LIMITI ALL'INTERCONNESSIONE TRA BANCHE DATI PUBBLICHE



(continua a leggere)


CONVENZIONI CON PRIVATI PER REALIZZAZIONE DI OPERE PUBBLICHE



































































































Parere sul regolamento per il trattamento dei dati sensibili e giudiziari presentato dalla Scuola superiore della pubblica amm Parere sul regolamento per il trattamento dei dati sensibili e giudiziari presentato dalla Scuola superiore della pubblica amministrazione locale - 7 febbraio 2008   IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale; Visti gli articoli 20, comma 2, e 154, commi 1, lett. g), e 5, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196); Visto il provvedimento del Garante del 30 giugno 2005 pubblicato in G.U. 23 luglio 2005, n. 170; Vista la richiesta di parere sul regolamento per il trattamento dei dati sensibili e giudiziari presentato dalla Scuola superiore della pubblica amministrazione locale il 12 dicembre 2007 (prot. n. 11671 / 2007 / SSPAL / ADS / GDV); Vista la documentazione in atti; Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante, n. 1/2000; Relatore il dott. Giuseppe Fortunato; PREMESSA La Scuola superiore della pubblica amministrazione locale ha chiesto il parere del Garante in ordine a uno schema di regolamento per i trattamenti di dati sensibili e giudiziari da effettuarsi presso il medesimo ente. La Scuola, al pari degli altri soggetti pubblici, può trattare i dati sensibili e giudiziari in base a un'espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. In presenza di una disposizione primaria che si limiti a specificare solo la finalità di rilevante interesse pubblico, è necessario identificare e rendere pubblici, in un atto di natura regolamentare conforme al parere reso dal Garante, i tipi di dati sensibili o giudiziari, nonché le operazioni eseguibili in relazione alle finalità perseguite nei singoli casi al fine di rendere legittimo il trattamento (art. 20 del Codice). Il documento che identifica i tipi di dati e di operazioni di trattamento eseguibili a cura della Scuola, in relazione a specifiche finalità perseguite nei singoli casi, viene sottoposto al parere dell'Autorità ai sensi dell'art. 20, comma 2, del Codice. OSSERVA 1. Considerazioni generali Risulta necessario precisare nelle premesse dello schema di regolamento in esame -non trasmesse a questa Autorità- l'acquisizione del presente parere ai sensi dell'art. 154, comma 1, lett. g), del Codice. In relazione al comma 1 dell'art. 2 dello schema, occorre fare riferimento esclusivamente alle disposizioni di legge che prevedono le finalità di rilevante interesse pubblico individuate nelle schede allegate. Anche per simmetria con l'elenco dei trattamenti di dati menzionato al comma 4 del medesimo articolo, va inoltre verificata l'elencazione dei trattamenti presi in considerazione nelle schede B e C allegate allo schema, in modo tale da evitare duplicazioni nella descrizione di trattamenti elencati in altra scheda (v. scheda C con riferimento all'attività didattica). 2. Finalità di rilevante interesse pubblico I trattamenti di dati presi in considerazione nella scheda A, con riferimento alle attività di gestione del rapporto di lavoro, relative anche alla concessione di permessi, aspettative o congedi per motivi elettorali, sono interamente riconducibili alle finalità di rilevante interesse pubblico previste dall'art. 112 del Codice. Non vanno pertanto menzionate le finalità connesse all'applicazione della disciplina in materia di elettorato attivo e passivo (art. 65 del Codice) o relative all'applicazione delle disposizioni in materia tributaria e doganale (art. 66 del Codice), le quali vanno quindi espunte dalla scheda. Analogamente, i trattamenti di dati descritti nella scheda C sono riconducibili alle finalità di rilevante interesse pubblico previste dagli artt. 86 e 95 del Codice (istruzione e formazione, assistenza, integrazione sociale e diritti delle persone handicappate) e non anche a quelle di cui all'art. 64 del Codice (cittadinanza, immigrazione e condizione dello straniero). Il riferimento a quest'ultimo articolo va quindi eliminato. 3. Tipi di dati In via generale, l'individuazione con l'atto di natura regolamentare in questione delle tipologie di dati trattati deve avere per oggetto unicamente informazioni sensibili e giudiziarie (artt. 20 e 21 del Codice). Occorre pertanto verificare se i trattamenti di dati connessi all'"attività didattica (docenza, predisposizione di materiale didattico, dispense, testi di studio e ricerca)", menzionati nelle schede A e B dello schema, riguardino effettivamente solo informazioni sensibili e giudiziarie; i riferimenti ai trattamenti di informazioni di altra natura vanno infatti espunti dalle schede. In relazione a tale profilo, si precisa, ad esempio, che i dati "anagrafici e bancari", quelli relativi "ai compensi percepiti", "alle valutazioni ottenute dai docenti in relazione ai loro interventi formativi" nell'ambito delle iniziative didattiche della Scuola, nonché quelli "inerenti al rapporto di lavoro dipendente dei docenti presso un Ente/organizzazione pubblica per le autorizzazioni richieste ai fini dello svolgimento di incarichi retribuiti" non configurano dati sensibili o giudiziari (art. 4, comma 1, lett. d) ed e), del Codice). Con riferimento ai tipi di dati trattati nell'ambito delle attività di studio e di ricerca (scheda B), il riferimento alle scienze mediche nella descrizione sintetica del trattamento appare incongruo dal momento che le finalità istituzionali della Scuola sono strettamente