LIMITI ALL'INTERCONNESSIONE TRA BANCHE DATI PUBBLICHE
CONVENZIONI CON PRIVATI PER REALIZZAZIONE DI OPERE PUBBLICHE
Parere sul regolamento per il trattamento dei dati sensibili e
giudiziari presentato dalla Scuola superiore della pubblica amm
Parere sul regolamento per il trattamento dei dati
sensibili e giudiziari presentato dalla Scuola superiore della pubblica
amministrazione locale - 7 febbraio 2008
IL GARANTE PER LA PROTEZIONE DEI
DATI PERSONALI
Nella riunione odierna, in presenza del prof. Francesco
Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott.
Giovanni Buttarelli, segretario generale;
Visti gli articoli 20, comma 2, e 154, commi 1, lett. g),
e 5, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno
2003, n. 196);
Visto il provvedimento del Garante del 30 giugno 2005
pubblicato in G.U. 23 luglio 2005, n. 170;
Vista la richiesta di parere sul regolamento per il trattamento
dei dati sensibili e giudiziari presentato dalla Scuola superiore della
pubblica amministrazione locale il 12 dicembre 2007 (prot. n. 11671 / 2007 /
SSPAL / ADS / GDV);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio, formulate dal
segretario generale ai sensi dell'art. 15 del regolamento del Garante, n.
1/2000;
Relatore il dott. Giuseppe Fortunato;
PREMESSA
La Scuola superiore della pubblica amministrazione locale
ha chiesto il parere del Garante in ordine a uno schema di regolamento per i
trattamenti di dati sensibili e giudiziari da effettuarsi presso il medesimo
ente.
La Scuola, al pari degli altri soggetti pubblici, può
trattare i dati sensibili e giudiziari in base a un'espressa disposizione di
legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e
le finalità di rilevante interesse pubblico perseguite. In presenza di una
disposizione primaria che si limiti a specificare solo la finalità di rilevante
interesse pubblico, è necessario identificare e rendere pubblici, in un atto di
natura regolamentare conforme al parere reso dal Garante, i tipi di dati
sensibili o giudiziari, nonché le operazioni eseguibili in relazione alle
finalità perseguite nei singoli casi al fine di rendere legittimo il
trattamento (art. 20 del Codice).
Il documento che identifica i tipi di dati e di operazioni
di trattamento eseguibili a cura della Scuola, in relazione a specifiche
finalità perseguite nei singoli casi, viene sottoposto al parere dell'Autorità
ai sensi dell'art. 20, comma 2, del Codice.
OSSERVA
1. Considerazioni generali
Risulta necessario
precisare nelle premesse dello schema di regolamento in esame -non trasmesse a
questa Autorità- l'acquisizione del presente parere ai sensi dell'art. 154,
comma 1, lett. g), del Codice.
In relazione al comma 1 dell'art. 2 dello schema, occorre
fare riferimento esclusivamente alle disposizioni di legge che prevedono le
finalità di rilevante interesse pubblico individuate nelle schede allegate.
Anche per simmetria con l'elenco dei trattamenti di dati menzionato al comma 4
del medesimo articolo, va inoltre verificata l'elencazione dei trattamenti
presi in considerazione nelle schede B e C allegate allo schema, in modo tale
da evitare duplicazioni nella descrizione di trattamenti elencati in altra
scheda (v. scheda C con riferimento all'attività didattica).
2. Finalità di rilevante interesse pubblico
I trattamenti di
dati presi in considerazione nella scheda A, con riferimento alle attività di
gestione del rapporto di lavoro, relative anche alla concessione di permessi,
aspettative o congedi per motivi elettorali, sono interamente riconducibili
alle finalità di rilevante interesse pubblico previste dall'art. 112 del
Codice. Non vanno pertanto menzionate le finalità connesse all'applicazione della
disciplina in materia di elettorato attivo e passivo (art. 65 del Codice) o
relative all'applicazione delle disposizioni in materia tributaria e doganale
(art. 66 del Codice), le quali vanno quindi espunte dalla scheda.
