[doc. web n. 1202243]

Parere sullo schema di regolamento per il trattamento dei dati sensibili e giudiziari dell´Comprensorio della Vallagarina e dei comprensori dell´Alta Valsugana, dell´Alto Garda e Ledro, della Valle di Sole, della Valle di Fiemme, di Ladino di Fassa e della Valle di Non -   30 novembre 2005

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

Vista la normativa internazionale e comunitaria e, in particolare, la direttiva 95/46/CE del 24 ottobre 1995;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la richiesta di parere presentata dal Comprensorio della Vallagarina in data 6 ottobre 2005 (prot. 22863/1/5/3);

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Francesco Pizzetti;

PREMESSO:

Il Comprensorio della Vallagarina ha richiesto un parere al Garante ai sensi dell´art. 154, comma 1, lett. g), e 5, del Codice in materia di protezione dei dati personali (di seguito Codice), in ordine alla bozza di "Regolamento dati sensibili e giudiziari", anche a nome dei comprensori dell´Alta Valsugana, dell´Alto Garda e Ledro, della Valle di Sole, della Valle di Fiemme, di Ladino di Fassa e della Valle di Non.

I predetti soggetti sono enti di diritto pubblico, ai quali si applicano le norme di legge relative alle comunità montane che non siano incompatibili con le disposizioni della normativa di riferimento (art. 1, comma 2, D.P.G.P. 9 novembre 1981, n. 20-60/Legisl., recante "Approvazione del testo unico delle leggi provinciali concernenti l´ordinamento e l´attività dei comprensori"). Tali soggetti, pertanto, in relazione anche alle competenze svolte per conto di comuni, possono avvalersi dello schema tipo di regolamento predisposto dall´Uncem (Unione nazionale comuni comunità enti montani) per le comunità montane e dall´Anci (Associazione nazionale comuni italiani) per i comuni, sui quali il Garante ha espresso parere favorevole rispettivamente in data 19 ottobre 2005 e 21 settembre 2005, in relazione alle rilevanti finalità di interesse pubblico che ciascuno dei predetti enti persegue nei limiti ed in considerazione delle competenze ad essi attribuiti dalla legge.

L´odierno schema di regolamento sottoposto per il parere attua gli artt. 20, comma 2, e 21, comma 2, del Codice nella parte in cui prevedono che, laddove una disposizione di legge specifichi la rilevante finalità di interesse pubblico perseguita per cui è consentito il trattamento, ma non i tipi di dati sensibili e giudiziari trattabili e le operazione su questi eseguibili, le amministrazioni pubbliche debbano procedere alle predette identificazioni con un atto di natura regolamentare, ove mancante, in conformità al parere espresso da questa Autorità.

OSSERVA:

1. Considerazioni introduttive
Il richiamato art. 20, comma 2, del Codice, stabilisce che l´identificazione dei tipi di dati sensibili e di operazioni eseguibili debba essere effettuata nel rispetto dei principi di cui all´art. 22 del medesimo Codice.

In proposito, si segnala preliminarmente l´opportunità di integrare le premesse dello schema di regolamento facendo riferimento alle particolari garanzie previste in ordine al trattamento dei dati sensibili e giudiziari. Appare infatti utile evidenziare, da un lato, che i tipi di dati personali individuati dal regolamento sono trattati previa verifica della loro pertinenza, completezza e indispensabilità rispetto alle finalità perseguite nei singoli casi, specie nel caso in cui la raccolta non avvenga presso gli interessati; dall´altro, che le operazioni di interconnessione, raffronto, comunicazione e diffusione individuate nel regolamento sono ammesse soltanto se strettamente indispensabili allo svolgimento degli obblighi o compiti di volta in volta indicati, per il perseguimento delle rilevanti finalità di interesse pubblico specificate e nel rispetto delle disposizioni rilevanti in materia di protezione dei dati personali, nonché degli altri limiti stabiliti dalla legge e dai regolamenti.

2. Tipi di dati trattati
Nelle schede che costituiscono parte integrante dello schema in esame non sono stati identificati i tipi di dati sensibili e giudiziari trattati.
Tale individuazione costituisce però un elemento necessario dell´atto di natura regolamentare da adottare; occorre, pertanto, identificare le tipologie di informazioni sensibili e giudiziarie che il comprensorio deve utilizzare necessariamente in rapporto alle attività istituzionali svolte, avendo cura che a ciascun adempimento corrisponda il trattamento delle sole informazioni per ciò strettamente indispensabili (art. 22, comma 3, del Codice).

3. Operazioni eseguite:

a) interconnessioni, raffronti e comunicazioni
Relativamente alle particolari forme di elaborazione che possono spiegare effetti maggiormente significativi per l´interessato, e per le quali sono necessarie maggiori garanzie, si osserva che in nessuna scheda sono stati indicati i motivi in base ai quali si effettuano interconnessioni e raffronti con banche dati dello stesso ente.

Inoltre, le schede non recano l´espressa previsione legislativa richiesta ai sensi dell´art. 22, comma 11, del Codice, relativamente alle interconnessioni e ai raffronti con banche dati di altri titolari del trattamento. Ad esempio, nell´ambito della scheda riguardante le "attività inerenti l´inserimento lavorativo anche per categorie protette", non è stata specificata la base normativa delle interconnessioni e dei raffronti eseguibili. Tali operazioni trovano, invece, una compiuta individuazione nel quadro normativo di riferimento, in quanto sono eseguibili - nei confronti della provincia - ai fini del coordinamento degli sportelli anagrafe del lavoro e degli sportelli decentrati (d.lg. 469/1997), nonché -con la regione e con operatori pubblici e privati accreditati o autorizzati nell´ambito della Borsa continua nazionale del lavoro (d.lg. n. 276/2003) - limitatamente alle informazioni indispensabili all´instaurazione di un rapporto di lavoro.

Le predette operazioni vanno sempre delimitate ed evidenziate rigorosamente alla luce del principio di stretta indispensabilità. In particolare, occorre specificare di volta in volta le finalità di interesse pubblico perseguite, nell´ipotesi di interconnessioni e di raffronti con banche dati dello stesso ente effettuabili anche in assenza di puntuale previsione di legge (art. 22. comma 11, del Codice), individuando anche la base normativa nel caso in cui le predette operazioni vengano effettuate con banche dati di altri titolari del trattamento (art. 22, commi 9, 10 e 11 del Codice).

Per quanto riguarda le operazioni di comunicazioni a terzi, nelle schede non sono state evidenziate le relative finalità perseguite, né l´eventuale base normativa. A titolo esemplificativo, nella scheda riguardante la "gestione del rapporto di lavoro del personale", le comunicazioni di dati personali devono essere specificate, evidenziando ad esempio che le comunicazioni all´Inail vanno effettuate per verificare la liquidazione in caso di equo indennizzo ai sensi del d.P.R. n. 1124/1965, e quelle all´Inpdap in caso di inabilità assoluta e permanente a qualsiasi attività lavorativa, ai fini dell´erogazione del relativo trattamento di pensione e del riconoscimento del diritto alla pensione privilegiata ai sensi della l. n. 335/1995 e della l. n. 152/1968. 

b) diffusione
Il predetto criterio di indispensabilità deve essere applicato anche nell´individuare le operazioni di diffusione, con riferimento alle quali va evidenziata l´espressa disposizione di legge che autorizzi il trattamento (art. 22, comma 11, del Codice). Nelle schede in esame tali elementi non sono soddisfatti mediante un generico richiamo alla sola pubblicazione all´albo dell´amministrazione, ovvero su Internet (v. schede su "interventi di assistenza economica"; "concessione contributi ad enti ed associazioni"; "gestione del rapporto di lavoro del personale"; "esercizio del mandato degli Amministratori nonché documentazione dell´attività istituzionale degli organi dell´ente").

In conclusione, i Comprensori richiedenti sono invitati a conformare lo schema di regolamento alle indicazioni fornite con il presente parere, tenendo presente che il trattamento dei dati sensibili e giudiziari non potrà essere altrimenti effettuato in difformità delle indicazioni medesime (art. 20, comma 2, del Codice).

TUTTO CIÒ PREMESSO IL GARANTE:

ai sensi dell´art. 154, commi 1, lett. g), del Codice, esprime parere favorevole sullo schema di regolamento per il trattamento dei dati sensibili e giudiziari, a condizione che i Comprensori della Vallagarina, dell´Alta Valsugana, dell´Alto Garda e Ledro, della Valle di Sole, della Valle di Fiemme, di Ladino di Fassa e della Valle di Non rispettino le indicazioni fornite nei punti da 1) a 3) del presente parere.

Roma, 30 novembre 2005

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
Buttarelli