletter n. 257 del 30 maggio-12 giugno 2005 di aver recepitoanche la citata decisione 2004/915/CE con l’emanazione della relativa autorizzazione generale il cuitesto è in corso di pubblicazione in Gazzetta Ufficiale.

L’utilizzazione delle clausole contrattuali tipo avviene su base volontaria, nel quadro di un accordotra l’esportatore dei dati, con sede in Italia, e l’importatore situato in un Paese terzo, il quale riceve idati per effettuare il trattamento per conto dell’esportatore ed in conformità delle clausole stesse.L’esportatore e l’importatore possono inoltre prevedere ulteriori tutele per le persone cui si riferisconoi dati personali.

Il contratto che regola il trasferimento non necessita di autorizzazione preventiva del Garante e nondeve essere comunicato all’Autorità che può, però, chiederne copia e avere tutte le informazioni cheritiene necessarie.

Il Garante ha il compito di svolgere controlli sulla liceità e correttezza dei trasferimenti di dati e delleoperazioni di trattamento, nonché di adottare provvedimenti di blocco o divieto di trasferimento, nelcaso rilevasse illeciti. In caso di controversia non risolta in via amichevole, le Parti devono darnecomunicazione al Garante se scelgono di rivolgersi ad un organo diverso dal Garante o dall’autoritàgiudiziaria.

5.2.3. Trasferimenti vietati

Qualsiasi trasferimento, effettuato con qualsiasi mezzo, che esuli dalle ipotesi illustrate e discipli-nate dagli artt. 43 e 44 del Codice della Privacy è vietato, anche se trattasi di trasferimento tempora-neo e di solo transito.

5.3 Le multinazionali e l’export di dati personali: le binding corporaterules e la check list elaborata dal Gruppo dei Garanti

Il Gruppo dei Garanti UE ha approvato due documenti WP107 e WP108 mediante i quali le impresemultinazionali potranno vedere riconosciuta in tutti i Paesi dell’UE la validità delle cosiddette “normevincolanti d’impresa” (Binding Corporate Rules) ai fini del trasferimento di dati personali verso Paesiterzi che non garantiscono un livello adeguato di protezione dei dati personali.

In passato, le imprese, soprattutto multinazionali, avevano spesso chiesto la disponibilità di unapproccio “one-stop-point”, che consentisse di dialogare con un solo interlocutore anziché con 25diverse autorità onde ottenere l’autorizzazione all’impiego delle citate norme vincolanti d’impresa.

Questo è adesso possibile attraverso l’approccio elaborato dai Garanti europei, che al contempogarantisce alle autorità di protezione dati la possibilità di svolgere una valutazione congiunta in unquadro di garanzie uniformi e nel rispetto della prerogative di ciascuna.

Il documento WP107 indica la procedura da osservare, che prevede la designazione di un’autoritàdi protezione dati quale “leader” della valutazione, alla quale tutte le altre autorità interessate (ossia,quelle dei Paesi UE dai quali devono essere trasferiti dati personali) faranno capo per commenti eosservazioni.

La designazione spetta alla società multinazionale, che dovrà rifarsi ai criteri indicati nel documen-to, fra i quali priorità viene data alla considerazione del Paese ove è situata la capogruppo o la sedecentrale europea della multinazionale. Le autorità sono libere o meno di accettare tale designazionesulla base della documentazione prodotta dalla società, eventualmente formulando una contro-pro-posta. Stabilita l’autorità-leader, la procedura prevede l’elaborazione di una bozza finale di “norme

Fattispecie particolari 43

vincolanti d’impresa” che è sottoposta alla valutazione congiunta di tutte le autorità interessate, coor-dinate dall’autorità-leader; l’accettazione di tale bozza finale vale come riconoscimento dell’adegua-tezza delle norme in essa contenute e, quindi, come autorizzazione al loro impiego.

Il documento WP108, che integra e completa il precedente documento WP107, fornisce indicazio-ni specifiche sui contenuti delle “norme vincolanti d’impresa” e una sorta di “checklist” che le impresedovranno utilizzare per verificare che le rispettive “norme vincolanti d’impresa” rispondano ai principifissati nella Direttiva 95/46, in particolare con riferimento alla dimostrazione dell’effettiva vincolativitàdelle norme, sia all’interno del gruppo (controllate, collegate, dipendenti, terzi fornitori) sia all’esterno,soprattutto ai fini dell’esercizio dei diritti riconosciuti agli interessati.

Privacy e DPS44

6. Fattispecie particolari

6.1 Lavoro e previdenza sociale

La disciplina relativa al trattamento dei dati dei lavoratori è contenuta in diverse disposizioni delcodice e nelle autorizzazioni generali 1/2004, 5/2004 e 7/2004. Il legislatore detta inoltre una disciplinaspecifica negli artt. da 111 a 116 della Parte II del Codice della Privacy.

Anzitutto, ad ogni lavoratore deve essere fornita l’informativa ex art. 13 del Codice della Privacy inmerito al trattamento dei relativi dati personali da parte del titolare. Per quanto concerne il trattamentodi dati comuni, non è richiesto il consenso del lavoratore in quanto rientrante nell’esimente di cuiall’art. 24, comma 1, lett. b) del Codice della Privacy. Per quanto concerne il trattamento di dati sensi-bili e giudiziari dei lavoratori, non è richiesto il consenso dell’interessato né l’autorizzazione del Garantein quanto rientrante nell’esimente di cui all’art. 24, comma 1, lett. d) del Codice della Privacy e purchétale trattamento venga svolto nei limiti delle autorizzazioni generali nn. 1/2004, 5/2004 e 7/2004.

>> In particolare, l’autorizzazione generale n. 1/2004 interessa una vasta tipologia di lavoratori:dipendenti (anche prestatori di lavoro temporaneo o in rapporto di tirocinio, apprendistato e formazio-ne lavoro, associati in compartecipazione), consulenti e liberi professionisti, agenti, rappresentanti,mandatari, collaboratori coordinati e continuativi, altri lavoratori autonomi in rapporto di collaborazio-ne, candidati all’instaurazione di rapporti di lavoro, persone fisiche che ricoprono cariche sociali o altriincarichi, terzi danneggiati nell’esercizio dell’attività lavorativa o professionale dai precedenti soggetti.

Si precisa che la predetta autorizzazione generale riguarda anche l’attività svolta dal medico com-petente ex D.Lgs. 626/94, sia in qualità di libero professionista sia di dipendente, e dalle associazioni,organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro per perse-guire scopi determinati e legittimi individuati dai relativi statuti o dai contratti collettivi, in materia diassistenza sindacale ai lavoratori.

>> L’autorizzazione generale n. 5/2004, relativa al trattamento da parte di diverse categorie dititolari, è rilasciata anche ad imprese, società, istituti ed altri organismi o soggetti privati, titolari auto-nomi di un’attività svolta nell’interesse di altri soggetti, e che presuppone l’elaborazione di dati ed altreoperazioni di trattamento eseguite in materia di lavoro ovvero a fini contabili, retributivi, previdenziali,assistenziali e fiscali, nonché alle imprese, alle società, agli istituti e agli altri organismi o soggettiprivati, titolari autonomi di attività svolta anche di propria iniziativa nell’interesse di terzi, ai soli fini dellaricerca o della selezione del personale. I trattamenti idonei a rivelare lo stato di salute dei lavoratoridevono inoltre essere effettuati nel rispetto dell’autorizzazione 2/2004.

>> L’autorizzazione generale n. 7/2004 è invece relativa al trattamento dei dati a carattere giudi-ziario da parte di privati, di enti pubblici economici e di soggetti pubblici ed è rilasciata a personefisiche e giuridiche, enti, associazioni ed organismi che:

a) sono parte di un rapporto di lavoro;b) utilizzano prestazioni lavorative anche atipiche, parziali o temporanee;c) conferiscono un incarico professionale a consulenti, liberi professionisti, agenti, rappresentanti e mandatari.


Ai sensi dell’art. 111 del Codice della Privacy, il Garante deve promuove la sottoscrizione di unCodice di deontologia e buona condotta per il trattamento dei dati personali effettuato per finalitàprevidenziali o per la gestione del rapporto di lavoro, in cui dovranno essere previste anche specifichemodalità per l’informativa all’interessato e per l’eventuale prestazione del consenso relativamente allapubblicazione degli annunci di lavoro e alla ricezione di curricula contenenti dati personali anchesensibili.

Gli artt. 113 e 114 del Codice della Privacy confermano l’applicazione degli artt. 8 e 4 dello Statutodei lavoratori secondo cui non possono essere svolte indagini, ai fini dell’assunzione o nel corso dellosvolgimento del rapporto di lavoro, sulle opinioni politiche, religiose o sindacali del lavoratore, cosìcome è vietato utilizzare impianti audiovisivi o altre apparecchiature per finalità di controllo a distanzadell’attività dei lavoratori.

L’art. 115 del Codice della Privacy statuisce che, nell’ambito del rapporto di lavoro domestico e deltelelavoro, il datore di lavoro deve garantire il rispetto della personalità e della libertà morale del lavora-tore, ed il lavoratore domestico è tenuto a mantenere la riservatezza per tutto quanto attiene la vitafamiliare.

Si rammenta che il lavoratore che tratta dati personali per conto del titolare deve essere nominatoincaricato ex art. 30 del Codice della Privacy.

Infine, occorre ricordare che quando l’accesso ai dati e agli strumenti elettronici è consentito solomediante l’uso della password personale di accesso, è necessario informare preventivamente periscritto il dipendente delle modalità con cui il titolare può avere accesso a detti dati e documenti incaso di prolungata assenza o impedimento del dipendente stesso. Tale possibilità di accesso è am-messa solo per esclusive necessità di operatività e sicurezza del sistema e richiede che sia indivi-duato preventivamente per iscritto un custode delle password che ne garantisca la relativa segretez-za. In caso di accesso l’interessato deve essere tempestivamente informato dell’intervento effettuato(cfr. Disciplinare Tecnico di cui all’Allegato B del Codice della Privacy, regola n. 10).

6.1.1. Gli annunci di lavoro e la raccolta dei curricula

L’art. 9 del D.Lgs. 276/2003 (c.d. Legge Biagi) dispone che se le inserzioni per la ricerca di perso-nale “sono effettuate mediante annunci pubblicati su quotidiani e periodici o mediante reti di comuni-cazione elettronica, e non recano un fac-simile di domanda comprensivo dell’informativa ex art. 13D.Lgs. 196/2003, indichino il sito della rete di comunicazione attraverso il quale il medesimo fac-simile è conoscibile in modo agevole”.

Per quanto concerne il Codice della Privacy, non esiste una disposizione specifica in merito ma ilcodice di deontologia e buona condotta che dovrà essere emanato ai sensi dell’art. 111 e che sostitui-rà l’autorizzazione generale n. 2 in tema di trattamento dei dati nei rapporti di lavoro, conterrà “speci-fiche modalità per l’informativa all’interessato e per l’eventuale prestazione del consenso” in merito“alla pubblicazione degli annunci per finalità di occupazione” e alla “ricezione dei curricula contenentidati personali anche sensibili”.

Occorre quindi far riferimento alle pronunce del Garante, fra cui la pronuncia del 10 gennaio 2002in cui è stato affermato che il ricevimento di curricula sollecitati tramite il ricorso ad annunci di lavoropubblicati su quotidiani o periodici comporta una successiva raccolta di dati personali rispetto allaquale l’interessato deve essere previamente informato delle caratteristiche del trattamento di dati chelo riguarda a prescindere dal fatto che la selezione abbia un esito positivo.

Pertanto se il titolare non fornisce l’informativa al momento in cui richiede l’invio del curriculum sitrova nell’impossibilità di poter adempiere correttamente all’obbligo di rendere l’apposita informativaagli interessati.

Privacy e DPS46

Alla luce dei principi di trattamento dei dati personali di cui all’art. 11 del D.Lgs, 196/2003, fra cui ilprincipio di trattamento in modo lecito e secondo correttezza, è necessario assicurare ai candidatiun’idonea informativa fin dal momento della pubblicazione degli annunci circa il trattamento dei datirichiesti.

Non è necessario inserire l’intera informativa ex art. 13 del Codice della Privacy, ma è sufficientepubblicare l’informativa sul proprio sito internet indicando agli interessati l’indirizzo web dove possonoavere informazioni circa il trattamento dei dati forniti.

6.1.2. La riservatezza del fascicolo del dipendente

Come precisato dal Garante il datore di lavoro, pubblico e privato, deve trattare e conservare i datidei dipendenti nel rispetto del diritto alla protezione dei dati, adottando anche, a pena di sanzioni civilie penali, ogni idonea misura di sicurezza per prevenire eventi lesivi della privacy.

Il fascicolo del dipendente è riservato e i dati sensibili devono essere conservati in una sezioneseparata del fascicolo personale ed essere accessibili solo al personale autorizzato (Cfr. Newslettern. 230 dell’11-17 ottobre 2004).

6.2 Pubblicità via fax, sms, mms, e-mail

Il Garante è recentemente intervenuto per rammentare che si possono inviare fax per effettuarericerche di mercato, promozioni o comunicazioni commerciali, vendite dirette, pubblicità od altromateriale di carattere commerciale, solo dopo aver ottenuto il preventivo ed esplicito consenso deldestinatario, anche se il suo numero telefonico compare in un elenco cosiddetto “pubblico” o vienereperito sulla rete Internet. Inoltre, non si può mai subordinare la sospensione del servizio imponendoall’interessato un onere economico derivante, per esempio, dal rinvio del fax ad un numero di telefonosoggetto ad una speciale tariffa.

L’art. 130 del Codice della Privacy, rubricato “comunicazioni indesiderate”, e il decreto legislativo n.185/1999 sulla protezione dei consumatori nei contratti a distanza (art. 10, comma 1) prevedono, daun lato, che gli operatori stabiliti nel territorio italiano che usano dati personali per comunicazionicommerciali utilizzando sistemi automatizzati di chiamata senza l’intervento di un operatore, tra iquali il fax, la posta elettronica, sms, mms, informino preventivamente l’interessato e, dall’altro, chenella stessa informativa sia previsto che l’utilizzo di questi strumenti avvenga solo dopo aver ricevutoil libero ed esplicito consenso dell’interessato.

E’ possibile non chiedere il consenso ai sensi dell’art. 139, comma 4, del Codice della Privacy, seil titolare utilizza ai fini della vendita diretta di propri prodotti o servizi le coordinate di posta elettronicafornite dall’interessato nel contesto della vendita di un prodotto o di un servizio e purché si tratti diservizi analoghi a quelli oggetto della vendita e l’interessato, adeguatamente informato, non rifiuti taleuso inizialmente o in occasione di successive comunicazioni. In ogni caso l’interessato può opporsiin ogni momento al trattamento in maniera agevole e gratuitamente.

E’ vietato, ai sensi dell’art. 130, comma 5, del Codice della Privacy, l’invio di comunicazioni perfinalità promozionali, di vendita diretta, per ricerche di mercato o di comunicazione commerciale,effettuato camuffando o celando l’identità del mittente o senza fornire un idoneo recapito presso cuil’interessato possa esercitare i suoi diritti.

A titolo esemplificativo, in calce all’annuncio può essere inserita la frase: “si prega dileggere l’informativa privacy ex art.13 D.Lgs 196/03 presente sul ns. sito www. ……..”.


6.3 La videosorveglianza

Il Garante è intervenuto recentemente in tema di videosorveglianza con il proprio provvedimento dicarattere generale del 29 aprile 2004, ritenendo opportuno aggiornare ed integrare il provvedimentodel 29 novembre 2000 anche al fine di conformare il trattamento di dati personali mediantevideosorveglianza con il Codice della Privacy ed altre disposizioni vigenti. Tale necessità è emersaanche in considerazione dei numerosi casi sottoposti all’attenzione del Garante da cui è emerso unuso non corretto di apparecchiature audiovisive che rilevano in modo continuativo immagini, eventual-mente associate a suoni, relative a persone identificabili, spesso anche con registrazione e conser-vazione dei dati.

Il provvedimento detta anzitutto alcuni principi generali, illustra le prescrizioni generali applicabili atutti i sistemi di videosorveglianza ed individua prescrizioni riguardanti specifici trattamenti di dati.

Per quanto concerne i principi generali, il Garante informa che il trattamento dei dati attraversosistemi di videosorveglianza è lecito solo se rispetta determinati presupposti di liceità nel rispettodelle disposizioni del Codice della Privacy e di altre disposizioni di legge ad esempio in materia diinterferenze illecite nella vita privata, di tutela della dignità, dell’immagine, del domicilio, delle disposi-zioni relative alla tutela dei lavoratori con particolare riferimento allo statuto dei lavoratori. Alcuni limitisi possono rinvenire da disposizioni di leggi speciali ad esempio in tema di sicurezza negli stadi.

>> Deve essere rispettato il principio di necessità secondo cui deve essere escluso ogni usosuperfluo. Ogni sistema informativo ed il relativo programma informativo devono pertanto essereoriginariamente conformati in modo da non utilizzare dati relativi a persone identificabili quando lefinalità possono comunque essere perseguite impiegando dati anonimi, ad esempio la possibilità dieffettuare solo riprese generali senza poter ingrandire le immagini. Il software deve inoltre essereconfigurato in modo tale da cancellare periodicamente e automaticamente i dati eventualmente regi-strati.

>> Deve essere rispettato il principio di proporzionalità sia nella scelta di quali apparecchiaturedi ripresa installare, sia nelle varie fasi del trattamento. Secondo detto principio deve essere evitata larilevazione di dati in aree o attività che non sono soggette a concreti pericoli, o per le quali non ricorreun’effettiva esigenza di deterrenza. L’installazione di videocamere è consentita soltanto qualora misu-re diverse siano insufficienti o inattuabili (ad esempio sistemi di allarme, misure di protezione degliingressi).

Il Garante reputa pertanto non giustificata un’attività di sorveglianza rivolta non al controllo di eventi,situazioni e avvenimenti, ma a fini promozionali-turistici o pubblicitari, attraverso web cam o cameras-on-line che rendano identificabili i soggetti ripresi.

Parimenti, può essere oggetto di contestazione anche l’installazione meramente dimostrativa oartefatta di telecamere non funzionanti o per finzione, anche se non comporta trattamento di datipersonali, perché può determinare forme di condizionamento nei movimenti e nei comportamentidelle persone in luoghi pubblici e privati.

>> E’ necessario inoltre rispettare il principio di finalità secondo cui gli scopi perseguiti devonoessere determinati, espliciti, legittimi, nonché di effettiva pertinenza del titolare del trattamento. Pos-sono essere perseguite solo finalità determinate e direttamente conoscibili attraverso adeguate co-municazioni e/o cartelli di avvertimento al pubblico e non finalità generiche o indeterminate. Dettefinalità devono essere riportate nell’informativa.

Per quanto riguarda gli adempimenti previsti, è necessario informare gli interessati della presen-za di telecamere e dell’eventuale registrazione, anche nei casi di eventi e in occasione di spettacolipubblici o di attività pubblicitarie.

L’informativa deve fornire tutti gli elementi previsti dall’art. 13 del Codice della Privacy anche conformule sintetiche ma chiare e senza ambiguità. Il Garante ha individuato un modello sintetico di

Privacy e DPS48

informativa riportato nel provvedimento generale 29 aprile 2004 che può essere utilizzato in particola-re in aree esterne. Tale modello non può essere utilizzato nei casi di verifica preliminare da parte delGarante di cui al punto 3.2. del citato provvedimento.

In luoghi diversi dalle aree esterne il modello deve essere integrato con almeno un avviso circostan-ziato che riporti gli elementi dell’art. 13 con particolare riguardo alle finalità e all’eventuale conservazione.

I sistemi di videosorveglianza che prevedono una raccolta delle immagini collegata e/o incrociatae/o confrontata con altri particolari dati personali (ad esempio biometrici), oppure con codici identifica-tivi di carte elettroniche o con dispositivi che rendano identificabile la voce devono essere obbligato-riamente sottoposti a verifica preliminare e conseguente autorizzazione da parte del Garante.

