Cir_Interni_19_5_99_56 DIREZIONE GENERALE PER L’AMMINISTRAZIONE GENERALE E PER GLI AFFARI DEL PERSONALE Ufficio Studi per l’Amministrazione Generale e per gli Affari Legislativi CIRCOLARE N. 56 Prot. M/2103/A Roma, 19 maggio 1999 - AI PREFETTI DELLA REPUBBLICA - AL COMMISSARIO DEL GOVERNO PER LA PROVINCIA DI TRENTO - AL COMMISSARIO DEL GOVERNO PER LA PROVINCIA DI BOLZANO - AL PRESIDENTE DELLA GIUNTA REGIONALE DELLA VALLE D’AOSTA e, per conoscenza: AL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI ALLA PRESIDENZA DEL CONSIGLIO DEI MINISTRI Ufficio del Coordinamento Amministrativo ALLA PRESIDENZA DEL CONSIGLIO DEI MINISTRI Dipartimento della Funzione Pubblica OGGETTO: Legge 31 dicembre 1996, n. 675, recante: “Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali”. Decreto legislativo 11 maggio 1999, n. 135, recante: “Disposizioni integrative della legge 31 dicembre 1996, n. 675, sul trattamento dei dati sensibili da parte di soggetti pubblici”. Sulla G.U. del 17 maggio 1999 - Serie generale – n. 113 - è stato pubblicato il decreto legislativo 11 maggio 1999, n. 135, con il quale il Governo, nell’esercizio della delega di cui alla legge 31 dicembre 1996, n. 676, ha emanato talune “Disposizioni integrative della legge 31 dicembre 1996, n. 675, sul trattamento di dati sensibili da parte di soggetti pubblici”. Il provvedimento innova la disciplina in materia di trattamento di dati personali, tenuto conto delle peculiari necessità di armonizzazione delle disposizioni dettate dalla legge 675 con l’attuale quadro normativo di riferimento per quanto attiene all’espletamento da parte dei soggetti pubblici delle proprie funzioni istituzionali. Com’è noto infatti la legge, nel disporre una tutela rinforzata per talune tipologie di dati, legittimava in particolare il trattamento di quelli “sensibili” da parte dei soggetti pubblici solo in presenza di una espressa ed analitica disposizione di legge autorizzatrice (art. 22, comma 3). La previsione di un regime transitorio - ripetutamente prorogato, è definitivamente andato a scadenza lo scorso 8 maggio – ha consentito peraltro la prosecuzione, anche in assenza dei previsti presupposti autorizzatori, dei trattamenti di tali dati, nonché di quelli giudiziari, già iniziati alla data di entrata in vigore della stessa, previa comunicazione al Garante. Il decreto legislativo in oggetto persegue le seguenti tre linee d’intervento innovativo della normativa di settore: ridefinizione dell’ambito dei parametri della stessa legittimità dei trattamenti dei dati “sensibili” (art.5); definizione dei principi generali in base ai quali i soggetti pubblici sono autorizzati a trattare dati sensibili o attinenti a particolari provvedimenti giudiziari ai sensi degli artt. 22, comma 3 e 24 (Capo I); individuazione di alcune rilevanti finalità di interesse pubblico per il cui perseguimento è consentito il trattamento di tali dati, nonché delle operazioni eseguibili e dei tipi di dati che possono essere trattati (Capo II). Le nuove disposizioni – che sono entrate in vigore il 18 maggio scorso – non trovano peraltro applicazione nei riguardi dei trattamenti di cui all'art. 4 della legge 675 (in particolare, per quanto di diretto interesse, ai trattamenti effettuati dal CED del Dipartimento della Pubblica Sicurezza o previsti dall’Accordo di Schengen o svolti “per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento e repressione dei reati, in base ad espresse disposizioni di legge che prevedano specificamente il trattamento”), e dell’art. 1, comma 1, lett. i), della legge 676. Tutto ciò premesso, si richiama l’attenzione delle SS.LL. sulla nuova disciplina, illustrandone qui di seguito i profili di maggior rilievo anche con specifico riguardo alle funzioni imputate a quest’Amministrazione in sede centrale e periferica. 