Nuovi elenchi telefonici

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Al via i nuovi elenchi telefonici. Pubblicità solo a chi lo vuole
Verranno inseriti anche i cellulari, ma solo con il consenso dell’abbonato.

Gli elenchi telefonici cambiano natura. Gli abbonati, oltre al diritto di
scegliere liberamente se e come comparire nell’elenco, potranno decidere se
ricevere o no pubblicità. Solo chi sceglierà di ricevere informazioni
commerciali o promozionali vedrà, infatti, segnalato l’indirizzo o il numero
telefonico con uno speciale simbolo. Non si potranno più utilizzare gli
elenchi per invadere di messaggi pubblicitari chi non lo ha richiesto.
Nei nuovi elenchi verranno inseriti anche i numeri di cellulari, ma solo con
l’espresso consenso dell’abbonato o degli acquirenti di carte pre-pagate.
Queste le novità più significative che, in attuazione di direttive europee,
il nostro Paese introdurrà, per primo in Europa, negli elenchi telefonici
che verranno distribuiti a partire dalla seconda metà del 2005.
Il Garante per la protezione dei dati personali ha definitivamente varato il
modello per informare gli abbonati dei nuovi diritti che la disciplina sulla
privacy riconosce loro. Il modello, predisposto in cooperazione con
l’Autorità per le garanzie nelle comunicazioni, verrà trasmesso a tutti gli
operatori di telefonia, fissa e mobile. Il modello ha visto anche la
collaborazione delle associazioni dei consumatori, le quali hanno espresso
un parere che è stato recepito.
Gli abbonati telefonici, per la prima volta, potranno dunque decidere
liberamente, in forma specifica e documentata per iscritto, se apparire
nell’elenco, se apparire con il solo cognome o di non essere contraddistinti
da un riferimento che riveli il sesso (con la sola iniziale del nome), se
omettere in parte l’indirizzo postale, se inserire il numero di cellulare.
Nel caso dei soli elenchi della telefonia mobile, verrà omesso, salvo
consenso dell’interessato, l’indirizzo.
Negli elenchi potranno comunque essere inseriti, sempre su libera scelta
dell’abbonato, altri dati riguardanti la professione, il titolo di studio,
l’indirizzo e-mail etc.
A partire dai prossimi mesi ogni operatore telefonico avrà l’obbligo di
inviare a tutti i vecchi abbonati il modello messo a punto dal Garante per
consentire loro di effettuare le proprie scelte e per informarli
adeguatamente, in modo particolare riguardo agli scopi degli elenchi (che
potranno essere stampati su carta o riprodotti su supporti magnetici, ottici
oppure consultabili on line) e alla facoltà di esprimere un consenso
libero, differenziato e revocabile. Il modello dovrà essere utilizzato
anche per i nuovi abbonati.
Le società telefoniche dovranno mettere a disposizione del pubblico almeno
un recapito telefonico, un indirizzo, un numero di telefax, un indirizzo di
posta elettronica, al quale gli interessati possano rivolgersi per ottenere
informazioni.

* * *

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI,
NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente,
del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e
del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli,
segretario generale;

VISTO il provvedimento del 23 maggio 2002 con il quale questa Autorità ha
segnalato a tutti gli operatori le garanzie necessarie per trattare dati
personali al fine di formare i nuovi elenchi telefonici e prestare i servizi
di informazione agli utenti;

CONSIDERATO che tali garanzie sono state richiamate nella deliberazione
dell’Autorità per le garanzie nelle comunicazioni n. 180/02/CONS del 13
giugno 2002, in applicazione della normativa all’epoca vigente;

RILEVATO che gli accordi-quadro tra gli operatori sulla costituzione di una
base di dati unica della clientela, previsti dalla deliberazione della
predetta Autorità n. 36/02/CONS del 6 febbraio 2002 e sottoscritti dagli
operatori di telefonia mobile e fissa il 23 dicembre 2002 e 28 luglio 2003,
hanno recepito varie indicazioni di questa Autorità;

RITENUTA la necessità di prescrivere a tali operatori, ai sensi dell’art.
154, comma 1, lett. c), del Codice in materia di protezione dei dati
personali entrato in vigore il 1° gennaio 2004 (d.lg. 30 giugno 2003, n.
196) le misure che non sono state da essi attuate, con particolare
riferimento alle modalità di aggiornamento degli elenchi e di
visualizzazione dei risultati delle ricerche sui medesimi elenchi;

VISTO l’art. 129, comma 2, del Codice che, in attuazione della disciplina
comunitaria e in particolare della direttiva comunitaria n. 2002/58/Ce, ha
individuato nella “mera ricerca dell’abbonato per comunicazioni
interpersonali” la finalità primaria degli elenchi telefonici realizzati in
qualunque forma prevedendo, in relazione a tale finalità, il principio della
massima semplificazione per l’inclusione in essi degli abbonati;

CONSIDERATO che tale disposizione ribadisce, invece, che il trattamento dei
dati inseriti negli elenchi, se effettuato per fini ulteriori, diversi da
quelli interpersonali sopra indicati, e in particolare, per scopi
pubblicitari, promozionali o commerciali, è lecito solo se è effettuato con
il consenso specifico ed espresso degli interessati;

RILEVATO che tali principi sono stati confermati dalla legge 31 ottobre
2003, n. 306 (art. 12);

VISTO che il medesimo art. 129 ha attribuito al Garante il compito di
individuare con proprio provvedimento, in cooperazione con la predetta
Autorità e in conformità alla normativa comunitaria, le modalità di
inserimento e di successivo utilizzo dei dati personali relativi agli
abbonati negli elenchi cartacei o elettronici a disposizione del pubblico,
in rapporto alle varie finalità sopraindicate, anche in riferimento ai dati
raccolti prima della data di entrata in vigore del Codice;

CONSIDERATO che questa Autorità ha già provveduto in materia con la
richiamata decisione del 23 maggio 2002, il cui contenuto prescrittivo
mantiene efficacia con particolare riferimento ai seguenti profili:
necessità di una disciplina armonizzata per tutti i tipi di elenco;
individuazione di ciascun operatore quale esclusivo titolare del
trattamento, nonché del gestore della predetta base di dati unica della
clientela quale titolare di un trattamento autonomo; rapporti degli
interessati con i propri operatori; applicazione delle garanzie sia agli
abbonati, sia agli acquirenti del traffico prepagato (persone fisiche e
giuridiche); dati da inserire negli elenchi; loro aggiornamento immediato o
periodico, a seconda delle caratteristiche tecniche; servizi di informazione
elenchi abbonati e di c.d. ricerca derivata o a criteri multipli;

RILEVATO che, in costante cooperazione con la predetta Autorità ai sensi del
citato art. 154, comma 3, sono stati acquisiti vari elementi di
valutazione negli incontri tecnici intercorsi con gli operatori interessati;

RILEVATO che il Garante ha ritenuto necessario acquisire ulteriori elementi
anche dalle associazioni di utenti e consumatori e visto il parere fornito
dal Consiglio nazionale dei consumatori e degli utenti (Cncu) in data 25
giugno 2004;