Il Garante precisa che non trova applicazione il principio del silenzio/assenso e, pertanto, non sipuò desumere alcuna approvazione del Garante dal semplice inoltro dei documenti relativi a progettidi videosorveglianza.

Tutte le persone fisiche incaricate del trattamento ed autorizzate ad utilizzare gli impianti e a visionarele registrazioni devono essere designate per iscritto. Devono inoltre essere pianificati programmi diformazione degli incaricati sui doveri, sulle garanzie e sulle responsabilità.

La designazione di eventuali responsabili ed incaricati esterni può essere effettuata solo se l’orga-nismo esterno svolge prestazioni strumentali e subordinate alle scelte del titolare del trattamento.

E’ necessario adottare opportune misure di sicurezza basate in particolare su una doppia chiavefisica o logica che consentano una immediata ed integrale visione delle immagini solo in caso dinecessità.

Se il titolare si avvale di un soggetto esterno deve ricevere dall’installatore una descrizione scrittadell’intervento effettuato che ne attesti la conformità alle regole in materia.

Relativamente alla durata della conservazione, essa deve essere commisurata al grado diindispensabilità e per il solo tempo necessario a raggiungere la finalità perseguita. La conservazionedeve essere limitata a poche ore o, al massimo, alle 24 ore successive alla rilevazione, salvo specialiesigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, o quando sideve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria.

In alcuni casi specifici, per peculiari esigenze tecniche (mezzi di trasporto) o per la particolarerischiosità dell’attività svolta dal titolare del trattamento (es. banche) è ammesso un tempo più ampioche non può comunque superare la settimana. Il sistema deve essere programmato in modo daoperare al momento prefissato, ove tecnicamente possibile, la cancellazione automatica da ognisupporto, anche mediante sovra-registrazione, con modalità tali da rendere non riutilizzabili i daticancellati.

Le ragioni delle scelte operate dal titolare devono essere adeguatamente documentate in unatto autonomo conservato presso il titolare e il responsabile del trattamento anche al fine di un’even-tuale esibizione in occasione di visite ispettive oppure nell’esercizio dei diritti dell’interessato o dicontenzioso.

In relazione a specifici settori, è ribadito il divieto assoluto di controllo a distanza dei lavoratori,anche in caso di erogazione di servizi per via telematica mediante c.d. “web contact center”, siaall’interno degli edifici, sia in altri luoghi di prestazione del lavoro, sia in luoghi non destinati all’attivitàlavorativa (per esempio bagni, spogliatoi, docce, armadietti e luoghi ricreativi).

In caso di eventuali riprese televisive sui luoghi di lavoro per documentare attività o operazioni soloper scopi divulgativi o di comunicazione istituzionale o aziendale trovano applicazione le disposizioniin tema di attività giornalistica.

Il provvedimento detta inoltre specifiche disposizioni relative all’utilizzo di sistemi di videosorveglianzain ospedali e luoghi di cura, in istituti scolastici, in luoghi di culto e di sepoltura, all’ingresso dei centristorici e delle zone a traffico limitato, sui mezzi di trasporto pubblici e nelle aree condominiali.


Il mancato rispetto delle prescrizioni rende il trattamento non corretto o illecito ed espone il titolare,a seconda dei casi, all’inutilizzabilità delle immagini, al divieto del trattamento e all’applicazione disanzioni amministrative o penali.

6.4 Il trattamento di dati personali via Internet

Il Garante è intervenuto in diverse occasioni richiamando il rispetto della normativa privacy anchenel caso di trattamento di dati personali via Internet.

In particolare, il Garante ha sottolineato l’obbligo di fornire informative, ex art. 13 del Codice dellaPrivacy, chiare e precise sull’uso dei dati personali e che consentano a chi intenda registrarsi su unsito web di esprimere scelte libere, consapevoli e non contraddittorie. Si considera pertanto illegittimorichiedere al cliente un consenso “omnibus”, dichiarato come facoltativo, ma dal quale si fa dipenderela fornitura dei servizi (Cfr. Newsletter n. 253 del 25 aprile-1 maggio 2005).

Il Garante è inoltre intervenuto anche in merito alla pubblicazione di alcuni provvedimenti sanzionatorisu un sito web di un ente e reperibili attraverso un qualsiasi motore di ricerca, sottolineando che entroun trimestre i vecchi provvedimenti devono poter essere consultabili solo attraverso una sezionespecifica del sito web, ma non attraverso motori esterni di ricerca (Cfr. Newsletter n. 249 del 21 -27marzo 2005).

6.5 TV a pagamento e TV interattiva e controllo dei gusti e delleabitudini dei telespettatori

Il Garante ha adottato un provvedimento di carattere generale in data 3 febbraio 2005 che stabiliscei diritti degli utenti e degli abbonati che utilizzano le nuove forme di televisione al fine di prevenire formeinvasive di controllo su gusti e abitudini dei telespettatori ed assicurare agli utenti un livello elevato deiloro diritti e della loro dignità ed a cui i gestori televisivi si sono dovuti adeguare entro il 15 maggio 2005.

La possibilità che l’abbonato o l’utente trasmettano inconsapevolmente, mediante il canale di ritor-no, svariate informazioni che li riguardano ha reso necessario individuare specifiche garanzie volte aprevenire illecite operazioni di profilazione e forme invasive di controllo su gusti e abitudini di persone,le quali vanno poste in grado di effettuare le proprie scelte liberamente e in modo informato.

Il provvedimento riguarda tutti gli ambiti diversi dai tradizionali servizi di radiodiffusione che vengo-no offerti ad un pubblico indifferenziato senza identificare gli utenti, prescindendo dalla tecnica ditrasmissione (analogica o digitale), dalla modalità di pagamento prescelta (es., carte prepagate) o daidispositivi utilizzati (digitazione di una tastiera o telecomando, ecc.).

In particolare, il citato provvedimento richiama il rispetto dei principi di necessità e proporzionalitàdel trattamento e dispone che i sistemi informativi e i programmi informatici devono essere configurati,già dall’origine, in modo da ridurre al minimo l’utilizzo delle informazioni relative ad abbonati ed utentiidentificabili. Il trattamento di tali informazioni non è lecito se le finalità possono essere perseguiteutilizzando solo dati realmente anonimi o indirettamente identificativi. Inoltre, tutti i dati personali e levarie modalità del loro trattamento nelle singole fasi ed occasioni di utilizzazione devono essere per-tinenti e non eccedenti rispetto alle finalità perseguite.

Con riferimento al decoder e alle schede prepagate, è necessario distinguere il caso in cui sidebba contestualmente instaurare necessariamente un rapporto contrattuale con un abbonato iden-tificato, dalle ipotesi nelle quali tale identificazione (e la possibile associazione tra nominativo e nume-ro seriale dell’apparecchio) non è lecita, essendo ad esempio il decoder utilizzato solo con schedeprepagate non identificative. Nel caso in cui eventuali e specifici obblighi di legge prescrivano puntual-

Privacy e DPS50

mente di identificare l’acquirente, occorre valutare le finalità di tale identificazione, che potrebbe esse-re eventualmente prescritta solo a fini fiscali di documentazione giustificativa per eventuali contributistatali.

Dal punto di vista della protezione dei dati personali devono ritenersi parimenti illecite eventualibanche dati di possessori di antenne televisive o satellitari.

Con riferimento alle abitudini davanti al video, non è lecito trattare eventuali dati personali relativia tempi di connessione, visioni di programmi ed eventi, fasce orarie di utilizzazione del mezzo televi-sivo, interruzioni di ascolto, cambi di canale ed analisi del comportamento in presenza di spazi pub-blicitari, se non nella misura, modalità e tempi effettivamente necessari.

In caso di sondaggi con televoto, deve essere adottata una tecnica che separa il voto espressodal nominativo di chi ha partecipato al sondaggio. Lo stesso vale per le ricerche di mercato e altrericerche campionarie, per le quali va nettamente esclusa ogni eventuale comunicazione a terzi deidati personali.

Non è di regola ammesso il trattamento di dati sensibili (quelli relativi a salute, sesso, convinzionipolitiche, filosofiche o religiose), né per l’ordinaria prestazione di servizi televisivi, né per eventualifinalità di profilazione o fidelizzazione della clientela, fatta salva l’ipotesi eccezionale nella quale ilmedesimo trattamento sia realmente indispensabile in rapporto ad uno specifico bene o serviziorichiesto e sia altresì autorizzato dal Garante, oltre che acconsentito dall’interessato in forma scritta otelematica equiparabile allo scritto. Ciò, vale anche per eventuali ricerche di mercato, sondaggi edaltre ricerche campionarie.

In considerazione dell’importanza che riveste l’informativa sia al momento della costituzione delrapporto contrattuale, sia successivamente, è richiesto che la stessa sia chiara e completa e, primadi ogni acquisto o altro tipo di rapporto interattivo, una schermata in video (del tipo “Ecco come sonoutilizzati i tuoi dati personali”) deve informare sull’uso dei dati che l’utente sta per fornire e la durata deltrattamento. L’informativa inserita all’interno di moduli deve essere adeguatamente evidenziata e col-locata in modo autonomo e unitario in un apposito riquadro, e risultare altresì agevolmente individuabilerispetto ad altre clausole del regolamento di servizio eventualmente riportato in calce o a margine.

Per l’eventuale monitoraggio delle scelte o profilazione dell’abbonato, è necessario il consensodell’interessato, che non può essere una condizione per stipulare il contratto relativo agli altri servizitelevisivi. Il consenso può essere espresso anche via telecomando, mentre se vengono trattati datisensibili è necessario l’uso di una password. Nell’interfaccia grafica contenente il supplemento diinformativa all’utente deve apparire l’indicazione su come acconsentire allo specifico trattamento,premendo ad esempio un tasto.

In caso di fatturazione degli acquisti (ad esempio di partite o film), l’abbonato deve avere la pos-sibilità di non ricevere una fatturazione dettagliata. Gli acquisti devono essere indicati per importototale, data e costo, mentre solo su richiesta verranno forniti i “titoli” specifici dei singoli eventi acquistati.

Infine, con riferimento alla conservazione dei dati, è prescritto che ogni informazione sugli abbo-nati può essere conservata solo per un determinato periodo di tempo, indicato nel contratto. La regolagenerale è che i dati personali dei quali non è necessaria la conservazione in relazione agli scopi peri quali essi sono stati raccolti o successivamente trattati devono essere cancellati o trasformati informa anonima. Decorso il termine per le singole fatturazioni e le relative contestazioni, i dati persona-li relativi ai singoli servizi o programmi acquistati devono essere cancellati. I dati dettagliati sugli acqui-sti non possono essere conservati per più di 12 mesi dalla loro registrazione, in riferimento a finalitàcommerciali, pubblicitarie o di profilazione, perseguite anche da parte di terzi, salva la loro trasforma-zione in forma anonima che non permetta di identificare gli interessati, anche indirettamente o colle-gando banche di dati e, in caso di cessazione del rapporto, dopo 3 mesi tutto deve essere cancellato.Occorre specificare questi aspetti nell’informativa e predisporre idonei meccanismi di cancellazioneautomatica dei dati anche da parte di terzi ai quali gli stessi siano stati eventualmente comunicati(specie a fini di profilazione o di marketing).


I dati personali che rientrano nella nozione di “dati di traffico” possono essere trattati nei soli limiti dilegge (artt. 123 e 132 del Codice). Non è consentito accedere ad informazioni archiviate nell’apparec-chio terminale dell’abbonato o utente al fine di archiviare informazioni o monitorare le operazioni effet-tuate (art. 122, comma 1, del Codice).

Restano fermi, in aggiunta alle prescrizioni del provvedimento generale, gli obblighi che il Codicedella Privacy detta ai titolari del trattamento e che potranno essere sviluppati attraverso il previstocodice di deontologia e di buona condotta per i servizi di comunicazione elettronica (artt. 122 e 133 delCodice), e la cui inosservanza espone all’inutilizzabilità dei dati trattati (art. 11 del Codice) oltre chealle pertinenti sanzioni amministrative e penali (artt. 161 ss. del Codice).

6.6 Le garanzie per l’uso delle “Etichette intelligenti” (RFID)

Il Garante ha adottato un provvedimento di carattere generale in data 9 marzo 2005 che stabiliscele modalità di utilizzo e produzione delle c.d. “etichette intelligenti” dette anche Rfid (Radio FrequencyIdentification), cioè minuscoli chip a radiofrequenza attivati da lettori ottici, che iniziano a trovare appli-cazione anzitutto nell’ambito delle aziende, degli esercizi commerciali, della grande distribuzione pertracciare il prodotto ai fini dell’efficienza del processo di produzione industriale, ma che possonoessere usati anche per raccogliere innumerevoli dati sulle abitudini dei consumatori a fini di profilazioneo essere in grado di tracciare i percorsi effettuati dagli stessi, controllarne la posizione geografica overificare quali prodotti usa, indossa, trasporta, così come possono essere utilizzati anche da sog-getti pubblici o privati anche ad altri scopi, quali l’identificazione personale o la tutela della salute.

Alla luce dei molteplici usi che possono avere le Rfid, il Garante ha adottato il citato provvedimentogenerale che si collega ad un recente provvedimento varato dai garanti europei, per stabilire alcuneprime misure per rendere conformi l’impiego dei sistemi Rfid alle norme sulla privacy nei casi in cui sitrattino dati personali relativi a persone identificate o identificabili e tutelare la loro dignità e la libertà.

In particolare, con riferimento all’informativa, il provvedimento del Garante prevede che le perso-ne devono essere adeguatamente informate dell’utilizzo di sistemi Rfid, così come dell’esistenza deilettori ottici che attivano l’etichetta. La presenza di avvisi nei luoghi nei quali le tecniche Rfid sonoutilizzate non esime da apporre informativa sugli stessi oggetti e prodotti che recano le etichetteintelligenti.

Per quanto concerne il consenso, è necessario il consenso espresso e specifico degli interessa-ti, a meno che ricorra in casi particolari uno degli altri presupposti di legge. Il consenso non è valido seottenuto con pressioni o condizionamenti sull’interessato. Se le etichette intelligenti sono associateall’utilizzo di carte di fedeltà, e si trattano dati a fini di profilazione dei consumatori, occorre informaree acquisire il consenso degli interessati.

Il consenso non è necessario quando le etichette intelligenti sono adoperate solo per modalità dipagamento e tale impiego non comporti alcuna riconducibilità dei prodotti ad acquirenti identificati oidentificabili.

Deve essere garantito il diritto di asportare, disattivare o interrompere gratuitamente ed inmaniera agevole il funzionamento delle Rfid al momento dell’acquisto del prodotto sui cui è appo-sta l’etichetta. Le etichette devono essere posizionate in modo tale da risultare facilmente asportabilisenza danneggiare o limitare la funzionalità del prodotto (es. collocate solo sulla confezione). Non è,di regola, lecita l’installazione di Rfid destinate a rimanere attive oltre la barriera-cassa dell’eserciziocommerciale.

Nei casi di impiego di Rfid per la verifica di accessi a determinati luoghi riservati devono esserepredisposte idonee cautele per i diritti e le libertà delle persone. In particolare: per i luoghi di lavoro varispettato quanto previsto dallo Statuto dei lavoratori che vieta l’utilizzo di impianti per il controllo adistanza dei lavoratori. Inoltre, per l’accesso occasionale di terzi a determinati luoghi occorre predi-

Privacy e DPS52

sporre un meccanismo che, nel caso di indisponibilità ad usare Rfid da parte dell’interessato, glipermetta comunque di entrare nel luogo in questione.

I microchip sottopelle devono ritenersi in via di principio vietati in quanto in contrasto con i diritti,le libertà fondamentali e la dignità della persona. Essi possono essere ammessi solo in casi eccezio-nali per comprovate e giustificate esigenze di tutela della salute delle persone. L’interessato, comun-que, deve poter ottenere la rimozione del microchip e l’interruzione del relativo trattamento dei datiche lo riguardano. Si devono prevedere modalità di impianto che garantiscano la riservatezza circa lapresenza delle etichette nel corpo dell’interessato. Il Garante ha stabilito, comunque, che i soggettiche intendono utilizzare tali microchip devono sottoporre alla verifica preliminare dell’Autorità tali sistemi.

Deve essere sempre rispettato il principio di proporzionalità. Pertanto, l’uso di etichette intelligentideve risultare proporzionato agli scopi che si intende perseguire. I dati possono essere utilizzati solo per lefinalità per le quali sono stati raccolti e devono essere conservati per il tempo strettamente necessario.

E’ necessaria l’adozione di misure di sicurezza per ridurre i rischi di distruzione, perdita, accesonon autorizzato o manomissione dei dati conservati.

Infine, l’avvio di trattamenti di dati che indicano la posizione geografica di persone o oggetti median-te reti di comunicazione elettronica o che siano effettuati allo scopo di costruire profili o personalità diun individuo devono essere notificati preventivamente al Garante.

6.7 Fidelity card e garanzie per i consumatori

In considerazione dei reclami ricevuti e delle segnalazioni pervenute in ordine al trattamento di datipersonali raccolti attraverso carte o tessere di “fidelizzazione” (c.d. fidelity card), il Garante ha ritenutonecessario prescrivere alcune misure necessarie ed opportune al fine di rendere il trattamento con-forme alle disposizioni vigenti adottando un provvedimento a carattere generale in data 24 febbraio2005, a cui ha fatto seguito un comunicato stampa in data 3 marzo 2005, con il quale ha fissato lelinee guida per un corretto uso dei dati personali dei clienti da parte di società che rilasciano le “cartedi fidelizzazione”.

Il citato provvedimento riguarda tutti i tipi di “carte di fidelizzazione”, rilasciate gratuitamente o meno,su supporto cartaceo o elettronico, presso punti-vendita oppure on line, nominativamente ovveroassegnando un codice identificativo, accumulando o meno punti rapportati a spese e servizi, sia nelsettore della grande distribuzione, sia in altri settori quali la prestazione di servizi nei trasporti, nelcredito, nella telefonia, nell’editoria, nel noleggio etc..

Tramite le “carte di fidelizzazione” vengono attribuiti vantaggi di varia natura (sconti per l’acquisto diprodotti, premi o bonus correlati, priorità, servizi accessori, facilitazioni di pagamento), in genere inbase al volume di spesa complessivo realizzato. Il rilascio delle carte (spesso mediante compilazio-ne di un modulo di adesione e di un questionario) e la loro utilizzazione (con la registrazione di beni eservizi effettuati) comportano un trattamento di dati personali dei clienti e, a volte, dei loro familiari.Accanto a dati anagrafici e recapiti di posta elettronica sono spesso raccolte ulteriori informazioni,quali ad esempio titolo di studio, professione, interessi, abitudini di consumo, modalità di acquistoetc., non necessarie per fruire dei vantaggi collegati alla carta.

Tali informazioni, tuttavia, vengono spesso utilizzate, fornendo solo un’informativa generica chedescrive i trattamenti in modo non adeguatamente distinto e senza che gli interessati ne abbianopiena conoscenza e possano acconsentire al loro uso, e anche per monitorare in dettaglio i lorocomportamenti o le loro propensioni al consumo, per creare cioè “profili” individuali o di gruppo (seg-menti di clientela con caratteristiche omogenee, c.d. cluster) o per confrontare le loro abitudini diconsumatori con altri clienti. In alcuni casi vengono trattati anche dati sensibili (salute, adesioni apartiti o religioni, scelte di vita etc.) il cui trattamento, di regola, non è lecito per gli scopi legati al rilasciodelle carte.


A ciò si aggiungono eventuali contatti diretti con la clientela per operazioni di marketing, comunica-zioni commerciali o pubblicitarie, vendite dirette o per ricerche di mercato, effettuati da chi rilascia lacarta o da terzi.

