g-docweb-display Portlet

Trattamento dei dati sensibili e giudiziari presso il Consiglio nazionale delle ricerche (Cnr) - 8 febbraio 2006 [1244717]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1244717]

[vedi anche: Parere 28 febbraio 2007]

 

Trattamento dei dati sensibili e giudiziari presso il Consiglio nazionale delle ricerche (Cnr) - 8 febbraio 2006

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la richiesta di parere sullo schema di regolamento, presentata dal Consiglio nazionale delle ricerche (Cnr) in data 23 dicembre 2005 (prot. n. 6750);

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante, n. 1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO:

Il Consiglio nazionale delle ricerche (Cnr) ha chiesto il parere del Garante in ordine ad uno schema di regolamento per i trattamenti dei dati sensibili e giudiziari da esso effettuati.

Il Cnr, al pari degli altri soggetti pubblici, può trattare i dati sensibili e giudiziari solo in base ad un´espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. In presenza di una disposizione primaria che si limiti a specificare unicamente la finalità di rilevante interesse pubblico è necessario che, con un atto di effettiva natura regolamentare, siano identificati e resi pubblici i tipi di dati sensibili o giudiziari, nonché le operazioni eseguibili in relazione alle finalità perseguite nei singoli casi.

A tale scopo, il Cnr è quindi tenuto ad adottare o promuovere un atto di natura regolamentare conforme al parere reso dal Garante. In questa prospettiva il predetto schema identifica i tipi di dati che il Cnr intende trattare, con le operazioni individuate in relazione alle specifiche finalità perseguite nei singoli casi (art. 20, comma 2, del Codice).


OSSERVA:

1. Considerazioni generali
Contrariamente a quanto affermato nella premessa dello schema, quest´ultimo si riferisce unicamente ai trattamenti effettuati dal Cnr e non costituisce, quindi, uno schema tipo al quale altri soggetti possano uniformarsi. Nel medesimo schema devono essere pertanto eliminati i riferimenti relativi alla rispondenza del regolamento ad uno schema tipo.

Nella premessa dello schema deve farsi invece menzione dell´acquisizione del presente parere ai sensi dell´art. 154, comma 1, lett. g), del Codice. Nella medesima premessa va altresì espunto il riferimento alle operazioni di diffusione che non sono previste nelle schede allegate allo schema.

Nell´art. 2, per quanto riguarda le finalità, occorre fare riferimento esclusivamente alle disposizioni di legge che prevedono le finalità individuate nelle predette schede.

Non è inoltre conforme al Codice la previsione (art. 5, comma 2) della designazione delle compagnie assicurative dell´ente quali "incaricati" del trattamento. A parte la circostanza che questi ultimi sono solo persone fisiche e non anche persone giuridiche (art. 30), le compagnie assicurative non vanno considerate nel regolamento, esercitando una legittima attività, ma distinta da quella dell´ente e svolta in qualità di autonomi titolari del trattamento.

2. Riconoscimento di benefici (scheda n. 2)
Con riferimento alla scheda n. 2 si evidenzia che dagli elementi forniti non risulta che la legge 8 marzo 1968, n. 152 sia idonea a legittimare le operazioni di comunicazione nei confronti dell´Inpdap ai fini dell´erogazione del trattamento di pensione in caso di inabilità al lavoro e del riconoscimento del diritto alla pensione privilegiata; allo stato degli elementi forniti la medesima legge risulta riguardare infatti la previdenza del diverso personale degli enti locali.

3. Elettorato attivo e passivo per la nomina delle rsu (scheda n. 3)
L´elencazione delle fonti normative che legittimano i trattamenti indicati nella scheda n. 3 deve essere integrata menzionando la normativa statale che fissa i princìpi fondamentali in materia di libertà ed attività sindacale nei luoghi di lavoro.

Inoltre, le finalità di rilevante interesse pubblico perseguite nello svolgimento delle attività relative all´elettorato attivo e passivo per la nomina delle rappresentanze sindacali sono riconducibili all´art. 112 del Codice, anziché al relativo art. 62. Infatti, i relativi trattamenti sono effettuati per adempiere a specifici obblighi o per svolgere compiti previsti dalla normativa in materia sindacale nell´ambito di rapporti di lavoro e vanno quindi ricompresi nella scheda n. 1, riguardante appunto la gestione del rapporto di lavoro del personale impiegato a vario titolo presso il Cnr.

