Codice della privacy: allegato A - codici di deontologia

PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati che abroga la direttiva 95/46/CE (di seguito, «regolamento»);

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito «Codice»);

Visto l'art. 85 del citato regolamento che demanda al diritto degli Stati membri il compito di conciliare la protezione dei dati personali con il diritto alla liberta' di espressione e di informazione, ivi incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria, anche attraverso l'introduzione di esenzioni o deroghe ai principi dettati dal regolamento per la generalita' dei trattamenti (cfr. art. 85, par. 2, del regolamento);

Visto il Titolo XII del Codice in materia di protezione dei dati personali, cosi' come modificato dall'art. 12 del decreto legislativo n. 101/2018, che, oltre a ridefinire l'ambito oggettivo del trattamento, includendovi anche quello effettuato nel contesto di attivita' di manifestazione del pensiero in campo accademico e letterario, prevede specificamente che il trattamento dei dati indicati dagli articoli 9, par. 1, e 10, del regolamento, ovvero dei dati particolari e dei dati relativi a condanne penali e reati, debba avvenire nel rispetto delle regole deontologiche il cui rispetto costituisce condizione essenziale per la liceita' e la correttezza del trattamento di dati personali ai sensi dell'art. 2-quater, comma 4, del Codice;

Visto l'art. 20, comma 4, del decreto legislativo n. 101/2018 che demanda al Garante il compito di effettuare, nel termine di novanta giorni dall'entrata in vigore del decreto stesso, una verifica della conformita' al regolamento delle disposizioni contenute in alcuni codici deontologici ivi indicati, tra i quali quelle contenute nel «Codice di deontologia relativo al trattamento dei dati personali nell'esercizio dell'attivita' giornalistica», adottato il 29 luglio 1998, attualmente inserito nel Codice in materia di protezione come allegato A.1 ed applicabile sino al completamento della menzionata procedura;

Rilevato che, sempre secondo quanto previsto dal citato art. 20, comma 4, del decreto legislativo n. 101/2018, al termine della suddetta procedura di verifica, le «disposizioni ritenute compatibili, ridenominate regole deontologiche, sono pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministro della giustizia, sono successivamente riportate nell'allegato A del Codice»;

Ritenuto che la valutazione di compatibilita' di dette disposizioni con il regolamento non possa prescindere da una loro lettura che tenga integralmente conto del mutato quadro normativo di riferimento;

Ritenuto, per tale ragione, che:

i richiami alla legge 31 dicembre 1996, n. 675 ed alla direttiva 95/46/CE contenuti in alcune disposizioni del codice deontologico debbano intendersi riferiti alle corrispondenti disposizioni del regolamento e del Codice in materia di protezione dei dati personali, come modificato dal d.lgs. n. 101/2018;

eventuali modifiche normative rilevanti nella disciplina di specie - quali l'inclusione dei dati genetici e dei dati biometrici fra le categorie di dati particolari - debbano essere prese in considerazione per determinare la compatibilita' delle disposizioni esistenti con il quadro normativo attuale;

Ritenuto che tali elementi, relativi all'aggiornamento della disciplina in materia, debbano essere recepiti nelle «Regole deontologiche relative al trattamento dei dati personali nell´esercizio dell´attivita' giornalistica» in ragione di quanto disposto dall'art. 20, comma 4, del decreto legislativo n. 101/2018;

Ritenuto, all'esito della verifica della conformita' al regolamento delle disposizioni previste nel «Codice di deontologia relativo al trattamento dei dati personali nell'esercizio dell'attivita' giornalistica», che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, debbano essere pubblicate ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018 come «Regole deontologiche relative al trattamento dei dati personali nell´esercizio dell´attivita' giornalistica»;

Considerato che le predette «Regole deontologiche» sono volte a disciplinare i trattamenti in questione in attesa di un auspicabile aggiornamento delle stesse ai sensi degli articoli 2-quater e 136 del Codice;

Ritenuto di disporre la trasmissione delle suddette «Regole deontologiche» all´Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la relativa pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell´Allegato A) al Codice;

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

Tutto cio' premesso il Garante

ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018, verificata la conformita' al regolamento delle disposizioni del «Codice di deontologia relativo al trattamento dei dati personali nell'esercizio dell'attivita' giornalistica», dispone che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, siano pubblicate come «Regole deontologiche relative al trattamento dei dati personali nell´esercizio dell´attivita' giornalistica» e ne dispone, altresi', la trasmissione all´Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell´Allegato A) al Codice.

Roma, 29 novembre 2018

Il presidente e relatore: Soro

Il segretario generale: Busia

A.1. Regole deontologiche relative al trattamento dei dati personali

2. Se i dati personali sono raccolti presso banche dati di uso redazionale, le imprese editoriali sono tenute a rendere noti al pubblico, mediante annunci, almeno due volte l´anno, l'esistenza dell´archivio e il luogo dove e' possibile esercitare i diritti previsti dal regolamento. Le imprese editoriali indicano altresi' fra i dati della gerenza il responsabile del trattamento al quale le persone interessate possono rivolgersi per esercitare i diritti previsti dal regolamento.

3. Gli archivi personali dei giornalisti, comunque funzionali all´esercizio della professione e per l´esclusivo perseguimento delle relative finalita', sono tutelati, per quanto concerne le fonti delle notizie, ai sensi dell'art. 2 della legge n. 69/1963 e dell'art. 14, par. 5, lett. d), del regolamento, nonche' dell'art. 138 del Codice.

2. La sfera privata delle persone note o che esercitano funzioni pubbliche deve essere rispettata se le notizie o i dati non hanno alcun rilievo sul loro ruolo o sulla loro vita pubblica.

2. La tutela della personalita' del minore si estende, tenuto conto della qualita' della notizia e delle sue componenti, ai fatti che non siano specificamente reati.

2. Salvo rilevanti motivi di interesse pubblico o comprovati fini di giustizia e di polizia, il giornalista non riprende ne' produce immagini e foto di persone in stato di detenzione senza il consenso dell´interessato.

2. Il trattamento di dati personali idonei a rivelare provvedimenti di cui all´art. 686, commi 1, lettere a) e d), 2 e 3, del codice di procedura penale (1) e' ammesso nell´esercizio del diritto di cronaca, secondo i principi di cui all'art. 5.

DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il regolamento (Ue) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati), (di seguito «Regolamento» e «RGPD»);

Visto il decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE»;

Visto il Codice in materia di protezione dei dati personali, decreto legislativo 30 giugno 2003, n. 196 (di seguito «Codice»), cosi' come modificato dal predetto decreto legislativo n. 101 del 2018;

Visto il decreto legislativo 22 gennaio 2004, n. 42, recante «Codice dei beni culturali e del paesaggio», ai sensi dell'art. 10 della legge 6 luglio 2002, n. 137;

Visto il codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici, allegato A.2 al Codice;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

Premesso:

L'art. 20, commi 3 e 4, del decreto legislativo 101 del 2018 ha conferito al Garante il compito di verificare, nel termine di novanta giorni dalla sua entrata in vigore, la conformita' al regolamento delle disposizioni contenute nei codici di deontologia e buona condotta di cui agli allegati A.1, A.2, A.3, A.4 e A.6 al Codice.

Le disposizioni ritenute compatibili, ridenominate regole deontologiche, dovranno essere pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministero della giustizia, saranno successivamente riportate nell'allegato A al Codice.

Il Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici cessa di produrre effetti dalla pubblicazione delle predette regole nella Gazzetta Ufficiale (art. 20, comma 3, del decreto legislativo 101 del 2018).

Resta fermo che successivamente, il Garante potra' promuovere la revisione di tali regole, secondo la procedura di cui all'art. 2-quater del Codice, in base alla quale lo schema delle regole deontologiche, nell'osservanza del principio di rappresentativita', deve essere sottoposto a consultazione pubblica, per almeno sessanta giorni.

A regime, l'art. 102 del Codice, cosi' come novellato dall'art. 8 dal decreto legislativo n. 101/2018, prevede specificamente che le regole deontologiche individuino garanzie adeguate per i diritti e le liberta' dell'interessato e si applicano ai soggetti pubblici e privati, ivi comprese le societa' scientifiche e le associazioni professionali, interessati al trattamento dei dati a fini di archiviazione nel pubblico interesse o di ricerca storica.

Osserva:

Nell'ambito del presente provvedimento sono individuate le disposizioni del codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici, allegato A2 al Codice, adottato con provvedimento del Garante n. 8 del 14 marzo 2001, ritenute non conformi al regolamento e, in allegato sono riportate le disposizioni conformi, ridenominate regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o di ricerca storica.

Le regole si applicano ai trattamenti di dati personali effettuati a fini di archiviazione nel pubblico interesse o di ricerca storica, fermo restando il rispetto dei principi e degli specifici adempimenti richiesti dal regolamento e dal Codice.

Il rispetto delle disposizioni contenute nelle regole deontologiche costituisce condizione essenziale per la liceita' e correttezza del trattamento dei dati personali e il mancato rispetto delle stesse comporta l'applicazione della sanzione di cui all'art. 83, paragrafo 5 del regolamento (articoli 2-quater, comma 4, e 166, comma 2, del Codice).

L´osservanza di tali regole non deve, in ogni caso, pregiudicare l´indagine, la ricerca, la documentazione e lo studio ovunque svolti, in relazione a figure, fatti e circostanze del passato.

In via generale, si rappresenta che si e' tenuto conto dell'esigenza di contemperare il diritto alla liberta' di ricerca storica con altri diritti fondamentali dell'individuo, in ossequio al principio di proporzionalita' (cons. 4 RGPD), verificando la conformita' delle disposizioni del codice di deontologia, in particolare, ai considerando e agli articoli dedicati alla ricerca storica e all'archiviazione nel pubblico interesse (cons. 156, art. 5, comma 1, lettera b) ed e), art. 9, art. 10, e art. 89, par. 1 RGPD).

1. Modifiche generali

Preliminarmente, si osserva che si e' reso necessario aggiornare i riferimenti normativi presenti nel codice di deontologia e la semantica utilizzata rispetto al rinnovato quadro normativo europeo e nazionale di riferimento.

Si e' reso necessario, inoltre, eliminare il preambolo del codice di deontologia, dovendosi, in base al richiamato art. 20 del decreto legislativo 101 del 2018, ridenominare solo le disposizioni dello stesso. Il preambolo, invece, nel sintetizzare le condizioni di liceita' del trattamento, evidenziava, altresi', i presupposti della sottoscrizione del codice di deontologia avvenuta nel 2001, nel rispetto del principio di rappresentativita', che, comunque, rimane alla base delle presenti regole.

Cionondimeno, i principi e le fonti di diritto sovranazionale ivi richiamati, sono in ogni caso da ritenersi a fondamento dei trattamenti di dati personali effettuati nell'ambito degli archivi e della ricerca storica.

2. Disposizioni ritenute incompatibili

Si e' ritenuto di riformulare il Titolo del Capo II in «Disposizioni generali per gli archivisti e liceita' dei relativi trattamenti» e la rubrica dell'art. 3 in «Disposizioni generali», nonche' il titolo del Capo III in «Disposizioni generali per gli utenti e condizioni per la liceita' dei relativi trattamenti» e la rubrica dell'art. 9 in «Disposizioni generali», al fine di prevenire sovrapposizioni tra le presenti regole deontologiche con i futuri codici di condotta, che potranno essere adottati ai sensi degli articoli 40 e ss. RGPD.

Parimenti, e' stata aggiornata la rubrica dell'art. 7 da «Aggiornamento dei dati» in «Esercizio dei diritti», tenuto conto che l'art. 16 del Regolamento ricomprende il diritto di aggiornamento nel diritto di rettifica e integrazione di cui all'art. 16 RGPD.

All'art. 8, «Fonti orali», e' stata eliminata la disposizione che consentiva al titolare del trattamento di fornire un'«informativa semplificata» in caso di trattamento di fonti orali; cio', in quanto il regolamento non prevede alcuna forma di deroga o semplificazione agli obblighi informativi, quando i dati sono raccolti presso gli interessati (cfr. art. 13 RGPD).

Parimenti, e' stata rilevata la non conformita' al regolamento dell'art. 11, comma 5, del codice di deontologia che - nell'esonerare dall'obbligo di fornire l'informativa agli interessati nei casi di raccolta di dati personali presso soggetti terzi, quando cio' risulti impossibile o comporti uno sforzo sproporzionato - non prevedeva misure appropriate per tutelare i diritti, le liberta' e i legittimi interessi dell'interessato, come richiesto dall'art. 14, par. 5 lettera b), del regolamento.