A garanzia degli interessati, il Garante ha prescritto ai titolari del trattamento l’adozione delle se-guenti misure necessarie od opportune al fine di conformare i trattamenti alle vigenti disposizioni inmateria di protezione dei dati personali.

Le regole riguardano le tre principali finalità per le quali i dati personali dei clienti vengono raccolti edutilizzati e che rendono necessario diversificare le modalità del trattamento, in particolare per quantoriguarda le tipologie di dati e la loro conservazione: la fidelizzazione, che viene realizzata attribuendovantaggi al cliente; la profilazione, mediante l’analisi delle abitudini e delle scelte di consumo; ilmarketing diretto.

Necessità e proporzionalità e utilizzo di dati sensibiliI trattamenti devono svolgersi rispettando i principi di necessità, liceità, correttezza, qualità dei dati

e di proporzionalità. In particolare:

L’utilizzazione di dati sensibili non è di regola ammessa per alcuna delle finalità indicate, fatta salval’ipotesi eccezionale nella quale il trattamento di dati sia realmente indispensabile in rapporto allospecifico bene o servizio richiesto e sia stato autorizzato dal Garante, oltre che acconsentito periscritto dall’interessato. Ciò, vale anche per eventuali ricerche di mercato, sondaggi ed altre ricerchecampionarie.

Il Garante ha quindi indicato le modalità di attuazione dei principi in rapporto alle diverse finalità ditrattamento.

>> i) Finalità di “fidelizzazione” in senso strettoSi possono trattare esclusivamente i dati necessari per attribuire i vantaggi connessi all’utilizzo

della carta, vale a dire:

>> ii) Finalità di “profilazione” della clientelaNon è lecito utilizzare, e tanto meno conservare, dati personali o identificativi se l’attività di profilazione

riguardante singoli individui o gruppi può essere svolta disponendo solo di dati anonimi o non identifi-cativi (ad esempio, un codice numerico), senza una relazione tra i dati che permettono di individuaregli interessati e le indicazioni analitiche relative alla loro sfera personale (gusti, preferenze, abitudini,bisogni e scelte di consumo).

> in applicazione del principio di necessità, i sistemi informativi e i programmi informatici devono essereconfigurati, già in origine, in modo da ridurre al minimo l’utilizzo di informazioni relative a clienti identificabili.Il trattamento di dati personali relativi a clienti non è lecito se le finalità del trattamento, in particolare diprofilazione, possono essere perseguite con dati anonimi o solo indirettamente identificativi;

> nel rispetto del principio di proporzionalità nel trattamento tutti i dati personali e le varie modalità delloro trattamento devono essere pertinenti e non eccedenti rispetto alle finalità perseguite.

> i dati direttamente correlati all’identificazione dell’intestatario della carta, quali le informazioni anagrafiche;> i dati eventualmente relativi al volume di spesa globale progressivamente realizzato (senza, cioè,

riferimenti di dettaglio ai singoli prodotti), nella misura in cui sia realmente necessario trattarli -e inparticolare conservarli- per attribuire i vantaggi medesimi, e per il tempo a ciò strettamente necessario.L’eventuale conservazione di dati di dettaglio relativi alle particolari tipologie di beni e servizi acquistati,o ai vantaggi conseguiti (punti, premi, bonus, ecc.), non è di regola necessaria specie se si persegue lasola finalità di “fidelizzazione”; nei casi particolari in cui essa è lecita, deve essere rispettato il principiodi proporzionalità.

Privacy e DPS54

Negli altri casi, le informazioni che si intendono acquisire (sia all’atto dell’adesione del cliente all’ini-ziativa, sia per effetto dell’eventuale registrazione di singoli beni e servizi accessori), e le modalità delloro trattamento, devono essere pertinenti e non eccedenti rispetto alla tipologia dei benicommercializzati o dei servizi resi.

Il principio di proporzionalità va osservato anche per quanto riguarda l’eventuale intenzione di regi-strare le informazioni in banche di dati, tanto più se centrali, che non devono essere interconnesse (ofonte di intrecci e raffronti di dati) con quelle utilizzate per la fidelizzazione in senso stretto.

Per quanto concerne i dati sensibili, oltre a quanto già indicato, non è lecito utilizzare a fine diprofilazione dati idonei a rivelare la stato di salute e la vita sessuale.

>> iii) Finalità di “marketing” direttoPossono essere raccolti ed utilizzati i dati pertinenti e non eccedenti per l’invio di materiale pubbli-

citario, anche attraverso riviste di settore, o di comunicazioni commerciali o per la vendita diretta. Sitratta, di regola, dei soli dati direttamente correlati all’identificazione dell’intestatario della carta o disuoi familiari, ovvero di persone da esso indicate. L’eventuale utilizzazione di dati personali derivantidalla profilazione deve essere oggetto di un consenso differenziato dei diretti interessati.

Informativa agli interessatiPrima del conferimento dei dati e del rilascio della carta deve essere fornita al cliente un’informati-

va chiara e completa, al fine di consentire un’adesione pienamente consapevole alle iniziative proposte.

Non sono consentiti comportamenti suscettibili di incidere sulle scelte libere e consapevoli delcliente nell’adesione ai “programmi di fidelizzazione”, così come, durante lo svolgimento delle opera-zioni preordinate al rilascio della “carta”, non è corretto indurre il cliente ad aderire al programmasenza aver avuto le spiegazioni e il tempo necessari per essere previamente informati e maturare unconsenso consapevole riguardo ai dati da fornire, specie in ordine alla profilazione o al marketing(come potrebbe ad esempio accadere sollecitando una rapida sottoscrizione mentre il cliente è in filaalla cassa senza un esame preventivo di un’informativa).

Si possono utilizzare formule sintetiche e colloquiali, purché chiare e inequivoche e contenenti tuttigli elementi richiesti dall’art. 13 del Codice della Privacy.

Non sono ammessi generici rinvii a regolamenti di servizio non acclusi per le parti di riferimento.L’informativa inserita all’interno di moduli deve essere adeguatamente evidenziata e collocata in modoautonomo e unitario in un apposito riquadro, ed essere così agevolmente individuabile rispetto ad altreclausole del regolamento di servizio eventualmente riportato in calce o a margine, ponendo in distintae specifica evidenza le caratteristiche dell’eventuale attività di profilazione e/o di marketing, comepure l’intenzione di cedere a terzi specificamente individuati i dati per finalità da indicare puntualmente.

Deve risultare parimenti chiara la circostanza che, per questi scopi, il conferimento dei dati e ilconsenso sono liberi e facoltativi rispetto alle ordinarie attività legate alla fidelizzazione in senso stretto.

Adesione al “programma di fidelizzazione” e consenso al trattamentoPer ottenere la carta di fidelizzazione e fruire dei relativi vantaggi occorre di regola accettare con-

dizioni generali di contratto predisposte dal titolare del trattamento (di regola, lo stesso emittente della“carta”): trattandosi di un trattamento di dati preordinato alla fidelizzazione in senso stretto “necessa-rio per eseguire obblighi derivanti da un contratto del quale è parte l’interessato”, non è richiesto ilconsenso dell’interessato ex art 24, comma 1, lett. b), del Codice della Privacy.

Per ogni altra finalità di trattamento (profilazione e ricerche di mercato da un lato; marketing dall’al-tro) che comporti l’identificabilità degli interessati è necessario invece il loro consenso specifico, infor-mato e distinto per ciascuna di esse, documentato per iscritto a cura del titolare del trattamento,ovvero reso necessariamente per iscritto dall’interessato nel caso di dati sensibili.


L’eventuale accettazione per iscritto delle clausole del regolamento di servizio deve essere distintadalle formule utilizzate per ciascuna di queste due manifestazioni di libero consenso.

L’adesione all’iniziativa di fidelizzazione non può essere condizionata alla manifestazione di taleconsenso e non è quindi lecito raccogliere un consenso generale ricorrendo ad una generica dichia-razione, comprendendo anche i casi in cui il consenso non è necessario o a prescindere dalle finalitàperseguite.

Il Garante rammenta che per alcune modalità di comunicazione quali posta elettronica, fax, siste-mi automatizzati di chiamata e messaggi del tipo Mms o Sms o di altro tipo, la necessità del consen-so deriva anche da apposite disposizioni in tema di comunicazioni indesiderate o di vendite a distan-za, le quali prevedono, altresì, regole particolari per l’offerta di servizi analoghi tramite posta elettroni-ca (Cfr. art. 130 del Codice della Privacy e art. 10 D.Lgs. 185/1999).

Copia della documentazione attestante l’informativa fornita e il consenso eventualmente prestatodeve essere rilasciata all’interessato, per consentirgli di verificare in ogni momento le proprie scelte edi modificarle.

Tempi di conservazioneI titolari del trattamento devono identificare i termini massimi di conservazione dopo aver esamina-

to la possibilità di raccogliere e conservare i dati nei termini consentiti per ciascuna delle finalità,tenendo conto di eventuali scelte degli interessati sopravvenute.

Il principio generale da osservare è quello secondo cui i dati personali dei quali non è necessaria laconservazione in relazione agli scopi per i quali sono stati trattati devono essere cancellati o trasfor-mati in forma anonima.

In ogni caso, i dati relativi al dettaglio degli acquisti con riferimento a clienti individuabili possonoessere conservati:

salva la reale trasformazione in forma anonima che non permetta, anche indirettamente o colle-gando altre banche di dati, di identificare gli interessati. Eventuali intenzioni di trattare i dati oltre talitermini potranno essere attuate solo previa valutazione del Garante ai sensi dell’art. 17 del Codicedella Privacy.

Nel caso di eventuale ritiro, disabilitazione per mancato utilizzo entro un determinato arco tempora-le, scadenza o restituzione della carta, deve essere individuato un termine di conservazione dei datipersonali per esclusive finalità amministrative (e non anche di profilazione o di marketing), non supe-riore ad un trimestre (fatti salvi eventuali specifici obblighi di legge sulla conservazione di documenta-zione contabile).

Occorre specificare questi aspetti nell’informativa e predisporre idonei meccanismi di cancellazio-ne automatica dei dati anche da parte di terzi cui gli stessi siano stati eventualmente comunicati(specie per la profilazione o di marketing).

Notificazione del trattamento e misure di sicurezzaIl provvedimento sottolinea che in aggiunta alle prescrizioni ivi contenute restano valide tutte le altre

indicazioni contenute nel Codice della Privacy applicabili nel caso delle fidelity card relative all’obbligodi notificazione, all’adozione di idonee misure di sicurezza, alla selezione dei soggetti autorizzati acompiere le operazioni di trattamento, all’obbligo di adottare misure necessarie ad agevolare l’eserci-zio dei diritti degli interessati ed il relativo riscontro tempestivo.

>> per finalità di profilazione per un periodo non superiore a dodici mesi dalla loro registrazione;>> per finalità di marketing per un periodo non superiore a ventiquattro mesi dalla loro registrazione

Privacy e DPS56

A tal fine:

6.8 La Finanziaria 2005 e il provvedimento del Garantedel 25 maggio 2005

Il Garante ha adottato un provvedimento in data 25 maggio 2005, a cui ha fatto seguito un comu-nicato stampa in data 31 maggio 2005, con il quale fornisce dettagliate indicazioni affinché alcune dispo-sizioni contenute nella legge finanziaria per il 2005 (Legge 30 dicembre 2004 n. 311) volte a potenziareil patrimonio informativo a disposizione degli organi preposti ai controlli fiscali e alla riscossione dei tributisiano conformi alla normativa sulla privacy e non finiscano per ledere i diritti dei cittadini.

Il provvedimento affronta le diverse tematiche riguardanti, tra l’altro, le indagini bancarie, l’anagrafetributaria e dei conti correnti, le dichiarazioni stragiudiziali, la riutilizzazione commerciale delle infor-mazioni catastali ed ipotecarie.

Il provvedimento rileva, inoltre, che diversi decreti attuativi sono stati adottati senza la previstaconsultazione del Garante, e sottolinea che le amministrazioni pubbliche laddove adottino provvedi-menti normativi in materia di trattamento dei dati personali sono tenute a consultare il Garante. Comesottolineato dal Dott. Fortunato, componente del Garante e relatore del provvedimento, “la mancanzadel parere del Garante determina un vizio dell’atto con conseguenze sui dati trattati che possonoessere inutilizzabili, soprattutto se il loro trattamento è difforme dai principi del Codice della Privacy, edeterminerebbe, peraltro, una responsabilità diretta a carico di chi li dovesse utilizzare”.

Si indicano nel prosieguo le indicazioni fornite dal Garante.

Indagini bancarieCon riferimento alla facoltà dell’Amministrazione finanziaria di chiedere dati e notizie relativi a sin-

goli soggetti o per categorie ad organi e amministrazioni dello Stato, enti pubblici non economici,società ed enti di assicurazione, altri enti e società che effettuano riscossioni e pagamenti per contodi terzi, e alla facoltà di chiedere a banche, Poste italiane Spa, intermediari finanziari, imprese diinvestimento, organismi di investimento collettivo del risparmio, società di gestione del risparmio esocietà fiduciarie informazioni sui rapporti intrattenuti od operazione effettuata con i loro clienti riguar-do ad attività finanziarie e creditizie, il Garante ha precisato che:

i) i dati eventualmente trattati a fini di profilazione o di ricerche di mercato devono essere conservati conadeguate modalità che portino a limitare l’ambito di circolazione dei dati allo stretto indispensabile,circoscrivendo qualitativamente e quantitativamente il numero di addetti aventi eventuale accesso alleinformazioni;

ii) deve essere escluso l’uso di sistemi e programmi che permettano, fuori dei casi consentiti, unaricostruzione organica di scelte, comportamenti e profili di interessati identificabili non soggetta alleprevie valutazioni del Garante ai sensi dell’art. 17 del Codice della Privacy;

iii) non devono essere eluse, attraverso la preposizione di soggetti esterni quali responsabili del tratta-mento, le garanzie in tema di comunicazione e conservazione dei dati e di trasparenza nell’informativariguardo alle finalità e ai soggetti che le perseguono;

iv) devono essere poste a disposizione degli interessati, anche nell’informativa, specifici recapiti, anchedi posta elettronica, per un agevole esercizio dei diritti.

>> il trattamento dei dati personali deve svolgersi nel rispetto dei diritti e delle libertà fondamentali,nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personalee al diritto alla protezione dei dati personali;

>> l’utilizzazione dei dati deve avvenire sulla base di un preciso quadro di riferimento anche per ciò cheriguarda i flussi tra l’amministrazione finanziaria e i destinatari delle richieste di informazioni, con parti-


Comunicazioni all’anagrafe tributariaLa legge finanziaria per il 2005 ha integrato le tipologie di dati che devono essere trasmesse al-

l’anagrafe tributaria da parte di soggetti pubblici e privati ex art. 7 D.P.R. 605/1973), prevedendo anchela trasmissione di:

Al riguardo, il Garante sottolinea che diversi decreti di attuazione delle norme sull’anagrafe tributa-ria volti a disciplinare comunicazioni di dati all’anagrafe tributaria (pagamenti effettuati per interventi direcupero del patrimonio edilizio a fini di detrazione; contratti di appalto; atti di concessione, di autoriz-zazione e licenza adottati da uffici pubblici; dati e notizie riguardanti contratti di assicurazione o disomministrazione di energia elettrica etc.) sono stati adottati in attuazione del citato art. 7, D.P.R. 605/1973, senza il parere del Garante, così come, senza parere dell’Autorità, è stata adottata la stessamodalità della trasmissione dei flussi di dati per via telematica.

Il Garante ha pertanto richiamato l’attenzione sul fatto che i regolamenti e gli atti adottati senza ladoverosa consultazione del Garante sono viziati per violazione di legge e del diritto comunitario, con laconseguenza che i dati trattati in applicazione di tali atti non possono essere utilizzati determinando,peraltro, una responsabilità diretta sia di chi li usa sia di qualunque soggetto emanante ulteriori attiapplicativi.

Il Garante inoltre richiama innanzitutto l’attenzione sull’esigenza di avviare, presso l’anagrafe tri-butaria, una verifica organica sull’effettiva necessità e proporzionalità della raccolta sistematica e gene-ralizzata delle varie categorie di dati acquisite e disponibili alla luce dei principi del Codice della Privacy.

Infine, allo scopo di evitare inutili duplicazioni di archivi presso l’anagrafe tributaria, l’Autorità chiedeall’amministrazione finanziaria di verificare la possibilità di accedere telematicamente ai dati neces-sari alle verifiche direttamente presso le varie banche dati pubbliche e private connesse.

Anagrafe dei conti e dei depositiIl Garante richiama l’operatività dell’anagrafe dei conti e dei depositi istituita con la legge n. 413/

1991, la quale prevede, in particolare, che banche, Poste S.p.A., intermediari finanziari, imprese diinvestimento, società di gestione del risparmio, organismi di investimento collettivo del risparmio,nonché ogni altro operatore finanziario debbano rilevare e porre in evidenza i dati identificativi, com-preso il codice fiscale, di tutti i soggetti che intrattengono con loro qualsiasi rapporto o effettuinoqualsiasi operazione di natura finanziaria.

colare riferimento alla possibilità di accedere e di interconnettere informazioni contenute in altri archivi,nel rispetto dei principi di necessità e di proporzionalità nel trattamento dei dati;

>> il passaggio ad un sistema più efficiente di trasmissione delle informazioni necessarie alle indaginibancarie, basato solo sulla via telematica, deve rispettare comunque i presupposti normativi che giusti-ficano solo verifiche mirate ed in casi selettivamente individuati e le richieste devono essere proporzio-nate e circoscritte a casi di effettivo interesse;

>> occorre individuare poi precise modalità delineando con maggiore specificità e più idoneamente, conriferimento all’ambito di competenza di ciascun ente in relazione ai propri compiti istituzionali, misureed accorgimenti volti a garantire la sicurezza dei dati e il rispetto dei princìpi di selettività, proporzionalitàe di pertinenza delle informazioni raccolte presso gli interessati e presso terzi.

>> dati e notizie contenuti nelle denunce di inizio attività presentate allo sportello unico comunale perl’edilizia, relativi a permessi di costruire e ad ogni altro atto di assenso comunque denominato in mate-ria di attività edilizia rilasciato dai comuni (D.P.R. 380/2001);

>> dati catastali identificativi dell’immobile presso cui è attivata l’utenza per quanto riguarda i contratti disomministrazione.

Privacy e DPS58

A tale proposito la legge finanziaria per il 2005 ha esteso gli obblighi di tenuta a tutti i soggetti chepossono porre in essere operazioni di gestione, impiego e movimentazione delle disponibilità finan-ziarie in relazione ad ogni soggetto che intrattenga con essi qualsiasi rapporto o effettui qualsiasioperazione di natura finanziaria.

Considerato che il regolamento istitutivo della citata anagrafe (D.M. 4 agosto 2000, n. 269) dovràessere modificato o integrato per essere adeguato alla nuova disciplina, il Garante confida che vengarichiesto apposito parere in modo tale da individuare soluzioni efficaci e rispettose dei principi inmateria di protezione dei dati personali.

Dichiarazioni stragiudizialiLa legge finanziaria per il 2005 ha introdotto l’istituto della “dichiarazione stragiudiziale” che preve-

de per il concessionario del servizio di riscossione dei tributi di ottenere dai debitori del soggetto cheè iscritto a ruolo, anche prima di procedere al pignoramento di un bene del contribuente ritenutomoroso, una dichiarazione che attesti la presenza dei crediti su cui rivalersi.

Il Garante sottolinea l’esigenza che l’amministrazione tributaria impartisca ai concessionari idoneeistruzioni affinché lo strumento della dichiarazione stragiudiziale venga utilizzato solo dopo aver do-cumentato l’impossibilità di procedere altrimenti alla riscossione del credito e, in ogni caso, avendoinformato l’interessato preventivamente sul trattamento dei dati e sul fatto che, in caso di mancatopagamento, verrà attivata questa procedura.