Dalla sintetica descrizione del trattamento non risulta comprovata l´indispensabilità dell´utilizzo dei dati personali relativi alle convinzioni religiose per perseguire le attività connesse all´esercizio di libertà ed attività sindacali. Occorre quindi valutare nuovamente tale indispensabilità, e documentarla adeguatamente in caso di esito positivo della valutazione.

Infine, le operazioni di comunicazione devono essere individuate in modo più specifico e anche con l´indicazione di categorie di casi, evidenziando sia le finalità perseguite, sia le specifiche basi normative eventualmente esistenti.


4. Infortunistica stradale (scheda n. 4)
Le finalità di rilevante interesse pubblico perseguite nello svolgimento delle attività relative all´infortunistica stradale sono riconducibili agli artt. 71 e 112 del Codice, anziché al relativo art. 73, essendo i relativi trattamenti effettuati nello svolgimento di attività sanzionatorie e di tutela correlate anche alla gestione di rapporti di lavoro.

Sotto altro profilo, va rilevato che occorre esplicitare le finalità perseguite nello svolgimento delle operazioni di comunicazione effettuate "in alcuni casi, anche ai familiari delle persone coinvolte", nonché le eventuali basi normative che legittimano tale flusso di dati sensibili e giudiziari.

5. Contratti, gare e appalti (scheda n. 5)
Relativamente alla scheda n. 5, si osserva che il trattamento di dati giudiziari effettuato nel quadro dell´attività contrattuale, delle gare e degli appalti trova già compiuta disciplina nell´apposita autorizzazione generale rilasciata dal Garante (aut. n. 7/2005 al trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di soggetti pubblici).

Nel regolamento, non deve essere pertanto indicato il trattamento effettuato per adempiere ad obblighi previsti da disposizioni di legge in materia di comunicazioni e certificazioni antimafia o in materia di prevenzione della delinquenza di tipo mafioso e di altre gravi forme di manifestazione di pericolosità sociale, nonché per accertare requisiti di idoneità dei partecipanti alle gare (capo IV, par. 2, lett. d) ed e), della citata aut. n. 7/2005). Va pertanto eliminata la scheda n. 5, tenendo peraltro presente che non sarebbe risultato giustificato l´utilizzo sistematico da parte del Cnr di dati personali attinenti anche alla salute dei singoli addetti alla rivendita di generi alimentari.


6. Attività politica, di indirizzo, controllo e documentazione (scheda n. 7)
Le finalità di rilevante interesse pubblico connesse alle attività di controllo, indirizzo politico e documentazione, contemplate nella scheda n. 7, sono riconducibili a quelle previste dagli articoli 65 e 67 del Codice. Tali disposizioni vanno quindi indicate puntualmente nella scheda.


7. Gestione biblioteche, centri di documentazione e musei (scheda n. 8)
Per ciò che concerne le fonti normative, va eliminato il riferimento al d.lg. 29 ottobre 1999, n. 490, abrogato dall´art. 184 del d.lg. 22 gennaio 2004, n. 42 recante il "Codice dei beni culturali e del paesaggio, ai sensi dell´articolo 10, della legge n. 137 del 6 luglio 2002".

Non consta, poi, l´esistenza di disposizioni di legge che autorizzino il Cnr a raccogliere anche dati sensibili per verificare i requisiti per accedere a sale riservate delle biblioteche, dei centri di documentazione e dei musei: salva l´eventuale individuazione di tale fonte normativa, da sottoporre nuovamente al parere del Garante, non potranno essere quindi raccolti dati sensibili per verificare i requisiti per accedere alle predette sale riservate.


8. Attività di ricerca scientifica e di servizio (scheda n. 9)
In relazione alla scheda n. 9, occorre distinguere le attività effettuate dal Cnr a fini di ricerca scientifica da quelle di natura amministrativa correlate ad attività di prevenzione, diagnosi e cura della salute dei soggetti assistiti dal Servizio sanitario nazionale (comprese quelle c.d. di servizio), descritte senza distinzione nella scheda n. 9.

Per ciò che concerne le attività di ricerca scientifica è necessario predisporre due distinte schede relative, l´una, all´attività di ricerca medica, biomedica ed epidemiologica e, l´altra, alla restante attività di ricerca scientifica (es. sociologica), disciplinata specificamente dal codice di deontologia e buona condotta per i trattamenti di dati personali per scopi statistici e scientifici (Provv. del Garante n. 2 del 16 giugno 2004-allegato A4 al Codice).

Nella prima scheda vanno considerati esclusivamente i trattamenti che l´ente può effettuare nell´ambito delle attività di ricerca previste dalla legge, ma per le quali non sono specificati i tipi di dati trattati e le operazioni eseguite (artt. 20, 107 e 110 del Codice).