connesse alle esigenze di formazione, aggiornamento e specializzazione degli amministratori pubblici locali. Al riguardo non risulta comprovata l'asserita indispensabilità dell'utilizzo dei dati personali relativi allo stato di salute e, in particolare, di quelli riguardanti le "terapie in corso a fini assicurativi" per elaborare studi e ricerche; ciò, specie se si considera che la scheda riguarda gli studi e che, in base al quadro normativo applicabile alla Scuola, questi ultimi devono focalizzarsi in particolare su tematiche d'interesse per gli enti locali (art. 1, comma 3, lett. e) d.P.R. 20 ottobre 1998, n. 396). Occorre quindi valutare nuovamente tale indispensabilità e, in caso di esito positivo della valutazione, documentarla adeguatamente, risottoponendo la scheda al Garante per un nuovo parere, scheda nella quale dovrà altrimenti espungersi il riferimento ai predetti tipi di dati. 4. Operazioni eseguibili Occorre verificare se la comunicazione indicata nella scheda A nei riguardi dell'Inps "per incarichi dei prestatori occasionali non titolari di partita Iva" abbia effettivamente ad oggetto dati sensibili e/o giudiziari. In caso negativo, va eliminato il riferimento a tale operazione, senza che sia necessario sottoporre nuovamente la scheda al parere del Garante. Diversamente, è necessario evidenziare le finalità perseguite e le basi normative eventualmente esistenti, sottoponendo al Garante, per il previsto parere, la scheda integrata in tal senso. Si evidenzia inoltre la necessità di comprovare l'indispensabilità delle interconnessioni e dei raffronti effettuati con altri trattamenti o banche dati della Scuola, nonché con l'Agenzia autonoma per la gestione dell'Albo dei segretari comunali e provinciali. Tali operazioni, rientrando tra quelle che possono spiegare effetti maggiormente significativi per gli interessati vanno delimitate rigorosamente alla luce del principio di indispensabilità, verificando se, nei singoli casi, le attività prese in considerazione nello schema possano, come sembra, essere realizzate ugualmente mediante un diverso tipo di collegamento informatico o telematico attraverso il quale rendere disponibili, su richiesta, la trasmissione o la consultazione in rete di informazioni detenute da altri uffici e strutture dello stesso titolare o da altri titolari del trattamento, senza la consultazione diretta di banche dati. Occorre pertanto valutare nuovamente l'effettiva indispensabilità di tali operazioni nei termini sopra indicati e, in caso di esito positivo della valutazione, evidenziarla meglio individuando, nell'ipotesi di interconnessioni e raffronti tra sistemi informativi della stessa Scuola, le finalità perseguite e, in caso di interconnessioni e raffronti tra dati sensibili detenuti da distinti titolari del trattamento, la base normativa che le autorizza (art. 22, commi 9 e 11, del Codice). Le schede così integrate dovranno poi essere sottoposte al Garante per un nuovo parere, schede nelle quali dovrà altrimenti espungersi il riferimento alle operazioni medesime. 5. Conclusioni La Scuola superiore della pubblica amministrazione locale è invitata a conformare lo schema in esame alle indicazioni sopra formulate tenendo presente che il trattamento dei dati sensibili e giudiziari non può essere effettuato in difformità dalle indicazioni medesime e che l'individuazione dei tipi di dati e delle operazioni eseguibili dovrà essere effettuata, differentemente da quanto risulta dallo schema in esame, necessariamente con un atto di effettiva natura regolamentare ai sensi dell'art. 20, comma 2, del Codice, suscettibile di produrre effetti giuridici per gli interessati. Eventuali, ulteriori trattamenti di dati sensibili e/o giudiziari non considerati nello schema (che potrà essere comunque integrato in futuro, previo parere conforme), o svolti nel frattempo possono essere effettuati lecitamente solo sulla base di un'adeguata base giuridica. TUTTO CIÒ PREMESSO IL GARANTE ai sensi degli articoli 20, comma 2, e 154, comma 1, lett. g) del Codice, esprime parere favorevole sullo schema di regolamento predisposto dalla Scuola superiore della pubblica amministrazione locale, a condizione che siano rispettate le indicazioni di cui ai punti da 1 a 5, riguardanti: la menzione nelle premesse dello schema di regolamento dell'acquisizione del presente parere; le modifiche all'art. 2 relative all'indicazione delle disposizioni del Codice riguardanti le finalità di rilevante interesse pubblico individuate nello schema; le modifiche relative alla menzione dei trattamenti delle schede B e C, anche per simmetria con l'elenco citato al comma 4 dello stesso articolo, espungendo duplicazioni nell'elencazione di trattamenti descritti in altre schede allegate al medesimo schema; l'eliminazione dell'indicazione relativa alle finalità di rilevante interesse pubblico di cui agli artt. 65 e 66 del Codice (scheda A) e a quelle previste dall'art. 64 del Codice (scheda C); la verifica riguardante i trattamenti di dati menzionati nelle schede A e B dello schema; l'indispensabilità dell'utilizzo di dati personali relativi allo stato di salute per svolgere attività di studio e di ricerca (scheda B); la verifica relativa alle operazioni di comunicazione all'Inps "per incarichi dei prestatori occasionali non titolari di partita Iva" (scheda A); l'indispensabilità delle interconnessioni e dei raffronti indicati nello schema con altri trattamenti o banche dati della Scuola, nonché con l'Agenzia autonoma per la gestione dell'Albo dei segretari comunali e provinciali; l'adozione di un atto di effettiva natura regolamentare.