Sono state, altresi', modificate le rubriche degli articoli 12 e 13, rispettivamente, come segue «Applicazione delle regole deontologiche» e «Violazione delle regole deontologiche».

3. Regole deontologiche

I predetti elementi, relativi all'aggiornamento della disciplina in materia, sono recepiti nelle «Regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o di ricerca storica» in ragione di quanto disposto dall'art. 20, comma 4, del decreto legislativo n. 101/2018 e riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante. Tali «Regole deontologiche» sono volte a disciplinare i trattamenti in questione in attesa di un auspicabile aggiornamento delle stesse ai sensi degli articoli 2-quater e 101 e ss. del Codice. Pertanto, si dispone la trasmissione delle suddette «Regole deontologiche» all´Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la relativa pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell´Allegato A) al Codice.

Tutto cio' premesso il Garante:

Ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018, verificata la conformita' al regolamento delle disposizioni del codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici, allegato A.2 al Codice, dispone che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, siano pubblicate come «Regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o di ricerca storica» e ne dispone, altresi', la trasmissione all´Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell´allegato A) al Codice.

Roma, 19 dicembre 2018

Il presidente

Soro

Il relatore

Iannini

Il segretario generale

Busia

2. Le presenti regole riguardano i trattamenti di dati personali effettuati per scopi storici in relazione ai documenti conservati presso archivi delle pubbliche amministrazioni, enti pubblici ed archivi privati dichiarati di notevole interesse storico. Le regole deontologiche si applicano, senza necessita' di sottoscrizione, all´insieme dei trattamenti di dati personali comunque effettuati dagli utenti per scopi storici.

3. Il presenti regole recano, altresi', principi-guida di comportamento dei soggetti che trattano per scopi storici dati personali conservati presso archivi pubblici e archivi privati dichiarati di notevole interesse storico, e in particolare:

a) nei riguardi degli archivisti, individua regole di correttezza e di non discriminazione nei confronti degli utenti, indipendentemente dalla loro nazionalita', categoria di appartenenza, livello di istruzione;

b) nei confronti degli utenti, individua cautele per la raccolta, l´utilizzazione e la diffusione dei dati contenuti nei documenti.

a) per «archivista», chiunque, persona fisica o giuridica, ente o associazione, abbia responsabilita' di controllare, acquisire, trattare, conservare, restaurare e gestire archivi storici, correnti o di deposito della pubblica amministrazione, archivi privati dichiarati di notevole interesse storico, nonche' gli archivi privati di cui al precedente art. 1, comma 4;

b) per «utente», chiunque chieda di accedere o acceda per scopi storici a documenti contenenti dati personali, anche per finalita' giornalistiche o di pubblicazione occasionale di articoli, saggi e altre manifestazioni del pensiero;

2. Gli archivisti di enti o istituzioni pubbliche si adoperano per il pieno rispetto, anche da parte dei terzi con cui entrano in contatto per ragioni del proprio ufficio o servizio, delle disposizioni di legge e di regolamento in materia archivistica e, in particolare, di quanto previsto nel Capo III "Consultabilita' dei documenti degli archivi e tutela della riservatezza", artt. da 122-127 del decreto legislativo n. 42 del 2004 e agli artt. da 101-103 del Codice.

3. I soggetti che operano presso enti pubblici svolgendo funzioni archivistiche, nel trattare dati di carattere personale si attengono ai doveri di lealta', correttezza, imparzialita', onesta' e diligenza propri dell´esercizio della professione e della qualifica o livello ricoperti. Essi conformano il proprio operato al principio di trasparenza della attivita' amministrativa.

a) favorire il recupero, l´acquisizione e la tutela dei documenti. A tal fine, operano in conformita' con i principi, i criteri metodologici e le pratiche della professione generalmente condivisi ed accettati, curando anche l´aggiornamento sistematico e continuo delle proprie conoscenze storiche, amministrative e tecnologiche;

b) tutelare l´integrita' degli archivi e l´autenticita' dei documenti, anche elettronici e multimediali, di cui promuovono la conservazione permanente, in particolare di quelli esposti a rischi di cancellazione, dispersione ed alterazione dei dati;

c) salvaguardare la conformita' delle riproduzioni dei documenti agli originali ed evitare ogni azione diretta a manipolare, dissimulare o deformare fatti, testimonianze, documenti e dati;

2. L´archivista promuove il piu' largo accesso agli archivi e, attenendosi al quadro della normativa vigente, favorisce l´attivita' di ricerca e di informazione nonche' il reperimento delle fonti.

3. L´archivista informa il ricercatore sui documenti estratti temporaneamente da un fascicolo perche' esclusi dalla consultazione.

a) non fare alcun uso delle informazioni non disponibili agli utenti o non rese pubbliche, ottenute in ragione della propria attivita' anche in via confidenziale, per proprie ricerche o per realizzare profitti e interessi privati. Nel caso in cui l´archivista svolga ricerche per fini personali o comunque estranei alla propria attivita' professionale, e' soggetto alle stesse regole e ai medesimi limiti previsti per gli utenti;

b) mantenere riservate le notizie e le informazioni concernenti i dati personali apprese nell´esercizio delle proprie attivita'.

2. Ai fini dell´applicazione dell'art. 15 RGPD, in presenza di eventuali richieste generalizzate di accesso ad un´ampia serie di dati o documenti, l´archivista pone a disposizione gli strumenti di ricerca e le fonti pertinenti fornendo al richiedente idonee indicazioni per una loro agevole consultazione.

2. Fanno eccezione, ai sensi delle leggi vigenti, i documenti di carattere riservato relativi alla politica interna ed estera dello Stato che divengono consultabili cinquanta anni dopo la loro data e quelli contenenti i dati di cui agli artt. 9, par. 1, e 10 RGPD, che divengono liberamente consultabili quaranta anni dopo la loro data. Il termine e' di settanta anni se i dati sono relativi alla salute ovvero alla vita o all'orientamento sessuale oppure rapporti riservati di tipo familiare.

3. L´autorizzazione alla consultazione dei documenti di cui al comma 2 puo' essere rilasciata prima della scadenza dei termini dal Ministro dell´interno, previo parere del direttore dell´Archivio di Stato o del sovrintendente archivistico competenti e udita la Commissione per le questioni inerenti alla consultabilita' degli atti di archivio riservati istituita presso il Ministero dell´interno, secondo quanto previsto all'art. 123 del decreto legislativo n. 42 del 2004.

4. In caso di richiesta di autorizzazione a consultare i documenti di cui al comma 2 prima della scadenza dei termini, l´utente presenta all´ente che li conserva un progetto di ricerca che, in relazione alle fonti riservate per le quali chiede l´autorizzazione, illustri le finalita' della ricerca e le modalita' di diffusione dei dati. Il richiedente ha facolta' di presentare ogni altra documentazione utile.

5. L´autorizzazione di cui al comma 3 alla consultazione e' rilasciata a parita' di condizioni ad ogni altro richiedente. La valutazione della parita' di condizioni avviene sulla base del progetto di ricerca di cui al comma 4.

6. L´autorizzazione alla consultazione dei documenti, di cui al comma 3, prima dello scadere dei termini, puo' contenere cautele volte a consentire la comunicazione dei dati senza ledere i diritti, le liberta' e la dignita' delle persone interessate.

7. Le cautele possono consistere anche, a seconda degli obiettivi della ricerca desumibili dal progetto, nell´obbligo di non diffondere i nomi delle persone, nell´uso delle sole iniziali dei nominativi degli interessati, nell´oscuramento dei nomi in una banca dati, nella sottrazione temporanea di singoli documenti dai fascicoli o nel divieto di riproduzione dei documenti. Particolare attenzione e' prestata al principio della pertinenza e all´indicazione di fatti o circostanze che possono rendere facilmente individuabili gli interessati.

2. Nel far riferimento allo stato di salute delle persone l´utente si astiene dal pubblicare dati analitici di interesse strettamente clinico e dal descrivere abitudini sessuali riferite ad una determinata persona identificata o identificabile.

3. La sfera privata delle persone note o che abbiano esercitato funzioni pubbliche deve essere rispettata nel caso in cui le notizie o i dati non abbiano alcun rilievo sul loro ruolo o sulla loro vita pubblica.

4. Al momento della diffusione dei dati il principio della pertinenza e' valutato dall´utente con particolare riguardo ai singoli dati personali contenuti nei documenti, anziche' ai documenti nel loro complesso. L´utente puo' diffondere i dati personali se pertinenti e indispensabili alla ricerca e se gli stessi non ledono la dignita' e la riservatezza delle persone.

2. Le societa' e le associazioni tenute ad applicare le presenti regole adottano, sulla base dei propri ordinamenti e regolamenti, le opportune misure in caso di violazione del codice stesso, ferme restando le sanzioni di legge.

3. La violazione delle prescrizioni delle presenti regole deontologiche da parte degli utenti e' comunicata agli organi competenti per il rilascio delle autorizzazioni a consultare documenti riservati prima del decorso dei termini di legge, ed e' considerata ai fini del rilascio dell´autorizzazione medesima. L´amministrazione competente, secondo il proprio ordinamento, puo' altresi' escludere temporaneamente dalle sale di studio i soggetti responsabili della violazione delle regole delle presenti regole deontologiche. Gli stessi possono essere esclusi da ulteriori autorizzazioni alla consultazione di documenti riservati.

PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva n. 95/46/CE (regolamento generale sulla protezione dei dati) (di seguito «regolamento» e «RGPD»);

Visto il decreto legislativo 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva n. 95/46/CE;

Visto il Codice in materia di protezione dei dati personali, decreto legislativo 30 giugno 2003, n. 196 (di seguito Codice), cosi' come modificato dal predetto decreto legislativo n. 101 del 2018;

Visto il decreto legislativo 6 settembre 1989, n. 322, recante norme sul Sistema statistico nazionale e sulla riorganizzazione dell'Istituto nazionale di statistica, ai sensi dell'art. 24 della legge 23 agosto 1988, n. 400;

Visto l'art. 5-ter del decreto legislativo 14 marzo 2013, n. 33, recante Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicita', trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni, relativo all'accesso per fini scientifici ai dati elementari raccolti per finalita' statistiche;

Visto il Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifici effettuati nell'ambito del Sistema statistico nazionale, allegato A.3 al codice;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

Premesso

L'art. 20, commi 3 e 4, del decreto legislativo 101 del 2018 ha conferito al garante il compito di verificare, nel termine di novanta giorni dalla sua entrata in vigore, la conformita' al regolamento delle disposizioni contenute nei codici di deontologia e buona condotta di cui agli allegati A.1, A.2, A.3, A.4 e A.6 al Codice.

Le disposizioni ritenute compatibili, ridenominate regole deontologiche, dovranno essere pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministero della giustizia, saranno successivamente riportate nell'allegato A al codice.

Il Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifici effettuati nell'ambito del Sistema statistico nazionale cessa di produrre effetti dalla pubblicazione delle predette regole nella Gazzetta Ufficiale (art. 20, comma 3, del decreto legislativo 101 del 2018).

Successivamente, il garante potra' promuovere la revisione di tali regole, secondo la procedura di cui all'art. 2-quater del Codice, in base alla quale lo schema delle regole deontologiche, nell'osservanza del principio di rappresentativita', deve essere sottoposto a consultazione pubblica, per almeno sessanta giorni.

A regime, l'art. 106 del Codice, cosi' come novellato dall'art. 8 dal decreto legislativo n. 101/2018, prevede specificamente che le regole deontologiche individuino garanzie adeguate per i diritti e le liberta' dell'interessato e si applicano ai soggetti i soggetti pubblici e privati, ivi comprese le societa' scientifiche e le associazioni professionali, interessati al trattamento dei dati per fini statistici o di ricerca scientifica ricompresi nell'ambito del Sistema statistico nazionale.

Osserva

Nell'ambito del presente provvedimento sono individuate le disposizioni del Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale, allegato A.3 al Codice, adottato con provvedimento del garante n. 13 del 31 luglio 2002, ritenute non conformi al regolamento e, in allegato, sono riportate le disposizioni conformi, ridenominate regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale.

I soggetti tenuti all'applicazione delle allegate regole osservano, altresi', il principio di imparzialita' e di non discriminazione nei confronti di altri utilizzatori, in particolare nell'ambito della comunicazione per scopi statistici di dati depositati in archivi pubblici e trattati da enti pubblici o sulla base di finanziamenti pubblici. Cio', fermo restando il rispetto dei principi, delle garanzie e degli specifici adempimenti richiesti dal regolamento e dal Codice.