CONSIDERATO che da tali consultazioni sono emersi alcuni dettagli operativi
che rendono necessario integrare le prescrizioni già impartite dal Garante
con il citato provvedimento del 23 maggio 2002, con particolare
riferimento ai seguenti profili: individuazione dei simboli da apporre sugli
elenchi accanto ai nominativi degli interessati e di corrispondenti
riscontri nella predetta base di dati unica per evidenziare le loro scelte
riguardo ai citati usi secondari dei dati; dati raccolti anteriormente
all’operatività del nuovo regime; requisiti minimi degli schemi per
informare gli interessati e per acquisire il loro consenso; inserimento nei
contratti di cessione di dati a terzi di una clausola di responsabilità dei
cessionari con riguardo al trattamento dei dati;

RITENUTO necessario richiamare nel presente provvedimento le predette
garanzie già segnalate dal Garante, prescrivere agli operatori le misure non
previste dagli accordi-quadro e specificare i dettagli operativi sopra
indicati;

RILEVATO che questo quadro di misure deve essere attuato da tutti gli
operatori anche ai sensi dell’art. 154, comma 1, lett. c), del Codice, in
modo effettivo e uniforme, dovendosi prefigurare un’eguale tutela a
prescindere dalla diversa modalità di realizzazione degli elenchi (stampati,
elettronici, fisici, logici, realizzati da singoli o da più operatori,
distinti per aree geografiche o costituenti parti di elenchi più ampi);

CONSIDERATO che, come rilevato anche nel citato parere del Cncu, milioni di
utenti verranno chiamati ad esercitare scelte significative che avranno
effetto sulla loro sfera privata, sulla base di una disciplina per alcuni
aspetti nuova e basata anche su taluni termini tecnici; ritenuto pertanto
indispensabile prescrivere agli operatori un modello unico per l’informativa
e il consenso, che non è stato previsto dai predetti accordi-quadro, basato
su espressioni chiare, semplici e di agevole comprensione anche per gli
utenti non esperti; ritenuto che gli operatori potranno apportare a tale
modello le integrazioni e gli eventuali adattamenti compatibili con lo
schema predisposto unicamente previo assenso di questa Autorità, in
particolare per quanto riguarda il consenso per le finalità pubblicitarie,
promozionali e commerciali;

RITENUTA la necessità di richiamare l’attenzione degli operatori
sull’esigenza di organizzare idonee procedure per rispettare fedelmente le
scelte degli interessati e sulla gravità dei comportamenti lesivi dei
relativi diritti, in particolare in caso di mancato rispetto della scelta di
non figurare negli elenchi o di non acconsentire ad utilizzi secondari dei
dati;

RITENUTA la necessità che negli eventuali contratti di cessione a terzi dei
dati contenuti nella base di dati unica e destinati ad essere riprodotti
negli elenchi figuri una specifica clausola per vincolare i cessionari al
rispetto delle manifestazioni di volontà degli interessati, anche in
rapporto alle sanzioni amministrative e penali previste;

RITENUTA la necessità che tutti i titolari del trattamento coinvolti nella
raccolta delle informazioni da inserire negli elenchi di prossima
realizzazione organizzino efficienti servizi di assistenza e di informazione
ai cittadini, e idonee verifiche a campione a cura degli operatori, in
collaborazione con le associazioni dei consumatori e degli utenti,
informandone il Garante;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai
sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dr. Mauro Paissan;

TUTTO CIÒ PREMESSO, IL GARANTE

a) constata di aver già segnalato a tutti gli operatori interessati, con il
provvedimento del 23 maggio 2002 menzionato in premessa, le garanzie
necessarie per trattare i dati personali dei clienti al fine di formare i
nuovi elenchi telefonici comunque realizzati e prestare i servizi di
informazione all’utenza, sintetizzate nell’allegato I al presente
provvedimento;

b) prescrive a tutti i titolari del trattamento interessati, ai sensi
dell’art. 154, comma 1, lett. c), del Codice la necessità di adottare le
misure indicate nell’allegato II, già oggetto del provvedimento del 23
maggio 2002 e non attuate;

c) individua nell’allegato IIIai sensi dell’art. 129 del Codice, in
cooperazione con l’Autorità per le garanzie nelle comunicazioni ai sensi
dell’art. 154, comma 3, del medesimo Codice, i dettagli operativi relativi
all’inserimento negli elenchi, comunque realizzati, dei dati personali degli
abbonati e dei titolari di schede di traffico prepagato e al loro successivo
utilizzo;

d) individua nell’allegato IV un modello semplificato di informativa e
richiesta di consenso, relativo alla telefonia fissa e mobile, contenente i
requisiti minimi che, ai sensi dell’art. 154, comma 1, lett, c), del Codice,
prescrive a tutti i titolari del trattamento interessati di utilizzare nei
termini di cui in motivazione.

Roma, 15 luglio 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli

—————————————————————————-
—-

ALLEGATO I
(Garanzie già individuate con il provvedimento del Garante del 23 maggio
2002)

1. Soggetti interessati

I diritti degli interessati sono riconosciuti a tutti gli abbonati e agli
acquirenti del traffico pre-pagato della telefonia mobile e personale (di
seguito: “interessati”), siano essi persone fisiche, persone giuridiche,
enti o associazioni.

Per il traffico pre-pagato, negli elenchi è indicato il sottoscrittore. Nel
caso in cui l’utenza sia utilizzata stabilmente da un altro soggetto,
quest’ultimo può, con atto sottoscritto sotto la propria responsabilità,
dichiarare di essere l’utilizzatore effettivo e stabile dell’utenza che,
previa informativa al sottoscrittore, può essere quindi indicato negli
elenchi e al quale devono essere riconosciuti i diritti in materia.

2. Informativa agli interessati

Oltre a quanto previsto dall’art. 13 del Codice (che implica anche
informazioni sui titolari dei trattamenti e sulle modalità di esercizio dei
diritti), l’operatore deve informare preventivamente gli interessati, in
modo agevolmente comprensibile e sulla base dell’informativa-tipo di cui
all’allegato IV:

2.1. sulle finalità degli elenchi realizzati in qualunque forma (elenchi
stampati su carta o riprodotti su supporti magnetici od ottici, consultabili
anche in rete, o ottenibili attraverso servizi che forniscono informazioni
sugli elenchi);

2.2. in merito ad ogni ulteriore possibilità di utilizzo basato su funzioni
di ricerca incorporate nelle versioni elettroniche degli elenchi e in merito
ai risultati conseguibili;

2.3. sulla facoltà di esprimere un consenso libero, differenziato e
revocabile, nonché di formulare alcune richieste, nei termini di seguito
indicati;

2.4. sulla possibilità che gli elenchi consultabili da chiunque possano
essere oggetto di cessione a terzi, in conformità alla legge e per usi non
incompatibili con le finalità per le quali i dati sono stati raccolti.

3. Diritto di essere inseriti negli elenchi

Gli interessati hanno il diritto di decidere se i dati personali che li
riguardano debbano essere riportati negli elenchi conoscibili da chiunque.

Il consenso all’inserimento di tali dati deve essere espresso liberamente,
in forma specifica e documentata per iscritto, sulla base di un’idonea
informativa ai sensi dell’art. 13 del Codice e delle prescrizioni di seguito
indicate.

Il predetto diritto va riconosciuto sia in riferimento ad elenchi formati da
singoli operatori, sia in relazione ad elenchi unici messi a disposizione di
chiunque, a prescindere dalla forma con cui sono realizzati.

4. Dati da inserire negli elenchi

I dati personali riportati negli elenchi conoscibili da chiunque sono
limitati agli elementi necessari per identificare un determinato interessato
(nome, cognome, indirizzo postale e numeri di telefono fisso e -nel caso di
elenco misto per la telefonia vocale/personale e mobile- numero mobile).

