Semplificazioni in materia di trattamento dei dati personali
di Graziano Garrisi – D&L Department Studio Legale Lisi – www.studiolegalelisi.it
Con l’ultimo provvedimento del Garante Privacy del 19/06/2008 n. 152 (pubblicato nella G.U. 01/07/2008,) in materia di semplificazioni di taluni adempimenti in ambito pubblico e privato rispetto a trattamenti per finalità amministrative e contabili, sembra siano state accolte le richieste di quanti incontrano giornalmente grosse difficoltà nell’applicazione pratica della normativa in materia di corretto trattamento dei dati personali; tale provvedimento deve essere inteso non tanto come un escamotage per eludere la normativa, ma deve essere inquadrato nell’ottica di una riduzione e semplificazione della burocrazia che attanaglia soprattutto le piccole e medie imprese, i liberi professionisti e artigiani che ogni giorno hanno a che fare con dati personali dei propri clienti.
Invero, non sono state introdotte grosse novità o stravolgimenti nella materia, dato che tale provvedimento appare dettato più che altro da quel buon senso che dovrebbe accompagnare ogni titolare nel trattamento dei dati personali all’interno della propria organizzazione: molto spesso, infatti, la normativa è stata interpretata in maniera troppo restrittiva e applicata non correttamente, magari su consiglio di qualche sedicente “esperto privacy”, consulente informatico o legale, che anziché rendere la vita più semplice alle imprese, ha generato confusione e malumori per quanti si son visti rallentare o bloccare i propri processi produttivi e lavorativi nel nome di un rigido e inutile formalismo legislativo, spesso non richiesto.
Si ricorda, peraltro, che tale provvedimento offre soluzioni concrete per agevolare l’attività di gestione amministrativa e contabile in ambito pubblico e privato, soprattutto se non si trattano dati personali sensibili o giudiziari. L’intervento del Garante, infatti, si concentra su due aspetti fondamentali della normativa, ovvero la corretta “informativa” e il “consenso”. Nel primo caso, il Garante ha fornito alcune indicazioni per la redazione di un’informativa, consigliando la predisposizione di un modello unico per il complesso dei trattamenti di dati personali utilizzati per fini esclusivamente amministrativi e contabili (si specifica anzi che per tali trattamenti è possibile addirittura fornire una prima informativa breve e semplice che rinvia a un testo più articolato disponibile magari su siti Internet, reti Intranet, in bacheca o presso sportelli). Nel secondo caso, invece, nel provvedimento vengono indicati i casi in non deve essere chiesto il consenso (come, ad esempio, quando i trattamenti sono svolti per adempiere ad obblighi contrattuali o normativi o quando i dati provengono da pubblici registri e elenchi pubblici, o sono relativi allo svolgimento di attività economiche) limitandosi di fatto a ribadire e a chiarire semplicemente quanto viene già disciplinato nel D.Lgs. 196/2003.
In virtù di tale provvedimento del Garante, quindi, si ritiene opportuno commentare alcuni passaggi principali:
– Fornire un’informativa unica per il complesso dei trattamenti di dati personali nei casi in cui ciò sia possibile;
– Fornire agli utenti una ricostruzione organica dei trattamenti e con linguaggio semplice, senza frammentarla o reiterarla inutilmente e indicare le informazioni essenziali in un quadro adeguato di lealtà e correttezza;
– Redigere, per quanto possibile, una prima informativa breve per alcune tipologie di trattamento che non necessitano di lunghe informative e magari fare un rinvo ad una pagina web più completa dove è presente la privacy policy della società;
– Utilizzare per l’informativa, specie per quella breve, gli spazi utili nel materiale cartaceo e nella corrispondenza che si impiegano già, ordinariamente, per finalità amministrative e contabili;
– L’informativa breve può rinviare a un testo più articolato, disponibile agevolmente senza oneri per gli interessati, in luoghi e con modalità facilmente accessibili anche con strumenti informatici e telematici (in particolare, tramite reti Intranet o siti Internet, affissioni in bacheche o locali, avvisi e cartelli agli sportelli per la clientela, messaggi preregistrati disponibili digitando un numero telefonico gratuito).
