Privacy: rinnovate le autorizzazioni generali per il trattamento dei dati sensibili

Il Garante per la protezione dei dati personali, meglio noto come Garante della Privacy, ha adottato una serie di provvedimenti (pubblicati sulla Gazzetta Ufficiale n. 301 del 30.12.2014), a mezzo dei quali ha rinnovato le
autorizzazioni generali al trattamento dei dati sensibili e giudiziari.

Tali nuove autorizzazioni, emanate in sostituzione di quelle in scadenza al 31.12.2014, sono provvisorie ed a tempo determinato, efficaci per il periodo di 24 mesi. Tali provvedimenti eliminano, dunque, per il periodo di riferimento (
sino al 31.12.2016), l’obbligo della richiesta dell’autorizzazione al Garante, imposto ai titolari che effettuano il trattamento di dati sensibili nei casi espressamente menzionati.

I provvedimenti riguardano i rapporti di lavoro, i dati sulla salute e la vita sessuale, le associazioni e le fondazioni, i liberi professionisti, le attività creditizie, assicurative, il settore turistico, l’elaborazione dei dati effettuata per conto terzi, gli investigatori privati e il trattamento dei dati di carattere giudiziario. Le nuove autorizzazioni non recano significative modifiche rispetto a quelle in scadenza, alle quali sono state apportate solo alcune integrazioni relative a modifiche normative intervenute nei settori considerati.

I provvedimenti di interesse per il mondo sportivo e del terzo settore risultano essere le
autorizzazioni n. 2 e n. 3, volte rispettivamente a regolamentare il trattamento dei dati idonei a rivelare lo stato di salute degli interessati ed il trattamento di dati sensibili da parte degli organismi di tipo associativo e delle fondazioni.

In riferimento ai dati inerenti la salute degli interessati (
aut. 2), si ricorda che l’autorizzazione è concessa dal Garante
“alle persone fisiche e giuridiche, agli enti, alle associazioni ed agli altri organismi che gestiscono impianti o strutture sportive, esclusivamente in relazione ai dati e alle operazioni indispensabili per accertare l’idoneità fisica alla partecipazione ad attività sportive o agonistiche”.

Il successivo provvedimento menzionato (
aut. 3), invece, si occupa di disciplinare il trattamento di dati sensibili di diversa natura, individuati dall’art. 4, comma 1, lettera d) del Codice della Privacy, da parte di soggetti specificamente individuati. Tali dati si riferiscono ad informazioni idonee a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, sempre se indispensabili al perseguimento delle finalità dell’ente.

Per quanto di interesse la presente autorizzazione è rilasciata: alle associazioni anche non riconosciute, alle organizzazioni di volontariato, alle fondazioni, ai comitati e ad ogni altro ente, consorzio od organismo senza scopo di lucro, dotato o meno di personalità giuridica, ivi comprese le organizzazioni non lucrative di utilità sociale (Onlus). L’autorizzazione è valida, infine, per le cooperative sociali di cui alla legge n. 381/1991. L’autorizzazione è rilasciata per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e in particolare
“per il perseguimento di finalità culturali, religiose, politiche, sindacali, sportive o agonistiche di tipo non professionistico …”.

Qualora i soggetti autorizzati, alla luce di quanto detto in precedenza, si avvalgano di persone giuridiche o di
liberi professionisti per perseguire le predette finalità, la presente autorizzazione si considera estesa anche a costoro. Gli enti autorizzati possono comunicare alle persone giuridiche e agli organismi con scopo di lucro titolari di un autonomo trattamento i soli dati sensibili strettamente indispensabili per le attività di effettivo ausilio alle predette finalità.

Se, come detto, le autorizzazioni generali hanno fatto venir meno l’obbligo per le associazioni e società sportive dilettantistiche nonché per le Federazioni di richiedere l’autorizzazione al Garante per ogni singolo trattamento, è opportuno ricordare che
non è comunque venuto meno il fondamentale obbligo di acquisire il consenso per il trattamento dei dati sensibili da parte del soggetto interessato. A tal fine, comunque, non si segnalano variazioni da apportare alla modulistica già attualmente in uso.

Va da ultimo avvertito che le nuove autorizzazioni emanate non apportano modifiche in relazione alle modalità del trattamento dei dati sensibili. I provvedimenti in commento confermano che i sistemi informativi e i programmi informatici utilizzati per il trattamento devono essere configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite possono essere realizzate mediante dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità. I dati possono essere conservati per un periodo non superiore a quello necessario per adempiere agli obblighi o ai compiti sopra indicati. A tal fine, anche mediante controlli periodici, deve essere verificata costantemente la
stretta pertinenza, non eccedenza e indispensabilità dei dati rispetto al rapporto in corso fra l’interessato e l’ente titolare del trattamento. Si ribadisce, infine, che i dati sensibili possono essere comunicati a soggetti pubblici o privati e, ove necessario, diffusi, solo se strettamente pertinenti alle finalità ed agli scopi per i quali è riconosciuta l’autorizzazione stessa al trattamento. Va tuttavia ricordato che, ai sensi degli artt. 22, comma 8, e 26, comma 5, del Codice, i dati idonei a rivelare lo stato di salute dell’interessato non possono essere diffusi.

Gli enti titolari dei trattamenti che rientrano nell’ambito di applicazione delle predette autorizzazioni, non sono dunque tenuti,
sino al 31.12.2016, a presentare una richiesta di autorizzazione al Garante, qualora il trattamento che si intende effettuare sia conforme alle prescrizioni analizzate in precedenza,
fermo l’obbligo di richiedere l’autorizzazione al trattamento all’interessato.