L'osservanza delle disposizioni contenute nelle regole deontologiche costituisce condizione essenziale per la liceita' e correttezza del trattamento dei dati personali e il mancato rispetto delle stesse comporta l'applicazione della sanzione di cui all'art. 83, paragrafo 5, del regolamento (artt. 2-quater, comma 4, e 166, comma 2, del codice).

In via generale, si rappresenta che si e' tenuto conto dell'esigenza di contemperare il diritto alla liberta' di ricerca scientifica e statistica nell'ambito del Sistema statistico nazionale, in ossequio al principio di proporzionalita' (cons. 4 del regolamento), verificando la conformita' delle disposizioni del Codice di deontologia, in particolare, ai principali considerando e agli articoli dedicati alla ricerca statistica e scientifica (cons. 26, 50, 52, 53, 62, 156, 157, 159, 162, 163, art. 5, comma 1 lett. b) ed e), art. 9, art. 10, e art. 89 § 1, del regolamento).

L'attivita' istruttoria in ordine alla verifica della conformita' al regolamento delle disposizioni del Codice di deontologia allegato A,3 al Codice ha reso, talvolta, necessari degli interventi di revisione e aggiornamento volti, da un lato, ad assicurare una maggiore aderenza della norma al regolamento e al Codice e, dall'altro, a preservare regole che gli operatori del settore hanno, a suo tempo, condiviso e sulle quali fondano i trattamenti di dati personali inerenti alle proprie attivita'.

1. Modifiche generali

Preliminarmente, si osserva che si e' reso necessario aggiornare i riferimenti normativi presenti nel Codice di deontologia e la semantica utilizzata rispetto al rinnovato quadro normativo europeo e nazionale di riferimento.

Si e' reso necessario, inoltre, eliminare il preambolo del Codice di deontologia, dovendosi, in base al richiamato art. 20 del decreto legislativo 101 del 2018, ridenominare solo le disposizioni dello stesso.

Cionondimeno, i principi e le fonti di diritto sovranazionale ivi richiamati, sono in ogni caso da ritenersi a fondamento dei trattamenti di dati personali effettuati per scopi statistici o di ricerca scientifica nell'ambito del Sistema statistico nazionale.

2. Disposizioni ritenute incompatibili

Art. 3, «Identificabilita' dell'interessato», e' stato ritenuto necessario, in primo luogo, sostituire la parola «identificativi» con la seguente locuzione «che ... identificano» l'unita' statistica, al comma 1, lett. a), in quanto la definizione di «dati identificativi» di cui all'art. 4, comma 1, lett. c), del Codice e' stata abrogata dal decreto legislativo n. 101 del 2018, e non e' piu' prevista dal regolamento; in secondo luogo, il comma 1, lett. c), e' stato ritenuto incompatibile nella misura in cui introduceva, per la valutazione del rischio di identificabilita' degli interessati, dei parametri predefiniti che non sono in linea con il quadro giuridico introdotto dal regolamento. Rispetto alle indicazioni fornite dal considerando 26, che per l'identificabilita' di una persona indica, in particolare, che si tengano in considerazione «tutti i mezzi» di cui il titolare puo' ragionevolmente avvalersi, la disposizione in esame poneva come parametri predefiniti la tipologia di dati comunicati o diffusi, la proporzione tra i mezzi per l'identificazione e la lesione o il pericolo di lesione dei diritti degli interessati, cio' anche alla luce del vantaggio che ne poteva trarre il titolare. Tale disposizione, quindi, nel fornire ai titolari delle coordinate per valutare l'identificabilita' dell'interessato attualmente superate, manifestava anche un approccio alla definizione e valutazione del rischio piu' circoscritte rispetto a quella del regolamento in cui tale valutazione deve tener conto delle nuove tecnologie utilizzate, della natura, dell'oggetto, del contesto e delle finalita' di ogni tipo di trattamento (cfr. anche cons., 84, 89, 93 e 95 e artt. 5, § 1, lett. e), 24, 35 e 36 del regolamento).

L'art. 4, «Criteri per la valutazione del rischio di identificazione», e' stato mantenuto considerandosi, in via generale, compatibile con il regolamento, nella misura in cui si limita a fornire alcuni parametri, orientativi, non esaustivi, per la valutazione del rischio di identificazione degli interessati. Al fine di assicurarne un'applicazione conforme al regolamento, si e', tuttavia, ritenuto necessario modificarlo con l'aggiunta di un «anche» (al primo comma, tra le parole «tiene conto» e «dei seguenti»), affinche' sia chiaro che i parametri ivi indicati devono, comunque, considerarsi meramente esemplificativi e soprattutto non alternativi rispetto al nuovo quadro giuridico introdotto dal regolamento sopra descritto.

Parimenti, e' risultato compatibile con il regolamento -salvi i necessari aggiornamenti ai riferimenti normativi- l'art. 4-bis ,»Trattamento di dati personali, sensibili e giudiziari, nell'ambito del programma statistico nazionale» in base a quale, «nel Programma statistico nazionale sono illustrate le finalita' perseguite e le garanzie previste dal decreto legislativo 6 settembre 1989, n. 322 e dal decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni e integrazioni e dalle presenti regole deontologiche. Il Programma indica, altresi', i dati di cui agli artt. 9, § 1, e 10 del regolamento, le rilevazioni per le quali i dati sono trattati e le modalita' di trattamento. Il Programma e' adottato, con riferimento ai dati personali, sensibili e giudiziari, sentito il garante per la protezione dei dati personali, ai sensi dell'art. 58, § 3 lett. b) del regolamento».

Giova, infatti, evidenziare che tale norma e' stata introdotta nel Codice di deontologia di cui trattasi con provvedimento del garante 170 del 24 luglio 2014, su sollecitazione dell'Istat, a seguito dell'abrogazione dell'art. 6-bis, comma 2, del decreto legislativo n. 322 del 1989 (cfr. art. 8-bis, decreto-legge 31 agosto 2013, n. 101, convertito con modificazioni in legge 30 ottobre 2013, n. 125), che aveva un contenuto sostanzialmente analogo.

Resta fermo che tale disposizione non e', in ogni caso, da sola, sufficiente a legittimare il trattamento, nell'ambito del Piano statistico nazionale, delle particolari categorie di dati e dei dati relativi a condanne penali e reati. La base giuridica e le condizioni di liceita' per il trattamento di tali dati, nell'ambito del Piano statistico nazionale, e', infatti, costituita anche, per le categorie particolari di dati, dall'art. 9 del regolamento e dagli articoli 2-sexies e 107 del codice, e, per i dati relativi a condanne penali e reati, dall'art. 10 del regolamento e dagli articoli 2-sexies e 2-octies del Codice.

L'art. 5, comma 2, lett. c), e' stato considerato incompatibile nella parte in cui, tra i presupposti del trattamento delle particolari categorie di dati da parte di soggetti privati che partecipano al Sistema statistico nazionale, prevedeva la preventiva autorizzazione del garante. Cio', in quanto, nel nuovo quadro normativo, risulta molto circoscritto l'ambito di applicazione dell'istituto dell'autorizzazione del garante (cfr. art. 36, § 5, del regolamento, art. 110-bis del Codice e art. 21 del decreto legislativo n. 101 del 2018).

Sono stati modificati il titolo del capo II da «informativa, comunicazione e diffusione» in «informazioni agli interessati, comunicazione e diffusione» e la rubrica dell'art. 6 da «Informativa» a «Informazioni agli interessati», ai sensi degli artt. 13 e 14 del regolamento.

L'art. 6 disciplina le ipotesi di impossibilita' di fornire le informazioni direttamente agli interessati quando i dati sono raccolti presso terzi. Tale articolo e' stato considerato incompatibile nella parte in cui, al comma 2, disponeva che il titolare dovesse preventivamente comunicare al garante le modalita' individuate per dare pubblicita' all'informativa, il quale avrebbe potuto prescrivere eventuali misure e accorgimenti. Cio', in quanto, in conformita' all'art. 14 del regolamento, il coinvolgimento del garante non e' piu' richiesto.

La disposizione e' risultata, inoltre, incompatibile con il regolamento nella parte in cui consentiva al titolare di fornire agli interessati un'informativa differita per la parte riguardante le specifiche finalita' e modalita' del trattamento, qualora cio' risultasse necessario per il raggiungimento dell'obiettivo dell'indagine (art. 6, comma 3). L'art. 13 del regolamento, infatti, non prevede alcuna forma di deroga o semplificazione agli obblighi informativi quando i dati sono raccolti presso gli interessati.

E' stato, altresi', considerato incompatibile il comma 4 dell'articolo in esame, in quanto, nel prevedere la possibilita' che il titolare possa raccogliere dati personali presso un soggetto rispondente in nome e per conto di un altro (cd. proxy), non prevedeva le specifiche circostanze in cui tale modalita' di raccolta era ammessa (art. 105, comma 3, del codice).

L'art. 7, commi 2, 3 e 4, relativo alla comunicazione di dati personali a ricercatori di universita' o a istituti o enti di ricerca a soci di societa' scientifiche, non facenti parte del Sistema statistico nazionale, e l'art. 8, sulla comunicazione dei dati tra soggetti del Sistema statistico nazionale, sono stati considerati non conformi al rinnovato quadro normativo in quanto, ai sensi degli artt. 6, § 3, del regolamento e 2-ter del codice, si richiede una norma di legge o, nei casi previsti dalla legge, di regolamento per la comunicazione di dati tra soggetti pubblici o tra soggetti che svolgono compiti di interesse pubblico, quali sono i soggetti del Sistema statistico nazionale. Cio', tenuto anche conto delle condizioni individuate nello specifico quadro normativo di settore in materia accesso per fini scientifici ai dati elementari raccolti per finalita' statistiche, di cui all'art. 5-ter del decreto legislativo n. 33 del 2013, che, di recente, ha trovato piena applicazione con l'approvazione da parte del Comstat delle linee guida per l'accesso a fini scientifici ai dati elementari del Sistema statistico nazionale (Gazzetta Ufficiale n. 287 dell'11 dicembre 2018).

E' stato modificato il titolo del capo III da «sicurezza e regole di condotta» in «disposizioni finali».

All'art. 11, «Conservazione dei dati», e' stato ritenuto necessario abrogare al comma 1, dalle parole «in tali casi» alle parole «finalita' perseguite», in quanto tali previsioni individuano predefiniti e specifici casi di deroga al principio di limitazione della conservazione di cui all'art. 5, § 1, lett. e), del regolamento che, pur ammettendo deroghe per i trattamenti effettuati a fini statistici e di ricerca scientifica, richiede, oltre a una valutazione del rischio, caso per caso, a cura del titolare (artt. 24 e 35 del regolamento), l'individuazione di misure tecniche e organizzative adeguate a tutela dell'interessato. Cio' vale anche per il comma 2, poiche' anche le garanzie previste dall'art. 6-bis, comma 6, del decreto legislativo 6 settembre 1989, n. 322, devono essere applicate alla luce delle predette considerazioni.

L'art. 12, «Misure di sicurezza», e' stato ritenuto incompatibile, in quanto gli aspetti ivi disciplinati sono oggetto ora di specifiche previsioni del regolamento che, nel rispetto del principio di responsabilizzazione, richiede anche un diverso approccio alle misure di sicurezza che devono esser individuate, fin dalla progettazione e per impostazione predefinita (artt. 24 e 25 del regolamento), in conformita' all'art. 32 del regolamento. L'articolo, inoltre, forniva specifiche indicazioni per l'individuazione dei diversi livelli di accesso (natura dei dati e funzioni dei soggetti coinvolti) ai dati da parte dei soggetti legittimati che attualmente devono essere definiti alla luce dei, piu' ampi, criteri di cui all'art. 25, par. 2, del regolamento, in omaggio ai richiamati principi di privacy by default e by design.

L'art. 13, «Esercizio dei diritti», comma 1, e' stato considerato incompatibile, in quanto, consentirebbe al titolare la possibilita' di limitare il diritto di rettifica o integrazione senza individuare garanzie adeguate, come richiesto, invece, dall'art. 89 del regolamento.

E' stata, infine, riformulata, la rubrica dell'art. 14, in «Disposizioni finali», onde evitare ambiguita' rispetto alle regole deontologiche di cui all'art. 2-quater del codice e con i futuri codici di condotta, di cui all'art. 40 del regolamento.

3. Regole deontologiche

I predetti elementi, relativi all'aggiornamento della disciplina in materia, sono recepiti nelle «Regole deontologiche per il trattamento a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale» in ragione di quanto disposto dall'art. 20, comma 4, del decreto legislativo n. 101/2018 e riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante.

Tali «Regole deontologiche» sono volte a disciplinare i trattamenti in questione in attesa di un auspicabile aggiornamento delle stesse ai sensi degli artt. 2-quater e 106 e seguenti del Codice. Pertanto, si dispone la trasmissione delle suddette «Regole deontologiche» all'Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la relativa pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell'allegato A) al Codice.

Tutto cio' premesso il Garante

Ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018, verificata la conformita' al regolamento delle disposizioni del Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale, allegato A.3 al Codice, dispone che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, siano pubblicate come «Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale» e ne dispone, altresi', la trasmissione all'Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell'allegato A) al Codice.

Roma, 19 dicembre 2018

Il presidente:

Soro

Il relatore:

Califano

Il segretario generale:

Busia

a) enti ed uffici di statistica che fanno parte o partecipano al Sistema statistico nazionale, per l'attuazione del programma statistico nazionale o per la produzione di informazione statistica, in conformita' ai rispettivi ambiti istituzionali;

a) «trattamento per scopi statistici», qualsiasi trattamento effettuato per finalita' di indagine statistica o di produzione, conservazione e diffusione di risultati statistici in attuazione del programma statistico nazionale o per effettuare informazione statistica in conformita' agli ambiti istituzionali dei soggetti di cui all'art. 1;

b) «risultato statistico», l'informazione ottenuta con il trattamento di dati personali per quantificare aspetti di un fenomeno collettivo;

c) «variabile pubblica», il carattere o la combinazione di caratteri, di tipo qualitativo o quantitativo, oggetto di una rilevazione statistica che faccia riferimento ad informazioni presenti in pubblici registri, elenchi, atti, documenti o fonti conoscibili da chiunque;

a) un interessato si ritiene identificabile quando, con l'impiego di mezzi ragionevoli, e' possibile stabilire un'associazione significativamente probabile tra la combinazione delle modalita' delle variabili relative ad una unita' statistica e i dati che la identificano;

a) si considerano dati aggregati le combinazioni di modalita' alle quali e' associata una frequenza non inferiore a una soglia prestabilita, ovvero un'intensita' data dalla sintesi dei valori assunti da un numero di unita' statistiche pari alla suddetta soglia. Il valore minimo attribuibile alla soglia e' pari a tre;

b) nel valutare il valore della soglia si deve tenere conto del livello di riservatezza delle informazioni;

c) i risultati statistici relativi a sole variabili pubbliche non sono soggetti alla regola della soglia;

d) la regola della soglia puo' non essere osservata qualora il risultato statistico non consenta ragionevolmente l'identificazione di unita' statistiche, avuto riguardo al tipo di rilevazione e alla natura delle variabili associate;

e) i risultati statistici relativi a una stessa popolazione possono essere diffusi in modo che non siano possibili collegamenti tra loro o con altre fonti note di informazione, che rendano possibili eventuali identificazioni;

f) si presume che sia adeguatamente tutelata la riservatezza nel caso in cui tutte le unita' statistiche di una popolazione presentino la medesima modalita' di una variabile.

2. Nel programma statistico nazionale sono individuate le variabili che possono essere diffuse in forma disaggregata, ove cio' risulti necessario per soddisfare particolari esigenze conoscitive anche di carattere internazionale o comunitario.

2. In casi particolari in cui scopi statistici, legittimi e specifici, del trattamento delle particolari categorie di dati non possono essere raggiunti senza l'identificazione anche temporanea degli interessati, per garantire la legittimita' del trattamento medesimo e' necessario che concorrano i seguenti presupposti:

a) l'interessato abbia espresso liberamente il proprio consenso sulla base degli elementi previsti nelle informazioni sul trattamento di dati personali di cui all'art. 13 del regolamento;

b) il titolare adotti specifiche misure per mantenere separati i dati identificativi gia' al momento della raccolta, salvo che cio' risulti irragionevole o richieda uno sforzo manifestamente sproporzionato;

c) il trattamento sia compreso nel programma statistico nazionale.

2. In ogni caso, il personale preposto alla raccolta si attiene alle disposizioni contenute nelle presenti regole alle istruzioni ricevute. In particolare:

a) rende nota la propria identita', la propria funzione e le finalita' della raccolta, anche attraverso adeguata documentazione;

b) fornisce le informazioni di cui all'art. 13 del regolamento e di cui all'art. 6 delle presenti regole, nonche' ogni altro chiarimento che consenta all'interessato di rispondere in modo adeguato e consapevole, evitando comportamenti che possano configurarsi come artifici o indebite pressioni;

c) non svolge contestualmente presso gli stessi interessati attivita' di rilevazione di dati per conto di piu' titolari, salvo espressa autorizzazione;

d) provvede tempestivamente alla correzione degli errori e delle inesattezze delle informazioni acquisite nel corso della raccolta;

a) i dati personali possono essere utilizzati soltanto per gli scopi definiti all'atto della progettazione del trattamento;

b) i dati personali devono essere conservati in modo da evitarne la dispersione, la sottrazione e ogni altro uso non conforme al regolamento, al codice, alle presenti regole e alle istruzioni ricevute;

c) i dati personali e le notizie non disponibili al pubblico di cui si venga a conoscenza in occasione dello svolgimento dell'attivita' statistica o di attivita' ad essa strumentali non possono essere diffusi, ne' altrimenti utilizzati per interessi privati, propri o altrui;

d) il lavoro svolto deve essere oggetto di adeguata documentazione;

e) le conoscenze professionali in materia di protezione dei dati personali devono essere adeguate costantemente all'evoluzione delle metodologie e delle tecniche;

f) la comunicazione e la diffusione dei risultati statistici devono essere favorite, in relazione alle esigenze conoscitive degli utenti, purche' nel rispetto delle norme sulla protezione dei dati personali.

2. I soggetti di cui al comma 1 sono tenuti a conformarsi alle disposizioni delle presenti regole, anche quando non siano vincolati al rispetto del segreto d'ufficio o del segreto professionale. I titolari del trattamento adottano le misure opportune per garantire la conoscenza di tali disposizioni da parte dei responsabili del trattamento e delle persone autorizzate.

PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (di seguito «Regolamento» e «RGPD»);

Visto il decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE»;

Visto il Codice in materia di protezione dei dati personali, decreto legislativo 30 giugno 2003, n. 196, (di seguito Codice), cosi' come modificato dal predetto decreto legislativo n. 101 del 2018;

Visto il Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e scientifici allegato A.4 al Codice;

Visto l'art. 5-ter del decreto legislativo 14 marzo 2013, n. 33, Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicita', trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni, relativo all'accesso per fini scientifici ai dati elementari raccolti per finalita' statistiche;

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del garante n. 1/2000;

Relatore la dott.ssa Giovanna Bianchi Clerici;

Premesso

L'art. 20, commi 3 e 4, del decreto legislativo 101 del 2018 ha conferito al garante il compito di verificare, nel termine di 90 giorni dalla sua entrata in vigore, la conformita' al regolamento delle disposizioni contenute nei codici di deontologia e buona condotta di cui agli allegati A.1, A.2, A.3, A.4 e A.6 al Codice.

Le disposizioni ritenute compatibili, ridenominate regole deontologiche, dovranno essere pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministero della giustizia, saranno successivamente riportate nell'allegato A al Codice.

Il Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici, allegato A.4 al Codice, cessa di produrre effetti dalla pubblicazione delle predette regole nella Gazzetta Ufficiale (art. 20, comma 3, del decreto legislativo n. 101 del 2018).

Resta fermo che successivamente, il Garante potra' promuovere la revisione di tali regole, secondo la procedura di cui all'art. 2-quater del Codice, in base alla quale lo schema delle regole deontologiche, nell'osservanza del principio di rappresentativita', deve essere sottoposto a consultazione pubblica, per almeno sessanta giorni.

Osserva

Nell'ambito del presente provvedimento sono individuate le disposizioni del Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici, allegato A4 al Codice, adottato con provvedimento del garante n. 2 del 16 giugno 2004, Gazzetta Ufficiale 14 agosto 2004, n. 190, ritenute non conformi al Regolamento e, in allegato sono riportate le disposizioni conformi, ridenominate regole deontologiche per trattamenti a fini statistici o di ricerca scientifica.

Le regole si applicano ai trattamenti di dati personali effettuati fini statistici, al di fuori del Sistema statistico nazionale, o di ricerca scientifica, fermo restando il rispetto dei principi e degli specifici adempimenti richiesti dal Regolamento e dal Codice.

Il rispetto delle disposizioni contenute nelle regole deontologiche costituisce condizione essenziale per la liceita' e correttezza del trattamento dei dati personali e il mancato rispetto delle stesse comporta l'applicazione della sanzione di cui all'art. 83, paragrafo 5 del Regolamento (articoli 2-quater, comma 4, e 166, comma 2, del Codice).

A regime, l'art. 106 del Codice, cosi' come novellato dall'art. 8 dal decreto legislativo n. 101/2018, prevede specificamente che le regole deontologiche individuino garanzie adeguate per i diritti e le liberta' dell'interessato e si applicano ai soggetti i soggetti pubblici e privati, ivi comprese le societa' scientifiche e le associazioni professionali, interessati al trattamento dei dati per fini statistici o di ricerca scientifica ricompresi nell'ambito del Sistema statistico nazionale.

In via generale, si rappresenta che si e' tenuto conto dell'esigenza di contemperare il diritto alla liberta' di ricerca con altri diritti fondamentali dell'individuo, in ossequio al principio di proporzionalita' (cons. 4 del Regolamento), verificando la conformita' delle disposizioni del Codice di deontologia, in particolare, ai considerando e agli articoli dedicati alla ricerca statistica e scientifica (cons. 26, 50, 52, 53, 62, 156, 157, 159, 162, 163, art. 5, comma 1 lettera b) ed e), art. 9, art. 10, e art. 89 § 1, del Regolamento).

1. Modifiche generali.

Preliminarmente, si osserva che si e' reso necessario aggiornare i riferimenti normativi presenti nel Codice di deontologia e la semantica utilizzata rispetto al rinnovato quadro normativo europeo e nazionale di riferimento.

Si e' reso necessario, inoltre, eliminare il preambolo del Codice di deontologia, dovendosi, in base al richiamato art. 20 del decreto legislativo n. 101 del 2018, ridenominare solo le disposizioni dello stesso.

Cionondimeno, i principi e le fonti di diritto sovranazionale ivi richiamati, sono, in ogni caso, da ritenersi a fondamento dei trattamenti di dati personali effettuati a fini di ricerca scientifica o statistici (cons. 159 e 162 del Regolamento).

2. Disposizioni ritenute incompatibili.

All'art. 1, comma 1, lettera c), e' stata eliminata la definizione di «dato identificativo indiretto», in quanto tale definizione e' stata ritenuta incompatibile con il Regolamento. Il legislatore nazionale, infatti, nell'adeguare il Codice al Regolamento, con il decreto legislativo n. 101 del 2018, ha abrogato l'art. 4, comma 1, lettera c), del Codice, che conteneva la definizione di «dati identificativi», da intendersi come i «dati personali che permettono l'identificazione diretta dell'interessato».

Resta, invece valida la definizione di «istituto o ente di ricerca», di cui alla lettera e), dell'articolo in esame, che deve esser interpretata alla luce del nuovo quadro normativo di settore di cui all'art. 5-ter del decreto legislativo 33 del 2013, che ha demandato al Comstat l'individuazione, sentito il garante, dei criteri per il riconoscimento degli enti di ricerca e delle strutture di ricerca di istituzioni pubbliche e private, avuto riguardo agli scopi istituzionali perseguiti, all'attivita' svolta e all'organizzazione interna in relazione all'attivita' di ricerca, nonche' alle misure adottate per garantire la sicurezza dei dati. Tali criteri sono stati di recente individuati nelle linee guida per l'accesso a fini scientifici ai dati elementari del Sistema statistico nazionale (Gazzetta Ufficiale n. 287 dell'11 dicembre 2018).