Caso per caso dovrà essere altresì verificato, anche in relazione all’importo dovuto, se le cose e lesomme dovute dai debitori del soggetto iscritto a ruolo debbano essere indicate dal terzo in modogenerico oppure puntuale, indicando chiaramente nella richiesta il dettaglio delle informazioni richie-ste e la facoltatività o meno della risposta.

Cessione di fabbricatiLa legge finanziaria ha introdotto alcune novità in relazione alle modalità di trasmissione al Ministe-

ro dell’interno delle comunicazioni di cessione di fabbricati. I dati contenuti in tale comunicazione sonodestinati a confluire nel C.e.d. del Dipartimento di pubblica sicurezza attraverso l’Agenzia delle entrate.

Le nuove disposizioni, oltre ad estendere l’obbligo di comunicazione a soggetti che esercitanoabitualmente l’intermediazione nel settore immobiliare, prevedono trattamenti connessi di dati perfinalità fiscali e di polizia e, a tal fine, la realizzazione di un modello di comunicazione di cessione difabbricati da trasmettere in via telematica al Ministero dell’interno attraverso l’Agenzia delle entrate,anche avvalendosi di intermediari (ad es. centri di assistenza fiscale e dottori commercialisti).

Tuttavia, l’utilizzazione generalizzata e sistematica dei dati fiscali per finalità di pubblica sicurezzadi dati raccolti per altri scopi (ad es. fiscali) è ammessa dalla normativa comunitaria solo in casieccezionali e secondo i presupposti selettivi individuati anche dalla giurisprudenza europea (art. 13direttiva n. 95/46/CE). Inoltre, la normativa italiana (art. 9, L. 121/1981), vieta l’utilizzo delle informazio-ni contenute nel C.e.d. del Dipartimento di pubblica sicurezza per fini diversi da quelli contenuti nelladisciplina di polizia e stabilisce il divieto di circolazione di tali informazioni all’interno della pubblicaamministrazione

É necessario, dunque, che il Ministero dell’interno specifichi il ruolo assunto dai soggetti esterni neltrattamento dei dati, cioè dell’Agenzia delle entrate e degli altri soggetti previsti. Risulta inoltre indi-spensabile varare istruzioni ministeriali per disciplinare i tempi di conservazione dei dati.

Riutilizzazione commerciale delle informazioni catastali e ipotecarieLa legge finanziaria per il 2005 ha introdotto una disposizione che vieta, di regola, la riutilizzazione

commerciale delle informazioni contenute negli archivi catastali e nei pubblici registri immobiliari te-nuti dagli uffici dell’Agenzia del territorio. La possibilità di riutilizzare a fini commerciali tali dati è subor-


dinata alla stipula di specifiche convenzioni con la stessa Agenzia che devono disciplinare, a frontedel preventivo pagamento dei tributi dovuti, le modalità ed i termini della raccolta, della conservazione,dell’elaborazione dei dati, nonché il controllo del limite di riutilizzo consentito.

L’applicazione di tali disposizioni deve essere però coordinata con altre scelte già effettuate dallegislatore, anche in attuazione di raccomandazioni del Consiglio d’Europa richiamate nel Codicedella Privacy, e pertanto direttamente vincolanti.

A tale proposito, qualora l’Agenzia del territorio intenda delimitare le modalità di riutilizzazione deidati da parte dei soggetti convenzionati, dovrà tener conto che il Garante ha già promosso la sotto-scrizione del codice deontologico per regolare la materia, al fine di garantire il rispetto dei diritti degliinteressati e del principio di compatibilità della riutilizzazione dei dati con gli scopi per i quali sono statioriginariamente raccolti, ed il rispetto delle disposizioni in esso contenute costituirà condizione es-senziale per la liceità e correttezza del trattamento dei dati.

Trasmissione telematica dei certificati di malattia all’InpsLa legge finanziaria ha stabilito che, a decorrere dal 1° giugno 2005, nei casi di infermità che

comportino incapacità lavorativa, il medico curante trasmetta all’Inps per via telematica il certificato didiagnosi sull’inizio e sulla durata presunta della malattia.

Il Garante richiede che il decreto interministeriale di iniziativa del Ministero del lavoro che devestabilire le specifiche tecniche e le modalità procedurali per tale invio, e su cui il Garante dovrà espri-mere il previsto parere, individui soluzioni efficaci e rispettose dei principi in materia di protezione deidati personali.

6.9 La normativa antiriciclaggio e il trattamento dei dati personali

Il Garante ha reso un parere in data 12 maggio 2005 che il Ministero dell’Economia e delle Finanzeha richiesto in merito a tre schemi di regolamento di attuazione del decreto legislativo 20 febbraio2004, n. 56, che prevedono disposizioni in materia di obblighi “antiriciclaggio” a carico, rispettivamen-te, di “intermediari abilitati”, altri operatori non finanziari e alcuni professionisti (cfr. anche Newslettern. 258 del 13-19 giugno 2005).

In considerazione dell’ampliamento della normativa antiriciclaggio anche ad attività e libere profes-sioni che riguardano migliaia di cittadini, il Garante ha sottolineato l’esigenza che gli obblighiantiriciclaggio siano attuati nel rispetto dei principi di necessità e proporzionalità dei trattamenti deidati prescritti dal Codice della Privacy, con particolare l’attenzione alle cautele da adottarenell’acquisizione, conservazione ed eventuale segnalazione dei dati trattati.

Il Garante ritiene che avvocati, notai, commercialisti, banche, ma anche gallerie d’arte e cased’asta, devono trattare solo dati personali pertinenti ed effettivamente necessari dei clienti che effet-tuano operazioni di valore superiore a euro 12.500 e devono informarli sull’uso che verrà fatto di questidati. E’ inoltre necessaria la creazione, presso ogni categoria o singolo operatore, di un appositoarchivio dedicato solo alla conservazione delle informazioni antiriciclaggio raccolte (nome, cognome,data, tipo di operazione ecc.).

Al riguardo, il Garante ha invitato il Ministero a rivedere alcune disposizioni, sulla creazione didiversi tipi di archivi, che paiono in contrasto con la prevista adozione di un archivio “unico” da partedalle categorie interessate, nel quale raccogliere solo le informazioni acquisite nell’adempimento de-gli obblighi “antiriciclaggio” allo scopo di facilitare la conservazione e i controlli. Per la tenuta e la gestionedi tale archivio “unico” le categorie interessate possono avvalersi eventualmente anche di “centri diservizio” esterni: in questa ipotesi, però, il Garante raccomanda che le informazioni vengano conservateseparate per singolo operatore, avendo cura che ne sia garantita la sicurezza e la segretezza.

Privacy e DPS60

Con riferimento, infine, alla segnalazione di operazioni sospette all’Ufficio Italiano Cambi da partedi avvocati, notai, commercialisti, il Garante chiede di specificare nel dettaglio cosa si intenda peroperazione, poiché l’attuale definizione non consente di individuare con certezza i casi da segnalaree comporta il rischio di omissioni o di comunicazioni ingiustificate.

6.10 La compilazione delle schede d’albergo e le garanzie per i clienti

In data 1 giugno 2005 il Garante ha reso un parere che il Ministero dell’Interno ha richiesto in meritoad uno schema di decreto che individua le modalità di comunicazione all’autorità di pubblica sicurez-za, con mezzi informatici, delle generalità delle persone alloggiate in strutture ricettive e che sostitui-rebbe solo l’art. 3 del D.M. 11 dicembre 2000 di attuazione dell’articolo 109, comma 3, del testo unicodelle leggi di pubblica sicurezza più volte modificato sul punto.

Il Garante ha suggerito che al posto dello schema di decreto sottoposto per il parere, sia adottatoun più ampio decreto ministeriale interamente sostitutivo dei precedenti che si sono stratificati neltempo, al fine di superare incertezze applicative tra gli operatori interessati. Inoltre, ha rilevato che ilD.M. 11 dicembre 2000 di cui si prevede la parziale modifica è stato, a suo tempo, adottato in assenzadel parere del Garante ed è quindi necessario che il Ministero lo sostituisca con un nuovo D.M. nonviziato e annullabile per violazione della normativa in materia di protezione dei dati personali (art. 154,comma 4, del Codice della Privacy).

Nell’ambito del predetto parere il Garante ha inoltre esaminato le modalità di trattamento dei datipersonali che gli albergatori e gestori di pensioni effettuano per adempiere agli obblighi di legge, rias-sunte nel comunicato stampa del 22 giugno 2005.

In particolare, il Garante ha precisato che le schede che gli albergatori e i gestori di pensioni com-pilano all’arrivo dei clienti, dopo l’invio alle autorità di pubblica sicurezza, non devono essere conser-vate, non essendo tale obbligo previsto dal testo unico delle leggi in materia di pubblica sicurezza del1931. Inoltre sulle predette schede devono essere riportate solo le generalità ma non la residenza delcliente e la data di arrivo.

Gli unici dati da conservare sono quelli a fini fiscali e contabili. I dati raccolti presso uffici ed organidi polizia devono essere, comunque, conservati separatamente da altri dati personali detenuti perfinalità di pubblica sicurezza e giustizia e deve essere previsto un termine breve di conservazione. Idati devono essere conservati solo presso le questure e non è giustificato anche il loro inserimento inuna banca dati centralizzata quale il C.e.d. del Dipartimento della pubblica sicurezza. Necessario,poi, individuare con precisione i soggetti che possono accedere alle informazioni.

Per quanto riguarda la possibilità di trasmettere i dati mediante un collegamento via Internet, sononecessarie maggiori garanzie nel processo di certificazione dell’identità digitale del sito che riceve idati, in modo da assicurare all’albergatore che il destinatario della comunicazione sia effettivamentela questura.

Circa le modalità di inoltro dei dati alle autorità di pubblica sicurezza, è sottolineato che la conse-gna dovrà essere “diretta”, specie per le schede cartacee, senza il tramite di altri enti o soggetti.

Nel parere il Garante sollecita anche una verifica sulla necessità e proporzionalità di una misurache prevede la raccolta dei dati di tutti i cittadini italiani che alloggiano negli alberghi e in altri luoghi disoggiorno, tenuto conto sia delle disposizioni contenute nel Codice della Privacy, sia della Convenzio-ne applicativa dell’Accordo di Schengen che obbliga a rilevare per fini di polizia solo i dati relativi aglistranieri, anche europei, che soggiornano in alberghi e non anche quelli dei cittadini italiani e cheimpone la relativa trasmissione alle autorità di polizia solo se ciò è necessario per prevenire o accer-tare reati.

I diritti dell’interessato ed il relativo esercizio 61

7. I diritti dell’interessato ed il relativo esercizio

7.1 I diritti dell’interessato

Il Codice della Privacy riconosce all’interessato diversi diritti che può esercitare nei confronti deltitolare o del responsabile del trattamento ed elencati nell’art. 7.

7.1.1. Diritto di accesso

Anzitutto l’interessato ha diritto di accedere ai propri dati personali ottenendo conferma dell’esi-stenza o meno di dati personali che lo riguardano, anche se non ancora registrati, ed ha diritto diottenere la loro comunicazione in forma intelligibile.

7.1.2. Diritto di avere informazioni relative ai dati personali

L’interessato ha inoltre diritto di ottenere informazioni circa l’origine dei dati personali, le finalità emodalità di trattamento, la logica applicata in caso di trattamenti con strumenti elettronici, gli estremiidentificativi del titolare, dei responsabili e del rappresentante nel territorio dello stato, nonché deisoggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possonovenirne a conoscenza in qualità di rappresentante nel territorio dello stato, di responsabile o incaricati.

7.1.3. Diritto di ottenere la modifica, la cancellazione o il blocco dei propri dati

L’interessato ha diritto di ottenere l’aggiornamento, la rettifica, l’integrazione, la cancellazione, latrasformazione in forma anonima o il blocco dei dati trattati in violazione della legge, compresi quelli dicui non è necessaria la conservazione in relazione agli scopi per cui sono stati raccolti e trattati,nonché l’attestazione che dette operazioni sono state portate a conoscenza di coloro ai quali i datisono stati comunicati o diffusi, tranne nel caso in cui tale adempimento si riveli impossibile o comportiun impiego di mezzi eccessivo rispetto al diritto tutelato.

Si rammenta che per i dati di cui è stata ordinata la cancellazione, sono vietate la comunicazionee la diffusione ex art. 25 del Codice della Privacy.

7.1.4. Diritto di opposizione

L’interessato ha inoltre il diritto di opporsi in tutto o in parte per motivi legittimi al trattamento dei datipersonali anche se pertinenti allo scopo della raccolta, nonché al trattamento di dati personali perl’invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o dicomunicazione commerciale.

Privacy e DPS62

7.2 L’esercizio dei diritti da parte dell’interessato

Il Codice della Privacy prevede un’apposita disciplina (artt. da 8 a 10) relativa alle modalità di eserciziodei diritti di cui all’art. 7 e al riscontro che deve essere fornito dal titolare o dal responsabile del trattamento.

Al fine dell’esercizio dei propri diritti nei confronti del titolare o del responsabile del trattamento,l’interessato può utilizzare il modello predisposto dal Garante.

7.2.1. Modalità di esercizio dei diritti

L’interessato che intende esercitare i propri diritti deve rivolgere un’apposita richiesta al titolare o alresponsabile anche per il tramite di un incaricato.

A tal fine l’interessato può delegare un terzo (persona fisica, enti, associazioni od organismi) o farsiassistere da un persona di fiducia.

Il legislatore ha disposto che la richiesta venga trasmessa senza formalità (cfr. art. 8 comma 1, delCodice della Privacy). Inoltre, la richiesta può essere trasmessa anche mediante lettera raccoman-data, telefax o posta elettronica ovvero altro idoneo sistema individuato dal Garante in riferimento anuove soluzioni tecnologiche (cfr. art. 9 comma 1, del Codice della Privacy).

Nel caso in cui la richiesta riguardi l’esercizio del diritto di accesso (cfr. par. 7.1.1) e del diritto diavere informazioni relative ai dati personali (cfr. par. 7.1.2), la stessa può essere formulata ancheoralmente con obbligo a carico del responsabile o dell’incaricato di prenderne nota, e può essererinnovata con un intervallo non minore di 90 giorni salvo che ricorrano giustificati motivi.

Il Garante ha precisato che l’interessato che chiede di accedere ai propri dati personali non ètenuto a specificare in quali atti o documenti sono contenuti (Cfr. Newsletter n. 254 del 2-8 maggio2005): spetta al titolare del trattamento comunicare all’interessato tutti i dati personali che lo riguarda-no in suo possesso.

In merito alla modalità di comunicazione richiesta dall’interessato, il titolare è tenuto a rendere noti,in forma intelligibile, i dati personali presenti nei suoi archivi, ma non a esibire o rilasciare copia di attio documenti che li contengono. Questa ultima ipotesi è prevista solo quando l’estrapolazione dei datida tali documenti risulti particolarmente difficoltosa, e comunque, omettendo i dati riferiti a terzi.

In merito all’identità dell’interessato, la stessa può essere verificata in base ad idonei elementi divalutazione, anche mediante atti o documenti disponibili ovvero esibizione o allegazione di una copiadel documento di riconoscimento.

Se l’interessato ha conferito delega o procura ad un terzo per l’esercizio dei propri diritti, il terzodovrà esibire o allegare copie della procura, ovvero della delega sottoscritta in presenza di un incari-cato ovvero sottoscritta e presentata unitamente ad una fotocopia non autenticata di un documento diriconoscimento dell’interessato.

Se l’interessato è una persona giuridica, un ente o un associazione, la richiesta è presentata dallapersona fisica legittimata in base ai rispettivi statuti o ordinamenti.

Se i dati personali si riferiscono ad una persona deceduta, i diritti dell’interessato possono essereesercitati da chi ha un interesse proprio o agisce a tutela dell’interessato o per ragioni familiari merite-voli di protezione.

Con riferimento ai dati personali trattati per ragioni di giustizia è prevista una procedura particolare,come ricordato dal Garante (Cfr. Newsletter n. 255 del 9-15 maggio 2005).

Il cittadino che intende lamentare una violazione della riservatezza o esercitare il diritto di accessoai propri dati personali quando questi sono trattati per ragioni di giustizia da un ufficio giudiziario, nonpuò farlo rivolgendosi direttamente all’ufficio giudiziario o presentando ricorso al Garante, ma devesegnalare il caso all’Autorità, che disporrà opportuni accertamenti.


7.2.2. Contributo spese

Fermo restando il principio generale secondo cui l’esercizio del diritto di accesso ai dati che riguar-dano l’interessato è gratuito, l’art. 10, commi 7, 8 e 9, del Codice della Privacy prevede che se inseguito alla richiesta formulata dall’interessato non risultano presenti dati personali del richiedente, iltitolare ha diritto di richiedere all’interessato un contributo spese non eccedente i costi effettivamen-te sostenuti per effettuare la ricerca, contributo che in ogni caso non può superare l’importo determi-nato dal Garante con un provvedimento di carattere generale. Il Garante può:

Il predetto contributo è corrisposto anche mediante versamento postale o bancario, ovvero me-diante carta di pagamento o di credito, ove possibile all’atto della ricezione del riscontro e comunquenon oltre quindici giorni da tale riscontro.

In attuazione del citato art. 10 del Codice della Privacy, il Garante ha individuato i criteri e l’entità deicontributi spese dovuti con propria deliberazione n. 14 del 23 dicembre 2004 (pubblicata sulla Gaz-zetta Ufficiale dell’8 marzo 2005 n. 55).

Gli importi sono stati determinati tenendo conto di una serie di fattori: la normativa comunitaria edinternazionale, la necessità di non rendere oneroso l’esercizio del diritto di accesso, i contributi giàprevisti dalla legge (d.P.R. n. 501/1998) prima dell’entrata in vigore del Codice della Privacy.

La citata deliberazione trova applicazione solo con riferimento alle istanze rivolte dall’interessato altitolare del trattamento per:

Pertanto, l’esercizio di diritti diversi da quelli sopra indicati (ad esempio, richiesta di rettificazione odi opposizione al trattamento) non prevede il contributo spese.

Per quanto concerne l’entità del contributo, il Garante ha fissato i seguenti importi:

Casi in cui non risulta confermata l’esistenza dei datiIl contributo spese non è integralmente compensativo di tutti gli eventuali costi di un riscontro e, per

disposizione di legge, non può in ogni caso eccedere i costi effettivamente sopportati per la ricercaeffettuata nel caso specifico.

L’importo massimo che può essere richiesto è determinato dal Garante nella misura di euro 10.

Qualora i dati siano trattati con strumenti elettronici e la risposta (negativa) sia fornita oralmente, ilcontributo è individuato forfetariamente in misura pari a euro 2,50.

Il contributo spese nel caso in esame non può essere chiesto quando i dati, cancellati o comunquenon reperibili, risultano essere stati comunque trattati in precedenza.

>> quantificare detto contributo forfetariamente in relazione al caso in cui i dati sono trattati con strumen-ti elettronici e la risposta è fornita oralmente;

>> prevedere che il contributo possa essere chiesto quando i dati personali figurano su uno specialesupporto del quale è richiesta specificamente la riproduzione, oppure quando, presso uno o più titolari,si determina un notevole impiego di mezzi in relazione alla complessità o all’entità delle richieste ed èconfermata l’esistenza di dati che riguardano l’interessato.

- ottenere conferma dell’esistenza di dati personali;- ottenere la comunicazione dei dati in forma intelligibile;- ottenere l’indicazione dell’origine dei dati;- conoscere le finalità del trattamento;- conoscere le modalità del trattamento;- conoscere la logica applicata al trattamento effettuato con l’ausilio di strumenti elettronici.

Privacy e DPS64

Casi in cui risulta confermata l’esistenza dei datiNel caso in cui risulta invece confermata l’esistenza di dati che riguardano l’interessato l’esercizio

del diritto è gratuito, ma può essere chiesto un contributo spese in presenza di una richiesta di ripro-durre uno speciale supporto su cui i dati personali figurano.