1. Ridefinizione dell’ambito di legittimità dei trattamenti dei dati “sensibili”. La più significativa novità introdotta dal decreto ha riguardo alla ridefinizione dell’ambito dei parametri della stessa legittimità dei trattamenti dei dati “sensibili”. Ai sensi dell’art. 22, comma 3, della legge 675, come sostituito dall’art. 5, comma 2, del decreto, il trattamento di dati sensibili da parte dei soggetti pubblici è consentito nei seguenti casi: se autorizzato da espressa disposizione di legge che preveda i tipi di dati trattabili, le operazioni eseguibili e le rilevanti finalità d’interesse pubblico perseguite; nei casi previsti dai decreti legislativi modificativi ed integrativi della legge 675, e pertanto anche in quelli di cui al Capo II del provvedimento in esame (cfr. successivo punto 3); fuori dai casi di cui ai precedenti punti a) e b), per lo svolgimento delle attività - tra quelle imputate dalla legge ai singoli soggetti pubblici – per le quali, in ragione delle rilevanti finalità d’interesse pubblico perseguite, è intervenuta, a richiesta del soggetto pubblico interessato, apposita autorizzazione del Garante. Al comma 3 dell’art. 22 così riformulato è altresì aggiunto un comma 3bis che, completando la ridefinizione della disciplina in tema di dati sensibili, rimette ai soggetti pubblici - laddove le fonti di cui al precedente comma 3 rechino la sola specificazione delle finalità di rilevante interesse pubblico - l’obbligo di procedere all’individuazione, alla pubblicizzazione ed al periodico aggiornamento dei tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi. Conseguentemente il regime applicabile ai trattamenti di dati personali “sensibili” è il seguente: trattamenti riconducibili alle rilevanti finalità d’interesse pubblico individuate dal Capo II del provvedimento. I suddetti trattamenti sono di per sé legittimati senza che si renda necessaria un’autorizzazione del Garante, stante l’esplicita esclusione contenuta nel comma 3 dell’art. 22, come sostituito (“fuori dai casi previsti dai decreti legislativi di modificazione ed integrazione della presente legge”). A tali trattamenti si applica la disposizione del richiamato comma 3bis dello stesso art. 22. Poiché peraltro l’assolvimento degli adempimenti ivi previsti non condiziona la legittimità dei trattamenti e vi è tempo fino al 31 dicembre 1999 per l’ “avvio” di tali adeguamenti, si fa riserva di fornire puntuali specificazioni sulle modalità attuative da seguire, anche alla luce degli indirizzi che sul punto potranno intervenire da parte delle competenti sedi istituzionali, al fine di garantire omogeneità di comportamento. Trattamenti non riconducibili alle finalità di cui al Capo II. Trattamenti in atto Per quanto la formulazione delle norme contenute nel Capo II rifletta l’intento di dare una copertura integrale ai trattamenti in atto da parte delle pubbliche amministrazioni, nell’ipotesi in cui singole fattispecie risultassero non riconducibili agli ambiti contenutistici di tali disposizioni, la legittimazione del trattamento può essere conseguita attraverso apposita autorizzazione del Garante, da richiedersi entro il 31 dicembre 1999. In tal caso il trattamento può essere proseguito fino alla decisione dell’ Autorità cui è assegnato il termine di novanta giorni (art. 5, comma 4). - Trattamenti avviati dal 1 gennaio 2000 Per i trattamenti posti in essere a decorrere dall’inizio del prossimo anno, sempre che essi non siano attinenti alle rilevanti finalità d’interesse pubblico individuate dal Capo II, il soggetto pubblico interessato, nelle more del procedimento di legittimazione legislativa (legge o decreto legislativo), potrà avviare il trattamento d’interesse subordinatamente alla preventiva acquisizione dell’autorizzazione del Garante, ferma restando l’applicazione del comma 3bis dell’art. 22. Per converso, nessuna specifica ulteriore legittimazione (né legislativa e né autorizzatoria), andrà conseguita per lo svolgimento di nuove tipologie di trattamento che dovessero rendersi necessarie laddove queste fossero direttamente riconducibili alle rilevanti finalità di cui al Capo II. In tali ipotesi, ferma restando l’ applicazione dei principi di cui agli articoli da 1 a 4 del decreto, dovrà procedersi all’adeguamento dei provvedimenti adottati