L'art. 4, «Identificabilita' dell'interessato», e' stato ritenuto necessario, in primo luogo, sostituire la parola «identificativi», al comma 1, lettera a), con la seguente locuzione «dati che ... identificano» l'unita' statistica in quanto la definizione di «dati identificativi» di cui all'art. 4, comma 1, lettera c), del Codice e' stata abrogata dal decreto legislativo n. 101 del 2018, e non e' piu' prevista dal Regolamento; in secondo luogo, il comma 1, lettera c), e' stato ritenuto incompatibile nella misura in cui introduceva, per la valutazione del rischio di identificabilita' degli interessati, dei parametri predefiniti che non sono in linea con il quadro giuridico introdotto dal Regolamento. Rispetto alle indicazioni fornite dal considerando 26, che per l'identificabilita' di una persona indica, in particolare, che si tengano in considerazione «tutti i mezzi» di cui il titolare puo' ragionevolmente avvalersi, la disposizione in esame poneva come parametri predefiniti la tipologia di dati comunicati o diffusi, la proporzione tra i mezzi per l'identificazione e la lesione o il pericolo di lesione dei diritti degli interessati, cio' anche alla luce del vantaggio che ne poteva trarre il titolare. Tale disposizione, quindi, nel fornire ai titolari delle coordinate per valutare l'identificabilita' dell'interessato attualmente superate, manifestava anche un approccio alla definizione e valutazione del rischio piu' circoscritte rispetto a quella del Regolamento in cui tale valutazione deve tener conto delle nuove tecnologie utilizzate, della natura, dell'oggetto, del contesto e delle finalita' di ogni tipo di trattamento, (cfr. anche cons. 84, 89, 93 e 95 e articoli 5, § 1, lettera e), 24, 35 e 36 del Regolamento).

L'art. 5, «Criteri per la valutazione del rischio di identificazione», e' stato mantenuto considerandosi, in via generale, compatibile con il Regolamento, nella misura in cui si limita a fornire alcuni parametri, orientativi, non esaustivi, per la valutazione del rischio di identificazione degli interessati. Al fine di assicurarne un'applicazione conforme al Regolamento, si e', tuttavia, ritenuto necessario modificarlo con l'aggiunta di un «anche» (al primo comma, tra le parole «tiene conto» e «dei seguenti»), affinche' sia chiaro che i parametri ivi indicati devono, comunque, considerarsi meramente esemplificativi e, soprattutto, non alternativi rispetto al nuovo quadro giuridico introdotto dal Regolamento sopra descritto.

Sono stati modificati il titolo del Capo II da «Informativa, comunicazione e diffusione» in «Informazioni agli interessati, comunicazione e diffusione» e la rubrica dell'art. 6 da «Informativa» a «Informazioni agli interessati», per omogeneita' con il Regolamento.

L'art. 6, «Informazioni agli interessati», il comma 2 e' risultato incompatibile con il Regolamento nella parte in cui prevedeva alcune deroghe all'obbligo di informativa in caso di raccolta dei dati presso gli interessati. In particolare, tale comma e' stato eliminato, che consentiva di fornire un'informativa differita, per la parte riguardante le specifiche finalita' e modalita' del trattamento, qualora cio' risultasse necessario per il raggiungimento dell'obiettivo dell'indagine. Cio', in quanto l'art. 13 del Regolamento non prevede alcuna forma di deroga o semplificazione agli obblighi informativi quando i dati sono raccolti presso gli interessati.

L'art. 6, comma 3, che consente ad un soggetto di rispondere in nome e per conto di un altro, e' stato considerato compatibile con il Regolamento e con l'art. 105, comma 3, del Codice, in quanto definisce le specifiche circostanze in cui tale modalita' di raccolta e' possibile. Sul punto, tuttavia, deve precisarsi che, il principio di responsabilizzazione impone, in ogni caso, al titolare del trattamento di porre in essere specifiche misure per verificare, ed essere in grado di dimostrare, che il rispondente sia effettivamente legittimato a fornire i dati di un terzo.

E' stato altresi' ritenuto incompatibile l'art. 6, comma 4, che individuava alcuni casi di deroga all'obbligo di fornire, informazioni agli interessati quando i dati sono raccolti presso terzi, disponendo che il titolare dovesse dare preventiva informazione al garante delle modalita' prescelte, tra quelle indicate a titolo esemplificativo dalla norma. Parimenti, e' stato considerato incompatibile il comma 5 dell'articolo in esame, nella parte in cui, qualora il titolare avesse ritenuto di non utilizzare le forme di pubblicita' indicate al comma 4, poteva individuare idonee forme di pubblicita' da comunicare preventivamente al garante, che poteva prescrivere eventuali misure e accorgimenti. L'art. 14, § 5, lettera b), del Regolamento ora prevede, infatti, che le informazioni in caso di raccolta di dati presso terzi possano essere omesse nel caso in cui la comunicazione di tali informazioni risultasse impossibile o implicherebbe uno sforzo sproporzionato. Con particolare riferimento ai trattamenti a fini di ricerca scientifica o a fini statistici, fatte salve le condizioni e le garanzie di cui all'art. 89, § 1, non vi e', inoltre, l'obbligo di informare l'interessato nella misura in cui cio' rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalita' di tale trattamento. In tali casi, il titolare del trattamento e' tenuto comunque ad adottare misure appropriate per tutelare i diritti, le liberta' e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni.

L'art. 7 «Consenso» e' stato eliminato perche' le condizioni di liceita' del trattamento, ed in particolare le condizioni per il consenso, sono disciplinate nel Regolamento (articoli 6 e 7).

L'art. 8 «Comunicazione e diffusione dei dati» e' stato considerato incompatibile in quanto i presupposti di liceita' di tali operazioni di trattamento sono adesso individuate nel Regolamento (articoli 6, 9 e 10) e nel Codice (articoli 2-ter, 2-sexies, 2-septies e 2-octies).

L'articolo in esame e' stato, inoltre, considerato incompatibile nella parte in cui, al comma 4, ultimo alinea, e al comma 5 disciplinava il trasferimento di dati personali verso paesi terzi, adesso normato agli articoli 44 e seguenti del Regolamento.

E' stata modificata la rubrica dell'art. 9 da «Trattamento di dati sensibili o giudiziari» in «Trattamento di categorie particolari di dati personali e di dati relativi a condanni penali e reati».

Fermi restando i presupposti di liceita' del trattamento dei dati indicati nella rubrica dell'articolo in esame, nel Regolamento (articoli 6, e 9 e 10) e nel Codice (articoli 2-ter, 2-sexies, 2-septies e 2-octies), l'art. 9, commi 2 e 3, e' stato considerato incompatibile con il Regolamento nella misura in cui tali previsioni individuano predefiniti e specifici casi di applicazione del principio di minimizzazione di cui all'art. 5, § 1, lettera c), del Regolamento che pur tendo conto della specificita' dei trattamenti effettuati a fini statistici e di ricerca scientifica, richiede, oltre a una valutazione del rischio, caso per caso a cura del titolare, l'individuazione di misure tecniche e organizzative adeguate a tutela dell'interessato (articoli 24 e 35 del Regolamento).

L'art. 9, commi 4, lettera c), 5 e 6, e' stato, invece, considerato incompatibile laddove individuava condizioni di liceita' del trattamento per i dati sensibili o giudiziari differenti rispetto a quelle previste ora dal Regolamento e dal Codice.

L'art. 10 «Dati genetici» e' stato considerato incompatibile in quanto il trattamento di tali dati deve essere effettuato in conformita' all'art. 9 del Regolamento, all'art. 2-sexies, alle prescrizioni individuate dal garante ai sensi dell'art. 21, del decreto legislativo 101 del 2018 e alle specifiche misure di garanzia che l'Autorita' e' chiamata ad adottare ai sensi dell'art. 2-septies del Codice.

L'art. 11 «Disposizioni particolari per la ricerca medica, biomedica ed epidemiologica» e' stato modificato al comma 4 al solo fine di confermare le tutele assicurate in tale contesto agli interessati, cosi' come individuate dal richiamo, effettuato per relationem, all'art. 84 del Codice, ora abrogato. Restano ferme, in ogni caso, le misure di garanzia che saranno individuate dal garante, ai sensi dell'art. 2-septies, comma 4, lettera c).

L'art. 11, comma 5, e' stato, invece, considerato incompatibile, in quanto le circostanze in cui non e' necessario acquisire il consenso dell'interessato sono state individuate nel provvedimento prescrittivo adottato dal garante ai sensi dell'art. 21 del decreto legislativo 101 del 2018 mentre le condizioni di liceita' del trattamento per le finalita' in esame sono previste dall'art. 110 del Codice.

E' stato modificato il titolo del Capo III da «Sicurezza e regole di condotta» in «Disposizioni finali».

L'art. 14 «Conservazione dei dati» e' stato aggiornato al primo comma con il rinvio al principio di limitazione della conservazione di cui all'art. 5, § 1, lettera e) del Regolamento. Le parti successive sono state eliminate in quanto sono risultate incompatibili con tale principio che unitamente al principio di responsabilizzazione , impone al titolare una nuova prospettiva e nuovi adempimenti per la valutazione del rischio, al fine di individuare, di volta in volta, adeguate misure, tecniche e organizzative, a garanzia degli interessati (articoli 24 e 35 del Regolamento).

L'art. 15 «Misure di sicurezza» e' stato ritenuto incompatibile, in quanto gli aspetti relativi alla sicurezza dei dati sono oggetto ora di specifiche previsioni del Regolamento che, nel rispetto del principio di responsabilizzazione, richiede anche un diverso approccio alle misure di sicurezza che devono esser individuate, fin dalla progettazione e per impostazione predefinita (articoli 24 e 25 del Regolamento), in conformita' all'art. 32 del Regolamento.

L'art. 16 «Esercizio dei diritti dell'interessato», al comma 1, e' stato considerato incompatibile, in quanto consentirebbe al titolare la possibilita' di limitare il diritto di rettifica o integrazione senza individuare garanzie adeguate, come richiesto, invece, dall'art. 89 del Regolamento. Il comma 2, e' stato riformulato per renderlo conforme al Regolamento.

E' stata, infine, aggiornata, la rubrica dell'art. 17, in «Disposizioni finali», onde evitare ambiguita' rispetto alle regole deontologiche di cui all'art. 2-quater del Codice e con i futuri codici di condotta, di cui all'art. 40 del Regolamento.

3. Regole deontologiche.

I predetti elementi, relativi all'aggiornamento della disciplina in materia, sono recepiti nelle «Regole deontologiche per il trattamento a fini statistici o di ricerca» in ragione di quanto disposto dall'art. 20, comma 4, del decreto legislativo n. 101/2018 e riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante.

Tali «Regole deontologiche» sono volte a disciplinare i trattamenti in questione in attesa di un auspicabile aggiornamento delle stesse ai sensi degli articoli 2-quater e 106 e seguenti del Codice. Pertanto, si dispone la trasmissione delle suddette «Regole deontologiche» all'Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la relativa pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell'Allegato A) al Codice.

Tutto cio' premesso il garante

Ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018, verificata la conformita' al regolamento delle disposizioni del codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e di ricerca scientifica, allegato A.4 al Codice, dispone che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, siano pubblicate come «Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica» e ne dispone, altresi', la trasmissione all'Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell'Allegato A) al Codice.

Roma, 19 dicembre 2018

Il presidente

Soro

Il segretario generale

Busia

Il relatore

Bianchi Clerici

REGOLE DEONTOLOGICHE PER TRATTAMENTI

a) «risultato statistico», l'informazione ottenuta con il trattamento di dati personali per quantificare aspetti di un fenomeno collettivo;

b) «unita' statistica», l'entita' alla quale sono riferiti o riferibili i dati trattati;

c) «variabile pubblica», il carattere o la combinazione di caratteri, di tipo qualitativo o quantitativo, oggetto di una rilevazione statistica che faccia riferimento ad informazioni presenti in pubblici registri, elenchi, atti, documenti o fonti conoscibili da chiunque;

d) «istituto o ente di ricerca», un organismo pubblico o privato per il quale la finalita' di statistica o di ricerca scientifica risulta dagli scopi dell'istituzione e la cui attivita' scientifica e' documentabile;

e) «societa' scientifica», un'associazione che raccoglie gli studiosi di un ambito disciplinare, ivi comprese le relative associazioni professionali.

2. Il progetto di ricerca di cui al comma 1, inoltre:

a) specifica le misure da adottare nel trattamento di dati personali, al fine di garantire il rispetto delle presenti regole deontologiche, nonche' della normativa in materia di protezione dei dati personali;

b) individua gli eventuali responsabili del trattamento

c) contiene una dichiarazione di impegno a conformarsi alle presenti regole deontologiche. Un'analoga dichiarazione e' sottoscritta anche dai soggetti -ricercatori, responsabili e persone autorizzate al trattamento- che fossero coinvolti nel prosieguo della ricerca, e conservata conformemente a quanto previsto al comma 3.