Nel caso di eventuali elenchi riferiti alla sola telefonia mobile è omesso,
salvo che l’interessato vi acconsenta, l’indirizzo postale. L’interessato
può però chiedere che sia indicato il comune di residenza o di domicilio.

L’interessato può chiedere che l’indirizzo postale sia omesso in parte. Ove
sia possibile dal punto di vista linguistico, può altresì chiedere di non
essere contraddistinto da un riferimento che ne riveli il sesso, mediante
abbreviazione del nome.

L’interessato può esprimere, nei modi suindicati, un ulteriore consenso:

4.1. all’inserimento di altri dati personali che lo riguardano, ove
pertinenti e non eccedenti rispetto alle finalità dell’elenco dichiarate
dall’operatore o, per un elenco generale, unitariamente dagli operatori.
Deve essere possibile esprimere tale consenso in modo differenziato in
relazione a singoli dati (titolo di studio o di specializzazione;
professione; altri indirizzi o recapiti; indirizzo di posta elettronica);

4.2. all’utilizzazione dell’elenco consultabile da chiunque per finalità
diverse dalla ricerca di dati su persone sulla base del loro nome (e, ove
necessario, di un numero minimo di altri elementi di identificazione), in
particolare per quanto riguarda:

4.2.1. l’inclusione dei dati personali che riguardano il medesimo
interessato nell’ambito di quelli ottenibili attraverso servizi di c.d.
ricerca derivata o a criteri multipli che permettano a chiunque di risalire,
nei casi in cui è stato espresso il consenso, alle generalità di uno o più
interessati disponendo del solo numero telefonico o di un altro dato non
identificativo;

4.2.2. l’utilizzazione dei dati personali che riguardano il medesimo
interessato (sia attraverso chiamate, sia per inoltri a domicilio), a fini
di informazione commerciale o di invio di materiale pubblicitario o di
vendita diretta, ovvero per il compimento di ricerche di mercato o di
comunicazione commerciale interattiva. A tal fine deve essere prevista una
procedura uniforme che tutti gli operatori sono tenuti ad utilizzare per
esplicitare la manifestazione di consenso attraverso i due simboli riportati
in calce all’allegato III da apporre a fianco dei singoli nominativi anche
negli elenchi consultabili da chiunque, in qualunque forma realizzati.

L’interessato può modificare in ogni tempo le manifestazioni del consenso e
le proprie richieste, che devono essere documentate per iscritto e non
devono comportare oneri per l’abbonato.

L’operatore deve indicare a disposizione del pubblico almeno un indirizzo
postale, un numero di telefax, un indirizzo di posta elettronica e un
ufficio cui gli interessati possono rivolgersi agevolmente. Va altresì
indicato un recapito telefonico presso il quale ottenere informazioni con
chiamata gratuita.

5. Diritti rispetto a dati non inseriti in elenchi consultabili da chiunque

I diritti di cui all’art. 7 del Codice e di cui al presente provvedimento
sono esercitabili gratuitamente, ricorrendone i presupposti, anche nei
riguardi dei dati non riportati in elenchi consultabili da parte di
chiunque.

6. Conformazione tecnica dell’elenco generale e degli elenchi dei singoli
operatori

Devono essere previste idonee misure affinché l’elenco generale e gli
elenchi dei singoli operatori:

6.1. siano progettati per consentire la visualizzazione di un numero
limitato di risultati per pagina in caso di utilizzazione dei c.d. servizi
di ricerca derivata o a criteri multipli;

6.2. prevedano idonee procedure per l’aggiornamento immediato degli elenchi
disponibili in rete o ottenibili attraverso servizi che forniscono
informazioni sugli elenchi, nonché per l’aggiornamento periodico, entro un
congruo termine non superiore all’anno, di quelli cartacei o su supporti
magnetici od ottici consultabili non in rete, i quali devono indicare la
data di ultimo aggiornamento.

7. Disciplina transitoria.

Deve essere prevista una procedura per immettere nella prima versione degli
elenchi consultabili da chiunque, istituiti in applicazione della disciplina
in esame:

7.1. i nominativi degli interessati compresi negli elenchi di telefonia
vocale già pubblicati, decorso un periodo non inferiore a sessanta giorni
dalla ricezione di un’informativa scritta avente le caratteristiche indicate
nell’allegato IV, inviata da ciascun operatore anche unitamente alla
corrispondenza commerciale, rispettando le manifestazioni di volontà
espresse in passato anche in applicazione dell’art. 9 del d.lg. n. 171/1998;

7.2. i nominativi degli interessati, in relazione a servizi di telefonia
personale e mobile, i quali abbiano espresso il proprio consenso nei termini
suindicati, sulla base di un’informativa scritta inviata al domicilio del
sottoscrittore;

7.3. i nominativi di eventuali acquirenti del traffico pre-pagato della
telefonia personale e mobile che, sulla base del modulo scritto di
informativa e di consenso avente le caratteristiche suindicate, posto a
disposizione dagli operatori anche per via telematica, abbiano
spontaneamente manifestato il proprio consenso all’inclusione negli elenchi,
alle condizioni sopra precisate.

_________________

ALLEGATO II
(Garanzie già individuate con il provvedimento del Garante del 23 maggio
2002
non ancora attuate dagli operatori)

1. Servizi di ricerca derivata o a criteri multipli

La base di dati unica, l’eventuale elenco generale e gli elenchi dei singoli
operatori, contenenti le informazioni degli abbonati e dei titolari di
schede di traffico prepagato, devono essere progettati e comunque conformati
in modo che, nel caso in cui essi vengano utilizzati per la realizzazione di
servizi di ricerca derivata o basata su criteri multipli, sia possibile
visualizzare solo un numero limitato di risultati per pagina.

2. Consultazione periodica e aggiornamento della base di dati unica

Gli operatori sono tenuti, anche mediante idonee procedure informatiche, ad
effettuare consultazioni periodiche della base di dati unica, al fine di
realizzare aggiornamenti immediati e costanti della stessa in ragione delle
scelte operate, anche successivamente, dagli interessati.

3. Aggiornamento degli elenchi

Devono essere previste ed attuate idonee procedure che consentano agli
operatori e a chiunque realizzi elenchi di qualunque tipo di aggiornare
immediatamente gli elenchi disponibili in rete o ottenibili attraverso
servizi che forniscono informazioni sugli elenchi.

Devono essere, altresì, previste ed attuate idonee procedure in grado di
consentire l’aggiornamento periodico da effettuarsi entro un congruo
termine, comunque non superiore all’anno, anche degli elenchi stampati su
carta o memorizzati su supporti magnetici od ottici consultabili non in
rete. Tali elenchi devono indicare la data dell’ultimo aggiornamento.

—————————————————————————-
—-

ALLEGATO III
(Dettagli operativi relativi all’inserimento dei dati personali degli
abbonati e dei titolari di schede di traffico prepagato nella base di dati
unica e negli elenchi comunque realizzati, e al loro successivo utilizzo)

1. Tempi complessivi di attuazione della nuova disciplina

L’adeguamento alle prescrizioni richiamate nel provvedimento del 23 maggio
2002 e ai dettagli operativi indicati in questa sede, tenuto conto dei tempi
tecnici obiettivamente necessari e degli elementi forniti al riguardo nel
procedimento dagli operatori e dall’Autorità per le garanzie nelle
comunicazioni, dovrà essere completato entro e non oltre la data del 30
aprile 2005.

In questo quadro, gli operatori hanno l’obbligo di contattare la clientela
in essere -per la telefonia vocale e per quella personale e mobile- inviando
loro il modello di cui all’allegato IV entro e non oltre il 31 gennaio 2005,
e assegnando un congruo termine per la risposta di almeno sessanta giorni,
necessario per valutare adeguatamente gli effetti delle scelte sollecitate
con il modello.

Per quanto riguarda la prima formazione degli elenchi, resta ferma la
disciplina di cui all’allegato II, in particolare per quanto riguarda la
mancata risposta da parte degli interessati compresi negli elenchi di
telefonia vocale già pubblicati (punto 7.1).

Dal 1° febbraio 2005 potrà essere utilizzato per la nuova clientela solo il
modello medesimo.

Le scelte della clientela sono annotate nella base di dati unica, in sede di
prima applicazione, entro e non oltre il 31 maggio 2005, e, successivamente,
immediatamente dopo la loro ricezione da parte degli operatori. L’operatore
adotta idonee procedure affinché sia effettuata ogni opportuna verifica
prima di registrare o meno la presenza o l’assenza di determinate scelte.

Resta fermo che è consentita la sola formazione, distribuzione e diffusione
degli elenchi, in qualunque forma realizzati, basati sulla consultazione e
accesso alla base di dati unica, e che è consentita la sola utilizzazione di
elenchi aggiornati.

2. Utilizzo del codice fiscale degli interessati

Al solo fine di identificare in maniera univoca gli abbonati e i titolari di
schede prepagate e procedere poi all’eventuale abbinamento dei dati relativi
a ciascuno di essi (anche se concernenti utenze gestite da più operatori)
potrà essere utilizzato il codice fiscale dagli stessi fornito (dato c.d.
strumentale), conformemente a quanto già stabilito da questa Autorità
(nota 30 dicembre 2002, n. 17895/16395).

3. Uso di altri dati strumentali

Le informazioni di cui gli operatori dispongono al fine di individuare
l’abbonato, il contratto di abbonamento e le sue variazioni (codice fiscale,
partita Iva, categoria di abbonamento, operatore di appartenenza, tipo di
variazione contrattuale) e inserite nella base di dati unica, non possono
essere in ogni caso pubblicate o altrimenti diffuse con qualunque mezzo, né
essere rivelate nell’ambito di alcun servizio offerto al pubblico che tragga
informazioni dalla medesima base di dati.

Tali informazioni possono essere eventualmente accessibili e utilizzate
nella sola misura effettivamete indispensabile al fine di consentire la
corretta interrogazione della base di dati unica (anche nel dare seguito
alle opzioni degli interessati relative al collegamento fra i dati che li
riguardano) e la realizzazione tecnica di servizi di elenchi e di servizi di
informazione di qualunque tipo ed in qualunque forma effettuati.

Le predette limitazioni all’utilizzo dei dati strumentali non possono essere
eluse, anche da parte di terzi, ricorrendo all’eventuale consenso
dell’interessato e devono essere rese note ai cessionari della base di dati
unica all’atto della cessione, tramite l’inserimento di un’apposita clausola
nei relativi contratti.

4. Procedure per controlli a campione

Gli operatori titolari del trattamento di dati registrati nella base di dati
unica effettuano idonee verifiche periodiche sulla liceità e correttezza del
trattamento delle informazioni registrate, estratte a campione e confrontate
con il modello ricevuto o altra documentazione disponibile, nonché sugli
elenchi realizzati. Il controllo è eseguito con cadenza almeno annuale da un
organismo composto da almeno un rappresentante degli operatori, da un
rappresentante dell’organismo preposto alla gestione della base di dati
unica e da un rappresentante delle associazioni dei consumatori di cui verrà
chiesta la designazione da parte del Consiglio nazionale dei consumatori ed
utenti. Il verbale dei controlli è trasmesso al Garante.

5. Clausola di responsabilità da inserire nei contratti di cessione della
base di dati unica

Al fine di assicurare il rispetto delle scelte operate dalla clientela da
parte di tutti i soggetti che accedono alla base di dati unica, gli
operatori devono inserire, nei contratti con i quali si disciplina la
cessione o altra utilizzazione della medesima base di dati, una specifica
clausola che richiami le prescrizioni del presente provvedimento, unitamente
alle sanzioni amministrative e penali previste per il loro mancato rispetto.

6. Realizzazione di campagne informative ed attivazione di servizi a
disposizione della clientela

Gli operatori coinvolti nella raccolta delle informazioni da inserire nella
base di dati unica e negli elenchi devono organizzare, in particolare nella
prima fase di applicazione del presente provvedimento, idonei servizi di
assistenza e di informazione ai cittadini, attraverso un numero telefonico
al quale rivolgersi gratuitamente e attivando ulteriori strumenti, anche in
collaborazione con associazioni dei consumatori e degli utenti, e
informandone il Garante.

7. Caratteristiche dei simboli grafici da apporre accanto ai nominativi

Le scelte operate dagli abbonati e dagli acquirenti del traffico pre-pagato
della telefonia mobile e personale devono essere evidenziate negli elenchi
comunque realizzati, pubblicati a partire dal 1° agosto 2005, esclusivamente
mediante i simboli grafici riportati in calce al presente allegato III.

Non sono ammesse modifiche ai simboli, fatta eccezione di lievi adattamenti
relativi alla dimensione o al colore, necessari in ragione del genere o
formato di elenco.

Al fine di consentire a chiunque utilizzi la base di dati unica e/o i nuovi
elenchi di comprendere agevolmente le scelte degli interessati sulla base
del simbolo grafico, dovrà essere inserita in entrambi una legenda
esplicativa adeguatamente posizionata in modo da consentire un’agevole
comprensione del relativo significato.

I due simboli da apporre in tutti gli elenchi consultabili da chiunque,
comunque formati, (allegato I, punto 4.2.2), cui corrispondono i prescritti
riscontri sulla base di dati unica, sono i seguenti:

__________________________

QUESTIONARIO

Per visualizzare il testo integrale dell’allegato relativo al questionario clicca qui

Views: 0

L'articolo Garante per la protezione dei dati personali – Decisione – 15/7/2004 n.0 proviene da Giustamm.

il Garante per la protezione dei dati personali ha individuato le condizioni che permettono agli operatori di telefonia mobile di inviare sms in deroga al principio del necessario consenso degli interessati

Oggetto: il Garante per la protezione dei dati personali ha individuato le condizioni che permettono agli operatori di telefonia mobile di inviare, in deroga al principio del necessario consenso degli interessati, messaggi Sms “in casi di disastri e calamità naturali” e “per ragioni di ordine pubblico, igiene e sanità pubblica”