dall’Amministrazione ai sensi del ripetuto art. 3bis. 2. Principi generali in materia di trattamento di dati particolari da parte di soggetti pubblici. Il Capo I del decreto legislativo definisce i principi generali in base ai quali i soggetti pubblici sono autorizzati a trattare dati “sensibili” e “giudiziari” (artt. 2, 3 e 4). Modalità di trattamento Viene innanzitutto ribadito come il trattamento di tali tipologie di dati personali debba essere svolto nel pieno rispetto dei diritti, delle libertà fondamentali e della dignità dell’interessato. A tal fine infatti l’articolo 2, comma 1, del decreto dispone che i soggetti pubblici debbono effettuare il trattamento dei dati di cui agli artt. 22 e 24 della legge con modalità capaci di assicurare il rispetto dei diritti cennati. Adempimenti connessi alle attività di conoscenza e partecipazione degli interessati. Specifica attenzione è riservata agli adempimenti volti a garantire la conoscenza e la partecipazione degli interessati. Ai sensi dell’articolo 2, comma 1, ai soggetti pubblici è richiesta l’adozione le misure occorrenti per facilitare da parte dell’interessato l’esercizio dei diritti di cui all’articolo 13 della legge, dalla conoscenza dell’esistenza di trattamenti che lo riguardano fino alla cancellazione, alla trasformazione in forma anonima o addirittura al blocco dei dati. A diretta tutela dell’interessato è altresì previsto che nelle informative di cui all’art. 10 della legge sia fatto espresso riferimento alla normativa che dispone in ordine al trattamento stesso. Dati trattabili Ai sensi dell’articolo 3 i soggetti pubblici sono autorizzati al trattamento dei soli dati essenziali allo svolgimento delle proprie attività istituzionali che non potrebbero essere perseguite mediante un trattamento di dati in forma anonima o di dati personali di natura diversa. La necessità di garantire la costante corrispondenza dei dati personali oggetto di trattamento a quei requisiti individuati dall’articolo 9 della legge – esattezza, aggiornamento, pertinenza, completezza, non eccedenza, necessarietà rispetto alle finalità perseguite nei singoli casi – è ribadita dal comma 3 dell’articolo 3 laddove viene previsto che i soggetti pubblici effettuino periodicamente la verifica della sussistenza di tali requisiti, valutando specificamente il rapporto tra i dati e gli adempimenti. In particolare tale verifica dovrà essere effettuata con specifica attenzione in ordine al requisito dell’essenzialità dei dati in riferimento a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni o gli adempimenti. Laddove a seguito di tali verifiche risultino sussistere dati personali eccedenti o non pertinenti o non necessari occorrerà che tali dati non vengano più utilizzati. Essi potranno esclusivamente essere conservati secondo le vigenti disposizioni di legge. E’ comunque esclusa la possibilità che i dati “sensibili” e “giudiziari” possano essere trattati nell’ambito di test psico-attitudinali finalizzati alla definizione del profilo o della personalità dell’interessato (art. 3, comma 6). Sicurezza dei dati A un terzo profilo di interesse, quello relativo alla sicurezza dei dati, sono dedicate le disposizioni che prevedono per i dati “sensibili” e “giudiziari” trattati con l’ausilio di mezzi automatizzati, l’adozione di tecniche di cifratura, o di codici identificativi ovvero di altre misure che consentano l’identificazione degli interessati solo in caso di necessità (art. 3, comma 4). L’adozione di tali misure è sempre disposta per i dati inerenti lo stato di salute e la vita sessuale, anche laddove questi non siano trattati con l’ausilio di mezzi automatizzati. La specificità di tali tipologie di dati obbliga altresì a prevederne una conservazione separata “da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo” (art. 3, comma 5). Operazioni eseguibili Parallelamente al requisito dell’essenzialità dei dati, il decreto sancisce che i soggetti pubblici sono autorizzati a svolgere unicamente le operazioni di trattamento strettamente necessarie al perseguimento delle finalità per le quali il trattamento è consentito. Ciò anche quando i dati sono raccolti in funzione dell’assolvimento di compiti di vigilanza, di controllo o ispettivi (art. 4, comma 1). Specifica attenzione è dedicata dalle norme alle operazioni di raffronto dei dati, di trattamenti ex art. 17 della legge 675 (effettuati per l’adozione di atti o provvedimenti amministrativi che implichino una valutazione del comportamento umano), e di diffusione. E’ infatti previsto l’obbligo di motivazione scritta in caso di effettuazione di raffronto fra dati, nonché nell’ipotesi di trattamenti effettuati ai sensi dell’art. 17 della legge 675, laddove i dati siano posseduti dallo stesso titolare (art. 4, comma 2). Per converso, nell’ipotesi che il raffronto, ovvero i cennati trattamenti, debbano essere effettuati con dati posseduti da diversi titolari, le operazioni devono ritenersi ammesse esclusivamente in presenza di una espressa disposizione di legge. Analoga fonte di legge è sempre prevista per la diffusione dei dati (art. 4, comma 3). E’ comunque tassativamente vietata la diffusione dei dati idonei a rivelare lo stato di salute (art. 4, comma 4). Sia in ordine alle misure occorrenti per facilitare l’accesso agli interessati che in merito a quelle da adottarsi per garantire la sicurezza dei dati si fa riserva di fornire specifiche indicazioni sulla base dei criteri che verranno definiti nelle competenti sedi istituzionali per tutte le pubbliche amministrazioni. 3. Specifiche finalità ritenute di rilevante interesse pubblico. Il Capo II del provvedimento procede all’individuazione di alcune rilevanti finalità di interesse pubblico e, in alcune ipotesi, delle operazioni eseguibili e dei tipi di dati che possono essere trattati. Si segnalano in particolare, per quanto di diretto interesse delle SS.LL. ai fini dell’espletamento delle funzioni rimesse a quest’Amministrazione, quelle qui di seguito elencate. art. 6. Stato civile, anagrafi e liste elettorali. Ai sensi di tale disposizione sono di rilevante interesse pubblico i trattamenti di dati relativi alla tenuta degli atti e dei registri dello stato civile, delle anagrafi sia dei residenti in Italia che degli italiani all'estero nonché alle liste elettorali; art. 7. Cittadinanza, immigrazione e condizione dello straniero. Sono considerate di rilevante interesse pubblico le attività finalizzate all’applicazione della disciplina in materia di cittadinanza, immigrazione, asilo, condizione dello straniero e di profugo e sullo stato di rifugiato. In particolare è ammesso il trattamento dei dati strettamente necessari per l’adozione di talune tipologie di atti e provvedimenti (rilascio di visti ecc.). art. 8. Esercizio dei diritti politici e pubblicità dell’attività di determinati organi. Sono considerate di rilevante interesse pubblico le attività finalizzate all’applicazione della disciplina in materia di elettorato attivo e passivo e di esercizio di altri diritti politici, nonché dirette all’esercizio del mandato degli organi rappresentativi. Sono altresì rilevanti le attività finalizzate all’applicazione della disciplina relativa alla documentazione dell'attività istituzionale degli organi pubblici. art. 9. Rapporti di lavoro. Ampio riconoscimento è stato dato in termini di rilevanza dell’interesse pubblico perseguito, alle attività finalizzate all’instaurazione ed alla gestione dei rapporti di lavoro sia in ordine all’espletamento degli adempimenti previsti in relazione al trattamento economico e giuridico, sia in materia sindacale che di igiene e sicurezza del lavoro. art. 11. Attività di controllo ed ispettive. E’ riconosciuta la rilevanza delle finalità di verifica della legittimità, del buon andamento, dell’imparzialità dell’attività amministrativa, nonché della rispondenza della stessa ai canoni di razionalità, economicità, efficienza ed efficacia, per le quali sono imputate dalla legge a soggetti pubblici le funzioni di controllo, di riscontro nonché funzioni ispettive. E’ altresì riconosciuta la rilevanza delle attività di accertamento