Diritti interna

Doveri interna

ricerca avanzata

Titolare, responsabile e incaricato - Individuazione del 'titolare del trattamento' - 9 dicembre 1997 [30915]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
30915
Data:
09/12/97
Argomenti:
Ministeri , Trasporti pubblici
Tipologia:
Parere del Garante

[doc. web. n. 30915]

Titolare, responsabile e incaricato - Individuazione del ´titolare del trattamento´ - 9 dicembre 1997

L´importante quesito posto dalle F.S. S.p.A. riguarda la concreta individuazione della figura del titolare del trattamento. Il Garante ha chiarito che se il trattamento è effettuato nell´ambito di una persona giuridica di una pubblica amministrazione o di un altro organismo, il titolare è l´entità nel suo complesso anziché una o più persone fisiche.


Roma, 9 dicembre 1997

Ferrovie dello Stato
Società di trasporti e servizi per azioni
Direzione legale
P.zza della Croce Rossa, 1
Roma


OGGETTO: Attuazione della legge n. 675/1996 in ambito FS S.p.A.. Individuazione del "titolare del trattamento"

La FS S.p.A. ha chiesto di conoscere il parere di questa Autorità in ordine all´applicazione della disciplina in materia di protezione dei dati personali, con particolare riferimento alla possibilità di individuare il "titolare del trattamento" tra le persone fisiche che ricoprono incarichi di vertice o che coordinano i diversi settori dell´Azienda (amministratore delegato, direttori generali e responsabili di area).

Secondo la legge n. 675/1996, il "titolare" è la persona fisica o giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le scelte di fondo sulle finalità e sulle modalità del trattamento dei dati, anche per ciò che riguarda la sicurezza.

Il riferimento alla "persona fisica" , che compare nella definizione del "titolare" (art. 1 legge 675/1996), non riguarda coloro che amministrano o rappresentano la persona giuridica, la pubblica amministrazione o l´ente, ma concerne gli individui che effettuano un trattamento di dati a titolo personale (ad esempio, il libero professionista, il piccolo imprenditore), e che assumono individualmente la piena responsabilità di un´attività che va distinta nettamente, anche sul piano giuridico, da quella che singole persone fisiche possono coordinare nellì ambito e nell´interesse di una persona giuridica, di un´impresa o di un ente nel quale ricoprono incarichi di rilievo.

In altre parole, qualora il trattamento sia effettuato nell´ambito di una persona giuridica, di una pubblica amministrazione o di un altro organismo, il "titolare" è l´entità nel suo complesso (ad esempio, la società, il ministero, l´ente pubblico, l´associazione, ecc.) anziché taluna delle persone fisiche che operano nella relativa struttura e che concorrono, in concreto, ad esprimerne la volontà o che sono legittimati a manifestarla all´esterno (ad esempio, l´amministratore delegato, il ministro, il direttore generale, il presidente, il legale rappresentante, ecc.). In molti casi, tali soggetti potrebbero assumere, semmai, la qualifica di "responsabile" (v. art. 8 legge n. 675/1996).

L´orientamento suesposto, che è pacifico anche in ambito comunitario, è confermato dal tenore letterale della disposizione che reca la definizione di titolare (art. 1, comma 2, lett. d), legge n. 675/1996).

Tale norma, se interpretata in maniera diversa, e cioè ritenendo che la persona giuridica, la pubblica amministrazione o l´ente possano individuare al proprio interno una o più persone fisiche titolari del trattamento, renderebbe illogica la sequenza dei soggetti indicati nella norma medesima, ove di seguito alla "persona fisica" (titolare del trattamento) è menzionata la persona giuridica, la persona fisica, l´ente, l´associazione o l´organismo titolare, appunto, del trattamento.

Le conclusioni alle quali si è poc´anzi pervenuti, e che sono illustrate anche nel modello di notificazione predisposto da questa Autorità, permettono di formulare due ulteriori osservazioni:

a) rispetto all´individuazione del titolare, la legge n. 675/1996 presuppone un approccio assai diverso da quello, ben noto, che deve essere seguito nell´applicazione della legge n. 626/1994 in materia di sicurezza e igiene del lavoro;

b) la necessaria identificazione delle Ferrovie S.p.A. quale titolare del trattamento non preclude l´applicazione dei principi generali in materia di formazione della volontà dell´ente e di delega di funzioni, nel senso che la volontà del "titolare" (cioè, lo si ripete, delle Ferrovie S.p.A.) sarà formata, anche agli effetti della disciplina sulla protezione dei dati, tenendo conto delle ordinarie attribuzioni degli organi previsti dall´atto costitutivo e dallo statuto. Dovrà tenersi conto, tuttavia, del particolare rapporto tra il "titolare" e il "responsabile" del trattamento, che la legge n. 675 disciplina in termini imperativi in attuazione del dettato comunitario.

Quanto premesso, non preclude ulteriori considerazioni che riguardano le strutture di particolare complessità come le Ferrovie S.p.A.

La legge 675 individua il titolare anche in un organismo al quale competano reali ed autonome scelte in ordine alle finalità e alle modalità del trattamento.

Nelle istruzioni allegate al modello di notificazione, il Garante ha pertanto precisato che gli enti, le persone giuridiche e le pubbliche amministrazioni articolate in direzioni generali o in sedi centrali, decentrate o periferiche (ad esempio, servizi, dipartimenti, aree anche geografiche, ecc.), sono "titolari" nel loro complesso dei trattamenti.

Tuttavia, se la singola direzione generale o area esercita, tramite i propri organi, un potere decisionale reale e del tutto autonomo sulle finalità e sulle modalità dei trattamenti effettuati nel proprio ambito, non condizionato da scelte effettuate a livello centrale o di vertice, la medesima direzione o area potrebbe essere considerata come titolare dei trattamenti (ovvero, a seconda dei casi, come contitolare, assieme alla Società).

In conclusione, deve ritenersi che non sia possibile individuare la titolarità del trattamento nelle persone fisiche preposte ad una direzione generale o ad un´area, dovendo tale qualità essere configurata in capo alla Società (oppure alle complesse unità organizzative - direzione generale o aree anche geografiche - qualora sia possibile riconoscere a queste ultime potestà decisorie effettive e del tutto autonome in ordine al trattamento dei dati).

Resta ferma la facoltà della FS S.p.A. di designare alcuni soggetti (persone fisiche o giuridiche, enti od organismi) quali "responsabili" del trattamento, delineandone analiticamente e per iscritto i compiti attribuiti, e individuando al loro interno, se del caso, ulteriori livelli di responsabilità in base all´organizzazione delle divisioni e degli uffici o alle tipologie di trattamenti, di archivi e di dati.

Ad esempio, si potrebbero designare vari responsabili distinti in base alle funzioni amministrative esercitate o alle aree territoriali di operatività, ovvero in ragione delle competenze informatiche, del ruolo svolto quanto alla sicurezza dei sistemi, della titolarità di uffici per i rapporti con il pubblico, ecc., sempreché ciascuno di essi dimostri l´esperienza, la capacità e l´affidabilità richieste dalla legge (art. 8 L. 675/1996).


IL PRESIDENTE