Sms istituzionali

Il Garante per la protezione dei dati personali ha adottato, sulla base di
numerose segnalazioni e reclami ricevuti, una decisione riguardante gli sms
inviati a tutti gli abbonati di telefonia mobile in occasione delle ultime
elezioni europee, in ordine alle date e agli orari di apertura dei seggi.
L’Autorità richiama il proprio provvedimento generale del 12 marzo 2003 nel
quale aveva già indicato le condizioni di eccezionalità ed emergenza in
presenza delle quali è possibile, per gli operatori di telefonia mobile,
inviare messaggi agli utenti prescindendo dal consenso dell’interessato. In
particolare, nel provvedimento si precisava che si può ricorrere all’invio
di messaggi in deroga alla disciplina sulla protezione dei dati personali in
caso di emergenze e calamità naturali, con un provvedimento emanato, ad
esempio, per ragioni di tutela dell’ordine e della sicurezza pubblica.
Il Ministro dell’interno aveva disposto che i fornitori di servizi di
telefonia mobile fossero tenuti ad inviare, anche in deroga alle norme
vigenti, a tutti gli abbonati e titolari di carte ricaricabili un messaggio
sms, e aveva motivato l’urgenza e il carattere di eccezionalità ed emergenza
del decreto con il riferimento alla novità del calendario previsto per le
votazioni, all’insufficiente conoscenza tra i cittadini di tali novità, ai
rischi di affollamento ai seggi, al timore di situazioni di forte criticità
come quelle determinatesi in occasione delle passate elezioni politiche,
alle proteste registratesi in occasione della riduzione delle sezioni
elettorali, alla consistente riduzione del contingente militare a presidio
dei seggi, ai disagi e turbamenti sotto il profilo dell’ordine pubblico,
oltre che ai rischi e impedimenti all’esercizio stesso del diritto di voto,
circostanze che il Ministero ha giudicato oggettivamente come eccezionali.
Il Garante ribadisce, come criterio generale, che “le situazioni, poste a
fondamento del provvedimento d’urgenza, debbano presentare effettivamente
carattere di eccezionalità e di emergenza” e sottolinea l’esigenza di
evitare un’utilizzazione estensiva ed impropria del riferimento
all’emergenza.
Dalle informazioni fornite dal Ministero dell’interno e dai gestori è
risultato che i messaggi sono stati inviati agli utenti direttamente da
questi ultimi e non vi è stata, quindi, alcuna comunicazione dei numeri dei
cellulari alla Presidenza del Consiglio dei ministri.
Per quanto riguarda la firma del messaggio, essa va riferita, secondo il
Ministero dell’interno, alla Presidenza del Consiglio dei ministri con
riguardo all’art. 3 della legge n. 150/2000. Il Garante osserva che, nella
specifica materia in questione, non può assumere rilevanza la norma
richiamata, la quale riguarda situazioni diversamente caratterizzate
(trasmissione di messaggi da parte della concessionaria del servizio
pubblico radiotelevisivo). Il corretto rapporto tra cittadini e
amministrazione richiede che debba essere sempre identificabile il soggetto
istituzionale che invia o fa inviare i messaggi.

Sms di pubblica utilità

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente,
del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e
del dottor Mauro Paissan, componenti e del dott. Giovanni Buttarelli,
segretario generale;

Visti i reclami e le segnalazioni pervenuti in ordine all’invio di messaggi
sms relativi agli orari e alle modalità di voto in occasione delle elezioni
del 12 e 13 giugno 2004;

PREMESSO:

1. Il Garante per la protezione dei dati personali ha ricevuto più di 4500
segnalazioni e reclami di privati cittadini, associazioni e di alcuni
parlamentari, in riferimento all’invio di messaggi sms, firmati dalla
Presidenza del Consiglio dei ministri, con i quali si comunicavano a tutti
gli utenti di telefonia mobile gli orari e le modalità per le votazioni del
12 e 13 giugno 2004.

Nella maggior parte delle note ricevute, le lamentele hanno riguardato i
costi sostenuti dal soggetto pubblico per gli invii, la mancanza o la “non
condivisione” del presupposto di ordine pubblico e l’impossibilità di poter
esercitare i propri diritti presso il numero di servizio dal quale sono
stati trasmessi i messaggi.

Al fine di acquisire gli elementi necessari alla valutazione del caso, il
Garante ha richiesto informazioni al Ministero dell’interno ed agli
operatori di telefonia mobile. Il Ministero dell’interno ha risposto con
nota del 28 giugno 2004; gli operatori hanno fornito riscontro entro il
termine previsto del 9 luglio 2004.

2. Il Garante, con provvedimento generale del 12 marzo 2003, aveva già
indicato i presupposti per l’invio degli sms per scopi istituzionali. In
tale provvedimento sono specificate le condizioni in presenza delle quali è
possibile, per gli operatori di telefonia mobile, inviare messaggi agli
utenti prescindendo dal consenso dell’interessato; in particolare si precisa
che “tale evenienza potrebbe ricorrere in caso di disastri e calamità
naturali nei quali l’invio dei messaggi in deroga alla disciplina della
protezione dei dati sia specificamente disposto da un soggetto pubblico
centrale o locale che adotti ai sensi di legge un provvedimento d’urgenza,
con ordinanza o altro provvedimento contingibile ed urgente emanato da
un’autorità centrale o locale, ad esempio ai sensi dell’art. 2 del
t.u.l.p.s. (per ragioni di tutela dell’ordine e della sicurezza pubblica)
dell’art. 32 della legge n. 833/1978 (Istituzione del servizio sanitario
nazionale) o dell’art. 50, comma 5, del d.lg. n. 267/2000 (testo unico delle
leggi sull’ordinamento degli enti locali)”.

3. Con decreto del 9 giugno 2004 -emanato in base all’art. 1, comma 2, della
legge 1° aprile 1981, n. 121- il Ministro dell’interno ha disposto che i
fornitori di servizi di telefonia mobile fossero tenuti “ad inviare, anche
in deroga alle norme vigenti, a tutti gli abbonati e titolari di carte
ricaricabili un messaggio sms”, del quale sono stati definiti contenuto e
firma. Il Ministro dell’interno ha motivato il decreto attraverso il
riferimento a specifiche ragioni di ordine pubblico, ed in particolare alla
non sufficiente conoscenza da parte degli elettori delle novità introdotte
sulle giornate e gli orari di voto”, che avrebbe potuto causare eccessivi
affollamenti ai seggi nelle ultime ore di apertura della giornata di
domenica, provocando “come già accaduto in analoghe circostanze, disagi e
turbamenti sotto il profilo dell’ordine pubblico”, oltre che rischi di
distorsione nell’espressione del voto (in base all’eventuale conoscenza dei
primi risultati degli scrutini in altri Paesi europei, o degli exit-poll
interni), se non addirittura impedimenti all’esercizio stesso del diritto di
voto.

CONSIDERATO:

4. Nella predetta nota del 28 giugno 2004, il Ministero dell’interno si è
dichiarato “ben consapevole della delicatezza del provvedimento emanato” e
ne ha sottolineato il “carattere eccezionale”. Le ragioni d’ordine pubblico
e d’urgenza assunte a presupposto del decreto sono state così chiarite dal
Ministero:

a) novità del calendario previsto per le votazioni;

b) insufficiente conoscenza tra i cittadini di tale novità, accertata
attraverso “i sondaggi effettuati in tal senso dalla stessa Presidenza del
Consiglio”, nonostante l’intensificazione delle campagne informative e la
reiterata diffusione di comunicati (peraltro sollecitati alla Presidenza
medesima con apposita lettera del Ministro dell’interno già in data 21
maggio 2004);

c) “timore di situazioni di forte criticità “, analoghe a quelle
determinatesi in occasione delle elezioni del 13 maggio 2001, con il rischio
di affollamento in prossimità della chiusura dei seggi e conseguente
possibilità che “un numero consistente di elettori, scoraggiato o estenuato
dalle lunghe file, rinunciasse ad esercitare il diritto di voto”, incidendo
così “sul regolare svolgimento delle consultazioni”;

d) “forti proteste e, in svariati casi, …tafferugli e intemperanze”
registratisi in occasione della riduzione del 30% delle sezioni elettorali
(disposta in occasione delle predette elezioni europee, ma rimasta poi a
regime), non compensata dalla successiva normativa che ha istituito, laddove
possibile, la quarta cabina;

e) riduzione “quasi della metà ” del contingente militare posto a presidio
dei seggi, “a causa dei molteplici impegni delle FF.AA. sui vari scenari
internazionali”;

f) impossibilità di ricorrere ad un intervento rimesso in forma coordinata
ad organi periferici, e cioè ai prefetti, “che si sarebbe presentato di più
complessa attuazione e avrebbe offerto, perciò, minori garanzie sul piano
del risultato”;

g) preoccupazione per disagi e turbamenti sotto il profilo dell’ordine
pubblico, “il cui apprezzamento, ancorché in forma prognostica, è apparso
realistico e non meramente congetturale o ipotetico”, facendo così ritenere
esistente la conformità dell’atto “ai principi di proporzionalità ed
adeguatezza rispetto all’evento da fronteggiare”, e quindi risolvendo in
senso positivo lo “scrutinio sulla necessità e l’urgenza del provvedere”.