Tale caso riguarda solo le richieste di comunicare i dati in forma intelligibile e non attiene, inoltre,alle richieste di trasporre i dati su supporti di uso più comune, come ordinari floppy disk o cd-rom,concernendo solo richieste attinenti a determinati supporti di maggior costo quali audiovisivi, lastre,nastri o altri specifici supporti magnetici.

In riferimento a questi casi, si deve ritenere legittima la richiesta, rivolta all’interessato, di contribu-ire alla particolare spesa necessaria per comunicare i dati, sempre che l’interessato medesimo abbiachiesto specificamente di ottenere in tale forma la comunicazione dei dati che lo riguardano.

Sulla base di una valutazione ponderata delle principali situazioni verificabili, e della circostanzache si tratta anche in questo caso di un contributo, va ritenuto congruo l’importo di euro 20.

Si tratta di un importo massimo in quanto, anche in questo caso, il contributo non può comunqueeccedere i costi effettivamente sostenuti e documentabili nel caso specifico.

Infine, considerato che un contributo spese può essere chiesto anche quando le ricerche sonodifficoltose e richiedono un notevole impiego di mezzi, il Garante, con separato provvedimento, haaccolto, solo per il 2005, la richiesta di un sistema di informazioni creditizie che intendeva avvalersi diquesta possibilità in particolari ipotesi (contributi per supplementi di istruttoria, spese postali).

7.2.3. Riscontro da parte del titolare o del responsabile

A fronte della richiesta formulata dall’interessato con le formalità sopra descritte, il titolare o ilresponsabile devono fornire idoneo riscontro all’interessato senza ritardo, vale a dire entro15 giorni dal ricevimento della richiesta, ovvero entro il maggior termine di 30 giorni qualora le ope-razioni necessarie per un integrale riscontro alla richiesta dell’interessato si rivelino di particolarecomplessità, ovvero ricorra un altro giustificato motivo. Per poter usufruire di detto maggior termine ènecessario che il titolare o il responsabile ne diano comunicazione all’interessato.

Al riguardo, il legislatore prescrive che il titolare del trattamento adotti idonee misure che:

I dati estratti dal responsabile o da un incaricato possono essere comunicati anche oralmente oofferti in visione anche mediante strumenti elettronici. Se richiesto, detti dati possono essere riprodottisu supporto cartaceo o informatico, ovvero trasmessi in via telematica.

Se l’estrazione dei dati si presenta particolarmente difficoltosa, il riscontro all’interessato può es-sere fornito anche attraverso l’esibizione o la consegna in copia di atti e documenti contenenti i datipersonali richiesti.

I dati devono essere comunicati in forma intelligibile utilizzando una grafia comprensibile. Nel caso in cuisiano presenti codici o sigle devono essere forniti i parametri per la comprensione del relativo significato.

Il riscontro all’interessato comprende tutti i dati personali che lo riguardano. Se i dati personali sonotrattati da un esercente la professione sanitaria o da un organismo sanitario, i dati personali possonoessere comunicati all’interessato solo tramite un medico designato dall’interessato o dal titolare.

Non è consentito richiedere la comunicazione di dati di terzi, salvo che la scomposizione dei datitrattati o la privazione di alcuni elementi renda incomprensibili i dati personali dell’interessato.

- agevolino l’accesso ai dati personali da parte dell’interessato, anche attraverso appositi programmi per elabo-ratore finalizzati ad un’accurata selezione dei dati che riguardano singoli interessati identificati o identificabili;

- semplifichino le modalità e riducano i tempi per il riscontro all’interessato, anche nell’ambito di uffici oservizi preposti alle relazioni con il pubblico.


7.3 Le forme di tutela dinanzi al Garante

L’interessato può rivolgersi al Garante per ottenere tutela dei propri diritti mediante tre forme:

- reclamo circostanziato;

- segnalazione;

- ricorso.

7.3.1. Reclamo circostanziato

Mediante il reclamo circostanziato l’interessato rappresenta al Garante una violazione della disci-plina rilevante in materia di trattamento di dati personali.

Il reclamo deve essere proposto secondo le modalità contenute nell’art. 142 del Codice della Privacy.

In particolare, esso deve contenere:

Deve esservi allegata tutta la necessaria documentazione probatoria, l’eventuale procura, e deveindicare un recapito per l’invio di comunicazioni, anche tramite posta elettronica, telefax o telefono.

Deve essere sottoscritto dagli interessati o da associazioni che li rappresentano e presentato alGarante senza particolari formalità.

Il Garante può predisporre un modello di reclamo pubblicandolo sul proprio Bollettino e rendendolodisponibile anche con strumenti elettronici.

Dopo aver esaurito l’istruttoria preliminare se il Garante ritiene fondato il reclamo e sussistono ipresupposti per adottare un provvedimento, anche prima della definizione del procedimento può:

I provvedimenti del Garante sono pubblicati sulla Gazzetta Ufficiale della Repubblica Italiana se irelativi destinatari non sono facilmente identificabili per il numero o per la complessità degli accertamenti.

7.3.2. Segnalazione

L’interessato può utilizzare la forma della segnalazione quando non è possibile presentare unreclamo circostanziato (perché ad esempio non si dispone di sufficiente documentazione) sollecitan-do il Garante affinché quest’ultimo effettui un controllo.

In tal caso il Garante può adottare gli stessi provvedimenti indicati nel precedente paragrafo 7.3.1,se è avviata un’istruttoria preliminare e anche prima della definizione del procedimento.

> il dettaglio dei fatti e delle circostanze su cui si fonda;> le disposizioni che si presumono violate e le misure richieste;> gli estremi identificativi del titolare, del responsabile, ove conosciuto, e dell’istante.

a) invitare il titolare, anche in contraddittorio con l’interessato, a effettuare il blocco del trattamentospontaneamente;

b) prescrivere al titolare le misure opportune o necessarie per rendere il trattamento conforme alle dispo-sizioni del Codice della Privacy;

c) disporre il blocco o vietare in tutto o in parte il trattamento ritenuto illecito o non corretto anche per lamancata adozione delle misure necessarie di cui alla precedente lettera b), oppure quando in conside-razione della natura dei dati, o comunque delle modalità del trattamento o degli effetti che esso puòdeterminare, vi è il concreto rischio del verificarsi di un pregiudizio rilevante per uno o più interessati;

d) vietare in tutto o in parte il trattamento di dati relativi a singoli soggetti o a categorie di soggetti che sipone in contrasto con rilevanti interessi della collettività.

Privacy e DPS66

7.3.3. Ricorso

Tale forma è utilizzata dall’interessato quando intende far valere i suoi diritti secondo le modalità eallo scopo di conseguire gli effetti previsti dagli artt. da 145 a 151 del Codice della Privacy contenutinella sezione III rubricata “tutela alternativa a quella giurisdizionale”.

Il ricorso al Garante può essere proposto solo dopo aver esercitato i propri diritti nei con-fronti del titolare o del responsabile ed aver ottenuto da questi ultimi un diniego anche parziale,oppure sono decorsi 15 giorni, ovvero 30 giorni in caso di particolare complessità delle operazioninecessarie per dare riscontro all’interessato, senza aver ottenuto alcun riscontro.

Il ricorso non può essere proposto se per il medesimo oggetto e tra le medesime parti è giàstata adita l’autorità giudiziaria. Inoltre, la presentazione del ricorso avanti il Garante rende improponi-bile una successiva azione giudiziale.

Il ricorso è inoltre inammissibile:- se proviene da un soggetto non legittimato;- in caso di inosservanza delle disposizioni relative ai ricorsi e all’interpello preventivo ex artt. 145 e 146 del

Codice della Privacy;- se difetta degli elementi indicati nell’art. 147, commi 1 e 2, del Codice della Privacy, salvo regolarizzazione

entro 7 giorni dalla data di presentazione o dall’invito del Garante.L’art. 147 del Codice della Privacy disciplina la procedura da osservare per la presentazione del

ricorso.

Esso deve essere proposto nei confronti del titolare e deve contenere i seguenti elementi:

Il ricorso deve essere sottoscritto dal ricorrente o dal procuratore speciale e deve contenere iseguenti allegati:

Il ricorso deve essere sottoscritto dal titolare con sottoscrizione autenticata. L’autenticazione non èrichiesta se la sottoscrizione è apposta presso l’Ufficio del Garante o da un procuratore specialeiscritto all’albo degli avvocati con procura conferita ai sensi dell’art. 83 c.p.c., ovvero con firma digitale.

Il ricorso deve essere trasmesso alternativamente:

In alternativa può essere presentato direttamente al Garante.

a) gli estremi identificativi del ricorrente, dell’eventuale procuratore speciale, del titolare e, ove conosciu-to, del responsabile eventualmente designato per il riscontro all’interessato;

b) la data della richiesta presentata al titolare o al responsabile, oppure del pregiudizio imminente edirreparabile che permette di prescindere dalla richiesta medesima;

c) gli elementi posti a fondamento della domanda;d) il provvedimento richiesto al Garante;e) il domicilio eletto ai fini del procedimento.

- copia della richiesta rivolta al titolare o al responsabile;- l’eventuale procura;- la prova del versamento dei diritti di segreteria;- tutta la necessaria documentazione probatoria e l’indicazione di un recapito per l’invio di comunicazioni

al ricorrente o al procuratore speciale tramite posta elettronica, telefax o telefono.

- con plico raccomandata;- per via telematica osservando le modalità di sottoscrizione e conferma di ricezione di cui all’art. 38,

comma 2 del Codice della Privacy.


Il ricorso viene comunicato al titolare entro 3 giorni, con l’invito ad esercitare entro 10 giorni dalrelativo ricevimento la facoltà di comunicare al ricorrente e all’Ufficio del Garante la propria spontaneaadesione. Detto invito è trasmesso anche al ricorrente ed indica il termine entro il quale il titolare, ilresponsabile e l’interessato possono presentare memorie e documenti, nonché la data entro cuipossono essere sentiti in contraddittorio anche mediante idonea tecnica audiovisiva.

In caso di adesione è dichiarato il non luogo a procedere. In tal caso su richiesta del ricorrenteviene determinato in misura forfetaria l’ammontare delle spese e dei diritti inerenti il ricorso posti acarico della controparte o compensati per giusti motivi anche parzialmente.

Durante il procedimento il titolare, il responsabile e l’interessato hanno diritto di essere sentiti,anche a mezzo di procuratore speciale, e hanno facoltà di presentare memorie o documenti.

Il Garante può inoltre disporre anche d’ufficio l’espletamento di una o più perizie e, in tal caso, ilrelativo provvedimento può disporre anche in merito all’anticipazione delle spese della perizia.

In base alle informazioni assunte, il Garante ordina al titolare con proprio provvedimento la cessa-zione del comportamento illegittimo, indicando le misure necessarie a tutela dei diritti dell’interessatoed assegnando un termine per la relativa adozione.

In caso di mancata pronuncia entro 60 giorni il ricorso si intende rigettato. Nel caso in cui gliaccertamenti risultino particolarmente complessi o vi è l’assenso delle parti il termine di 60 giorni puòessere prorogato per un periodo non superiore ad ulteriori 40 giorni.

Se richiesto dal caso di specie, il Garante può comunque disporre in via provvisoria il blocco intutto o in parte di alcuni dati, ovvero l’immediata sospensione di una o più operazioni di trattamento,anche prima di emettere un provvedimento e prima della comunicazione del ricorso al titolare e alresponsabile. Tale provvedimento cessa di avere effetto se non è emessa alcuna pronuncia nei termi-ni stabiliti ed è impugnabile congiuntamente alla pronuncia stessa.

Il provvedimento del Garante, se previamente richiesto dalle parti, determina anche in misuraforfetaria l’ammontare delle spese e dei diritti posti a carico del soccombente o compensati ancheparzialmente per giusti motivi.

Il provvedimento adottato dal Garante è comunicato alle parti entro 10 giorni anche mediante postaelettronica o telefax.

Avverso il provvedimento del Garante o il rigetto tacito, il titolare o l’interessato possono proporrericorso depositato presso la cancelleria del tribunale del luogo ove risiede il titolare del trattamento exart. 152 del Codice della Privacy. L’opposizione non sospende tuttavia l’esecuzione del provvedimento.

In caso di mancata opposizione avverso il provvedimento che determina l’ammontare delle spesee dei diritti, o di suo rigetto, il provvedimento costituisce titolo esecutivo ex artt. 474 e 475 c.p.c.

7.3.4. La regolarizzazione dei ricorsi irregolari

Il Garante ha individuato con propria deliberazione n. 16 del 23 dicembre 2004 (pubblicata nellaGazzetta Ufficiale n. 66 del 21 marzo 2005) alcune ipotesi in cui è possibile regolarizzare i ricorsiirregolari, privi di elementi previsti dalla normativa (dati completi e sottoscrizione del ricorrente,autenticazione della firma, copia della prima richiesta rivolta al gestore della banca dati, ecc.), evitan-do di incorrere in una dichiarazione di inammissibilità e nell’onere di dover necessariamente ripresentarepoi un nuovo ricorso.

Come indicato nella citata deliberazione, il ricorso presentato al Garante ai sensi degli artt. 145 ss.del Codice della Privacy può essere regolarizzato nei seguenti casi:

a) quando non è sottoscritto dal ricorrente o dal procuratore speciale, oppure trasmesso all’Ufficio delGarante con modalità diverse da quelle indicate dal Codice (per raccomandata, per via telematica attenen-

Privacy e DPS68

Come in passato, l’Autorità si è riservata, infine, la possibilità di individuare altri casi diregolarizzazione, anche alla luce delle ulteriori esperienze acquisite in fase di futura applicazione delCodice.

7.4 La tutela giurisdizionale

L’interessato può proporre ricorso anche dinanzi l’autorità giudiziaria ordinaria depositandolo pres-so la cancelleria del tribunale del luogo ove risiede il titolare del trattamento, tribunale che decide incomposizione monocratica.

Se il ricorso è avverso un provvedimento del Garante, esso deve essere proposto entro il terminedi 30 giorni dalla data di comunicazione del provvedimento o dalla data del rigetto tacito. Oltre taletermine è dichiarato inammissibile.

Anche se la proposizione del ricorso non sospende l’esecuzione dei provvedimenti del Garante, ilgiudice può tuttavia, se ricorrono gravi motivi, disporre diversamente in tutto o in parte con ordinanzaimpugnabile unitamente alla decisione che definisce il grado di giudizio.

In caso di pericolo di un danno grave e irreparabile, il giudice può emanare i necessari provvedi-menti con decreto motivato, e fissare l’udienza di comparizione delle parti entro un termine non supe-riore a 15 giorni. In tale udienza il giudice può disporre con ordinanza la conferma, modifica o revocadei provvedimenti emanati con decreto.

L’udienza di comparizione delle parti è fissata dal giudice con decreto con il quale viene assegnatoal ricorrente il termine perentorio per la notifica alle altre parti e al Garante. Tra notificazione ed udien-za devono intercorrere non meno di 30 giorni.

Se il ricorrente non compare alla prima udienza senza alcun legittimo motivo, il giudice dispone lacancellazione della causa dal ruolo, dichiara l’estinzione del processo e pone a carico del ricorrente lespese di giudizio.

Nel corso del giudizio il giudice dispone i mezzi di prova necessari e può disporre anche la citazio-ne di testimoni.

Al termine dell’istruttoria, il giudice invita le parti a precisare le conclusioni e alla discussione orale.Successivamente viene pronunciata la sentenza con le relative motivazioni che sono depositate incancelleria entro i successivi 30 giorni.

dosi alle disposizioni sulla firma digitale, presentato direttamente presso l’Ufficio)b) qualora il ricorso difetti di uno o più dei dati identificativi del ricorrente, dell’eventuale procuratore speciale

o del titolare del trattamento dei dati personali;c) qualora manchi l’indicazione della data della richiesta presentata al titolare o al responsabile ai sensi

dell’art. 8, comma 1, del Codice o l’indicazione del pregiudizio imminente e irreparabile che permette diprescindere dalla richiesta medesima (art. 147, comma 1, lettera b));

d) quando il ricorso sia privo di una sottoscrizione autenticata secondo il disposto dell’art. 147, comma 4, ameno che la firma sia digitale oppure apposta di fronte ad un funzionario del Garante o da un procuratorespeciale iscritto all’albo degli avvocati;

e) quando manchi l’indicazione degli elementi posti a fondamento della domanda (art. 147, comma 1, lett. c));f) quando il ricorso non rechi l’indicazione del provvedimento richiesto al Garante (art. 147, comma 1, lett. d));g) quando manchi l’indicazione del domicilio eletto ai fini del procedimento (art. 147, comma 1, lett. e));h) qualora al ricorso non risultino allegate l’eventuale procura o la copia della richiesta rivolta al titolare o al

responsabile ai sensi dell’art. 8, comma 1, del Codice;i) qualora difetti la prova del versamento dei diritti di segreteria (art. 147, comma 2, lett. c)) o risulti imprecisa

o incompleta la documentazione attestante che l’interessato si trova nelle condizioni previste dalla leggeper l’ammissione al patrocinio a spese dello Stato.


Il giudice può concedere alle parti un termine non superiore a 10 giorni per depositare note difensi-ve, rinviando la causa all’udienza successiva alla scadenza del termine della discussione e la pro-nuncia della sentenza.

La sentenza non è appellabile ed è ammesso il ricorso per cassazione.

7.5 I limiti all’esercizio dei diritti da parte dell’interessato

L’art. 8, comma 2, del Codice della Privacy prevede una serie di deroghe all’esercizio dei diritti daparte dell’interessato. Si tratta soprattutto di casi in cui la tutela di interessi generali e collettivi prevalerispetto alla tutela dell’interesse del singolo interessato.

In particolare, l’interessato non può esercitare i propri diritti, né con richiesta al titolare o al respon-sabile né mediante ricorso al Garante, quando il trattamento è effettuato:

Tuttavia, ai sensi dell’art. 8, comma 3, del Codice della Privacy, nei casi sopra elencati sub a), b),d), e) ed f), anche su segnalazione dell’interessato a cui il titolare o il responsabile abbia negatol’esercizio dei propri diritti in applicazione di una delle ipotesi derogatorie, il Garante può:

> richiedere al titolare, al responsabile, all’interessato o a terzi di fornire informazioni o esibiredocumenti ai sensi dell’art. 157 del Codice della Privacy;

> disporre accessi a banche dati, archivi o altre ispezioni e verifiche nei luoghi ove si svolge iltrattamento o nei quali occorre effettuare rilevazioni comunque utili al controllo del rispetto della disci-plina in materia di trattamento di dati personali ai sensi dell’art. 158 del Codice della Privacy;

> esercitare i diritti di accertamento con le modalità previste dall’art. 159 del Codice della Privacy.

Nei casi sopra elencati sub c), g) e h) il Garante può invece effettuare le opportune verifiche con lemodalità previste dall’art. 160 del Codice della Privacy.

Infine, ai sensi dell’art. 8, comma 4, del Codice della Privacy, l’esercizio dei diritti da parte dell’inte-ressato incontra un ulteriore limite in caso di trattamenti di dati personali di tipo soggettivo. Il legislato-re dispone al riguardo che quando l’esercizio dei diritti non riguarda dati di carattere oggettivo, lostesso “può aver luogo salvo che concerna la rettificazione o l’integrazione di dati personali di tipovalutativo, relativi a giudizi, opinioni o altri apprezzamenti di tipo soggettivo, nonché l’indicazione dicondotte da tenersi o di decisioni in via di assunzione da parte del titolare del trattamento”.

a) in base alle disposizioni del D.L. 143/1991 convertito con modifiche nella L. 197/1991 e successivemodifiche in materia di riciclaggio;

b) in base alle disposizioni del D.L. 419/1991 convertito con modifiche nella L. 172/1992 e successivemodifiche in materia di sostegno alle vittime di richieste estorsive;

c) da Commissioni parlamentari d’inchiesta istituite ai sensi dell’art. 82 della Costituzione;d) da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di

legge, per esclusive finalità inerenti alla politica monetaria e valutaria, al sistema dei pagamenti, alcontrollo degli intermediari e dei mercati creditizi e finanziari, nonché alla tutela della loro stabilità;

e) per lo svolgimento di investigazioni difensive o per l’esercizio del diritto in sede giudiziaria;f) da fornitori di servizi di telecomunicazione elettronica accessibili al pubblico relativamente a comunica-

zioni telefoniche in entrata, salvo che possa derivarne un pregiudizio effettivo e concreto per lo svolgi-mento delle investigazioni difensive di cui alla L. 397/2000;

g) per ragioni di giustizia, presso uffici giudiziari di ogni ordine e grado o il Consiglio superiore dellamagistratura o altri organi di autogoverno o il Ministero della giustizia;

h) da forze di polizia con riferimento ai trattamenti effettuati ai sensi dell’art. 53 del Codice della Privacy,fermo restando quanto previsto dalla L. 121/1981 (organizzazione e attribuzioni proprie delle forze dipubblica sicurezza).