Nella scheda relativa ad attività di ricerca scientifica diverse da quella medica, biomedica ed epidemiologica occorre evidenziare che:

  • i tipi di dati trattati e le operazioni in concreto eseguite dovranno essere specificati nel progetto di ricerca di cui all´art. 3 del richiamato codice di deontologia e di buona condotta;
  • laddove gli scopi scientifici non possano essere raggiunti mediante l´utilizzo di dati anonimi, il trattamento successivo alla raccolta non deve permettere di identificare gli interessati, a meno che l´abbinamento al materiale di ricerca dei dati identificativi di questi ultimi non sia temporaneo ed essenziale per il risultato della ricerca, e sia altresì motivato per iscritto nel progetto di ricerca.

Infine, con riferimento alle attività amministrative correlate ad attività di prevenzione, diagnosi e cura della salute dei soggetti assistiti, è necessario individuare specificatamente le disposizioni di legge che autorizzano l´ente a svolgere attività finalizzate agli obiettivi del Servizio sanitario nazionale (v., ad es., art. 40 l. 23 dicembre 1978, n. 833), le finalità di rilevante interesse pubblico perseguite, i tipi di dati trattati e le operazioni eseguite, evidenziando gli eventuali flussi di dati posti in essere.

9. Conclusioni
Il Cnr è invitato a conformare lo schema alle indicazioni sopra formulate nei punti da 1 a 8, tenendo altresì presente che il trattamento dei dati sensibili e giudiziari non potrà essere effettuato in difformità dalle indicazioni medesime, e che l´individuazione dei tipi di dati e delle operazioni eseguibili dovrà essere effettuata necessariamente con un atto di effettiva natura regolamentare ai sensi dell´art. 20, comma 2, del Codice, suscettibile di produrre effetti giuridici per gli interessati.


TUTTO CIÒ PREMESSO IL GARANTE:

ai sensi dell´art. 154, comma 1, lett. g) del Codice, esprime parere favorevole sullo schema tipo di regolamento curato dal Consiglio nazionale delle ricerche, a condizione che siano rispettate le indicazioni fornite nei punti da 1 a 9, riguardanti:

  • l´eliminazione del riferimento alla rispondenza del regolamento ad uno schema tipo; la menzione dell´acquisizione del presente parere; l´espunzione dei riferimenti inerenti alla diffusione; le modifiche relative all´indicazione delle finalità di rilevante interesse pubblico e delle corrispondenti disposizioni; l´eliminazione dell´articolo 5, comma 2;
  • le modifiche al riferimento alla legge 8 marzo 1968, n. 152 (scheda n. 2);
  • la menzione della normativa statale che stabilisce i princìpi fondamentali in materia di libertà ed attività sindacale nei luoghi di lavoro; la sostituzione del riferimento all´art. 62 con l´art. 112 del Codice; l´indispensabilità dell´utilizzo di dati personali relativi alle convinzioni religiose; la specifica individuazione delle finalità perseguite e dell´eventuale base normativa delle comunicazioni indicate (scheda n. 3);
  • la sostituzione del riferimento all´art. 73 del Codice con i relativi artt. 71 e 112; la specifica individuazione delle finalità perseguite dalla comunicazione di dati sensibili e giudiziari ai familiari delle persone coinvolte in infortuni stradali, nonché dell´eventuale base normativa (scheda n. 4);
  • l´eliminazione della scheda n. 5;
  • la menzione degli articoli 65 e 67 del Codice in relazione alle finalità di rilevante interesse pubblico indicate (scheda n. 7);
  • l´eliminazione del riferimento al d.lg. 29 ottobre 1999, n. 490 e il trattamento di dati sensibili allo scopo di verificare i requisiti per accedere a talune sale riservate delle biblioteche, dei centri di documentazione e dei musei (scheda n. 8);
  • la redazione di distinte schede (indicanti le disposizioni di legge che autorizzano il trattamento, le finalità di rilevante interesse pubblico, i tipi di dati trattati, le operazioni su di questi eseguite e la sintetica descrizione) riguardanti, rispettivamente, le attività di ricerca medica, biomedica ed epidemiologica, le restanti attività di ricerca scientifica, nonché quelle amministrative correlate alle attività di prevenzione, diagnosi e cura della salute dei soggetti assistiti, nonché a quelle c.d. di servizio (scheda n. 9);
  • l´adozione di un atto di effettiva natura regolamentare.

Roma, 8 febbraio 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli