Garante Privacy: accesso al conto corrente dei familiari defunti

Con provvedimento del 17 luglio 2008, il Garante per la Protezione dei Dati Personali ha riconosciuto come l'erede possa accedere gratuitamente ai dati personali di un familiare defunto relativi ai rapporti bancari da quest'ultimo intrattenuti con un istituto di credito.

La decisione trova origine nel ricorso presentato da un cittadino che, alla morte del padre, si era rivolto alla banca presso il quale il familiare defunto era correntista per avere informazioni circa i rapporti intrattenuti con la banca.

L'istituto di credito aveva risposto richiedendo un versamento per le spese da sostenere per fornire la documentazione richiesta e aveva giustificato tale domanda in virtù di quanto previsto dall'art. 119 Testo Unico Bancario, secondo il quale: "Il cliente, colui che gli succede a qualunque titolo e colui che subentra nell'amministrazione dei suoi beni hanno diritto di ottenere, a proprie spese, entro un congruo termine e comunque non oltre novanta giorni, copia della documentazione inerente a singole operazioni poste in essere negli ultimi dieci anni".

Il ricorrente, ritenendo che la risposta fornita dalla banca fosse del tutto insufficiente, ha quindi chiesto al Garante della Privacy di intervenire.

Quest'ultimo ha ritenuto come, nel caso in esame, non possa trovare applicazione l'art. 119 TUB invocato dalla banca, bensì il diverso art. 9, terzo comma, Codice Privacy, che riconosce il diritto all'acquisizione dei dati personali anche "a chi ha un interesse proprio, o agisce a tutela dell'interessato o per ragioni familiari meritevoli di protezione".

Tale diritto, osserva il Garante, si esplica in forme e modalità diverse rispetto a quanto previsto dall'art. 119 TUB: in questo caso infatti la banca non ha l'obbligo di esibire o allegare copia di ogni singolo documento richiesto.

Secondo quanto previsto dall'art. 10 Codice Privacy, infatti, la stessa può limitarsi ad estrapolare i dati personali da archivi e documenti che li contengono e comunicarli all'interessato che ne ha fatto richiesta in forma intellegibile.

L'esercizio del diritto di accesso, specifica ancora l'Autorità, deve inoltre avvenire in modo gratuito e non può essere condizionato da quanto stabilito, ad altri fini, dal Testo Unico Bancario.

Ne consegue che la banca, avendo omesso di comunicare tutti i dati del defunto in modo chiaro e intellegibile, è stata obbligata a rispondere, nei limiti sopra indicati dell'art. 10 del Codice Privacy, alla richiesta del ricorrente di accedere gratuitamente a tutti i dati del defunto.

In conclusione, l'erede può accedere gratuitamente ai dati personali del familiare defunto e relativi ai rapporti intrattenuti con un istituto bancario, nei limiti fissati dall'art. 10 Codice Privacy.

Garante Privacy: ispezioni sui sistemi di videosorveglianza

La notizia è riportata sul sito del Garante Privacy e può essere letta qui. Sono in corso controlli da parte del Garante Privacy su 40 sistemi di videosorveglianza installati presso enti pubblici e privati per verificare il rispetto dei principi in materia di trattamento dei dati personali.

Il Garante per la Protezione dei Dati Personali ha disposto, con la collaborazione della Guardia di Finanza, ispezioni su 40 sistemi di videosorveglianza posti presso comuni, scuole, ospedali, società private, istituti di vigilanza per verificare il rispetto, da parte di questi strumenti, delle regole sui trattamenti dei dati personali fissate dal medesimo ente.

Il Garante ha rilevato come spesso tali sistemi vengano utilizzati in modo condiviso tra soggetti pubblici e privati senza una specifica regolamentazione dei casi in cui le immagini raccolte possano essere utilizzate.

In modo analogo, l'Autorità ha rilevato il crescente uso di sistemi di sorveglianza miniaturizzati o camuffati, difficilmente individuabili come le tradizionali telecamere, che richiedono pertanto un'informativa agli utenti sulle immagini così raccolte chiara e precisa.

A seguito di tali verifiche, il Garante intende raccogliere elementi che consentano di verificare il rispetto delle misure di sicurezza, i tempi di conservazione delle immagini nel caso in cui queste vengano registrate, i soggetti ai quali i dati raccolti vengono comunicati.

Garante Privacy: diritto di cronaca ed essenzialità dell'informazione

Con provvedimento del 2 aprile 2008, il Garante per la Privacy ha vietato l'ulteriore diffusione dei dati e la pubblicazione, da parte di due quotidiani, di foto di due persone vittime di un incidente stradale.

Ancora un caso nel quale il Garante per la Privacy è intervenuto per definire meglio i limiti del diritto di cronaca dei giornalisti.

Due coniugi si erano rivolti al Garante in quanto, vittime di un incidente stradale, avevano visto pubblicati su due quotidiani locali numerosi dati personali, nonché dettagliati riferimenti alle condizioni di salute del marito, che aveva subito, a seguito del sinistro, l'amputazione di un arto.

Uno dei due quotidiani, inoltre, aveva anche pubblicato le foto dei due coniugi.

I ricorrenti lamentavano dunque la violazione delle disposizioni in materia di protezione dei dati personali in relazione alla diffusione di dati relativi alla propria identità e alla propria salute.

Il Garante ha accolto il ricorso ritenendo che l'acquisizione di dati personali, per finalità giornalistiche, debba avvenire in modo lecito e corretto e che tali dati possano essere diffusi anche senza il consenso degli interessati quando questi risultino essenziali rispetto a fatti di interesse pubblico.

Al contrario, tale diffusione deve considerarsi vietata quando questi risultino non indispensabili ai fini dell'esercizio del diritto di cronaca. Maggiore rigore deve essere in ogni caso osservato quando la diffusione riguardi dati relativi alla salute di una persona.

In questo caso, la diffusione di dati personali e di informazioni dettagliate sulla condizione di salute di uno dei ricorrenti risultano del tutto eccedenti rispetto alla cronaca in sé dell'evento accaduto (l'incidente automobilistico).

In modo analogo, del tutto eccedente e illecita risulta la pubblicazione delle fotografie dei due coniugi, avvenuta senza il loro preventivo consenso.

Stante pertanto il comportamento illecito tenuto dai due quotidiani locali, il Garante per la Privacy ha vietato agli stessi l'ulteriore diffusione dei dati personali dei due ricorrenti eccedenti rispetto al diritto di cronaca e, in ogni caso, quelli relativi alle condizioni cliniche di uno degli stessi.

Risulta pertanto vietata la pubblicazione di dati personali senza il consenso degli interessati quando questi non risultino indispensabili ai fini dell'esercizio del diritto di cronaca.

Garante Privacy: stop alle telefonate promozionali indesiderate

La notizia può essere letta sul sito del Garante per la Protezione dei Dati Personali, qui. Il Garante ha posto uno stop alle telefonate fatte a scopo promozionale senza che l'abbonato abbia prestato il proprio consenso informato all'utilizzo del proprio numero telefonico a tale scopo.

Tutto è partito a seguito di numerose segnalazioni di privati cittadini, contattati telefonicamente da aziende che proponevano loro beni e servizi vari.

Gli abbonati tuttavia non erano stati preventivamente informati che i propri numeri di telefono sarebbero stati messi a disposizione di terzi per lo svolgimento di attività promozionale, né tanto meno era stato richiesto il loro consenso per tale attività.

Da qui l'intervento del Garante e l'emanazione di provvedimenti per bloccare le chiamate indesiderate e non preventivamente autorizzate.

L'Ente ha infatti vietato ad alcune società che realizzano e vendono banche dati di proseguire nell'ulteriore trattamento dei dati personali degli utenti, che in questo caso si concretizzano nei numeri di telefono utilizzati poi per telefonate promozionali.

I dati così raccolti, secondo il Garante, risultano infatti acquisiti illegittimamente: in primo luogo perché il loro titolare non è stato informato dell'uso che se ne sarebbe stato fatto; in secondo luogo perché non è stato chiesto il preventivo consenso alla cessione di tali dati ad altra società.

Con i medesimi provvedimenti è stato fatto divieto di utilizzare tali dati anche alle società che li hanno acquistati per poi promuovere prodotti e servizi, in quanto, anche in questo caso, manca il consenso informato del titolare di tali dati.

Ne deriva che le società che intendono promuovere beni o servizi a mezzo del telefono, non potranno utilizzare i numeri degli abbonati raccolti in banche dati, ed eventualmente acquistate da società terze, se non vi è stato il preventivo consenso informato a tale utilizzo del titolare del numero .

Garante Privacy: linee guida per consulenti tecnici e ausiliari del giudice

Con deliberazione del 26 giugno 2008, pubblicata sulla Gazzetta Ufficiale n. 178 del 31 luglio 2008, il Garante per la protezione dei dati personali ha emanato le linee guida che i consulenti tecnici e gli ausiliari del giudice devono seguire nel trattamento dei dati personali sensibili acquisiti nello svolgimento dei loro incarichi.

Il Garante della Privacy questa volta è intervenuto dando precise indicazioni sulle modalità di trattamento dei dati personali sensibili da parte di consulenti tecnici e ausiliari del giudice e del pubblico ministero nel corso di procedimenti civili, penali e amministrativi.

Tali soggetti svolgono infatti una funzione di ausilio e di assistenza all'autorità giudiziaria quando questa si trovi di fronte a valutazioni che richiedano particolari competenze tecniche, che il giudice e il p.m. non sono tenuti ad avere e che, generalmente, sono possedute solo da tecnici della materia trattata.

I consulenti tecnici e i periti ausiliari dunque si integrano all'interno del processo civile o penale condividendo con l'autorità giudiziaria compiti e finalità.

Agli stessi, inoltre, è consegnata dal giudice o dal p.m. tutta la documentazione acquisita nel giudizio e necessaria per lo svolgimento dell'attività di indagine.

Proprio in tale attività, i soggetti sopra ricordati possono venire a conoscenza di dati personali, a volte di natura sensibile o giudiziaria, dei soggetti, persone fisiche e giuridiche, coinvolte nei procedimenti in corso.

Da qui la necessità di fissare alcuni punti fermi per garantire, anche in questo campo, il rispetto dei principi in materia di protezione dei dati personali fissati dal Codice Privacy.

In modo particolare, i consulenti tecnici e gli ausiliari del giudice e del p.m. dovranno rispettare, nello svolgimento della propria attività, i principi di liceità, finalità, esattezza e pertinenza (art. 2.2.), trattando i dati nei limiti in cui ciò sia necessario per il corretto adempimento dell'incarico ricevuto.

Per quanto attiene poi alla conservazione e cancellazione dei dati (art. 4), si applica, in questo caso, l'art. 11, comma 1, lett. e) del Codice Privacy, secondo il quale i dati debbono essere conservati in una forma che consenta l'identificazione dell'interessato "per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati".

Ne consegue, osserva il Garante, che espletato l'incarico, il consulente o l'ausiliario devono consegnare all'autorità giudiziaria non solo la propria relazione ma anche tutta la documentazione consegnata originariamente per lo svolgimento delle indagini e quella acquisita nel corso delle stesse.

Salvo quindi diversa disposizione di legge, essi non possono conservare, in originale o in copia, in forma cartacea o elettronica, informazione personali acquisite nel corso dell' incarico conferito e attinenti a soggetti (persone fisiche o giuridiche) coinvolte negli accertamenti svolti.

Nel caso in cui sia espressamente previsto dalla legge un obbligo specifico di conservazione di tali dati (ad esempio per scopi fiscali o contabili), il Garante prevede che possano essere custoditi solo ed esclusivamente i dati personali necessari per adempiere a tale obbligo.

In ogni altro caso, le informazioni acquisite devono essere cancellate o trasformate in forma anonima, in modo tale che, dalle stesse, non sia possibile risalire a soggetti identificati o identificabili.

I soggetti sopra indicati dovranno poi adottare tutte le misure di sicurezza idonee e minime (art. 5) per evitare l'indebita divulgazione delle informazioni acquisite, rimanendo gli stessi direttamente responsabili per ogni illecita attività.

Il Garante, infine, si preoccupa di indicare alcune principi anche per lo svolgimento dell'attività di un altro soggetto del procedimento giudiziario, ovvero del consulente tecnico di parte (art. 6).

Lo stesso dovrà infatti attenersi ai principi di liceità ed adottare tutte le misure necessarie per la protezione dei dati sensibili, assumendo personalmente la responsabilità e gli obblighi relativi al profilo della sicurezza.

In conclusione, i consulenti tecnici e i periti ausiliari dell'autorità giudiziaria dovranno procedere al trattamento dei dati personali sensibili raccolti nello svolgimento della propria attività attenendosi alle linee guida dettate con il provvedimento sopra ricordato del Garante Privacy.

Garante Privacy: divieto di diffusione di dati relativi a minori vittime di abusi

Con provvedimento del 10 luglio 2008 il Garante per la Protezione dei Dati Personali ha vietato all'editore di alcune testate giornalistiche l'ulteriore diffusione, anche via web, di dati idonei a individuare minori vittime di abusi sessuali.

Con questo provvedimento il Garante per la Privacy è intervenuto a seguito di una segnalazione circa la pubblicazione, su alcuni quotidiani locali, della notizia della condanna di un uomo per atti di violenza e abusi, anche di natura sessuale, nei confronti dei figli.

In tali articoli erano espressamente indicati il nome del padre, del paesino calabrese in cui vive la famiglia e, in uno di essi, anche le iniziali dei nomi dei piccoli.

Il Garante ha quindi osservato come, nel caso concreto, anche in assenza di esplicita indicazione del nome dei bambini, le informazioni fornite negli articoli pubblicati fossero in ogni caso in in grado di far risalire, quanto meno in ambito locale e familiare, all'identità dei minori.

Tale comportamento risulta illegittimo in quanto contrario alle seguenti norme:

1) art. 137, comma 3, Codice Privacy e art. 6 codice deontologia dei giornalisti, che prescrivono il principio dell'essenzialità dell'informazione e che vieta la pubblicazione di tutti quei dati non indispensabili per la descrizione della vicenda;

2) art. 734 bis codice penale (divulgazione delle generalità o dell'immagine di persona offesa da atti di violenza sessuale) e art. 13 D.P.R. 22.09.88 n. 448, che vieta la divulgazione di notizie o immagini idonee a consentire l'identificazione dei minori coinvolti a qualsiasi titolo in procedimenti penali;

3) art. 50 Codice Privacy, che vieta la divulgazione di notizie relative a minori anche in caso di coinvolgimento a qualunque titolo del minore in procedimenti giudiziari in materie diverse da quella penale; e art. 52, comma 5, Codice Privacy, che, con specifico riferimento ai minori vittime di abusi, vieta a chiunque diffonda sentenze o altri provvedimenti giurisdizionali di diffondere le generalità, altri dati identificativi o altri dati anche relativi a terzi dai quali può desumersi anche indirettamente l'identità di minori;

4) art. 13 Convenzione di New York sui diritti del fanciullo del 20.11.89, ratificata con legge 176/91, che riconosce al fanciullo il diritto di essere protetto rispetto ad interferenze arbitrarie o illegali nella sua vita privata;

5) art. 5 Codice di deontologia dei giornalisti, che riconoscendo prevalente il diritto alla riservatezza del minore, rispetto al diritto di cronaca, vieta in ogni caso al giornalista di diffondere dati attraverso i quali sia possibile risalire, anche indirettamente, all'identità dei minori.

Stante dunque la gravità della violazione e l'urgenza di provvedere, il Garante, esercitando i poteri riconosciuti dagli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) Codice Privacy, il Garante ha disposto il blocco dell'utilizzo dei dati relativi ai minori da parte dei quotidiani locali e il divieto della loro ulteriore diffusione.

In conseguenza di ciò, il Garante ha vietato all'editore delle testate giornalistiche l'ulteriore diffusione, anche tramite internet, dei dati tali da identificare, anche indirettamente, i minori vittime di abusi sessuali.

Garante Privacy: consenso trattamento dati provenienti da pubblici registri

Con deliberazione del 13 maggio 2008, il Garante per la Protezione dei Dati Personali ha vietato ad un imprenditore di utilizzare e vendere sul proprio sito internet dati personali provenienti da pubblici registri, documenti o elenchi conoscibili da chiunque, in quanto acquisiti senza fornire agli interessati la necessaria informativa prevista dall'art. 13, comma 4, codice Privacy.

Ne avevamo già parlato alcuni giorni fa in un caso di invio di email o fax pubblicitari a potenziali clienti, i cui nominativi erano stati estratti da elenchi categorici e pubblici.

In quel caso il Garante aveva dichiarato l'illegittimità del comportamento sottoposto al suo esame: tale invio deve essere infatti preceduto dalla raccolta del consenso informato degli interessati al trattamento dei loro dati personali, anche se i dati derivano da elenchi pubblici.

In questo caso invece il Garante interviene nei confronti di un imprenditore che, attraverso il proprio sito internet, metteva in vendita banche dati relative a indirizzi di posta elettronica, numeri di fax e numeri di telefono che, secondo quanto indicato sul sito stesso, provenivano da pubblici registri, documenti o elenchi conoscibili da chiunque.

Nelle "condizioni di vendita" di tali banche dati era inoltre espressamente previsto che, proprio in quanto i dati erano provenienti da pubblichi elenchi, il relativo trattamento non richiedeva il consenso dell'interessato.

Ma ciò non corrisponde a verità.

Con il provvedimento oggi commentato infatti il Garante censura il comportamento tenuto dall'imprenditore in quanto non risulta che questi, nel costituire le banche dati, abbia fornito agli interessati l'informativa prevista dall'art. 13 Codice Privacy, nonché l'ulteriore specifica informativa prevista a carico delle società che predispongono elenchi telefonici "alfabetici" o "categorici", informative relative alle finalità e modalità del trattamento, ai diritti dell'interessati di esprimere il proprio consenso, differenziato e revocabile, nonché di essere informati che tali elenchi potranno essere ceduti a terzi.

In conseguenza di ciò, l'Autorità ha riconosciuto l'inutilizzabilità dei dati già trattati e ha vietato l'ulteriore trattamento in quanto tale comportamento risulta illecito per il mancato preventivo rilascio della necessaria informativa agli interessati.

Risulta pertanto illegittimo l'uso e la vendita di dati provenienti da pubblici registri, documenti o elenchi conoscibili da chiunque, in assenza del preventivo rilascio dell'informativa di cui all'art. 13 Codice Privacy.

Garante Privacy: dati biometrici e operazioni di trasfusione

In sede di verifica preliminare del 19 giugno 2008, il Garante per la Protezione dei Dati Personali ha indicato quando l'utilizzo di dati biometrici per operazioni di trasfusione del sangue sia legittimo o meno.

Accade sempre più di frequente che aziende, enti, società si rivolgano in via preventiva al Garante della Privacy per domandare se il comportamento che gli stessi intendono tenere sia legittimo o meno.

Questo consente al Garante di dare delle spiegazioni concrete ai principi che regolano la materia della privacy.

Così è avvenuto nella vicenda che oggi si commenta: si è infatti rivolta all'Autorità un'azienda ospedaliera che intendeva adottare un sistema di sicurezza per la trasfusione di sangue, tale da evitare (o diminuire enormemente) errori di identificazione tra il paziente destinato alla trasfusione e le sacche di sangue già preparate.

Il sistema funziona sulla base un terminale portatile con lettore di codice a barre, un sensore per l'identificazione delle impronte digitali e un software che trasforma le immagini delle impronte digitali in codici numerici (c.d. template).

Il paziente e l'operatore sanitario che lo assiste forniscono quindi la propria impronta digitale al sistema, che è così in grado di confrontare i dati con quelli raccolti al momento della scelta delle sacche di sangue da trasfondere. In caso di incongruenze, il sistema si blocca.

In questo modo, inoltre, l'operatore sanitario sarebbe costretto a presenziare alle operazioni di trasfusione, con ulteriore aumento di garanzie per il paziente.

L'Azienda ha quindi chiesto, in sede di verifica preventiva (art. 17 Codice Privacy), se tale comportamento potesse ritenersi legittimo o meno.

Si tratta evidentemente di verificare se il trattamento dei dati biometrici (in questo caso, le impronte digitali) così realizzato possa dirsi o meno conforme alla disciplina privacy.

Il Garante ha quindi esaminato, in primo luogo, le modalità concrete con le quali il rilevamento delle impronte digitali sarebbe avvenuto.

L'Azienda ospedaliera, mediante propria relazione, ha infatti spiegato come il paziente destinato alla trasfusione e l'operatore sanitario che deve assistere alla stessa appoggiano un dito su un sensore biometrico che crea un file temporaneo contenente l'immagine dell'impronta digitale da trasformare in codice numerico.

L'immagine viene utilizzata solo per creare il codice e distrutta immediatamente dopo.

L'Azienda ha inoltre precisato che il sensore non è dotato di collegamenti in rete né di porte di comunicazione fisiche e che pertanto non sarebbe possibile accedere alla sua memoria o estrarre dati.

E' inoltre prevista la nomina di un incaricato, dotato di password di accesso al sistema, che avrebbe il compito di registrare gli operatori sanitari che assistono alle trasfusioni.

L'Azienda si preoccupa inoltre di descrivere tutte le misure di sicurezza adottate al fine di evitare ogni e qualsiasi possibilità di estrazione, copia, trascrizione o trasmissione dei file così creati al di fuori del terminale.

La stessa ha inoltre previsto la possibilità che il paziente o l'operatore sanitario si rifiutino di prestare il consenso al rilevamento dell'impronta digitale. In questo caso, si opererebbe attraverso un codice di identificazione per l'operatore e un braccialetto con codice a barre per il paziente; sistema che, evidentemente, comporta un minore grado di sicurezza.

In merito poi alla durata della conservazione dei dati biometrici raccolti, l'Azienda prevede, per quanto riguarda gli operatori sanitari, che essi siano conservati fino a quando ve ne sia l'esigenza.

Per quanto riguarda i pazienti, è previsto un termine massimo di sette giorni dal momento della trasfusione, eventualmente prorogabili fino a trenta.

Alla luce di quanto esposto dalla Azienda ospedaliera con propria relazione, il Garante per la Privacy ha riconosciuto l'adeguatezza delle misure da questa adottate per la conservazione dei dati biometrici.

Non vi è dubbio infatti come la raccolta delle impronte digitali rientri tra le operazioni di trattamento dei dati personali disciplinate dal Codice Privacy e che pertanto, a dire dell'Autorità, la loro liceità debba essere valutata alla luce dei principi di "necessità, liceità, finalità, proporzionalità e correttezza (art. 3 e 11 del Codice Privacy), anche in relazione ai tempi di conservazione dei dati".

Principi che, secondo il Garante, ricorrono nelle modalità che l'Azienda ospedaliera intende adottare.

L'utilizzo di dati biometrici, quali le impronte digitali, in questo caso appaiono infatti di estrema importanza per ridurre i rischi di errori nelle attribuzioni delle sacche di sangue ai vari pazienti al momento della trasfusione.

Né, d'altra parte, osserva il Garante, le procedure alternative, quali quelle del braccialetto dotato di codice a barre, risultano essere parimenti efficaci e sicure.

Le concrete modalità poste in essere dall'Azienda, le misure di sicurezza adottate e i tempi di conservazione dei dati personali previsti appaiono inoltre, a parere dell'Autorità, proporzionati alle esigenze, con l'unica precisazione della necessità di indicare i casi in cui la conservazione dei dati dei pazienti possa essere prorogata sino a trenta giorni.

La conservazione dei dati biometrici da parte dell'azienda ospedaliera è stata dunque riconosciuta legittima da parte del Garante della Privacy con le seguenti precisazioni:

1) necessità di designare quali responsabili del trattamento le società che trattano i dati dell'Azienda;

2) conservare i dati biometrici dei propri operatori sanitari (medici ed infermieri) per la durata dell'incarico;

3) disciplinare i casi in cui la conservazione dei dati dei pazienti possa essere prorogata sino a trenta giorni.

Garante Privacy: vietato conseravare i dati a tempo indefinito

Il Garante per la Protezione dei dati personali, con provvedimento del 19 maggio 2008 , ha sanzionato una società vietando alla stessa di conservare a tempo indeterminato i dati dei propri clienti, anche solo potenziali.

Ancora un'interessante pronuncia del Garante in materia di tempi di conservazione dei dati raccolti da un'azienda nella propria attività commerciale.

L'analisi questa volta si è concentrata su una famosa società che vende prodotti per la casa non direttamente, ma a seguito di una visita dimostrativa, effettuata da propri incaricati, presso l'abitazione del cliente.

La visita può essere fissata dal potenziale cliente con una telefonata, nel corso della quale lo stesso viene avvisato che i suoi dati anagrafici sono stati registrati e che saranno utilizzati per fissare un appuntamento, o con la compilazione di un modulo on line.

Al momento dell'incontro viene inoltre consegnata all'interessato l'informativa privacy ai sensi dell'art. 13 Codice Privacy ed acquisito il suo consenso al trattamento dei dati personali per le finalità collegate alla società stessa.

Quanto infine ai tempi di conservazione dei dati così raccolti, il Garante ha riscontrato come, nel caso specifico, i dati vengano conservati per un tempo indefinito, dal momento che clienti hanno diritto ad una garanzia a vita per i prodotti acquistati.

E' stato tuttavia rilevato come gli stessi dati siano utilizzati dalla società non solo per questioni legate alla garanzia dei prodotti, ma anche per attività di telemarketing.

In modo analogo, anche i dati di chi non ha comprato niente, ma si è limitato ad incontrare un incaricato dell'azienda, sono conservati a tempo indeterminato ed utilizzati per svolgere successive indagini circa i motivi di rifiuto all'acquisto.

Stante tale situazione, il Garante ha rilevato come le modalità del trattamento dei dati compiuto da questa società non sia conforme alla legge.

Quanto infatti all'informativa privacy, i due diversi modelli contenuti sul sito dell'azienda risultano mancanti di alcuni dati previsti dalla legge, e in modo particolare, dei punti b), c) e d) dell'art. 13 Codice Privacy.

In modo analogo, l'informativa resa per telefono risulta carente circa le informazioni fornite sui diritti degli interessati.

L'Autorità ha quindi prescritto alla società di riformulare le proprie informative entro il 27 giugno 2008.

Il Garante ha rilevato un ulteriore profilo di illegittimità nell'uso dei dati raccolti nella fase precedente all'acquisto dei prodotti.

L'azienda infatti raccoglie tali dati anche per finalità di marketing, finalità che tuttavia, per legge, richiede un consenso esplicito e specifico dell'interessato.

Ma nel caso concreto, il consenso non risulta essere correttamente raccolto.

I moduli utilizzati dalla società fanno infatti generico riferimento alla concessione del consenso per i fini indicati nel documento consegnato al potenziale cliente, tra i quali però è possibile ravvisare finalità del tutto diverse tra di loro, quali quelle appunto relative alla fase precedente alla stipulazione del contratto, quelle del contratto (che peraltro non richiede il consenso dell'interessato) e quelle appunto di marketing o telemarketing.

La formulazione dei moduli non permette quindi all'interessato di esprimere specifico e consapevole consenso per l'utilizzo dei propri dati per finalità di marketing.

Il Garante, riconoscendo pertanto tale utilizzo dei dati per finalità di marketing come illegittimo, ha vietato alla società, con effetto immediato, ulteriori trattamenti di tali dati.

Quanto infine ai tempi di conservazione dei dati personali, il Garante per la Privacy ha specificamente indicato come gli stessi non possano essere conservati a tempo indefinito, ma, al contrario, debbano essere fissati dei tempi massimi di conservazione, tenuto conto dell'attività concretamente svolta dalla società.

Quindi, per la clientela che effettua acquisti, sicuramente i dati potranno essere conservati per le attività relative alla prenotazione dell'incontro, conclusione del contratto, gestione dell'eventuale sostituzione dei prodotti in garanzia).

In tutti gli altri casi, i dati dovranno essere cancellati o trattati in forma anonima ove la loro conservazione non risulti giustificata (art. 11, comma 1, lett. e) Codice Privacy).

Al contrario, per coloro che si limitano ad un contatto con l'azienda al fine di fissare un incontro dimostrativo con un incaricato, ma che poi non acquistano niente, i loro dati non potranno essere conservati dopo l'incontro dimostrativo se non con il loro consenso al successivo utilizzo dei loro dati per proposte commerciali o ricerche di mercato.

Il Garante ha quindi concesso termine alla società sino al 15 luglio 2008 per cancellare o rendere anonimi i dati la cui conservazione, alla luce di quanto sopra esposto, non risulta più giustificata.

Viene pertanto affermato il principio in base al quale le aziende non possono conservare i dati relativi ai propri clienti, anche solo potenziali, a tempo indeterminato. Tale conservazione potrà avvenire solo per il tempo strettamente necessario allo svolgimento delle finalità proprie dell'azienda.

Garante Privacy: semplificazioni per piccole imprese

Il Garante per la Protezione dei Dati Personali, con provvedimento generale del 19 giugno 2008, ha fornito alcune indicazioni per la semplificazione del trattamento dei dati per finalità amministrative e contabili per le piccole e medie imprese, liberi professionisti e artigiani.

Un provvedimento che si attendeva da tempo, visto il caos derivante dall'applicazione della normativa privacy, e in modo particolare dell'informativa sul trattamento dati da fornire agli interessati, nelle realtà di piccole e medie imprese, liberi professionisti e artigiani.

L'Autorità ha in primo luogo cercato di monitorare la situazione esistente, riconoscendola carica di adempimenti superflui o inutili, e di fornire alcune indicazioni per snellire queste procedure.

Il Garante ha quindi preso atto di come spesso il trattamento dei dati, per queste piccole realtà, si riferisca solo a dati di carattere amministrativo o contabile, e non coinvolga dati sensibili o giudiziari, ed ha individuato ipotesi di semplificazione nelle quali il consenso al trattamento può non essere richiesto.

In particolare, le più importanti indicazioni, rivolte quindi esclusivamente a enti privati o pubblici, con specifico riferimento alle piccole e medie imprese, liberi professionisti e artigiani, per la semplificazione dell'informativa del trattamento dei dati, quando il trattamento riguardi solo finalità amministrative e contabili, sono le seguenti:

1) Viene introdotta la possibilità, per i soggetti sopra indicati, di avvalersi di un'informativa breve, che può essere in prima battuta anche solo orale, per chiarire all'interessato le finalità del trattamento dati.

Tale informativa breve può poi fare riferimento anche ad un'informativa più ampia e dettagliata, che possa essere letta dagli interessati senza oneri aggiuntivi, anche attraverso l'uso di strumenti informatici o telematici.

Il Garante riconosce inoltre la possibilità, nell'informativa più ampia, di omettere alcuni dati noti all'interessato, riferiti a dati meramente burocratici o a circostanze ovvie.

Nel caso in cui poi sia prevista la raccolta dati presso terzi, è possibile redigere un'unica informativa per i dati forniti direttamente dall'interessato e per quelli acquisiti presso terzi.

E' ribadita infine la necessità di un'informativa specifica o ad hoc quando il trattamento coinvolga specifiche informazioni o comporti particolari rischi per gli interessati.

2) Il Garante invita quindi le associazioni di categoria a predisporre informative-tipo per determinati settori o categorie di trattamento.

3) Viene inoltre precisato che, in queste realtà medio piccole, la designazione degli incaricati del trattamento dei dati può avvenire in modo semplificato, evitando singoli atti relativi a ciascun incaricato.

4) Si ribadisce inoltre che la notificazione telematica al Garante non è necessaria per il trattamento di dati con finalità amministrative e contabili, essendo obbligatoria solo nei casi previsti dall' art 37 del Codice Privacy.

5) Il Garante individua infine alcune ipotesi in cui la richiesta al consenso del trattamento dei dati personali non è necessaria: ciò avviene quando tale trattamento sia svolto esclusivamente per finalità amministrative e contabili nonché quando i dati provengano da pubblici registri od elenchi, siano relativi allo svolgimento di attività economiche o siano trattati da un soggetto pubblico.

6) E' infine riconosciuta la possibilità, sempre per i soggetti sopra indicati, di utilizzare senza il consenso gli indirizzi di posta cartacea forniti dagli interessati al fine di inviare materiale pubblicitario per fini di vendita diretta, comunicazioni commerciali o ricerche di mercato.

Tale attività, che prescinde pertanto dal consenso dell'interessato, è consentita purché riguardi beni o servizi del titolare e analoghi a quelli oggetto della vendita; che l'interessato, al momento della raccolta dei dati e in occasione di ogni comunicazione sia messo nelle condizioni di interrompere tale trattamento; che ovviamente l'interessato non si opponga a tale uso.

Osservando le indicazioni fornite dal Garante Privacy con il provvedimento generale del 19.06.08, pertanto, dovrebbero pertanto semplificarsi le procedure di informativa del trattamento dati per le piccole e medio imprese, liberi professionisti e artigiani.

D.L. 112/08: consultazione elenchi contribuenti

Il Decreto Legge 112/08 (Disposizioni urgenti per lo sviluppo economico, la semplificazione,
la competitività, la stabilizzazione della finanza pubblica e la perequazione Tributaria), all'art. 49 ha modificato l'art. 69 del decreto del Presidente della Repubblica 29 settembre 1973, n. 600 e l'art. 66-bis del decreto del Presidente della Repubblica 26 ottobre 1972, n. 633, in materia di consultazione degli elenchi dei contribuenti.

Dopo la clamorosa vicenda della pubblicazione on line degli elenchi dei contribuenti italiani per l'anno 2005 da parte dell'Agenzia delle Entrate e il successivo provvedimento del Garante della Privacy del 6 maggio 2008 che dichiarava l'illegittimità di tale comportamento,il Governo, con Decreto Legge 112 /08 (art. 42, accesso agli elenchi dei contribuenti) è intervenuto sulla materia modificando i due articoli di legge che regolano la pubblicazione di tali dati.

In primo luogo, è stato modificato l'art. 69 del decreto del Presidente della Repubblica 29 settembre 1973, n. 600, il quale prevede la pubblicazione annuale, a cura del Ministero delle Finanze, degli elenchi dei contribuenti il cui reddito imponibile sia stato accertato dagli uffici delle imposte dirette.

Il comma sesto di tale articolo, infatti, in origine prevedeva: "Gli elenchi sono depositati per la durata di un anno, ai fini della consultazione da parte di chiunque, sia presso lo stesso ufficio delle imposte sia presso i comuni interessati. Per la consultazione non sono dovuti i tributi speciali di cui al D.P.R. 26 ottobre 1972, n. 648".

Il Governo è quindi intervenuto su tale comma riscrivendolo in questi termini: «Gli elenchi sono depositati per la durata di un anno sia presso lo stesso ufficio delle imposte, sia presso i Comuni interessati. Nel predetto periodo e’ ammessa la visione e l’estrazione di copia degli elenchi nei modi e con i limiti stabiliti dalla disciplina in materia di accesso ai documenti amministrativi di cui agli articoli 22 e seguenti della legge 7 agosto 1990, n. 241, e successive modificazioni, dalla relativa normativa di attuazione, nonché da specifiche disposizioni di legge. Per l’accesso non sono dovuti i tributi speciali di cui al decreto del Presidente della Repubblica 26 ottobre 1972, n. 648».

La consultazione di tali elenchi non è più pertanto possibile per "chiunque" ma risulta limitata, ai sensi della legge 241/90, ai soli "interessati", per tali intendendo "tutti i soggetti privati, compresi quelli portatori di interessi pubblici o diffusi, che abbiano un interesse diretto, concreto e attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento al quale è chiesto l'accesso".

Il Governo ha infine previsto una sanzione per chi, al fuori dei casi sopra indicati, comunichi o diffonda, totalmente o parzialmente, gli elenchi o i dati personali contenuti negli elenchi. L'art. 49 ha infatti aggiunto all'art. 69 del D.P.R. 300/73 il comma 6 bis, il quale prevede per tali comportamenti, quando gli stessi non costituiscano reato, la sanzione amministrativa del pagamento di una somma da cinquemila euro a trentamila euro. La somma può essere aumentata sino al triplo quando risulta inefficace in ragione delle condizioni economiche del contravventore.

La seconda modifica introdotta dall'art. 49 del D.Lg. 112/08 riguarda invece l'art. 66-bis del decreto del Presidente della Repubblica 26 ottobre 1972, n. 633, relativo alla pubblicazione degli elenchi dei contribuenti che hanno presentato la dichiarazione annuale ai fini dell'imposta sul valore aggiunto.

In virtù dell'art. 49 sopra indicato, scompare innanzi tutto la previsione della pubblicazione di tali elenchi annuali da parte dei competenti uffici dell'imposta sul valore aggiunto.

In modo analogo a quanto visto sopra, tali elenchi rimangono depositati per un anno presso i competenti uffici ma la loro consultazione, a differenza che in passato, non è più libera, ma regolata dalla legge 241/90 e dunque riservata ai soli interessati, così come sopra definiti.

Anche in questo caso, è infine introdotta la sanzione amministrativa, nella misura già sopra indicata, e se il fatto non costituisce reato, per tutti i casi di pubblicazione e diffusione al di fuori delle regole dettate in tali articoli.

A queto punto, si attende la conversione in legge entro 60 giorni dall'entrata in vigore del decreto, pubblicato sulla Gazzetta Ufficiale il 25 giugno 2008.

Il D.Lg. 122 /08, all'art. 49, è dunque intervenuto sulla vicenda della pubblicazione degli elenchi dei contribuenti italiani, limitando la possibilità di accesso agli stessi e prevedendo una sanzione amministrativa in caso di diffusione illegittima dei dati in essi contenuti.

Modifiche Codice Privacy

Con Decreto Legge del 25.06.08 n. 112 il Governo ha introdotto due modifiche agli articoli 34 e 38 del D.Lgs. 30.06.03 n. 196 (c.d. Codice Privacy) in materia di autocertificazione, da parte di chi tratta solo dati personali non sensibili, e notificazione telematica.

L'art. 29 del Decreto legge 112/08 (Disposizioni urgenti per lo sviluppo economico, la semplificazione, la competitivita', la stabilizzazione della finanza pubblica e la perequazione Tributaria), dal titolo "Trattamento dei dati personali", ha modificato due articoli del Decreto Legislativo 196/03 (Codice Privacy).

Più in particolare, all'art. 34 del D.Lgs. 196/93, dopo il comma 1, il provvedimento sopra ricordato ha aggiunto il comma 1 bis.

In virtù di tale comma, per i soggetti che trattano soltanto dati personali non sensibili e l'unico dato sensibile e' costituito dallo stato di salute o malattia dei propri dipendenti, senza indicazione della relativa diagnosi, l'obbligo di redazione del documento programmatico della sicurezza entro il 31 marzo di ogni anno, e' sostituito da un'autocertificazione, resa dal titolare del trattamento mediante dichiarazione sostituiva di atto di notorietà, ai sensi dell'articolo 47 del D.P.R. 28 dicembre 2000, n. 445, di trattare soltanto dati personali non sensibili, che l'unico dato sensibile e' costituito dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi, e che il trattamento di tale ultimo dato e' stato eseguito in osservanza delle misure di sicurezza richieste dal Codice Privacy nonché dall'Allegato B) del medesimo provvedimento.

Il Decreto Legge 112/08 ha modificato inoltre l'art. 38, comma 2, del Codice Privacy, relativo alle modalità di notificazione del trattamento. Se prima infatti tale norma prevedeva che la notificazione era validamente effettuata solo se trasmessa per via telematica, utilizzando il modello predisposto dal Garante e osservando le prescrizioni da questi impartite, anche per quanto riguarda le modalità di sottoscrizione con firma digitale e di conferma del ricevimento della notificazione, adesso si stabilisce che: ""La notificazione e' validamente effettuata solo se e' trasmessa attraverso il sito del Garante, utilizzando l'apposito modello, che contiene la richiesta di fornire tutte e soltanto le seguenti informazioni:
1) le coordinate identificative del titolare del trattamento e, eventualmente, del suo rappresentante, nonché di un responsabile del trattamento se designato;
2) la o le finalita' del trattamento;
3) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;
4) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
5) i trasferimenti di dati previsti verso Paesi terzi;
6) una descrizione generale che permetta di valutare in via preliminare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento.".

Le nuove disposizioni sono entrate in vigore il 25 giugno 2008.

Come per ogni decreto legge, si attende adesso la sua conversione in legge entro sessanta giorni dalla sua entrata in vigore.

In conseguenza dell'art. 29 del D.Lg. 112/2008, a partire dal 25 giugno 2008, sono stati modificati gli art. 34 e 38 del Codice Privacy