3. Il titolare deposita il progetto presso l'universita' o ente di ricerca o societa' scientifica cui afferisce, la quale ne cura la conservazione, in forma riservata (essendo la consultazione del progetto possibile ai soli fini dell'applicazione della normativa in materia di dati personali), per cinque anni dalla conclusione programmata della ricerca.

a) un interessato si ritiene identificabile quando, con l'impiego di mezzi ragionevoli, e' possibile stabilire un'associazione significativamente probabile tra la combinazione delle modalita' delle variabili relative ad una unita' statistica e i dati che la identificano;

b) i mezzi ragionevolmente utilizzabili per identificare un interessato afferiscono, in particolare, alle seguenti categorie:

risorse economiche;

risorse di tempo;

archivi nominativi o altre fonti di informazione contenenti dati identificativi congiuntamente ad un sottoinsieme delle variabili oggetto di comunicazione o diffusione;

archivi, anche non nominativi, che forniscano ulteriori informazioni oltre quelle oggetto di comunicazione o diffusione;

risorse hardware e software per effettuare le elaborazioni necessarie per collegare informazioni non nominative ad un soggetto identificato, tenendo anche conto delle effettive possibilita' di pervenire in modo illecito alla sua identificazione in rapporto ai sistemi di sicurezza ed al software di controllo adottati;

a) si considerano dati aggregati le combinazioni di modalita' alle quali e' associata una frequenza non inferiore a una soglia prestabilita, ovvero un'intensita' data dalla sintesi dei valori assunti da un numero di unita' statistiche pari alla suddetta soglia. Il valore minimo attribuibile alla soglia e' pari a tre;

b) nel valutare il valore della soglia si deve tenere conto del livello di riservatezza delle informazioni;

c) i risultati statistici relativi a sole variabili pubbliche non sono soggette alla regola della soglia;

d) la regola della soglia puo' non essere osservata qualora il risultato statistico non consenta ragionevolmente l'identificazione di unita' statistiche, avuto riguardo al tipo di rilevazione e alla natura delle variabili associate;

e) i risultati statistici relativi a una stessa popolazione possono essere diffusi in modo che non siano possibili collegamenti tra loro o con altre fonti note di informazione, che rendano possibili eventuali identificazioni;

2. Quando, con riferimento a parametri scientificamente attendibili, gli obiettivi dell'indagine, la natura dei dati e le circostanze della raccolta sono tali da consentire ad un soggetto di rispondere in nome e per conto di un altro in quanto familiare o convivente, l'informativa all'interessato puo' essere data per il tramite del soggetto rispondente, purche' il trattamento non riguardi categorie particolari di dati personali o personali relativi a condanne penali e reati di cui, rispettivamente, agli articoli 9 e 10 del regolamento (UE) n. 2016/679.

3. Quando i dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi statistici o scientifici riguarda dati raccolti per altri scopi, e l'informativa comporta uno sforzo sproporzionato rispetto al diritto tutelato, il titolare adotta idonee forme di pubblicita', ad esempio, con le seguenti modalita':

per trattamenti riguardanti insiemi numerosi di soggetti distribuiti sull'intero territorio nazionale, inserzione su almeno un quotidiano di larga diffusione nazionale o annuncio presso un'emittente radiotelevisiva a diffusione nazionale;

per trattamenti riguardanti insiemi numerosi di soggetti distribuiti su un'area regionale (o provinciale), inserzione su un quotidiano di larga diffusione regionale (o provinciale) o annuncio presso un'emittente radiotelevisiva a diffusione regionale (o provinciale);

2. I soggetti di cui all'art. 2, comma 1, possono trattare categorie particolari di dati personali per scopi statistici e scientifici quando:

a) l'interessato ha espresso liberamente il proprio consenso sulla base degli elementi previsti per l'informativa;

2. La ricerca di cui al comma 1 si svolge nel rispetto degli orientamenti e delle disposizioni internazionali e comunitarie in materia, quali la Convenzione sui diritti dell'uomo e sulla biomedicina del 4 aprile 1997, ratificata con legge 28 marzo 2001, n. 145, la Raccomandazione del Consiglio d'Europa R(97)5 adottata il 13 febbraio 1997 relativa alla protezione dei dati sanitari e la dichiarazione di Helsinki dell'Associazione medica mondiale sui principi per la ricerca che coinvolge soggetti umani.

3. Nella ricerca di cui al comma 1, le informazioni sul trattamento di dati personali mettono in grado gli interessati di distinguere le attivita' di ricerca da quelle di tutela della salute.

2. Gli enti di cui al comma 1:

a) assicurano la diffusione e il rispetto delle presenti regole deontologiche fra tutti coloro che, all'interno o all'esterno dell'organizzazione, sono in qualunque forma coinvolti nel trattamento dei dati personali realizzato nell'ambito delle ricerche, anche adottando opportune misure sulla base dei propri statuti e regolamenti;

2. Il personale preposto alla raccolta si attiene alle disposizioni contenute rispetto nelle presenti regole deontologiche e alle istruzioni ricevute. In particolare:

a) rende nota la propria identita', la propria funzione e le finalita' della raccolta, anche attraverso adeguata documentazione;

b) fornisce le informazioni di cui all'art. 13 del regolamento ed all'art. 6 del presente Codice nonche' ogni altro chiarimento che consenta all'interessato di rispondere in modo adeguato e consapevole, evitando comportamenti che possano configurarsi come artifici ed indebite pressioni;

c) non svolge contestualmente presso gli stessi interessati attivita' di rilevazione di dati personali per conto di piu' titolari, salvo espressa autorizzazione;

d) provvede tempestivamente alla correzione degli errori e delle inesattezze delle informazioni acquisite nel corso della raccolta;

a) i dati personali possono essere utilizzati soltanto per gli scopi definiti nel progetto di ricerca di cui all'art. 3;

b) i dati personali devono essere conservati in modo da evitarne la dispersione, la sottrazione e ogni altro uso non conforme alla legge e alle istruzioni ricevute;

c) i dati personali e le notizie non disponibili al pubblico di cui si venga a conoscenza in occasione dello svolgimento dell'attivita' statistica o di attivita' ad essa strumentali non possono essere diffusi, ne' altrimenti utilizzati per interessi privati, propri o altrui;

d) il lavoro svolto e' oggetto di adeguata documentazione;

e) le conoscenze professionali in materia di protezione dei dati personali sono adeguate costantemente all'evoluzione delle metodologie e delle tecniche;

f) la comunicazione e la diffusione dei risultati statistici sono favorite, in relazione alle esigenze conoscitive della comunita' scientifica e dell'opinione pubblica, nel rispetto della disciplina sulla protezione dei dati personali;

Nella seduta odierna, con la partecipazione del prof. Stefano Rodota', presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto l'art. 27 della direttiva n. 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, secondo cui gli Stati membri e la Commissione incoraggiano l'elaborazione di codici di condotta destinati a contribuire, in funzione delle specificita' settoriali, alla corretta applicazione delle disposizioni nazionali di attuazione della direttiva adottate dagli Stati membri;

Visti gli articoli 12 e 154, comma 1, lettera e) del Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196), i quali attribuiscono al Garante il compito di promuovere nell'ambito delle categorie interessate, nell'osservanza del principio di rappresentativita' e tenendo conto dei criteri direttivi delle raccomandazioni del Consiglio d'Europa sul trattamento dei dati personali, la sottoscrizione di codici di deontologia e di buona condotta per determinati settori, verificarne la conformita' alle leggi e ai regolamenti anche attraverso l'esame di osservazioni di soggetti interessati e contribuire a garantirne la diffusione e il rispetto;

Visto l'art. 117 del codice con il quale e' stato demandato al Garante il compito di promuovere la sottoscrizione di un Codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato nell'ambito di sistemi informativi di cui sono titolari soggetti privati, utilizzati a fini di concessione di crediti al consumo, nonche' riguardanti l'affidabilita' e la puntualita' nei pagamenti da parte degli interessati;

Visto il provvedimento generale del Garante adottato il 31 luglio 2002 (in Bollettino del Garante n. 30/2002, p. 47) con il quale, nelle more dell'adozione del predetto codice di deontologia e di buona condotta, sono state nel frattempo prescritte, ai soggetti privati che gestiscono sistemi informativi di rilevazione di rischi creditizi, nonche' alle banche e societa' finanziarie che vi accedono, alcune prime misure da adottare al fine di conformare il relativo trattamento ai principi in materia di protezione dei dati personali;

Visto il provvedimento del 10 aprile 2002, pubblicato nella Gazzetta Ufficiale della Repubblica italiana 8 maggio 2002, n. 106, con il quale il Garante ha promosso la sottoscrizione del codice di deontologia e di buona condotta;

Viste le comunicazioni pervenute al Garante in risposta al citato provvedimento del 10 aprile 2002, con le quali diversi soggetti privati, associazioni di categoria ed associazioni di consumatori hanno manifestato la volonta' di partecipare all'adozione di tale codice e rilevato che si e' anche formato un apposito gruppo di lavoro composto da rappresentanti dei predetti soggetti;

Considerato che il testo del codice di deontologia e di buona condotta e' stato oggetto di ampia diffusione anche attraverso la sua pubblicazione sul sito Internet di questa Autorita', resa nota tramite avviso nella Gazzetta Ufficiale della Repubblica italiana 18 agosto 2004, n. 193, al fine di favorire il piu' ampio dibattito e di permettere la raccolta di eventuali osservazioni e integrazioni al testo medesimo da parte di tutti i soggetti interessati;

Viste le osservazioni pervenute a seguito di tale avviso e le modifiche apportate allo schema del codice, poi sottoscritto il 12 novembre 2004;

Constatata la conformita' del codice di deontologia e di buona condotta alle leggi ed ai regolamenti anche in relazione a quanto previsto dall'art. 12 del Codice;

Visto l'art. 5 del codice di deontologia e di buona condotta;

Considerato che dalle predette consultazioni sono emersi anche alcuni dettagli operativi che rendono necessario indicare modalita' di attuazione idonee ed efficaci delle disposizioni in materia di informativa da rendere agli interessati ai sensi dell'art. 13 del Codice;

Ritenuto pertanto indispensabile prescrivere, ai sensi dell'art. 154, comma 1, lettera c), del Codice, un modello unico per l'informativa, basato su espressioni chiare, semplici e di agevole comprensione, e da adottare da tutti i soggetti privati titolari dei trattamenti di dati personali effettuati, in modo effettivo ed uniforme;

Rilevato che il rispetto delle disposizioni contenute nel codice di deontologia e di buona condotta costituisce condizione essenziale per la liceita' e la correttezza del trattamento dei dati personali effettuato da soggetti privati e pubblici (art. 12, comma 3, del Codice);

Rilevato altresi' che i titolari del trattamento sono tenuti a fare uso del modello unico di informativa che il presente provvedimento prescrive, al quale potranno apportarvi eventuali modifiche sostanziali o integrazioni con esso compatibili, unicamente previo assenso di questa Autorita', salvi eventuali adattamenti meramente formali;

Considerato che, ai sensi dell'art. 12, comma 2, del codice, il codice di deontologia e di buona condotta deve essere pubblicato nella Gazzetta Ufficiale della Repubblica italiana a cura del Garante e, con decreto del Ministro della giustizia, riportato nell'allegato a) al medesimo Codice;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione n. 15 del 28 giugno 2000 e pubblicato nella Gazzetta Ufficiale della Repubblica italiana n. 162 del 13 luglio 2000;

Relatore il dott. Mauro Paissan;

Tutto cio' premesso il Garante:

a) dispone la trasmissione del codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilita' e puntualita' nei pagamenti, che figura in allegato, all'Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministro della giustizia per essere riportato nell'allegato a) al Codice;

b) individua, in allegato alla presente deliberazione, il modello di informativa contenente i requisiti minimi che, ai sensi dell'art. 154, comma 1, lettera c), del codice, prescrive a tutti i titolari del trattamento interessati di utilizzare nei termini di cui in motivazione.