Privacy e DPS70

7.6 L’attività ispettiva del Garante e la collaborazione con la Guardiadi Finanza

Per quanto concerne i controlli ai fini dell’accertamento di eventuali violazioni della disciplina pri-vacy, il Garante può svolgere accertamenti sia d’ufficio, sia su segnalazione degli interessati sia,infine, in seguito a ricorsi.

Si sottolinea che se l’interessato non ottiene alcun riscontro ovvero un riscontro non completo allerichieste formulate al Titolare del trattamento, può rivolgersi non solo al Garante (nelle forme delreclamo circostanziato, della segnalazione o del ricorso) ma anche all’Autorità giudiziaria per ottene-re tutela dei propri diritti.

L’attività ispettiva del Garante si è molto intensificata nel corso del 2004.

Come segnalato dal Garante nella Relazione 2004, presentata al Parlamento e al Governo in data9 febbraio 2005, le ispezioni nel corso del 2004 sono cresciute del 45%.

Nello svolgimento dell’attività ispettiva il Garante può avvalersi della collaborazione di altri organidello Stato. Già da tempo si sono avute molteplici occasioni di collaborazione con le forze di polizia edin particolare con la Guardia di Finanza, in ragione delle peculiari competenze nel campo delle attivitàdi controllo di tipo amministrativo proprie del Corpo.

La collaborazione nel settore delle attività ispettive è stata regolata con un protocollo d’intesa cheprevede che la Guardia di finanza operi attraverso:

Al fine di rafforzare ulteriormente il rapporto di collaborazione, nel mese di giugno 2004 la Guardiadi finanza ha costituito il “Nucleo speciale funzione pubblica e privacy” il cui personale, altamentespecializzato, procede direttamente all’esecuzione delle attività ispettive avvalendosi, se necessario,dei reparti territoriali del Corpo.

Una delle prime attività affidate al Nucleo è stata la verifica del rispetto dell’obbligo di notificazioneal Garante, in concomitanza con la scadenza del termine previsto dal Codice (30 aprile 2004), me-diante accertamenti nei confronti di un primo gruppo di trenta soggetti pubblici e privati, tra cui dodiciaziende sanitarie locali e dodici società di lavoro interinale, che ha portato alla contestazione di nume-rose sanzioni amministrative.

In generale come evidenziato nella Relazione 2004 il Nucleo ha svolto per il Garante un ruolo divalido supporto, oltre che per l’esecuzione di attività ispettive delegate, anche per la notifica di attiurgenti e per l’acquisizione di informazioni necessarie ad individuare con certezza i titolari o i respon-sabili del trattamento nei cui confronti dovevano essere avviati dei procedimenti.

In alcuni casi il Garante si è avvalso della componente territoriale del Corpo per verificare, ancheattraverso sopralluoghi, l’ottemperanza ai provvedimenti dell’Autorità adottati a seguito di ricorsi.

> il reperimento di dati e informazioni sui soggetti da controllare;> la partecipazione di proprio personale agli accessi alle banche dati, ispezioni, verifiche e alle altre

rilevazioni nei luoghi ove si svolge il trattamento;> l’assistenza nei rapporti con l’autorità giudiziaria;> lo sviluppo di attività delegate o sub-delegate per l’accertamento delle violazioni di natura penale e

amministrativa;> l’esecuzione di indagini conoscitive sullo stato di attuazione della legge in determinati settori.

Ad esempio, riposizionamento di impianti di videosorveglianza, apposizione diinformative ex art. 13 del Codice, avvenuta designazione di incaricati del trattamento.

Le sanzioni 71

La competenza acquisita dal Nucleo in virtù del rapporto di collaborazione ha fatto assumere allostesso un ruolo di punto di riferimento cui delegare, da parte dell’autorità giudiziaria, anche attività diindagine per le violazioni al Codice costituenti reato.

Rispetto a queste attività il Garante, su esplicita richiesta dell’Autorità giudiziaria procedente, hafornito un supporto in termini di approfondimenti sull’applicazione della legge.

Al fine di potenziare l’attività di controllo, come reso noto dal Garante con propria deliberazione n. 2del 20 gennaio 2005, è inoltre stato istituito presso l’ufficio del Garante il “Dipartimento attività ispettivee sanzioni” con la collaborazione di un nucleo ad hoc della Guardia di Finanza che già si occupavadelle ispezioni.

La struttura già dedicata alle verifiche si è quindi potenziata, consentendo di procedere alla conte-stazione della violazione e alla sanzione corrispondente già in sede di ispezione.

Privacy e DPS72

8. Le sanzioni

8.1 Sanzioni civili

Il Codice della Privacy prevede in caso di violazione delle relative disposizioni le seguenti sanzioni:

- civili;

- amministrative;

- penali.

Le sanzioni amministrative e penali sono riassunte nella Tabella D allegata in calce alla parte I dellapresente monografia.

L’art. 15 del Codice della Privacy dispone che “chiunque cagiona danno ad altri per effetto deltrattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 del codice civile”.

Il trattamento dei dati personali è pertanto assimilato ad un’attività pericolosa.

L’art. 2050 del codice civile è infatti rubricato “Responsabilità per l’esercizio di attività pericolose” edispone che “chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natu-ra o per la natura dei mezzi adoperati, è tenuto al risarcimento se non prova di aver adottato tutte lemisure idonee ad evitare il danno”.

L’onere della prova è pertanto a carico del titolare, del responsabile, dell’incaricato chiamato arispondere dei danni i quali dovranno dimostrare di aver adottato tutte le misure idonee.

E’ previsto il risarcimento sia del danno patrimoniale sia del danno non patrimoniale anche in casodi violazione dell’art. 11 del Codice della Privacy sulle modalità di trattamento e sui requisiti dei dati.

8.2 Sanzioni amministrative e penaliIl legislatore ha previsto l’irrogazione di pesanti sanzioni amministrative e penali disciplinate dagli

artt. 161 a 172 e riassunte nella Tabella D.

In alcuni casi è prevista anche la sanzione amministrativa accessoria della pubblicazione dell’ordi-nanza-ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento del Garanteche la applica.

Tabelle 73

Tabella A - AdempimentiidaigolopiT idaigolopiT idaigolopiT idaigolopiT idaigolopiTotnemipmeda àtiladoM àtiladoM àtiladoM àtiladoM àtiladoM acitsipmeT acitsipmeT acitsipmeT acitsipmeT acitsipmeT

ENOIZACIFITON ENOIZACIFITON ENOIZACIFITON ENOIZACIFITON ENOIZACIFITONAVITNEVERP.ss73.traxe

liodnazzilituacitameletaivrePledotislusetneserpolledom

)ti.ycavirpetnarag.www(etnaraG.elatigidamrifnocottircsottos

eilanosrepitadidotnemattartisaislauqidamirPalledecidoCled73.tra'lladitsiverpisacienolos

.)BallebaT.rfC(ycavirPetnaraGlaatautteffeenoizacifitonaleracifidoM

asseniitnemeleilgedonuaibmacehcatlovingo.itunetnoc

AVITAMROFNI AVITAMROFNI AVITAMROFNI AVITAMROFNI AVITAMROFNI31.traxe

.ottircsirepoetnemlaroeredneraDidotibma'llenitattartitadidosacleN

eizitidercinoizamrofniidametsisnurepasereresseevedavitamrofni'l

idocinuolledomliodnazzilituottircsi.etnaraGladotsopsiderpavitamrofni

evitamrofnievounidenoizubirtsiD

itadidotnemattartisaislauqeraiziniidamirP.ilanosrep

ilgedonuacifidomisiucnietlovelettuTaseraznedecerpniavitamrofni'lleditnemele

otasseretni'lla

OSNESNOC OSNESNOC OSNESNOC OSNESNOC OSNESNOC32.traxe

etnemarebilosserpseeresseeveDdaotnemirefirnoceotasseretni'llad

òuP.otnemattartocificepsonuùipoanuehcnaeradraugir

.otnemattartidinoizarepo

itadidotnemattartisaislauqeraiziniidamirPe42.ttrailgaditsiverpisacienennart,ilanosrep

.ycavirPalledecidoCled,4e3immoc,62atlovingoosnesnocledaznetsise'leracifireV

ipocsrepotautteffeeneivotnemattartliehc,oserotatsèosnesnocliiucrepilleuqadisrevid

onabbeditadiiucniatlovlauqingoéhcnondaisuffido,izretitteggosaitacinumoceresse

otanimretednienosrepidoremunnu

ENOIZAZZIROTUA ENOIZAZZIROTUA ENOIZAZZIROTUA ENOIZAZZIROTUA ENOIZAZZIROTUAETNARAGLED

oserolledomliodnazzilitUossemsartetnaraGladelibinopsid

nocottircsottoseacitameletaivrepelatigidamrif

eilibisnesitadidotnemattartlieraiziniidamirPirtneirisiucniosaclenennart,iraiziduig

04.traxeilareneginoizazzirotuaelledotibma'llen.ycavirPalledecidoCled

iseaposrevitadidotnemirefsartidosacnIilleuqarfartneirnonotnemirefsartlies,EU-artxe

ecidoCled34.traxeititnesnocetnemavitalsigelliotatsefinamahotasseretni'leseycavirPalledilgarfartneirnonotnemirefsartliese,osnesnoc

.traxeetnaraGladitazzirotuaitnemirefsartirtla.ycavirPalledecidoCled44

ILGEDANIMON ILGEDANIMON ILGEDANIMON ILGEDANIMON ILGEDANIMONEITACIRACNI

AVITALERENOIZURTSI

odnaudividniottircsirePledotibma'letnemlautnup

.otitnesnocotnemattart

idetrapadotnemattartisaislauqidamirPottosonarepoehc)"itaciracni"(ehcisifenosrep

.elibasnopserledoeralotitledàtirotuaatteridaleletuacellusitiurtsieresseonoveditaciracniilG

elledazzetergesalerarucissareperattodaadilgedaidotsucal,enoizacitnetuaidilaiznederc

itadiedoiggatavlasli,icinortteleitnemurtseresseertlonionoveD.etnemlanamittesonemla

,itadiusonobmocniehcihcsiriedittodeiseritneveerineverprepilibinopsiderusimelled

.isonnad

LEDANIMON LEDANIMON LEDANIMON LEDANIMON LEDANIMONELIBASNOPSER

odargniitteggosiarfereilgecsaDottepsironeipledaiznaragerinrofid

airetamniitnegivinoizisopsidelled.otnemattartid

ottircsirepatautteffeanimoNietnemacitilanaodnacificeps

.itadiffaitipmoc

.avitatlocafanimoN

LEDANIMON LEDANIMON LEDANIMON LEDANIMON LEDANIMON-NATNESERPPAR

LENETOIROTIRRET

OTATSOLLED

.ottircsireP eralotitnuidetrapadotnemattartledamirPehceEU-noneseapnuidoirotirretlenotilibats

lenitautisitnemurtsotnemattartlirepageipmionaisiucniosaclenennart,otatSolledoirotirret

.otisnartidàtilanifrepolositazzilitu

LEDANIMON LEDANIMON LEDANIMON LEDANIMON LEDANIMONELLEDEDOTSUC

EDROWSSAPAVITNEVERP

ENOIZACINUMOCOTACIRACNI'LLA

.ottircsireP itnemurtsilgaeitadiaossecca'les,erpmeSalledosuetnaidemoloselibissopèicinorttele

repelaiznedercalledatavresiretnenopmoc.enoizacitnetua'l

otnemidepmioaznessaatagnulorpidosacnIiaosseccaerevaòuperalotitliotaciracni'lled

esolosotaciracni'lladitattartitnemurtsilgaeitadotamrofnietnemavitneverpotatsèomitlu'tseuq

,eralotitliilauqelnocàtiladomelledottircsirepeàtivitarepoidàtissecenevisulcserep

oitadiaeredeccaòup,ametsisledazzerucisaidotsucalehcenoizidnocae,itnemurtsilga

atazzinagroaisilaiznedercelledeipocelledodnaudividniazzetergesavitaleralodnetnarag

onovedehcdrowssapelledidotsuciottircsirepotaciracni'leramrofnietnemavitsepmet

.otautteffeotnevretni'lled

Privacy e DPS74

idaigolopiT idaigolopiT idaigolopiT idaigolopiT idaigolopiTotnemipmeda àtiladoM àtiladoM àtiladoM àtiladoM àtiladoM acitsipmeT acitsipmeT acitsipmeT acitsipmeT acitsipmeT

ENOIZODA ENOIZODA ENOIZODA ENOIZODA ENOIZODAERUSIMELLED

EEMINIMIDEENODIAZZERUCIS

ilgenetsiverpàtiladomelodnoceSocinceteranilpicsidlene63-33.ttra.)ycavirPalledecidoClaBotagella(

itadiedotnemattartledamirperropsiderpaDeaidotsucavitaleraleritnaragrepilanosrep

.ollortnociderusimevounelledenoizoda’lrepenimretlI

èycavirPalledecidoCladetsiverpazzerucis.5002erbmecid13laotapicitsopotats

es,icitamrofniitnemurtsnocitnemattartidosacnIelibissopènonehcincetinoigarevitteiborepalortneazzerucisiderusimevounelerattoda

àtlocafalassecnocè5002erbmecid13ledatad6002ozram13liortneerusimettederattodaid

li5002erbmecid13ledatadalortneéhcrupatrecatadetnevaotnemucodnuagidereralotit

.inoigarelavircsedenehc

LEDENOIZADER LEDENOIZADER LEDENOIZADER LEDENOIZADER LEDENOIZADERSPD

niolosottadereresseevedSPDlIilibisnesitadidotnemattartidosacicinortteleitnemurtsnociraiziduigo8.91a1.91adelogerelodnavresso.)Botagella(ocinceteranilpicsidled

.onnaingoidozram13liortnEah5002/62.Lallenotitrevnoc4002/413LDlI

oenoizaderalrepenimretliotapicitsop.5002erbmecid13laSPDledotnemanroigga

ENOIZACIDNI ENOIZACIDNI ENOIZACIDNI ENOIZACIDNI ENOIZACIDNIALACRIC

EENOIZADER-NEMANROIGGA

SPDLEDOTALLEN

LAENOIZALEROICNALIB

OIZICRESE’D

enoizamrofniemocottircsirePàigelleuqaottepsireroiretlu

ecidocled8242.tra’lladetsiverp.elivic

.oicnaliblusenoizaleralledenoizaderidatadallA

IROIRETLU IROIRETLU IROIRETLU IROIRETLU IROIRETLUITNEMIPMEDA

odomniilanosrepitadierattarT;azzetterrocodnoceseoticel

noneaznenitrepalerallortnoCottepsiritattartitadiedaznedecce

;atloccaralledàtilanifella

eitloccaronaisitadiehcerallortnoC,itanimretedipocsrepitartsigerniitazzilitude,imittigeleiticilpseniotnemattartledinoizarepoertlailatnocilibitapmocninoninimret

;ipocs

,eitadiedazzettase’lerallortnoCorollaeredevvorp,etnemlautneve

;otnemanroigga

ehcamrofanuniitadieravresnoCenoizacifitnedi’latnesnoc

nonodoirepnurepotasseretni’lledilgaoirassecenolleuqaeroirepus

elatotarepus;atloccaralledipocsallaeredevvorp,enimret

allaorevvo,otadledenoizallecnacamrofnienoizamrofsartaus

;aminona

evitalerinoizacinumocelerautteffEocidemlietimartetulasidotatsolla

ladootasseretni’lladotangised.eralotit

esurivitnaerawtfoseranroiggAittutrepenoisurtniidoihcsirliortnoc

;)61otnup,B.lla(itadidipiti

iedotnemanroigga’llaeredevvorPehcretupmocrepimmargorpidàtilibarenluvalonogneverp

onoggerroceneicinortteleitnemurts;)71otnup,B.lla(ittefidi

otnemattartidotibma’leracifireVes,eitaciracniilognisiaotitnesnoc

,etnemlaizrapehcnaotairavovitalerlaeredevvorp

aléhcnon,otnemanroiggaalrepinoizidnocelledaznetsissus

idiliforpiedenoizavresnoc;enoizazzirotua

repenoizamrofidonaiplieredeviR;itaciracniilg

ellaetnemavitsepmeterednopsiR.otasseretni’lledetseihcir

.erpmeS

.erpmeS

.erpmeS

.erpmeS

.erpmeS

.erpmeS

.)7/1-1/1(elartsemesaznedacnoC

idotnemattartidosacnielaunnaaznedacnoC.inumocitad

otnemattartidosacnielartsemesaznedacnoC.ilibisnesitadid

.elaunnaaznedacnoC

.elaunnaaznedacnoCotnemomlaatammargorpèenoizamrofaL

idenoisacconiéhcnon,oizivresniossergni’lledivounidenoizudortnio,inoisnamiditnemaibmac

otnemattartlirepitnaveliritnemurtsivitacifingis.ilanosrepitadied

,atseihciralledotnemivecirladinroig51ortnEinoizarepoelesinroig03ortneorevvo

idonosortnocsirelargetninurepeirassecenotacifitsuigortlaerrociroàtisselpmoceralocitrap

lioeralotitliehcenoizidnocaeovitom.otasseretni’lonimrofnielibasnopser

Tabelle 75

aznedacS aznedacS aznedacS aznedacS aznedacS otnemipmedA otnemipmedA otnemipmedA otnemipmedA otnemipmedA

13LIORTNE5002ERBMECID

niSPDledotnemanroigga/enoizadeR.azzerucisiderusimevounelledenoizodASPDlI.icitamrofniitnemurtsnociraiziduigeilibisnesitadidotnemattartidosac

.atrecataderevaevedinoigarelerevircsediucni,atrecatadetneva,otnemucodnuidenoizadeR

rep6002ozram13ledenimretroiggamlederiurfusuednetniisiucrepehcincetliottuterafevedopmettarfleneralotitli(azzerucisiderusimevounelledenoizoda'l

.)ihcsirieratimilrepelibissop

OZRAM13LIORTNE6002

etnevaotnemucodliottaderotatsèesazzerucisiderusimevounelledenoizodA.5002erbmecid13liortneatrecatad

OZRAM13LIORTNEONNAINGOID

SPDledotnemanroigga/enoizadeR

ISEM6INGO ;itadidipitiittutrepenoisurtniidoihcsirliortnocesurivitnaerawtfoseranroiggAitnemurtsidàtilibarenluvalonogneverpehcretupmocrepimmargorpieranroiggA

.ilibisnesitadidotnemattartidosacniittefidionoggerroceneicinorttele

ONNAINGO alonogneverpehcretupmocrepimmargorpiedotnemanroigga’llaeredevvorPotnemattartidosacniittefidionoggerroceneicinortteleitnemurtsidàtilibarenluv

;inumocitadid;itaciracniilgedenoizamrofidonaiplieredeviR

.itaciracniilognisiaotitnesnocotnemattartidotibma’leracifireV

IDATADALLAALLEDENOIZADER

LAENOIZALEROICNALIB

otnemanroiggaeenoizaderalacricoicnaliblaenoizalerallenenoizacidnierinroF.SPDled

INGOIDAMIRPOTNEMATTART

led73.tra’lladitsiverpisacienetnaraGlaavitneverpenoizacifitonalerautteffE;ycavirPalledecidoC

ienartneirnonotnemattartliesetnaraGlaavitneverpenoizazzirotua’leredeihciR;ilareneginoizazzirotuaelladitsiverpisac

;avitamrofni’leraicsaliR;otuvodes,otasseretni’lledosnesnocliereilgoccaR

;ilibasnopserilautneveilgeitaciracniilgeranimoN;itaciracniilgeriurtsI

;otatsolledoirotirretlenetnatneserpparlieranimoN.drowssapellededotsuclieranimoN

INGOIDAMIRPIDOTNEMIREFSART

ISEAPOSREVITADEU-ARTXE

34.traxeititnesnocetnemavitalsigelilleuqarfartneirotnemirefsartlieseracifireV;osnesnocliotatsefinamahotasseretni’leseycavirPalledecidoCled

etnaraGladitazzirotuaitnemirefsartirtlailgarfartneirotnemirefsartlieseracifireV;ycavirPalledecidoCled44.traxe

.etnaraGlaenoizazzirotua’leredeihciR

ISODNAUQILGEDONUACIFIDOM

ITNEMELEALLENITUNETNOC

ENOIZACIFITONAVITNEVERP

.enoizacifitonavounanuerautteffE

ISODNAUQALACIFIDOM

ID’ATILADOMIEDOTNEMATTART

OTTEPSIRITADAVITAMROFNI’LLA

ASEROTASSERETNI’LLA

lieredeihciridàtissecenaleracifireveavitamrofniavounanueraicsaliR.osnesnoc

INROIG51ORTNEOTNEMIVECIRLAD

ADATSEIHCIRALLEDETRAP

,OTASSERETNI’LLED03ORTNEOREVVO

ELESINROIGINOIZAREPO

REPEIRASSECENELARGETNINU

IDONOSORTNOCSIRERALOCITRAPÀTISSELPMOC

ivitaleriedotibma’llenesotasseretni’lladetalumrofetseihcirellaortnocsireraD.ycavirPalledecidoCled7.traxeittirid

Tabella B - Scadenzario

Privacy e DPS76

ITTEGGOSITNEMATTART ITTEGGOSITNEMATTART ITTEGGOSITNEMATTART ITTEGGOSITNEMATTART ITTEGGOSITNEMATTARTACIFITONIDOGILBBO’LLA ITNEMATTART ITNEMATTART ITNEMATTART ITNEMATTART ITNEMATTART ITARENOSE ITARENOSE ITARENOSE ITARENOSE ITARENOSE

.FIR .FIR .FIR .FIR .FIROVITAMRON

.sgL.D()3002/691

itadoicirtemoib,icitenegitaD)A itadoicirtemoib,icitenegitaD)A itadoicirtemoib,icitenegitaD)A itadoicirtemoib,icitenegitaD)A itadoicirtemoib,icitenegitaD)Aenoizisopalonacidniehc

itteggodoenosrepidacifargoegideteranuetnaidem

.acinortteleenoizacinumoc

otnemattartliadraugirotnauqrePniicirtemoibeicitenegitadidahetnaraGli,oiratinasotibma

otacinumocoirporpnocotasicerp4002elirpa62atadniapmats

eresseevedacifitonalehcotnemattartliesolosatautteffe

deocitametsisèicitenegitadiedeetnatsociderettaracliemussada(ocidemledàtivittaetnelaverp

.)atsitenegnu.se

irepatautteffeeresseevedertlonIeicitenegitadiditnemattart

erutturtsaditautteffeicirtemoibetavirpoehcilbbupeiratinas

osopiridearucidesac,iladepso(isilanaidirotarobaleiratinasedneiza

.)evitropsinoizaicossa,ehcinilcotsopsidittafniotatsèorenose’L

ehcisifenosrepiderovafnioloseeiratinasinoisseforpelitnecrese.ilatotnauqniitnemattartirepnon

onacidniehcitadiaotnemirefirnoCal acifargoegenoizisop ,etnaraGli,

elirpa32atadniererapoirporpnocisamronalehcotasicerpah,4002

idenoizazzilacolallaecsirefiratirefiridniuqède,itteggooenosrepniazneserporolalledenoizaveliralla

iditeretnaidem,ihgoulitanimretedoetitsegacinortteleenoizacinumoc

lederalotitladilibissecca.otnemattart

atacifitonavenoizazzilacolaLnieraudividniidettemrepodnauqnocehcna-avitaunitnocareinam

lusenoizacibu’l-illavretniilautneveeeraetanimretedniooirotirret

daesabni,ehcifargoegivitisopsidoerutaihccerappa

alladoeralotitladitunetedicinortteleilgusitacolloceruppoanosrep

.itteggoeuqnumocevedenoizazzilacolaL

ilgedàtitnedi’llaerilasiriderettemrepetnematteridniehcna,itasseretni

.icidocitisoppaosrevartta

ienrecnocotnauqreP aditautteffeitadiditnemattart aditautteffeitadiditnemattart aditautteffeitadiditnemattart aditautteffeitadiditnemattart aditautteffeitadiditnemattartnonitacovvaadeeiratinasinoisseforpelitnecrese

:itnemattartitneugesiitacifitoneresseonoved)a icirtemoiboicitenegitadidicitametsisnonitnemattart

ehcna,eiratinasinoisseforpelitnecreseaditautteffe,itnemattartimisedemiediralotititnecreseirtladaetnematinuilibisseccaitadidacnabanuniitazzinagrononitadaottepsir

ellaeitadiaetnematatimilòiC.acitameletaivrepizretarepilibasnepsidni,enoizacinumocalaserpmoc,inoizarepo

acisifàtimulocni’lledoetulasalledaletutidàtilaniferiugesrep;ozretnuidootasseretni’lled

)b)b)b)b)b itautteffeicirtemoiboicitenegitadiditnemattartellaenoizalerni,otacovvaidenoisseforpalledoizicrese’lleninoizagitsevnielereglovsrepirassecenitadiaeinoizarepo

rafrepeuqnumoco,0002/793eggelallaiucidevisnefidedesniozretnuidetrapadehcnaottiridnuerednefidoerelavairaponemlaognaridaisottiridliehcerpmesòiC.airaiziduigrepetnemavisulcseitattartonaisitadieotasseretni’lledolleuq

orollaoirassecenetnemattertsodoireplirepeàtilanifilat.otnemiugesrep

icirtemoibeicitenegitadidotnemattartliadraugirotnauqrePoirporpnocotasicerpahetnaraGli,oiratinasotibmani

itarenoseonosehc4002elirpa62atadniapmatsotacinumocicitenegitadonattartehcitsinoisseforpiaisenoizacifitonallad

amrofniehcicidemiais,etnemlaudividniicirtemoibe,itsinoisseforpirtlanocotnemattartlionodividnocataicossa

.ocidemoidutsossetsonuidonretni’llaeicepsliodnauqotacifitonavnonicitenegitadiedotnemattartlI

,etneizaplinocitroppariranidroidotibma’llen,atsinoisseforpocitenegopitidinoizamrofniidaznecsonocaetlovaeneiv

,ilatanerpinigadni,icitenegtsetognineercsidemase(.)ehcitenegeigolotapetanimretedidaruceisongaid

ienrecnocotnauqreP alonacidniehcitadiditnemattart alonacidniehcitadiditnemattart alonacidniehcitadiditnemattart alonacidniehcitadiditnemattart alonacidniehcitadiditnemattartiitacifitoneresseonovednonacifargoegenoizisop

:itnemattartitneuges)c idacifargoegenoizisopalonacidniehcitadiditnemattart

itautteffe,ertserreteelavan,oereaotropsartidizzem;otropsartledazzerucisidinifiaetnemavisulcse

)d)d)d)d)d anuolosonatnesnocehcilanosrepitadiditnemattartiidazneserpalledooiggassapledavitaunitnocnonenoizavelir

:alledotta’lla,oipmeseda,atautteffe,itteggooenosrep,orovalidihgoulosserpeticsuoissergniidenoizartsiger-irtlaoosseccaidicidoc,ehcitengamortteleeressetetimart

enoizacinumocideteraletnaidem,ehconema,ivitisopsiditasseretniiditnematsopsilgeraiccartelibissopais,acinorttele

eresseonovednoN.oirotirretluseeraoihgoulitanimretednienoizacifitonalosaclatniéhcrep,icirtemoibitaditattartertloni

;airassecenèotiucricaitnaipminocehcna,inousoinigammiidenoizavelir-

ledàtivittaonoglovsisevoicifideoilibommiosserp,osuihcoilanoisseforp,ilaicremmocilacol(otnemattartlederalotit

aetibida,ilartemirepeeraevitalereléhcnon,iladneizaideticsu,issecca,icremociracs/ociracaoiggehcrap

irtlanocenoizaretnietnaidemehcna,ehconema,)aznegremeoinoizacibuesrevideleravelirassoperalotitli,imetsis

itanimretedniotteggonuidoanosrepanuiditnematsops;oirotirretluseeraoihgoul

oinoizatserp,ineberinrofrepehcinortteleetracidaruttel-otidercidetrac,otnemagapidetrac,oipmeseda,ilauqizivres

itavelirortlareperesseonovednonitadI.enoizazziledifidoidetlecsoinidutibaerazzilanadaitlovicinortteleitnemurtsnoc.tra(airassecenèenoizacifitonalosaclatniéhciop,omusnoc

.))d.ttel,1ammoc,73

,73.trA,1ammoc

.)a.ttel

Tabella C - Trattamenti soggetti all’obbligo di notificazionepreventiva al garante ex art. 37 d.lgs. 196/2003

Tabelle 77



.sgL.D()3002/691

idotatsoleraleviraienodiitaD)B idotatsoleraleviraienodiitaD)B idotatsoleraleviraienodiitaD)B idotatsoleraleviraienodiitaD)B idotatsoleraleviraienodiitaD)Biaitattart,elaussesativaleetulas

,atitsissaenoizaercorpinifrepiratinasizivresidenoizatserpidehcnabaivitaleracitameletaiv

,inebidarutinrofallaoitad,ehcigoloimedipeinigadni

,ilatnemeittalamidenoizavelir,evisuffideevittefni

inagroidotnaipart,àtivitisoporeisalledoiggarotinomeitussete

.airatinasaseps

atadniererapoirporpnoc,etnaraGlIèehcotasicerpah,4002elirpa32

agoreihcenoizacifitonallaotunetacitameletaivrepiratinasizivresallaoitadidacnabanudaivitaler

.inebidarutinrof

otacinumocoirporpnocetnaraGlIah4002elirpa62atadniapmatsadraugirotnauqrepehcotasicerp

adotnemattartlievittefnieittalamevedehcolleuqolosèeracifiton

…idinifa"otautteffeeressenieeigolotapilatid"...enoizaveliridirotsegadraugirelarenegaenil

itsinoisseforpilogniséhciznaerutturtsaonagnevenetnemlanoisaccoehc

.aznecsonoc

liapmatsotacinumocomisedemleNotnauqrepehcotasicerpahetnaraG

elenrecnoc izivresidinoizatserp izivresidinoizatserp izivresidinoizatserp izivresidinoizatserp izivresidinoizatserpenil-noiratinas onnavemisedemel,

:onosizivresiesolosetacifiton)a)a)a)a)a onaisoitadacnabanudaivitaler

;acitameletaivrepitatserp)b)b)b)b)b .inebidarutinrofallaivitaler

ehcnabaosseccaidisacirtlarePotatsèicidemidetrapaditad

enoizacifitonalehcotasicerpetne’llao.l.s.aallaecevnietepmoc

.elacol

itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN aditautteffeitnemattarti,irtladaetnematinuehcna,eiratinasinoisseforpelitnecrese

:itnemattartimisedemiediralotititnecrese)a)a)a)a)a einagroidotnaipartid,atitsissaenoizaercorpidinifa

eittalamidenoizavelir,acigoloimedipeenigadni,itussetiéhcrup,àtivitisoporeisidoevisuffid,evittefni,ilatnem

aottepsir,etnemacitametsisnonitautteffeonaisitnemattartrepizretaelibisseccaitadidacnabanuniitazzinagrononitad

inoizarepoellaeitadiaetnematatimileacitameletaivacisifàtimulocni’lledoetulasalledaletutalrepilibasnepsidni

;ozretnuidootasseretni’lled)b)b)b)b)b idoairatinasasepsalledoiggarotinomidinifivisulcseda

eeneigiidairetamniivitamronihgilbboidotnemipmeda.enoizalopopalledeorovalledazzerucis

itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itadiditnemattartiizivresidotibma’llenitautteffe-elaussesativalluso/e-iratinas

,acinofeletaivrepairatinasenoizatlusnocoaznetsissaidehceovitarucissaotibmaniititsegicinofeletizivresiemoc

.eiratinasinoisseforpitnecreseidotlusnoclionotnesnoc

li,oiratinasotibmaniitadidotnemattartliadraugirotnauqrePatadniapmatsotacinumocoirporpnocotasicerpahetnaraGniesserpseorenose’llusinoizaredisnocelehc4002elirpa62

ehcitsinoisseforpirepicirtemoibeicitenegitadidametataicossaamrofnioetnemlaudividniotnemattartlionautteffe

itnemattartirepehcnaonoglav)ofargarapetnedecerp.rfc(inigadni,itnaipart,atitsissaenoizaercorpaivitaler

,evittefni,ilatnemeittalamidenoizavelir,ehcigoloimedipe.àtivitisoporeiseevisuffid

nuaditautteffeitnemattartiehcnaonartneirorenose’lleNidoaznelusnocidàtivitta’nuidotibma’llenatsilaicepsocidem

niitautteffeonaisnonehcerpmes,atitsissaenoizaercorp.ocitametsisodom

elenrecnocotnauqreP -noiratinasizivresidinoizatserp -noiratinasizivresidinoizatserp -noiratinasizivresidinoizatserp -noiratinasizivresidinoizatserp -noiratinasizivresidinoizatserpenil :itacifitononnavnonemisedemel,

)a)a)a)a)a aznetsissaeletalledotibma’lleniratinasitadiditnemattarti;)acinofeletaivrepitsilaicepsidenoizatlusnoc(

)b)b)b)b)b itattartitadehcnabniitazzinagroitadiditnemattarti;)iecatracivihcra(etnemlaunam

)c)c)c)c)c etazzitamrofniitadehcnabniItazzinagroitadiditnemattarti.acitameleteteranudaetagellocnonam

etnemacinuonasuehcicidemieracifiton,enifni,onovednoNrepacinortteleatsopalonasu;oiciffuoirporplenretupmocnu

,ititsissailgrepinoizatonerponautteffe,itneizapinoceragolaiditaredisnocitatsonosipmeseirtlaidesaballusehcnA.cce

itautteffeitnemattartisrevidenoizacifitonalladitarenoseidniuq.eternianicidem.dcalledotibma’llen

airatinasasepsalledoiggarotinomlenonartneirnonéhcioPaditautteffeiratinasitadiditnemattartiitacifitononnavnon

olos,elanoizanoiratinasoizivreSlinocetanoiznevnocerutturtsehcitsilaicepsinoizatserpelledosrobmirlierenettorep

.etagore

,73.trA,1ammoc

.)b.ttel

Privacy e DPS78



.sgL.D()3002/691

ativaleraleviraienodiitaD)C ativaleraleviraienodiitaD)C ativaleraleviraienodiitaD)C ativaleraleviraienodiitaD)C ativaleraleviraienodiitaD)Cacihcisparefsaloelausses

doitne,inoizaicossaaditattart,orculidopocsaznesimsinagro

a,ituicsonocirnonehcna,ocifosolif,ocitiloperettarac

.elacadnisoosoigiler

itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN aienodiitadiditnemattartiisiucniisaciisulcni,irotarovalidacihcisparefsaleralevir

idedesniitilibatsihgilbboicificepsaereipmedaevedallaesabniitnaveliretnemacidiruigeavittellocenoizattartnoc

:airetamniavitamronerettaracaimsinagrodoitne,inoizaicossaaditautteffe)a

oihgilbboicificepsaetnemavisulcseereipmedarepelacadnisorovalidotropparidairetamniavitamronalladitsiverpitipmoc

;ilibasidiedorovallaottirididametniehcna,aznediverpidoidopocsaznesimsinagrodoitne,inoizaicossaaditautteffe)b

oocifosolif,ocitiloperettaraca,ituicsonocirnonehcna,orcul,irotaroballocoitnednepidirporpiditadaodraugirosoigiler

itsiverpihgilbboicificepsaetnemavisulcseereipmedarepidoorovalidotropparidairetamniavitamronallad

;aznediverp

itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itacifitoneresseertlonionovednoN itautteffeitnemattartierettaraconnahnonehcimsinagrodoitne,inoizaicossaadoipmesedaemoc,ocifosolifoosoigiler,elacadnis,ocitilopaaznetsissaeorevociridàtivittaonoglovsehcevitarepooc

.icihcispitalam

,73.trA,1ammoc

.)c.ttel

idoilisua’lnocitattartitaD)D idoilisua’lnocitattartitaD)D idoilisua’lnocitattartitaD)D idoilisua’lnocitattartitaD)D idoilisua’lnocitattartitaD)Daitlovicinortteleitnemurts

àtilanosrepalooliforplierinifederazzilanadao,otasseretni’lled

,omusnocidetlecsoinidutibaidozzilitu’lerarotinomaorevvo

enoizacinumocidizivres.acinorttele

atadniererapoirporpnoc,etnaraGlIiaehcotasicerpah,4002elirpa32

ilg,enoizacifitonidogilbbo’lledinifonoveditazzilituicinortteleitnemurts

repitageipmieitarugifnoceressealooliforplieratulavoerinifed

eruppo,otasseretni’lledàtilanosrepoinidutibaeuselerazzilanarep

oimetsisI.omusnocidetlecsonovedicitamrofniimmargorp,erartsigeraitazzilaniferesse

ehcificepseratnorffaroerarobalelieraidutsrepinoizatonna

ideznereferpelootnematropmocitnetudoitasseretniilognis

oetnemavitanimonitaudividnietnematteridniehcnailibacifitnedi

.icidocitisoppaosrevartta

itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN :ilanosrepitadiditnemattarti)a)a)a)a)a imisedemizivresierinrofrepilibasnepsidnietnemacincet

;itnetuilga)b)b)b)b)b otnemattartnuusetnemavisulcseitadnofonaisnonehc

repitautteffe,ilanoisseforpiliforperinifedaotlovotazzitamotuaidotropparledenoitsegidoenoizapuccoidàtilanifevisulcse

;)Earettelavisseccusallaiucidisaciedirouf,oroval)c)c)c)c)c otnemattartnuusetnemacinuitadnofonaisnonehc

,erotitsevninuidoliforplierinifedaotlovotazzitamotuaihgilbboicificepsaereipmedarepetnemavisulcseitautteffe

enoizaidemretniidairetamniavitamronalladitsiverp;airaiznanif

)d)d)d)d)d ivitisopsidoicinortteleirotacramidozzilitu’llaivitalere,etnemaenaropmetitazziromemeruppo,itallatsniihgolana

nuidelanimretarutaihccerappa’losserp,itnetsisrepnonidivitacifitnediidenoissimsartalosallenitnetsisnoc,etnetu

ovisulcse’lla,elibacilppaanilpicsidallaàtimrofnocnienoisses.tenretnIotisnuiditunetnociaossecca’leralovegaidenif

itadiditnemattartiitacifitoneresseertlonionovednoN:idenifoloslaitautteffe

)e)e)e)e)e oilisua’lnoc,izivresoinoizatserp,inebotasseretni’llaerinrofovitalerledenoitsegallaitazzilanificinortteleitnemurtsid,ilacsifoilibatnocitnemipmedaissennociedeotroppar

laeilaicremmocevitamrofniinoizacinumocilautneveidoivni’lladaeredecorpaznesitreffoizivresidàtilauqalledollortnoc