Analogamente, i trattamenti di dati descritti nella scheda
C sono riconducibili alle finalità di rilevante interesse pubblico previste
dagli artt. 86 e 95 del Codice (istruzione e formazione, assistenza,
integrazione sociale e diritti delle persone handicappate) e non anche a quelle
di cui all'art. 64 del Codice (cittadinanza, immigrazione e condizione dello
straniero). Il riferimento a quest'ultimo articolo va quindi eliminato.
3. Tipi di dati
In via generale,
l'individuazione con l'atto di natura regolamentare in questione delle tipologie
di dati trattati deve avere per oggetto unicamente informazioni sensibili e
giudiziarie (artt. 20 e 21 del Codice). Occorre pertanto verificare se i
trattamenti di dati connessi all'"attività didattica (docenza,
predisposizione di materiale didattico, dispense, testi di studio e
ricerca)", menzionati nelle schede A e B dello schema, riguardino
effettivamente solo informazioni sensibili e giudiziarie; i riferimenti ai
trattamenti di informazioni di altra natura vanno infatti espunti dalle schede.
In relazione a tale profilo, si precisa, ad esempio, che i dati "anagrafici
e bancari", quelli relativi "ai compensi percepiti",
"alle valutazioni ottenute dai docenti in relazione ai loro interventi
formativi" nell'ambito delle iniziative didattiche della Scuola,
nonché quelli "inerenti al rapporto di lavoro dipendente dei docenti
presso un Ente/organizzazione pubblica per le autorizzazioni richieste ai fini
dello svolgimento di incarichi retribuiti" non configurano dati
sensibili o giudiziari (art. 4, comma 1, lett. d) ed e), del Codice).
Con riferimento ai tipi di dati trattati nell'ambito delle
attività di studio e di ricerca (scheda B), il riferimento alle scienze mediche
nella descrizione sintetica del trattamento appare incongruo dal momento che le
finalità istituzionali della Scuola sono strettamente connesse alle esigenze di
formazione, aggiornamento e specializzazione degli amministratori pubblici
locali. Al riguardo non risulta comprovata l'asserita indispensabilità
dell'utilizzo dei dati personali relativi allo stato di salute e, in
particolare, di quelli riguardanti le "terapie in corso a fini
assicurativi" per elaborare studi e ricerche; ciò, specie se si
considera che la scheda riguarda gli studi e che, in base al quadro normativo
applicabile alla Scuola, questi ultimi devono focalizzarsi in particolare su
tematiche d'interesse per gli enti locali (art. 1, comma 3, lett. e) d.P.R. 20
ottobre 1998, n. 396). Occorre quindi valutare nuovamente tale indispensabilità
e, in caso di esito positivo della valutazione, documentarla adeguatamente,
risottoponendo la scheda al Garante per un nuovo parere, scheda nella quale
dovrà altrimenti espungersi il riferimento ai predetti tipi di dati.
4. Operazioni eseguibili
Occorre verificare
se la comunicazione indicata nella scheda A nei riguardi dell'Inps "per
incarichi dei prestatori occasionali non titolari di partita Iva"
abbia effettivamente ad oggetto dati sensibili e/o giudiziari. In caso
negativo, va eliminato il riferimento a tale operazione, senza che sia necessario
sottoporre nuovamente la scheda al parere del Garante. Diversamente, è
necessario evidenziare le finalità perseguite e le basi normative eventualmente
esistenti, sottoponendo al Garante, per il previsto parere, la scheda integrata
in tal senso.