derivanti da esposti e petizioni o per atti di controllo. art. 13. Benefici economici ed abilitazioni. Sono considerate di rilevante interesse pubblico le attività finalizzate all’applicazione della disciplina in materia di benefici economici, agevolazioni, elargizioni, altri emolumenti ed abilitazioni. Tra questi sono espressamente ricompresi i trattamenti necessari alle comunicazioni, alle certificazioni ed alle informazioni previste dalla normativa antimafia, quelli relativi all’applicazione in materia di usura ed antiracket, nonché quelli necessari al rilascio di licenze, autorizzazioni, iscrizioni ed altri titoli abilitativi. art. 14. Onoreficenze, ricompense e riconoscimenti. Sono considerate di rilevante interesse pubblico le attività finalizzate all’applicazione della disciplina in materia di onoreficenze, ricompense, per il riconoscimento delle persone giuridiche, per l’accertamento dei requisiti di onorabilità e professionalità per le nomine ad uffici anche di culto e per le cariche direttive delle persone giuridiche, nonché per il rilascio e la revoca di titoli autorizzatori o abilitativi. Sono altresì rilevanti le attività dirette alla concessione di patrocini, patronati, premi di rappresentanza, per l’adesione a comitati d’onore e di ammissione a cerimonie ed incontri istituzionali. art. 15. Volontariato e obiezione di coscienza. Sono considerati di rilevante interesse pubblico i trattamenti finalizzati alla applicazione della disciplina in materia di rapporti con le organizzazioni di volontariato, nella specie per quanto concerne l’elargizione di contributi, la tenuta dei registri generali di tali organizzazioni nonché la cooperazione internazionale. Di analoga rilevanza sono altresì le attività dirette all’applicazione della legge 230/98 e delle altre disposizioni in materia di obiezione di coscienza. art. 16. Attività sanzionatorie e di predisposizione di elementi di tutela in sede amministrativa o giurisdizionale. Di rilevante interesse pubblico sono stati riconosciuti i trattamenti finalizzati all’applicazione della normativa in materia di sanzioni amministrative e ricorsi, nonché quelli necessari per l’esercizio del diritto di difesa sia in sede amministrativa che giudiziaria. Sono altresì di rilevante interesse pubblico i trattamenti di dati effettuati in conformità alle leggi o ai regolamenti per l’applicazione della disciplina sull’accesso ai documenti amministrativi. art. 19. Tossicodipendenze. Di rilevante interesse pubblico sono da considerarsi i trattamenti finalizzati all’applicazione della disciplina in materia di stupefacenti. art. 20. Portatori di handicap. Sono di rilevante interesse pubblico i trattamenti volti all’applicazione della disciplina in materia di assistenza, integrazione sociale e diritti delle persone handicappate. art. 21. Rapporti con enti di culto. Sono considerati di rilevante interesse pubblico i trattamenti strettamente necessari allo svolgimento dei rapporti istituzionali con gli enti di culto, con le confessioni e le comunità religiose. Art. 22. Statistica. Sono di rilevante interesse pubblico i trattamenti svolti dai soggetti pubblici facenti parte del sistema statistico nazionale ai sensi del D.leg.vo 322/1989. art. 23. Ricerca storica ed archivi. Rilevante interesse pubblico è riconosciuto infine ai trattamenti di dati secondo quanto disposto dal d.P.R.1409/1963. 4. In ordine a quanto premesso si richiama l’attenzione delle SS.LL. affinchè, nell’esercizio delle funzioni ad esse rimesse, l’effettuazione dei trattamenti dei dati venga svolta nel pieno rispetto dei principi e delle prescrizioni legislative dianzi evidenziate. Il contenuto della presente circolare potrà, altresì, costituire un utile supporto all’attività di consulenza della quale le SS.LL. dovessero essere richieste a da parte degli uffici locali e periferici nell’ambito delle rispettive province. Nel far riserva di fornire, appena possibile, le preannunciate ulteriori indicazioni su taluni specifici profili applicativi, si resta in attesa di un cortese cenno di riscontro.