;itasseretniilgedenoizaliforpanucla)f)f)f)f)f oitnetuidenoizazzirotuaidoliforplioàtitnedi’leracifirev

oacitamrofnienoizacitnetuaidimetsisidotibma’llen,itaciracni,oipmeseda(imetsisoitadaossecca’lrepenoizazzirotuaiditanimretedaoilanosrepitadidacnabanudaeredeccarep

onoses,osacotseuqniehcnA.)bewotisnuiditunetnoc,73.tra(airassecenèenoizacifitonalicirtemoibitaditattart

;))a.ttel,1ammoc)g)g)g)g)g onositadies,bewotisnudaisseccailgerartsiger

etnemacincetopmetlirepetnemavisulcseitazziromemidoametsisledazzerucisidinifiaelibasnepsidni

.aminonaamrofniacitsitatsenoizarobale

,73.trA,1ammoc

.)d.ttel

niitartsigerilibisnesitaD)E niitartsigerilibisnesitaD)E niitartsigerilibisnesitaD)E niitartsigerilibisnesitaD)E niitartsigerilibisnesitaD)Eenoizelesidinifaitadidehcnab

,izretotnocrepelanosrepledrepitazzilituilibisnesitadéhcnonidehcrecir,enoinipoidiggadnos

ehcrecirertlaeotacrem.eiranoipmac

itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN ilibisnesitadiditnemattarti:itautteffe

)a)a)a)a)a otnocrepelanosrepidenoizelesidenifoloslaoppurgomisedemlaitnenetrappaitteggosidetnemavisulcse

;oirateicosooiracnab)b)b)b)b)b aetnemavisulcseereipmedarepicilbbupitteggosad

airetamniavitamronalladitsiverpitipmocoihgilbboicificeps;orovalidotacremeenoizapuccoid

)c)c)c)c)c idenifoloslaairogetacidinoizazzinagrooinoizaicossaaditnadraugiritadaetnemavitalereiranoipmacehcrecirereglovs

.enoizazzinagrooenoizaicossaamisedemallaenoiseda’l

,73.trA,1ammoc

.)e.ttel

Tabelle 79



.sgL.D()3002/691

etisoppaniitartsigeritaD)F etisoppaniitartsigeritaD)F etisoppaniitartsigeritaD)F etisoppaniitartsigeritaD)F etisoppaniitartsigeritaD)Fnocetitsegitadidehcnab

laevitalereicinortteleitnemurtsàtilibivlosallusoihcsir

enoizautisalla,acimonoceotterrocla,elainomirtap

a,inoizagilbboidotnemipmedaoiticelliitnematropmoc

.itneloduarf

oirporplenotasicerpahetnaraGlInoc,ehc4002elirpa32ledererap

iucidorenoseidisaciaotnemirefirieracifitonecevnionoved,.d.ttelalla

idiranoissecnocitavirpitteggosehcitubirtidenoissocsiridizivresa,àtivittaemisedemelonaticrese

etnemlamrofonaglovsisseehconemidinoiznufeletnemavitteffede

rep”otnemattartledelibasnopser“ocilbbupotteggosledotnoc

inoizisopsidellaetnememrofnoc92.tra(enoizangisedelatusitnegiv

.)ecidoCled

idisacienrecnocotnauqrePnon)earettelallaiucidorenose

idogilbbo’llaittarttosonosinigammiiditnemattartienoizacifiton

itartsigeréhcneb,ehcinousoniitiresnionais,etnemaenaropmetehcinortteleitadidehcnabetisoppa

oiticelliitnematropmocaevitaler.itneloduarf

itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN itacifitoneresseonovednoN :ilanosrepitadiditnemattarti

)a)a)a)a)a icilbbupidatunetalrepicilbbupitteggosaditautteffe;euqnuihcadilibicsonocihcneleoirtsiger

)b)b)b)b)b nocitropparnietazzilituitadidehcnabniitartsigerrepo,izivresoinoizatserp,inebidarutinrofidotasseretni’l

itnemipmedaidosacniehcna,ilacsifoilibatnocitnemipmedanocosoiznetnoceotidercledorepuceridinoiza,ilauttartnoc

nonehcotasicerpahetnaraGliodraugirlA.otasseretni’lirotinrofoitneilcaivitaleritnemattartiitacifitoneresseonovedrep)FAAC:.se(imsinagrodoitsinoisseforpirebiladitautteffe

irasseceniraidemretniidàtilauqni,.seda(ilacsifitnemipmeda:.se(ilibatnoco)itidderiedenoizaraihcideleratneserprep

inoizagitsevniereglovsreperuppo,)icnalibidenoizaderilgedittirididairaiziduigedesniasefidalerarucoevisnefid

,inebidarutinrofallaivitaleritnemattarti,ertlonI.ititsissaoirotinrof,itneilcitnenrecnoc,oipmeseda(izivresoinoizatserp

nonehce,ilacsifoilibatnocitnemipmedadao)itnednepidaisiuciditadehcnaonadraugir,itacifitoneresseonoved

;elauttartnoc-erpedesniotnemattartlioirassecen)c)c)c)c)c oicilbbupitteggosadetazzilituitadidehcnabniitartsiger

niivitamronihgilbbodaetnemavisulcseereipmedarepitavirplI.aznetsissaoaznediverp,orovalidotropparidairetam

,inoizagilbbodaivitaleritnemattartiehcotasicerpahetnaraGeresseonovednonehcitneloduarfoiticelliitnematropmocihgilbbodaereipmedarepolositattartotnauqniitacifiton

oaznediverp,orovalidotropparidairetamniivitamronilautneveitnenrecnocitnemattartionodnerpmocaznetsissa

etnemacidiruig,avittellocenoizattartnocalladitnaviredihgilbbo;airetamniavitamronallaesabniitnavelir

)d)d)d)d)d laicilbbupitteggosadetazzilituitadidehcnabniitartsigereitnemidevvorp,ittaidenoizucesedeatunetalledenifolosidenoizacilppa,itubirtidenoissocsiridametni,itnemucodoinoissecnoc,eznecilidoicsaliro,evitartsinimmainoiznas

ittarttosonosehcotasicerpahetnaraGlI.inoizazzirotuaalonazzilituehcicilbbupitteggosienoizacifitonidogilbbo’lla

eracilppa,itubirteretoucsirrepacinortteleitadidacnaboinoissecnoc,eznecileraicsaliroevitartsinimmainoiznas

;inoizazzirotua)e)e)e)e)e repetnemaenaropmetitavresnocinousoinigammiaivitaler

ledoenosrepelledaletutidoazzerucisidàtilanifevisulcse;oinomirtap

)f)f)f)f)f niitazzirotuaitteggosiad,eggelallaesabni,itattartidenifovisulcse’llairassecenitadiaeinoizarepoellaenoizaler

asseaizivresieidifiedavittellocaiznaragidàtivitta’leratserp.)”idifnoc“(ilatnemurtsoissennoc

ehcertloniotasicerpahetnaraGlI ertlonionovednon ertlonionovednon ertlonionovednon ertlonionovednon ertlonionovednonitacifitoneresse ehcitteggosaditautteffeitnemattarti

ivitamrofniimetsisoetazzilartnecitadidehcnabonazzilituovitalerlediralotit-itteggosirtlaadetnemamonotuaititseg

itadinuclaimitluitseuqaodnacinumocrup,ehce-otnemattartellaenidronielanoisicederetopnuclaonnahnon,ilanosrep

itazzilituitnemurtsilgaeotnemattartledàtiladomellaeàtilanif,ehcincetinoigareremrep,odnauqehcnaòiC.itibmailatni

omonotuaozretladatitsegitadidacnaballedaipocanuotatilibaotteggosliosserpadeisir,otnemattartlederalotit

.amrofelatnialratlusnocaetnemacinuidetracitnettimeàteicoseilatsopiciffu,ehcnab,oipmesedAitautteffeitadiditnemattartieracifitononovednonotnemagap

eiracnabingessailgedotazzitamrofnioivihcra’lledotibma’llen.n.gl.dledisnesiaotiutitsiotnemagapidetracelledeilatsopotitsege)IAC–airacnabretniemrallaidelartneC.d.c(9991/705

.tra(otnemattartlederalotitidàtilauqniailatIidacnaBallad.n.m.d,4ammoc,1.tra;0991/683.n.l,2ammoc,sib-01

.)1002/854

,73.trA,1ammoc

.)f.ttel

Privacy e DPS80

Tabella D - Sanzioni amministrative e penaliENOIZALOIV ENOIZALOIV ENOIZALOIV ENOIZALOIV ENOIZALOIVASSEMMOC ENOIZNAS ENOIZNAS ENOIZNAS ENOIZNAS ENOIZNAS .SGL.D.TRA .SGL.D.TRA .SGL.D.TRA .SGL.D.TRA .SGL.D.TRA

3002/691

aenodinioassemO aenodinioassemO aenodinioassemO aenodinioassemO aenodinioassemOavitamrofni

31.traxeotasseretni’llaaivitaleritnemattartrep

inumocitad

avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS.000.8orueda000.3orueadairainucepavitartsinimmaenoiznaS

niecaciffeniatlusirodnauqolpirtlaonisatatnemuaeresseòupammosaL.irotnevvartnociedehcimonoceinoizidnocelledenoigar

alledairosseccaavitartsinimmaenoiznasalehcnaatacilppaeresseòuPoonuni,ottartserepooretnirep,enoiznuigni-aznanidro’lledenoizacilbbup

.acilppaalehcetnaraGledotnemidevvorplenitacidniilanroigùip

161

561

aenodinioassemO aenodinioassemO aenodinioassemO aenodinioassemO aenodinioassemOavitamrofni

31.traxeotasseretni’llaaivitaleritnemattartrep

iraiziduigoilibisnesitadehcitnemattarto

ihcsironatropmoc,euqnumocoicificeps

ledaznavelirroiggamidoonurepoiziduigerp

itasseretniùip

avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaSisacien000.03orueda000.5orueadairainucepavitartsinimmaenoiznaS

icificepsihcsironatneserpehcitnemattartidoiraiziduigoilibisnesitadidùipoonurepoiziduigerpledaznavelireroiggamid,euqnumoc,o

.itasseretniniecaciffeniatlusirodnauqolpirtlaonisatatnemuaeresseòupammosaL

.irotnevvartnociedehcimonoceinoizidnocelledenoigaralledairosseccaavitartsinimmaenoiznasalehcnaatacilppaeresseòuP

oonuni,ottartserepooretnirep,enoiznuigni-aznanidro’lledenoizacilbbup.acilppaalehcetnaraGledotnemidevvorplenitacidniilanroigùip

161

561

idamittigellienoisseC idamittigellienoisseC idamittigellienoisseC idamittigellienoisseC idamittigellienoisseCitad

avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaSosaclen000.03oruea000.5orueadairainucepavitartsinimmaenoiznaS

elibitapmocnonotnemattartnudaatanitsedaisitadidenoissecaliucninio,)b.ttel,1.c,61.tra(itloccaritatsonositadiilauqirepipocsilga

itadidotnemattartledanilpicsididairetamniinoizisopsidertlaidenoizaloiv.ilanosrep

alledairosseccaavitartsinimmaenoiznasalehcnaatacilppaeresseòuPoonuni,ottartserepooretnirep,enoiznuigni-aznanidro'lledenoizacilbbup

.acilppaalehcetnaraGledotnemidevvorplenitacidniilanroigùip

1.c,261

561

elledenoizaloiV elledenoizaloiV elledenoizaloiV elledenoizaloiV elledenoizaloiVenidroniinoizircserp

idenoizacinumocallaoiratinasotibmaniitad

1ammoc,48.traxe

avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaSniosaclen000.3oruea005orueadairainucepavitartsinimmaenoiznaS

itoniseronais,etulasidotatsoleraleviraienodi,ilanosrepitadiiucimsinagrodeeiratinasinoisseforpelitnecreseilgedetrapad,otasseretni'llaladootasseretni'lladotangisedocidemladasrevidanosrepetimart,iratinas

.eralotitalledairosseccaavitartsinimmaenoiznasalehcnaatacilppaeresseòuP

oonuni,ottartserepooretnirep,enoiznuigni-aznanidro'lledenoizacilbbup.acilppaalehcetnaraGledotnemidevvorplenitacidniilanroigùip

1.c,261

561

enoizacifitonassemO enoizacifitonassemO enoizacifitonassemO enoizacifitonassemO enoizacifitonassemOidenoizacidniorevvo

etelpmocnieiziton

avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaSe000.06oruea000.01orueadairainucepavitartsinimmaenoiznaS

-aznanidro'lledenoizacilbbupalledairosseccaavitartsinimmaenoiznaslenitacidniilanroigùipoonuni,ottartserepooretnirep,enoiznuigni

.acilppaalehcetnaraGledotnemidevvorp

361

oenoizamrofniassemO oenoizamrofniassemO oenoizamrofniassemO oenoizamrofniassemO oenoizamrofniassemOitnemucodidenoizibise

etnaraGla

avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaS avitartsinimmaenoiznaSidosacni000.42oruea000.4orueadairainucepavitartsinimmaenoiznaS

etnaraGladitseihciritnemucodidenoizibiseidoinoizamrofniidenoissimoidotiugesainoizamrofniidatseihcir(2ammoc,051.tra'lledisnesia

itnemucodidenoizibisedeinoizamrofniidatseihcir(751.tra'llede)osrociralehcnaatacilppaeresseòuP.)itipmocirporpiedotnematelpse'lrep

-aznanidro'lledenoizacilbbupalledairosseccaavitartsinimmaenoiznaslenitacidniilanroigùipoonuni,ottartserepooretnirep,enoiznuigni

.acilppaalehcetnaraGledotnemidevvorp

461

561

elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVotnemattartlaevitaler

adilanosrepitadieditteggosidetrap81.traxeicilbbup

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS.onnadnuaviredottafladesisem81a6adenoisulceR

elledenoizaloivniotautteffeèotnemattartliesisem42a6adenoisulceR.itadiedenoisuffideenoizacinumocalluseloger

1.c,761


ilanosrepitadiedilleuqadisrevid

adiraiziduigeilibisnesitteggosidetrap91.traxeicilbbup



1.c,761

itadidotnemattarT itadidotnemattarT itadidotnemattarT itadidotnemattarT itadidotnemattarTottircserpliaznes

32.traxeosnesnoc



1.c,761

elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVitadidotnemattartid

.traxeociffartlaivitaler321



1.c,761

Tabelle 81

ENOIZALOIV ENOIZALOIV ENOIZALOIV ENOIZALOIV ENOIZALOIVASSEMMOC ENOIZNAS ENOIZNAS ENOIZNAS ENOIZNAS ENOIZNAS .SGL.D.TRA .SGL.D.TRA .SGL.D.TRA .SGL.D.TRA .SGL.D.TRA

3002/691

elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVitadidotnemattartid

xeenoizacibu’llaivitaler621.tra



1.c,761

ilgaevitalerinoizaloiV ilgaevitalerinoizaloiV ilgaevitalerinoizaloiV ilgaevitalerinoizaloiV ilgaevitalerinoizaloiV.traxeitanobbaihcnele

921



1.c,761

elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVellaevitaler

inoizacinumoc031.traxeetaredisedni



1.c,761

elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVitnemattartaevitaler

ihcsironatneserpehc71.traxeicificeps

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS.onnadnuaviredottafladesinna3a1adenoisulceR 2.c,761


eilibisnesitadiedidetrapadiraiziduig

.ttraxeicilbbupitteggos11e8immoc,22,12,02


iditeividiedenoizaloiV iditeividiedenoizaloiV iditeividiedenoizaloiV iditeividiedenoizaloiV iditeividiedenoizaloiVeenoizacinumoc

xeitadiedenoisuffid52.tra

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS.onnadnuaviredottafladesinna3a1adenoisulceR

idosaclenehcertlo,otsiverpèenoisuffideenoizacinumocidoteividlIrepilanosrepitadaotnemirefirniehcna,etnaraGledetrapadenoizisopsid

opmetliosrocedaisorevvoenoizallecnacalatsopsidatatsèilauqietacidnielleuqadesrevidàtilanifrepo,atloccaralledipocsilgrepotilibats

.attircserpevoenoizacifitonallen

2.c,761

elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVitadiedotnemattartid

62.traxeilibisnes


elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiV elogerelledenoizaloiVitadiedotnemattartid

idetrapadiraiziduigicilbbupitnedeitavirp

72.traxeicimonoce


iditeividiedenoizaloiV iditeividiedenoizaloiV iditeividiedenoizaloiV iditeividiedenoizaloiV iditeividiedenoizaloiVitadidotnemirefsart

54.traxeoretse'lla

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS.onnadnuaviredottafladesinna3a1adenoisulceR

eseaPnioretse'llaitadid,oenaropmetehcna,otnemirefsartlIenoizanitsedideseaPledotnemanidro'lodnauqotateivèoiratinumocartxe

enosrepelledaletutidollevilnuarucissanonitadiedotisnartidoiedeotnemirefsartledàtiladomelehcnaetatulavonoseniflatA.otaugeda

iderusimeleitadiedarutanal,àtilanifevitalerel,itsiverpitnemattart.azzerucis

2.c,761

ellenàtislaF ellenàtislaF ellenàtislaF ellenàtislaF ellenàtislaFeinoizaraihcid

etnaraGlainoizacifiton

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaSiucniosaclenonnadnuaviredottafladesinna3aisem6adenoisulceR

oitnemucod,itta,inoizacinumocnioenoizacifitonallen,euqnuihclenoetnaraGlaiznanidotnemidecorpnuniitibiseoiserinoizaraihcid

oeznatsocricoeizitonetnemaslafatsettaoaraihcid,itnematreccaidosroc.islafitnemucodoittaecudorp

861

elledenoizodaassemO elledenoizodaassemO elledenoizodaassemO elledenoizodaassemO elledenoizodaassemOideminimerusim

azzerucis

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS.000.05oruea000.01orueadadnemmaoinna2aonisotserrA

ehcna,isselpmocisacien,ootnematrecca'lledotta'llaotaerlederotua'llAnuodnassifenoizircserpanuatitrapmiè,etnaraGledottaovisseccusnoc

opmetidodoireplietnedeccenonenoizazziralogeralrepenimretoàtisselpmoceralocitrapidosacnielibagororp,oirassecenetnemacincet6aeroirepusnoneuqnumoceotnemipmeda'lledàtlociffidavitteggoalrep

atlusires,enimretlederedacsollaivisseccusinroig06ieN.isemaetnaraGladossemmaèotaerlederotua'lenoizircserpallaotnemipmeda'l

alrepatilibatsadnemma'lledomissamled4/1airapammosanueragap.)005.21orue(enoiznevvartnoc

.otaerlionougnitseotnemagaplieotnemipmeda'L

1.c,961

iedaznavressonI iedaznavressonI iedaznavressonI iedaznavressonI iedaznavressonIleditnemidevvorp,62.traxeetnaraG

.tra,09.tra,2ammoc.trae,2e1immoc,051

)c.ttel,1ammoc,341

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS.inna2aisem3adenoisulceR 071

elledaznavressonI elledaznavressonI elledaznavressonI elledaznavressonI elledaznavressonIolledinoizisopsid

xeirotarovaliedotutatS411e311.ttra

elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaS elanepenoiznaSotutatSolled4.tra'llae8.tra'llaiucidinoizisopsidelledaznavressoni'Lè)orovalidirotatserpiedaznatsidaollortnoceinoinipoellusenigadni(

adnemma(otutatSomisedemled83.tra'lladetsiverpinoiznaselnocatinup)onna1ainroig51adotserrao05,615oruea56,15oruead

171

Privacy e DPS - apici.org€¦ · dre” sulla protezione dei dati personali, uniformando e...

Documents

Transcript of Privacy e DPS - apici.org€¦ · dre” sulla protezione dei dati personali, uniformando e...