Si evidenzia inoltre la necessità di comprovare
l'indispensabilità delle interconnessioni e dei raffronti effettuati con altri
trattamenti o banche dati della Scuola, nonché con l'Agenzia autonoma per la
gestione dell'Albo dei segretari comunali e provinciali. Tali operazioni,
rientrando tra quelle che possono spiegare effetti maggiormente significativi
per gli interessati vanno delimitate rigorosamente alla luce del principio di
indispensabilità, verificando se, nei singoli casi, le attività prese in
considerazione nello schema possano, come sembra, essere realizzate ugualmente
mediante un diverso tipo di collegamento informatico o telematico attraverso il
quale rendere disponibili, su richiesta, la trasmissione o la consultazione in
rete di informazioni detenute da altri uffici e strutture dello stesso titolare
o da altri titolari del trattamento, senza la consultazione diretta di banche
dati. Occorre pertanto valutare nuovamente l'effettiva indispensabilità di tali
operazioni nei termini sopra indicati e, in caso di esito positivo della
valutazione, evidenziarla meglio individuando, nell'ipotesi di interconnessioni
e raffronti tra sistemi informativi della stessa Scuola, le finalità perseguite
e, in caso di interconnessioni e raffronti tra dati sensibili detenuti da
distinti titolari del trattamento, la base normativa che le autorizza (art. 22,
commi 9 e 11, del Codice). Le schede così integrate dovranno poi essere
sottoposte al Garante per un nuovo parere, schede nelle quali dovrà altrimenti
espungersi il riferimento alle operazioni medesime.
5. Conclusioni
La Scuola
superiore della pubblica amministrazione locale è invitata a conformare lo
schema in esame alle indicazioni sopra formulate tenendo presente che il
trattamento dei dati sensibili e giudiziari non può essere effettuato in
difformità dalle indicazioni medesime e che l'individuazione dei tipi di dati e
delle operazioni eseguibili dovrà essere effettuata, differentemente da quanto
risulta dallo schema in esame, necessariamente con un atto di effettiva natura
regolamentare ai sensi dell'art. 20, comma 2, del Codice, suscettibile di
produrre effetti giuridici per gli interessati.
Eventuali, ulteriori trattamenti di dati sensibili e/o
giudiziari non considerati nello schema (che potrà essere comunque integrato in
futuro, previo parere conforme), o svolti nel frattempo possono essere
effettuati lecitamente solo sulla base di un'adeguata base giuridica.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi degli articoli 20, comma 2, e 154, comma 1, lett.
g) del Codice, esprime parere favorevole sullo schema di regolamento
predisposto dalla Scuola superiore della pubblica amministrazione locale, a
condizione che siano rispettate le indicazioni di cui ai punti da 1 a 5,
riguardanti:
la menzione nelle premesse
dello schema di regolamento dell'acquisizione del presente parere; le
modifiche all'art. 2 relative all'indicazione delle disposizioni del
Codice riguardanti le finalità di rilevante interesse pubblico individuate
nello schema; le modifiche relative alla menzione dei trattamenti delle
schede B e C, anche per simmetria con l'elenco citato al comma 4 dello
stesso articolo, espungendo duplicazioni nell'elencazione di trattamenti
descritti in altre schede allegate al medesimo schema;
l'eliminazione
dell'indicazione relativa alle finalità di rilevante interesse pubblico di
cui agli artt. 65 e 66 del Codice (scheda A) e a quelle previste dall'art.
64 del Codice (scheda C);
la verifica riguardante i
trattamenti di dati menzionati nelle schede A e B dello schema;
l'indispensabilità dell'utilizzo di dati personali relativi allo stato di
salute per svolgere attività di studio e di ricerca (scheda B);
la verifica relativa alle
operazioni di comunicazione all'Inps "per incarichi dei
prestatori occasionali non titolari di partita Iva" (scheda A);
l'indispensabilità delle interconnessioni e dei raffronti indicati nello
schema con altri trattamenti o banche dati della Scuola, nonché con
l'Agenzia autonoma per la gestione dell'Albo dei segretari comunali e
provinciali;
l'adozione di un atto di effettiva
natura regolamentare.