Conclusivamente, la nota del Ministero sottolinea che “si è venuta
profilando sul piano dell’ordine pubblico una situazione di allarme, da
fronteggiare con efficacia ed immediatezza, concretandosi quelle condizioni
emergenziali, connotate da uno stato di necessità, a cui il parere del
Garante fa riferimento”.

5. Le motivazioni indicate nel decreto, e ulteriormente specificate nella
nota del 28 giugno 2004, fanno riferimento ad una serie di circostanze di
fatto che il Ministero dell’interno ha presentato e giudicato come
eccezionali ed irripetibili.

Al riguardo, il Garante ribadisce che le situazioni, poste a fondamento del
provvedimento d’urgenza, debbano presentare effettivamente carattere di
eccezionalità e di emergenza, come esplicitamente sottolineato il 12 marzo
2003.

Il Garante sottolinea quindi il rischio che un’utilizzazione estensiva ed
impropria del riferimento all’emergenza ed alle calamità possa condurre ad
una “banalizzazione” dell’invio di messaggi sms da parte dei diversi
soggetti istituzionali anche a livello locale, così contravvenendo alle
prescrizioni indicate, che debbono essere considerate di stretta
interpretazione. Eccezionalità, straordinarietà delle circostanze ed
analiticità della motivazione debbono essere considerati elementi essenziali
per la legittimità degli interventi d’urgenza in questa materia.

Il Garante ricorda anche che alle modalità eccezionali di comunicazione
tramite messaggi Sms si può legittimamente ricorrere solo quando siano
preventivamente utilizzati tutti gli altri mezzi disponibili. In materia
elettorale, ad esempio, l’art. 9, comma 2, della legge 22 febbraio 2000, n.
28, dispone che “le emittenti radiotelevisive pubbliche e private, su
indicazione delle istituzioni competenti, informano i cittadini delle
modalità di voto e degli orari di apertura e di chiusura dei seggi
elettorali”.

6. Per quanto attiene al profilo riguardante la firma del messaggio, nella
nota del Ministero dell’interno si precisa che la decisione di indicare come
firmataria la Presidenza del Consiglio dei ministri è stata presa “avuto
riguardo alla disposizione dell’art. 3 della legge n. 150/2000, in materia
di comunicazione istituzionale, in base alla quale risale alla competenza
della stessa Presidenza, che dispone anche delle relative risorse
finanziarie, la diffusione di messaggi di utilità sociale e di pubblico
interesse”.

Il Garante osserva che nella specifica materia qui considerata non può
assumere rilevanza la norma richiamata, la quale riguarda situazioni
diversamente caratterizzate (trasmissione di messaggi da parte della
concessionaria del servizio pubblico radiotelevisivo).

Il corretto rapporto tra cittadini e amministrazione richiede che debba
essere sempre identificabile il soggetto istituzionale che invia o fa
inviare messaggi.

7. In relazione al lamentato invio dei messaggi nei confronti di soggetti
minori di età, il Garante osserva che le schede prepagate e gli abbonamenti
ad utenze di telefonia cellulare sono intestate, di regola, a soggetti
maggiori di età. L’invio dei messaggi in questione, per questo motivo, non
comporta il previo o contestuale trattamento dei dati personali relativi a
minori. Resta ferma, peraltro, attesa l’impossibilità di accertare
preventivamente la maggiore età dell’effettivo soggetto ricevente, la
necessità che, anche in situazioni di emergenza, si tenga conto delle
potenziali caratteristiche dei destinatari, anche minori, all’atto della
predisposizione delle formalità e del contenuto dei messaggi inoltrati.

8. Per quanto riguarda l’orario degli invii, quasi tutti i gestori hanno
attestato di aver inviato i messaggi solo in determinate ore diurne (non
oltre le 21,55 o le 22,30), oppure tarando i sistemi informativi in modo da
non superare un certo orario nella tarda serata (ore 23,58), e che eventuali
ricezioni in altri orari potrebbero essere stati causati da malfunzionamenti
tecnici o da disservizi di rete. Solo un gestore ha dichiarato di aver
utilizzato, ma con minore intensità nell’invio, anche le ore di una notte.

Le circostanze rappresentate (in particolare, la brevità del termine a
disposizione dopo la ricezione da parte dei gestori del provvedimento del
Ministero dell’interno) inducono a ritenere che la ricezione in orari
disagevoli può essere dipesa anche da circostanze particolari dell’utenza
ricevente. Il Garante sottolinea l’esigenza che -a meno che ricorrano
specifiche situazioni legate a determinate situazioni emergenziali- i
gestori evitino l’invio e la ricezione dei messaggi sms in questione nelle
ore notturne, anche attraverso l’adozione dei mezzi tecnici concernenti
questo tipo di mezzo di comunicazione (ad esempio riducendo, come un gestore
ha già attestato di aver fatto nella circostanza, il parametro orario di
permanenza del messaggio inviato ad apparecchi non raggiungibili perché
fuori copertura o spenti).

9. Il Garante osserva che dalle informazioni fornite dal Ministero
dell’interno e dai gestori che hanno inviato direttamente il messaggio sms
agli utenti, non risulta che vi sia stata alcuna comunicazione di dati
personali relativi ai destinatari del messaggio da parte dei gestori nei
confronti della Presidenza del Consiglio dei ministri, del Ministero
dell’interno o di altro soggetto pubblico. Resta tuttavia fermo quanto
disposto dall’art. 7 del d.lg. n. 196/2003 in relazione ai diritti
esercitabili dagli interessati nei confronti dei gestori e dei soggetti
pubblici coinvolti.

10. Il provvedimento del 12 marzo 2003, in relazione ai reclami all’epoca
già pervenuti, teneva conto della circostanza che l’informativa ai cittadini
non può essere agevolmente fornita attraverso lo stesso messaggio sms
d’emergenza, che ha peraltro un ridotto numero di caratteri. Il Garante
aveva quindi sottolineato già il diritto degli interessati di essere
informati preventivamente e in modo non generico circa l’eventualità
dell’invio di messaggi sms in relazione ad emergenze o calamità, a
prescindere dalle delucidazioni che, come nel caso di specie, possono essere
fornite a posteriori agli utenti attraverso i servizi di informazione alla
clientela.