Roma, 16 novembre 2004

Il presidente: Rodota'

CODICE DI DEONTOLOGIA E DI BUONA CONDOTTA PER I SISTEMI INFORMATIVI GESTITI DA SOGGETTI PRIVATI IN TEMA DI CREDITI AL CONSUMO, AFFIDABILITA' E PUNTUALITA' NEI PAGAMENTI

Preambolo

I sottoindicati soggetti privati sottoscrivono il presente codice di deontologia e di buona condotta sulla base delle seguenti premesse:

1) il trattamento di dati personali effettuato nell'ambito di sistemi informativi di cui sono titolari soggetti privati, utilizzati a fini di credito al consumo o comunque riguardanti l'affidabilita' e la puntualita' dei pagamenti, deve svolgersi nel rispetto dei diritti, delle liberta' fondamentali e della dignita' delle persone interessate, in particolare del diritto alla protezione dei dati personali, del diritto alla riservatezza e del diritto all'identita' personale;

2) con il presente codice sono individuate adeguate garanzie e modalita' di trattamento a tutela dei diritti degli interessati da osservare nel perseguire finalita' di tutela del credito e di contenimento dei relativi rischi, in modo da agevolare anche l'accesso al credito al consumo e ridurre il rischio di eccessivo indebitamento da parte degli interessati;

3) la sottoscrizione del presente codice e' promossa dal Garante per la protezione dei dati personali nell'ambito delle associazioni rappresentative degli operatori del settore, ai sensi degli articoli 12 e 117 del Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196/2003);

4) tutti coloro che utilizzano dati personali per le finalita' sopra indicate devono osservare le regole di comportamento stabilite dal presente codice come condizione essenziale per la liceita' e la correttezza del trattamento;

5) gli stessi operatori del settore devono rispettare, altresi', le garanzie previste dal predetto Codice, in particolare in tema di manifestazione del consenso e di altri presupposti di liceita';

a) «richiesta/rapporto di credito»: qualsiasi richiesta o rapporto riguardanti la concessione, nell'esercizio di un'attivita' commerciale o professionale, di credito sotto forma di dilazione di pagamento, di finanziamento o di altra analoga facilitazione finanziaria ai sensi del testo unico delle leggi in materia bancaria e creditizia (decreto legislativo 1° settembre 1993, n. 385);

b) «regolarizzazione degli inadempimenti»: l'estinzione delle obbligazioni pecuniarie inadempiute (derivanti sia da un mancato pagamento, sia da un ritardo), senza perdite o residui anche a titolo di interessi e spese o comunque a seguito di vicende estintive diverse dall'adempimento, in particolare a seguito di transazioni o concordati;

c) «sistema di informazioni creditizie»: ogni banca di dati concernenti richieste/rapporti di credito, gestita in modo centralizzato da una persona giuridica, un ente, un'associazione o un altro organismo in ambito privato e consultabile solo dai soggetti che comunicano le informazioni in essa registrate e che partecipano al relativo sistema informativo. Il sistema puo' contenere, in particolare:

1) informazioni creditizie di tipo negativo, che riguardano soltanto rapporti di credito per i quali si sono verificati inadempimenti;

2) informazioni creditizie di tipo positivo e negativo, che attengono a richieste/rapporti di credito a prescindere dalla sussistenza di inadempimenti registrati nel sistema al momento del loro verificarsi;

d) «gestore»: il soggetto privato titolare del trattamento dei dati personali registrati in un sistema di informazioni creditizie e che gestisce tale sistema stabilendone le modalita' di funzionamento e di utilizzazione;

e) «partecipante»: il soggetto privato titolare del trattamento dei dati personali raccolti in relazione a richieste/rapporti di credito, che in virtu' di contratto o accordo con il gestore partecipa al relativo sistema di informazioni creditizie e puo' utilizzare i dati presenti nel sistema, obbligandosi a comunicare al gestore i predetti dati personali relativi a richieste/rapporti di credito in modo sistematico, in un quadro di reciprocita' nello scambio di dati con gli altri partecipanti. Fatta eccezione di soggetti che esercitano attivita' di recupero crediti, il partecipante puo' essere:

1) una banca;

2) un intermediario finanziario;

3) un altro soggetto privato che, nell'esercizio di un'attivita' commerciale o professionale, concede una dilazione di pagamento del corrispettivo per la fornitura di beni o servizi;

f) «consumatore»: la persona fisica che, in relazione ad una richiesta/rapporto di credito, agisce per scopi non riferibili all'attivita' imprenditoriale o professionale eventualmente svolta;

g) «tempo di conservazione dei dati»: il periodo nel quale i dati personali relativi a richieste/rapporti di credito rimangono registrati in un sistema di informazioni creditizie ed utilizzabili dai partecipanti per le finalita' di cui al presente codice;

2. Il trattamento non puo' riguardare i dati sensibili e quelli giudiziari, e concerne dati personali di tipo obiettivo, strettamente pertinenti e non eccedenti rispetto alle finalita' perseguite, relativi ad una richiesta/rapporto di credito, e concernenti anche ogni vicenda intervenuta a qualsiasi titolo o causa fino alla regolarizzazione degli inadempimenti, nel rispetto dei tempi di conservazione stabiliti dall'art. 6.

3. Per ogni richiesta/rapporto di credito segnalato ad un sistema di informazioni creditizie possono essere trattate le seguenti categorie di dati, che il gestore indica in un elenco reso agevolmente disponibile su un proprio sito della rete di comunicazione, nonche' comunica analiticamente agli interessati su loro richiesta:

a) dati anagrafici, codice fiscale o partita IVA;

b) dati relativi alla richiesta/rapporto di credito, descrittivi, in particolare, della tipologia di contratto, dell'importo del credito, delle modalita' di rimborso e dello stato della richiesta o dell'esecuzione del contratto;

c) dati di tipo contabile relativi ai pagamenti, al loro andamento periodico, all'esposizione debitoria anche residua e alla sintesi dello stato contabile del rapporto;

d) dati relativi ad attivita' di recupero del credito o contenziose, alla cessione del credito o a eccezionali vicende che incidono sulla situazione soggettiva o patrimoniale di imprese, persone giuridiche o altri enti.

4. Le codifiche ed i criteri eventualmente utilizzati per registrare dati in un sistema di informazioni creditizie e per facilitarne il trattamento sono diretti esclusivamente a fornire una rappresentazione oggettiva e corretta degli stessi dati, nonche' delle vicende del rapporto di credito segnalato. L'utilizzo di tali codifiche e criteri e' accompagnato da precise indicazioni circa il loro significato, fornite dal gestore, osservate dai partecipanti e rese agevolmente disponibili da entrambi, anche a richiesta degli interessati.

2. Il partecipante adotta idonee procedure di verifica per garantire la lecita utilizzabilita' nel sistema, la correttezza e l'esattezza dei dati comunicati al gestore.

3. All'atto del ricevimento dei dati, il gestore verifica la loro congruita' attraverso controlli di carattere formale e logico e, se i dati risultano incompleti od incongrui, li ritrasmette al partecipante che li ha comunicati, ai fini delle necessarie integrazioni e correzioni. All'esito dei controlli e delle eventuali integrazioni e correzioni, i dati sono registrati nel sistema di informazioni creditizie e resi disponibili a tutti i partecipanti.

4. Il partecipante verifica con cura i dati da esso trattati e risponde tempestivamente alle richieste di verifica del gestore, anche a seguito dell'esercizio di un diritto da parte dell'interessato.

5. Eventuali operazioni di eliminazione, integrazione o modificazione dei dati registrati in un sistema di informazioni creditizie sono disposte direttamente dal partecipante che li ha comunicati, ove tecnicamente possibile, ovvero dal gestore su richiesta del medesimo partecipante o d'intesa con esso, anche a seguito dell'esercizio di un diritto da parte dell'interessato, oppure in attuazione di un provvedimento dell'autorita' giudiziaria o del Garante.

6. I dati relativi al primo ritardo nei pagamenti in un rapporto di credito sono utilizzati e resi accessibili agli altri partecipanti nel rispetto dei seguenti termini:

a) nei sistemi di informazioni creditizie di tipo negativo, dopo almeno centoventi giorni dalla data di scadenza del pagamento o in caso di mancato pagamento di almeno quattro rate mensili non regolarizzate;

b) nei sistemi di informazioni creditizie di tipo positivo e negativo:

1) qualora l'interessato sia un consumatore, decorsi sessanta giorni dall'aggiornamento mensile di cui al successivo comma 8, oppure in caso di mancato pagamento di almeno due rate mensili consecutive, oppure quando il ritardo si riferisce ad una delle due ultime scadenze di pagamento. Nel secondo caso i dati sono resi accessibili dopo l'aggiornamento mensile relativo alla seconda rata consecutivamente non pagata;

2) negli altri casi, dopo almeno trenta giorni dall'aggiornamento mensile di cui al successivo comma 8 o in caso di mancato pagamento di una rata.

7. Al verificarsi di ritardi nei pagamenti, il partecipante, anche unitamente all'invio di solleciti o di altre comunicazioni, avverte l'interessato circa l'imminente registrazione dei dati in uno o piu' sistemi di informazioni creditizie. I dati relativi al primo ritardo di cui al comma 6 possono essere resi accessibili ai partecipanti solo decorsi almeno quindici giorni dalla spedizione del preavviso all'interessato.

2. L'informativa di cui al comma 1 reca in modo chiaro e preciso, nell'ambito della descrizione delle finalita' e delle modalita' del trattamento, nonche' degli altri elementi di cui all'art. 13 del Codice, le seguenti indicazioni:

a) estremi identificativi dei sistemi di informazioni creditizie cui sono comunicati i dati personali e dei rispettivi gestori;

b) categorie di partecipanti che vi accedono;

c) tempi di conservazione dei dati nei sistemi di informazioni creditizie cui sono comunicati;

d) modalita' di organizzazione, raffronto ed elaborazione dei dati, nonche' eventuale uso di tecniche o sistemi automatizzati di credit scoring;

e) modalita' per l'esercizio da parte degli interessati dei diritti previsti dall'art. 7 del Codice.

3. L'informativa di cui al comma 2 e' fornita agli interessati per iscritto secondo il modello allegato alla deliberazione che verifica la conformita' del presente codice e, se inserita in un modulo utilizzato dal partecipante, e' adeguatamente evidenziata e collocata in modo autonomo ed unitario, in parti o riquadri distinti da quelli relativi ad eventuali altre finalita' del trattamento effettuato dal medesimo partecipante.

4. L'informativa dovuta per effetto di eventuali aggiornamenti o modifiche relativi alle indicazioni rese ai sensi del comma 2, anche in caso di cambiamento della denominazione e della sede del gestore, e' fornita attraverso comunicazioni periodiche, nonche' su uno o piu' siti Internet e a richiesta degli interessati.

5. Ad integrazione dell'informativa resa dai partecipanti singolarmente ad ogni interessato, il gestore fornisce un'informativa piu' dettagliata attraverso modalita' ulteriori di diffusione delle informazioni al pubblico, anche mediante strumenti telematici.

6. Quando la richiesta di credito non e' accolta, il partecipante comunica all'interessato se, per istruire la richiesta di credito, ha consultato dati personali relativi ad informazioni creditizie di tipo negativo in uno o piu' sistemi, indicandogli gli estremi identificativi del sistema da cui sono state rilevate tali informazioni e del relativo gestore.

2. Le informazioni creditizie di tipo negativo relative a ritardi nei pagamenti, successivamente regolarizzati, possono essere conservate in un sistema di informazioni creditizie fino a:

a) dodici mesi dalla data di registrazione dei dati relativi alla regolarizzazione di ritardi non superiori a due rate o mesi;

b) ventiquattro mesi dalla data di registrazione dei dati relativi alla regolarizzazione di ritardi superiori a due rate o mesi.

3. Decorsi i periodi di cui al comma 2, i dati sono eliminati dal sistema di informazioni creditizie se nel corso dei medesimi intervalli di tempo non sono registrati dati relativi ad ulteriori ritardi o inadempimenti.

4. Il partecipante ed il gestore aggiornano senza ritardo i dati relativi alla regolarizzazione di inadempimenti di cui abbiano conoscenza, avvenuta dopo la cessione del credito da parte del partecipante ad un soggetto che non partecipa al sistema, anche a seguito di richiesta dell'interessato munita di dichiarazione del soggetto cessionario del credito o di altra idonea documentazione.

5. Le informazioni creditizie di tipo negativo relative a inadempimenti non successivamente regolarizzati possono essere conservate nel sistema di informazioni creditizie non oltre trentasei mesi dalla data di scadenza contrattuale del rapporto oppure, in caso di altre vicende rilevanti in relazione al pagamento, dalla data in cui e' risultato necessario il loro ultimo aggiornamento, o comunque dalla data di cessazione del rapporto.

6. Le informazioni creditizie di tipo positivo relative ad un rapporto che si e' esaurito con estinzione di ogni obbligazione pecuniaria, possono essere conservate nel sistema non oltre ventiquattro mesi dalla data di cessazione del rapporto o di scadenza del relativo contratto, ovvero dal primo aggiornamento effettuato nel mese successivo a tali date. Tenendo conto del requisito della completezza dei dati in rapporto alle finalita' perseguite (art. 11, comma 1, lettera d) del Codice), le predette informazioni di tipo positivo possono essere conservate ulteriormente nel sistema qualora in quest'ultimo risultino presenti, in relazione ad altri rapporti di credito riferiti al medesimo interessato, informazioni creditizie di tipo negativo concernenti ritardi od inadempimenti non regolarizzati.

