Decreto legislativo - 7/03/2005 - n. 82 art. 46 - Dati particolari contenuti nei documenti trasmessi

Inquadramento

Per dati particolari si intendono i vecchi “dati sensibili”, con alcune aggiunte, per i quali già la Convenzione 108 prevede una tutela rafforzata, cioè prescrive il consenso esplicito anche se non necessariamente scritto, perché riguardano aspetti particolarmente privati dell'individuo e possono essere usati a fini discriminatori. Il nuovo regolamento europeo parla di dati soggetti a trattamento speciale, cioè quei dati utilizzati in passato per discriminare gli individui, e la cui tutela ha lo scopo di garantire la libertà di pensiero e di opinione, la dignità della persona e la libertà da possibili discriminazioni (vedi Profilazione). Rispetto alla precedente normativa, il regolamento europeo aggiunge anche i dati genetici e i dati biometrici tra quelli a trattamento speciale.

L'art. 9 e 10 del GDPR sanciscono un generale divieto di trattare alcuni categorie particolari di dati, cioè i dati che rivelino:

- l'origine razziale o etnica;

- le opinioni politiche;

- le convinzioni religiose o filosofiche;

- l'appartenenza sindacale;

- i dati genetici, che forniscono informazioni uniche sulla fisiologia o la salute di un individuo (per i quali il Garante ha prorogato la validità dell'autorizzazione generale del 15 dicembre 2016);

- dati biometrici intesi a identificare in modo univoco una persona fisica (ad esempio, un gruppo di fotografie caricate online, oppure negli aeroporti dove l'immagine dell'individuo viene scansionata per identificarlo);

- dati relativi alla salute (anche la semplice ferita ad una mano), cioè tutti i dati che rivelano informazioni sullo stato di salute fisica o mentale passato, presente e futuro della persona interessata, da interpretare in senso ampio comprendendo informazioni riguardanti tutti gli aspetti, tanto fisici quanto psichici, della salute di una persona (vedi la sentenza della Corte di giustizia europea del 6 novembre 2003, C 101/01, Rs Lindqvist, punto 50 f);

- dati relativi alla vita sessuale o all'orientamento sessuale della persona;

- dati relativi a condanne penali e reati (rivelano l'esistenza di provvedimenti penali suscettibili di iscrizione nel casellario giudiziale, o la qualità di indagato o imputato, vedi art. 2-octies Codice Privacy), il cui trattamento è consentito solo se autorizzato da norma di legge o di regolamento. Queste categorie di dati possono essere trattate solo nei casi espressamente indicati:

a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche;

b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato da norme giuridiche o contratti collettivi;

c) il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica (vedi basi giuridiche del trattamento), qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso;

d) il trattamento è effettuato da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l'associazione o l'organismo a motivo delle sue finalità e che i dati personali non siano comunicati all'esterno senza il consenso dell'interessato;

e) il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato (ad esempio pubblicati su Facebook, ma qui occorre sempre tenere presente la finalità della pubblicazione per decidere se è lecito utilizzarli);

f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;

g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base di norme giuridiche, prevedendo misure appropriate per tutelare i diritti dell'interessato;

h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità;

i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti dell'interessato, in particolare il segreto professionale;

j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.

Inoltre, i dati personali di cui all'art. 9 del GDPR possono essere trattati, per la finalità di cui al punto h), se il trattamento avviene ad opera o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch'essa soggetta all'obbligo di segretezza conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.

Per la qualificazione di un dato a trattamento speciale, è importante tenere presente il contesto. Ad esempio, l'immagine di un individuo che indossa abiti religiosi non è considerata dato a trattamento speciale, in quanto l'individuo in questione esercita la sua professione, così come non lo è l'immagine di un politico ritratta col simbolo del partito. Invece, l'immagine di una persona che entra in un luogo di culto o in una sede di partito è dato a trattamento speciale in quanto è indice della scelta effettuata.

Col decreto di adeguamento del Codice Privacy il legislatore italiano ha stabilito che l'autorità di controllo può imporre ulteriori misure di garanzia nel caso di trattamento dei dati sulla salute, i dati genetici o biometrici, e questo a mezzo di provvedimenti rivisti a cadenza biennale. Tali misure sono state fissate col provvedimento del 5 giugno 2019. In particolare tali prescrizioni riguardano i:

- trattamenti di categorie particolari di dati nei rapporti di lavoro (autorizzazione generale 1/2016);

- trattamenti di categorie particolari di dati da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose (aut. gen. 3/2016);

- trattamenti di categorie particolari di dati da parte degli investigatori privati (aut. gen. 6/2016);

- trattamenti di dati genetici (aut. gen. 8/2016);

- trattamenti di dati personali effettuati per scopi di ricerca scientifica (aut. gen. 9/2016).

Ricordiamo che la violazione delle prescrizioni di tale provvedimento sono sanzionate dall'art. 83, par. 5 del Regolamento europeo, cioè con una sanzione amministrativa fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Bibliografia

Iaselli, La pubblica amministrazione digitale, Napoli, 2009; Manca, Le firme elettroniche. Normative, standard, scenari e modalità di utilizzo, Roma, 2021.