Nel caso di specie, i gestori hanno rappresentato che l’informativa
attualmente fornita agli interessati in relazione ai vari trattamenti di
dati legati alle relative utenze non menziona ancora, anche per
l’eccezionalità di questa forma di comunicazione, la possibilità dell’invio
di sms per effetto di provvedimenti d’urgenza, oppure reca un riferimento
succinto a non meglio precisati obblighi di legge; alcuni gestori hanno
comunque osservato che il provvedimento del Ministro dell’interno recava una
generale clausola di deroga alle norme vigenti.

L’Autorità, nel richiamare la sua precedente decisione, si riserva di
verificare in un apposito procedimento come gli operatori integreranno la
predetta informativa in conformità al d.lg. n. 196/2003.

11. Per quanto riguarda i costi dell’operazione, il Garante rileva che si
tratta di materia demandata al controllo da parte della Corte dei conti. Per
ciò che attiene al roaming all’estero, tutti i gestori hanno attestato che
il messaggio non è stato addebitato all’utente all’estero, salvo che in due
casi del tutto particolari rappresentati da un gestore.

Visti gli atti d’ufficio e le osservazioni formulate dal segretario generale
ai sensi dell’art. 15 del regolamento n. 1/2000;

Relatore il prof. Stefano Rodotà;

TUTTO CIÓ PREMESSO:

nelle suesposte considerazioni è la decisione del Garante.

Roma, 7 luglio 2004

Views: 0

L'articolo Garante per la protezione dei dati personali – Parere – 7/6/2004 n.0 proviene da Giustamm.

artt. 31-36 e Allegato B) al d.lg. n. 196/2003

Oggetto: prima applicazione del Codice in materia di protezione dei dati personali in materia di “misure minime” di sicurezza (artt. 31-36 e Allegato B) al d.lg. n. 196/2003).

Prima applicazione del Codice in materia di protezione dei dati personali in materia di “misure minime” di sicurezza (artt. 31-36 e Allegato B) al d.lg. n. 196/2003).

Il Codice entrato in vigore il 1° gennaio 2004 ha confermato e aggiornato la disciplina in materia di sicurezza dei dati personali e dei sistemi informatici e telematici introdotta nel 1996.
Diversi principi affermati dal nuovo Codice non sono nuovi per gli operatori.
In particolare è stato confermato il principio (evidenziato con maggiore chiarezza dalle nuove disposizioni) secondo cui le “misure minime”, di importanza tale da indurre il legislatore a prevedere anche una sanzione penale, sono solo una parte degli accorgimenti obbligatori in materia di sicurezza (art. 33 del Codice).
In materia, come già previsto dalla legge n. 675/1996, si distinguono due distinti obblighi:

a) l’obbligo più generale di ridurre al minimo determinati rischi.
Occorre custodire e controllare i dati personali oggetto di trattamento per contenere nella misura più ampia possibile il rischio che i dati siano distrutti, dispersi anche accidentalmente, conoscibili fuori dei casi consentiti o altrimenti trattati in modo illecito.
Resta in vigore, oltre alle cosiddette “misure minime”, l’obbligo di adottare ogni altra misura di sicurezza idonea a fronteggiare le predette evenienze, avuto riguardo alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle caratteristiche del trattamento, di cui si devono valutare comunque i rischi (art. 31).
Come in passato, l’inosservanza di questo obbligo rende il trattamento illecito anche se non si determina un danno per gli interessati; viola inoltre i loro diritti, compreso il diritto fondamentale alla protezione dei dati personali che può essere esercitato nei confronti del titolare del trattamento (artt. 1 e 7, comma 3, del Codice), ed espone a responsabilità civile per danno anche non patrimoniale qualora, davanti al giudice ordinario, non si dimostri di aver adottato tutte le misure idonee ad evitarlo (artt. 15 e 152 del Codice);

b) nell’ambito del predetto obbligo più generale, il dovere di adottare in ogni caso le “misure minime”.
Nel quadro degli accorgimenti più ampi da adottare per effetto dell’obbligo ora richiamato, occorre assicurare comunque un livello minimo di protezione dei dati personali.
Pertanto, in aggiunta alle conseguenze appena ricordate, il Codice conferma l’impianto secondo il quale l’omessa adozione di alcune misure indispensabili (“minime”), le cui modalità sono specificate tassativamente nell’Allegato B) del Codice, costituisce anche reato (art. 169 del Codice, che prevede l’arresto sino a due anni o l’ammenda da 10 mila euro a 50 mila euro, e l’eventuale “ravvedimento operoso” di chi adempie puntualmente alle prescrizioni impartite dal Garante una volta accertato il reato ed effettua un pagamento in sede amministrativa, ottenendo così l’estinzione del reato).

1.1. Il Codice, come previsto dalla legge n. 675/1996 e come dovrà avvenire periodicamente in base all’evoluzione tecnologica (art. 36 del Codice), ha aggiornato l’elenco delle “misure minime” le cui modalità di applicazione, sulla base di alcune prescrizioni di ordine generale (artt. 33-35 del Codice), sono indicate analiticamente nelle 29 regole incluse nell’Allegato B) del medesimo Codice.
Analogamente a quanto avveniva in passato, le misure minime sono diverse a seconda che il trattamento sia effettuato o meno con strumenti elettronici, oppure riguardi dati sensibili o giudiziari.
Per alcune di esse sono previste scadenze periodiche, ma le “misure minime” che erano già obbligatorie in passato devono essere adottate ancora oggi senza attendere il decorso di termini transitori.

1.2. Il termine transitorio che permette di adottare le misure entro il 30 giugno 2004 riguarda solo le nuove misure (art. 180, comma 1, d.lg. n. 196/2003; per la precedente disciplina, v. gli artt. 15, comma 2 e 41 l. n. 675/1996, il d.P.R. n. 318/1999 e la l. n. 325/2000).
É previsto un periodo più ampio per l’adeguamento (fino al 1° gennaio 2005) solo se, in un caso del tutto particolare, ricorrano obiettive ragioni di natura tecnica.
Si tratta dell’ipotesi specifica (che riguarda solo i trattamenti effettuati con strumenti elettronici) in cui il titolare del trattamento, alla data del 1° gennaio scorso, disponeva di strumenti elettronici che, per le predette obiettive ragioni esclusivamente tecniche, documentate in un atto a data certa da redigere al più tardi entro il 30 giugno 2004, non consentono di applicare immediatamente, in tutto o in parte, le nuove misure minime. Sempre in questo circoscritto caso, nel quale si è obbligati a prevenire comunque un incremento dei rischi (art. 180, comma 3, del Codice), occorre conservare il documento a data certa il quale non va trasmesso al Garante, che può però richiederne l’esibizione in sede di accertamento anche ispettivo (artt. 157 ss. del Codice).
Per quanto riguarda le modalità per far risultare una “data certa” si dovrà applicare la disciplina civilistica in materia di prova documentale (v. in particolare, gli artt. 2702-2704 del codice civile) e si potranno tenere presenti i suggerimenti formulati dal Garante in un parere del 2000 qui allegato, e redatto a proposito di un analogo documento previsto in tema di sicurezza (art. 1 l. n. 325/2000).
In materia di “misure minime”, anche quando si rediga il documento a data certa, non va pertanto effettuata alcuna comunicazione al Garante; dalla circostanza che l’Autorità abbia ricevuto eventuali note in proposito, spesso peraltro succinte, il titolare del trattamento non potrà inoltre desumere, anche in caso di mancato riscontro, alcun assenso o autorizzazione del Garante a proseguire il trattamento dei dati con le modalità dichiarate.