Anche questa più ampia informativa deve essere improntata a correttezza, tenendo conto di possibili modifiche del trattamento ed essere basata su espressioni sintetiche, chiare e comprensibili. Le notizie da indicare per legge (art. 13, comma 1) devono essere aggiornate, specificando la data dell’ultimo aggiornamento.
– E’ possibile non inserire nell’informativa più articolata gli elementi noti all’interessato (art. 13, commi 2 e 4). E’ opportuno omettere riferimenti meramente burocratici o circostanze ovvie, per esempio quando alcune informazioni, compresi gli estremi identificativi del titolare, risultano da altre parti del documento in cui è presente l’informativa. Vanno utilizzate espressioni efficaci, anche se sintetiche, anche per quanto riguarda i diritti degli interessati e l’organismo o soggetto al quale rivolgersi per esercitarli. Se è prevista la raccolta di dati presso terzi è possibile formulare una sola informativa per i dati forniti direttamente dall’interessato e per quelli che saranno acquisiti presso terzi. Per questi ultimi dati, l’informativa può non essere fornita quando vi è un obbligo normativo di trattarli (art. 13, comma 5).
– L’informativa più articolata deve essere basata su uno schema tendenzialmente uniforme per il settore di attività del titolare del trattamento, mentre è necessario fornire un’informativa specifica o ad hoc quando il trattamento ha caratteristiche del tutto particolari perché coinvolge, ad esempio, peculiari informazioni (es. dati genetici) o prevede forme inusuali di utilizzazione di dati, specie sensibili, rispetto alle ordinarie esigenze amministrative e contabili, o può comportare rischi specifici per gli interessati (ad esempio, rispetto a determinate forme di uso di dati biometrici o di controllo delle attività dei lavoratori). Se il titolare del trattamento è un soggetto pubblico devono essere inserite le indicazioni che la legge prevede per i dati sensibili e giudiziari.
Inoltre, il Garante ha segnalato al Governo l’opportunità di apportare una modifica al Codice Privacy con riferimento alla disciplina delle misure minime di sicurezza e al DPS, per venire incontro a quanti, come le piccole e medie imprese, liberi professionisti e artigiani, svolgono unicamente attività di gestione amministrativa e contabile. Così, il Garante ha ipotizzato una modifica dell’art. 33 del Codice, che prevede l’aggiunta di un comma 1-bis: Il Garante può individuare con proprio provvedimento modalità semplificate in ordine all’adozione delle misure minime di cui al comma 1, con riferimento ai trattamenti effettuati per correnti finalità amministrative e contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani.
Tra l’altro, con un decreto legge del 25 giugno 2008, n. 112, recante “Disposizioni urgenti per lo sviluppo economico, la semplificazione, la competitività, la stabilizzazione della finanza pubblica e la perequazione tributaria“, convertito nella legge 133/2008 (cd. Manovra d’estate), al suo articolo 29, sono state previste alcune modifiche al Codice Privacy che andranno ad incidere direttamente sia sulla redazione del DPS (escluso per quei soggetti che trattano soltanto dati personali non sensibili e quando l’unico dato sensibile sia costituito unicamente dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi e, quindi, obbligatorio per un numero minore di soggetti), sia sul procedimento di notificazione ex art. 37 del D.Lgs. 196/2003, prevedendo in futuro l’emanazione di un ulteriore provvedimento – a cura del Garante, sentito il Ministero per la semplificazione normativa – contenente modalità semplificate per chi tratta dati personali per sole finalità amministrative e contabili,
Non ci resta ora che aspettare e vedere come si comporterà il Garante, tenendo presente che se da un lato è giusto alleggerire il carico di adempimenti per chi tratta semplici dati contabili e amministrativi, dall’altro ciò non deve comportare il venir meno di quelle garanzie minime previste da una norma di rilievo nazionale e comunitario e che garantisce all’interessato una tutela al corretto trattamento dei suoi dati personali quale diritto inviolabile della personalità.