2.1 Anche la redazione del DPS è una “misura minima”, prevista dall’Allegato B).
Si tratta di una misura non nuova, sebbene sia aumentato il numero dei soggetti che deve redigere il DPS e sia parzialmente diverso il suo necessario contenuto.
Infatti, la precedente disciplina prevedeva già l’obbligo di predisporre e aggiornare il DPS, almeno annualmente, in caso di trattamento di dati sensibili o relativi a determinati provvedimenti giudiziari effettuato mediante elaboratori accessibili mediante una rete di telecomunicazioni disponibili al pubblico (artt. 22 e 24 l. n. 675/1996; art. 6 d. P.R. n. 318/1999).
I soggetti tenuti a predisporre il DPS hanno potuto redigerlo per la prima volta entro il 29 marzo 2000 o, al più tardi, entro il 31 dicembre 2000 (artt. 15, comma 2 e 41, comma 3 l. n. 675/1996; l. n. 325/2000); dovendo rispettare l’obbligo di revisione almeno annuale, hanno dovuto aggiornare il DPS negli anni successivi, anche nel 2003.

2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora adottata dal titolare di un trattamento di dati sensibili o giudiziari effettuato con strumenti elettronici, attraverso l’organo, ufficio o persona fisica a ciò legittimata in base all’ordinamento aziendale o della pubblica amministrazione interessata (art. 34, comma 1, lett. g), del Codice; regola 19 dell’Allegato B)).
Come accennato, il DPS deve essere redatto da alcuni soggetti che non vi erano precedentemente tenuti (ad esempio, da chi trattava dati sensibili o giudiziari, ma con elaboratori non accessibili mediante una rete di telecomunicazioni disponibili al pubblico).
Inoltre, a differenza del passato, la categoria dei dati giudiziari è oggi rappresentata anche da altri dati personali, riferiti ad esempio a provvedimenti giudiziari non definitivi o alla semplice qualità di imputato o indagato (v. art. 4 del Codice).
Infine, il contenuto stesso del DPS è arricchito da nuovi elementi che si aggiungono a quelli necessari in base alla precedente disciplina o ne specificano alcuni aspetti. Ad esempio, nel DPS occorre descrivere ora i criteri e le modalità per ripristinare la disponibilità dei dati in caso di distruzione o danneggiamento delle informazioni o degli strumenti elettronici; occorre individuare poi i criteri da adottare per cifrare o per separare i dati idonei a rivelare lo stato di salute e la vita sessuale trattati da organismi sanitari ed esercenti le professioni sanitarie (regole 19.8 e 24 dell’Allegato B)).

2.3. Benché non si tratti a rigore di una misura “nuova”, è quindi legittimamente sostenibile che il DPS da redigere quest’anno per la prima volta, o da aggiornare, possa essere predisposto al più tardi entro il 30 giugno 2004, anziché necessariamente entro il 31 marzo, data che è invece prevista a regime per i prossimi anni, a partire dal 2005 (cfr. regola 19).
Si perviene a questa conclusione per tutti i destinatari dell’obbligo:
a) sia per coloro che devono redigere il DPS per la prima volta nel 2004;
b) sia per chi, già dotato di un DPS redatto o aggiornato nel 2003, ritenga necessario utilizzare un trimestre in più, rispetto al prossimo 31 marzo, per curare la stesura di un testo significativo e più impegnativo nella ricognizione dei rischi e degli interventi previsti.
Il termine più ampio del 30 giugno 2004 permetterà di utilizzare facoltativamente il modello-base e semplificato di DPS che il Garante è in procinto di porre a disposizione dei titolari del trattamento interessati, soprattutto per le realtà medio-piccole che non si attiveranno entro il 31 marzo.
Non sussistono infine margini per sostenere che il DPS possa essere redatto per la prima volta o aggiornato solo nel 2005. Il DPS è peraltro una misura da adottare con un documento, anziché un accorgimento da applicare direttamente a strumenti elettronici, per cui non è possibile invocare un differimento al 2005 neppure in applicazione dello speciale meccanismo già descritto a proposito delle obiettive ragioni tecniche relative a strumenti elettronici.

3.2 I soggetti pubblici e privati tenuti in passato a predisporre o aggiornare il DPS, e che per il 2004 possono come detto aggiornarlo entro il 30 giugno del presente anno, dovranno riferire secondo la regola 26 già a partire dalla relazione sul bilancio di esercizio per il 2003, con riferimento al DPS già eventualmente aggiornato per il 2004, oppure menzionando l’adozione o aggiornamento avvenuto nel 2003 e indicando sinteticamente che si aggiornerà il DPS entro il 30 giugno 2004.
I soggetti pubblici e privati tenuti invece per la prima volta a redigere il DPS nel 2004 (come si è detto entro il 30 giugno), non devono indicare nella relazione alcunché se il DPS 2003 o il DPS 2004 non sono stati adottati. I medesimi soggetti, qualora alla data in cui predispongono la predetta relazione abbiano redatto già il DPS 2004, indicheranno invece tale circostanza; potranno infine indicare facoltativamente quanto eventualmente già fatto nel 2003 e, sempre facoltativamente, l’aggiornamento 2004 in itinere.
Diamo in conclusione risposta alla Vostra richiesta nei predetti termini, tenendo presenti altri quesiti pervenuti su questioni collegate e allegando una tabella esemplificativa delle principali scadenze.

Il Segretario generale
(dott. Giovanni Buttarelli)

— *** —

Termini – Adempimenti

30 giugno 2004
Adozione per il 2004 di tutte le “misure minime” non previste dalla precedente disciplinaTermine ultimo per predisporre il documento a data certa per descrivere le obiettive ragioni tecniche che non consentono di applicare immediatamente alcune nuove misure minime (documento utilizzabile unicamente nel caso del tutto particolare previsto dall’art. 180, comma 2, del Codice per i soli strumenti elettronici).

1° gennaio 2005
Adozione nuove misure minime su strumenti elettronici non previste in base alla precedente disciplina (solo per i soggetti legittimati a predisporre il predetto documento a data certa).

— *** —

Aggiornamento DPS entro il 30 giugno 2004.
(DPS 2004)
(Soggetti già tenuti a redigere o aggiornare il DPS (1))

Redazione DPS entro il 30 giugno 2004.
(DPS 2004)
(Soggetti non obbligati a redigere o aggiornare il DPS in base alla previgente disciplina)

Riferimento al DPS redatto o aggiornato nel 2003 (con facoltà di indicazione aggiuntiva dell’aggiornamento 2004 in itinere), oppure menzione dell’aggiornamento eventualmente già effettuato nel 2004.
(Relazione accompagnatoria del bilancio esercizio 2003)
(Soggetti già tenuti a redigere o aggiornare il DPS (1))

Nessun riferimento se il DPS 2003 o il DPS 2004 non sono stati adottati, oppure riferimento al DPS eventualmente già adottato nel 2004. Facoltà di indicazione del DPS eventualmente predisposto nel 2003 e facoltà di indicazione dell’aggiornamento 2004 in itinere.
(Relazione accompagnatoria del bilancio esercizio 2003)
(Soggetti non obbligati a redigere o aggiornare il DPS in base alla previgente disciplina)

— *** —

(1) titolari di un trattamento di dati sensibili o relativi a provvedimenti giudiziari di cui agli artt. 22 e 24 della legge n. 675/1996, effettuato mediante elaboratori accessibili mediante una rete di telecomunicazione disponibili al pubblico

Views: 0

L'articolo Garante per la protezione dei dati personali – Parere – 22/3/2004 n.0 proviene da Giustamm.