In tal caso, le informazioni creditizie di tipo positivo sono eliminate dal sistema allo scadere del termine previsto dal comma 5 per la conservazione delle informazioni di tipo negativo registrate nel sistema in riferimento agli altri rapporti di credito con l'interessato.

7. Qualora il consumatore interessato comunichi al partecipante la revoca del consenso al trattamento delle informazioni di tipo positivo, nell'ambito del sistema di informazioni creditizie, il partecipante ne da' notizia al gestore con l'aggiornamento mensile di cui all'art. 4, comma 8. In tal caso, e in quello in cui la revoca gli sia stata comunicata direttamente dall'interessato, il gestore registra la notizia nel sistema ed elimina le informazioni non oltre novanta giorni dall'aggiornamento o dalla comunicazione.

8. Prima dell'eliminazione dei dati dal sistema di informazioni creditizie nei termini indicati ai precedenti commi, il gestore puo' trasporre i dati su altro supporto, ai fini della limitata conservazione per il tempo necessario, esclusivamente in relazione ad esigenze di difesa di un proprio diritto in sede giudiziaria, nonche' della loro eventuale elaborazione statistica in forma anonima.

a) consumatori che chiedono di instaurare o sono parte di un rapporto di credito con il medesimo partecipante e soggetti coobbligati, anche in solido;

b) soggetti che agiscono nell'ambito della loro attivita' imprenditoriale o professionale per i quali sia stata avviata un'istruttoria per l'instaurazione di un rapporto di credito o comunque per l'assunzione di un rischio di credito, oppure che siano gia' parte di un rapporto di credito con il medesimo partecipante;

c) soggetti aventi un collegamento di tipo giuridico con quelli di cui alla lettera b), in particolare in quanto obbligati in solido o appartenenti a gruppi di imprese, sempre che i dati personali cui il partecipante intende accedere risultino oggettivamente necessari per valutare la situazione finanziaria e il merito creditizio dei soggetti di cui alla stessa lettera b).

2. Il sistema di informazioni creditizie e' accessibile dal partecipante e dal gestore solo da un numero limitato, rispetto all'intera organizzazione del titolare, di responsabili ed incaricati del trattamento designati per iscritto, con esclusivo riferimento ai dati strettamente necessari, pertinenti e non eccedenti in rapporto alle finalita' indicate nell'art. 2, in relazione alle specifiche esigenze derivanti dall'istruttoria di una richiesta di credito o dalla gestione di un rapporto, concretamente verificabili sulla base degli elementi in possesso dei partecipanti medesimi. Nei soli limiti e con le medesime modalita' appena indicate, il sistema e' accessibile anche da banche ed intermediari finanziari appartenenti al gruppo bancario del partecipante all'esclusivo fine di curare l'istruttoria per l'instaurazione del rapporto di credito con l'interessato o comunque per l'assunzione del relativo rischio.

3. I partecipanti accedono al sistema di informazioni creditizie attraverso le modalita' e gli strumenti anche telematici individuati per iscritto con il gestore, nel rispetto della normativa sulla protezione dei dati personali. I dati personali relativi a richieste/rapporti di credito registrati in un sistema di informazioni creditizie sono consultabili con modalita' di accesso graduale e selettivo, attraverso uno o piu' livelli di consultazione di informazioni sintetiche o riepilogative dei dati riferiti all'interessato, prima della loro visione in dettaglio e con riferimento anche ad eventuali dati riferiti a soggetti coobbligati o collegati ai sensi del comma 1. Sono, in ogni caso, precluse, anche tecnicamente, modalita' di accesso che permettano interrogazioni di massa o acquisizioni di elenchi di dati concernenti richieste/rapporti di credito relativi a soggetti diversi da quelli che hanno chiesto di instaurare o sono parte di un rapporto di credito con il partecipante.

2. Nella richiesta con la quale esercita i propri diritti, l'interessato indica anche, ove possibile, il codice fiscale e/o la partita IVA, al fine di agevolare la ricerca dei dati che lo riguardano nel sistema di informazioni creditizie.

3. Il terzo al quale l'interessato conferisce, per iscritto, delega o procura per l'esercizio dei propri diritti, puo' trattare i dati personali acquisiti presso un sistema di informazioni creditizie esclusivamente per finalita' di tutela dei diritti dell'interessato, con esclusione di ogni altro scopo perseguito dal terzo medesimo o da soggetti ad esso collegati.

4. Il partecipante, al quale e' rivolta una richiesta con cui e' esercitato taluno dei diritti di cui all'art. 7 del Codice relativamente alle informazioni creditizie registrate in un sistema, fornisce direttamente riscontro nei termini previsti dall'art. 146, commi 2 e 3 del Codice e dispone le eventuali modifiche ai dati ai sensi dell'art. 4, comma 5. Se la richiesta e' rivolta al gestore, quest'ultimo provvede anch'esso direttamente nei medesimi termini, consultando ove necessario il partecipante.

5. Qualora sia necessario svolgere ulteriori o particolari verifiche con il partecipante, il gestore informa l'interessato di tale circostanza entro il termine di quindici giorni previsto dal codice ed indica un altro termine per la risposta, che non puo' essere superiore ad ulteriori quindici giorni. Durante il periodo necessario ad effettuare le ulteriori verifiche con il partecipante, il gestore:

a) nell'arco dei primi quindici giorni, mantiene nel sistema di informazioni creditizie l'indicazione relativa allo svolgimento delle verifiche, tramite specifica codifica o apposito messaggio da apporre in corrispondenza dei dati oggetto delle richieste dell'interessato;

b) negli ulteriori quindici giorni, sospende la visualizzazione nel sistema di informazioni creditizie dei dati oggetto delle verifiche.

a) le tecniche o i sistemi, messi a disposizione dal gestore o impiegati per conto dei partecipanti, possono essere utilizzati solo per l'istruttoria di una richiesta di credito o per la gestione dei rapporti di credito instaurati;

b) i dati relativi a giudizi, indicatori o punteggi associati ad un interessato sono elaborati e comunicati dal gestore al solo partecipante che ha ricevuto la richiesta di credito dall'interessato o che ha precedentemente comunicato dati riguardanti il relativo rapporto di credito e, comunque, non sono conservati nel sistema di informazioni creditizie ai sensi dell'art. 6 del presente codice, ne' resi accessibili agli altri partecipanti;

c) i modelli o i fattori di analisi statistica, nonche' gli algoritmi di calcolo dei giudizi, indicatori o punteggi sono verificati periodicamente con cadenza almeno annuale ed aggiornati in funzione delle risultanze di tali verifiche;

a) i dati personali provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, se registrati, devono figurare in banche di dati personali separate dal sistema di informazioni creditizie e non interconnesse a tale sistema;

b) nel caso di accesso del partecipante a dati personali contenuti sia in un sistema di informazioni creditizie, sia in una delle banche di dati di cui alla lettera a), il gestore adotta le adeguate misure tecniche ed organizzative al fine di assicurare la separazione e la distinguibilita' dei dati provenienti dal sistema di informazioni creditizie rispetto a quelli provenienti da altre banche dati, anche attraverso l'inserimento di idonee indicazioni, eliminando ogni possibilita' di equivoco circa la diversa natura ed origine dei dati oggetto dell'accesso;

2. Le persone fisiche che, in qualita' di responsabili o di incaricati del trattamento designati dal gestore o dai partecipanti, hanno accesso al sistema di informazioni creditizie, mantengono il segreto sui dati personali acquisiti e rispondono della violazione degli obblighi di riservatezza derivanti da un'utilizzazione dei dati o una divulgazione a terzi per finalita' diverse o incompatibili con le finalita' di cui all'art. 2 del presente codice o comunque non consentite.

3. Il gestore e i partecipanti adottano le misure tecniche, logiche, informatiche, procedurali, fisiche ed organizzative idonee ad assicurare la sicurezza, l'integrita' e la riservatezza dei dati personali e delle comunicazioni elettroniche in conformita' alla disciplina in materia di protezione dei dati personali.

4. Il gestore adotta adeguate misure di sicurezza al fine di garantire il corretto e regolare funzionamento del sistema di informazioni creditizie, nonche' il controllo degli accessi. Questi ultimi sono registrati e memorizzati nel sistema informativo del gestore medesimo o di ogni partecipante presso cui risieda copia della stessa banca dati.

2. Entro il termine di cui al comma 1, il gestore del sistema centralizzato di rilevazione dei rischi di importo contenuto, istituito con deliberazione Cicr del 3 maggio 1999 (pubblicata nella Gazzetta Ufficiale 8 luglio 1999, n. 158), nonche' i relativi partecipanti, adottano le misure necessarie per l'applicazione degli articoli 5 e 8, commi 1, 2, 3, 4 e 5, primo periodo, del presente codice in tema di informativa agli interessati e di esercizio dei diritti, ad integrazione di quanto previsto nel punto 3 delle istruzioni della Banca d'Italia (pubblicate nella Gazzetta Ufficiale 21 novembre 2000, n. 272).

3. I partecipanti forniscono entro i tre mesi successivi al termine di cui al comma 1, nell'ambito delle comunicazioni periodiche inviate alla clientela, le informazioni di cui all'art. 5, commi 1 e 2, del presente codice eventualmente non comprese nelle informative precedentemente rese agli interessati i cui dati personali risultino gia' registrati in un sistema di informazioni creditizie.

4. In sede di prima applicazione delle disposizioni di cui all'art. 6, comma 6, i gestori riducono entro il 30 giugno 2005, ad un termine non superiore a trentasei mesi, i tempi di conservazione dei dati personali relativi ad informazioni creditizie di tipo positivo. Entro il 31 dicembre 2005 l'organismo di cui al comma 7 valuta, con atto motivato, se l'esperienza maturata e l'incidenza delle misure previste dal presente codice sui diritti degli interessati, tenuto anche conto dell'efficienza dei sistemi di informazioni creditizie, giustifichino il mantenimento del predetto termine di trentasei mesi. Il medesimo termine si intende mantenuto qualora il Garante, su richiesta del predetto organismo o di propria iniziativa, non disponga diversamente. Entro il 31 gennaio 2006 il Garante dispone la pubblicazione sulla Gazzetta Ufficiale del proprio provvedimento o di un avviso indicante il termine da osservare.

5. Al fine di consentire il controllo sulla corretta attuazione delle disposizioni del presente codice, ogni gestore comunica al Garante, non oltre due mesi dal termine di cui al comma 1 e secondo le modalita' indicate da quest'ultimo:

a) oltre ai propri estremi identificativi e recapiti, una descrizione generale delle modalita' di funzionamento del sistema di informazioni creditizie e di accesso da parte dei partecipanti, che permetta di valutare l'adeguatezza delle misure, anche tecniche ed organizzative, adottate per l'applicazione del presente codice;

b) in relazione alle parti aventi riflessi in materia di protezione dei dati personali e di applicazione del presente codice, i modelli di contratti, accordi, convenzioni, regolamenti o istruzioni che disciplinano le modalita' di partecipazione ed accesso dei partecipanti al sistema di informazioni creditizie, nonche' la documentazione circa le misure adottate in tema di sicurezza, riservatezza e segretezza dei dati;

c) i documenti di cui agli articoli 3, commi 3 e 4, 5, commi 4 e 5, e di cui al successivo comma 7.

6. Le comunicazioni di cui al comma 5 sono inviate al Garante, anche successivamente al predetto termine, da qualsiasi titolare che, in qualita' di gestore di un sistema di informazioni creditizie, intenda procedere ad un trattamento di dati personali soggetto all'ambito di applicazione del presente codice. I gestori trasmettono al Garante eventuali variazioni delle comunicazioni e dei documenti precedentemente inviati, non oltre la fine dell'anno in cui sono avvenute le variazioni.

7. Il gestore effettua verifiche periodiche, con cadenza almeno annuale, sulla liceita' e correttezza del trattamento, controllando l'esattezza e completezza dei dati riferiti ad un congruo numero di richieste/rapporti di credito, estratti a campione. Il controllo e' eseguito da un organismo composto da almeno un rappresentante del gestore, un rappresentante dei partecipanti designato a rotazione e un rappresentante delle associazioni dei consumatori designato dal Consiglio nazionale dei consumatori ed utenti. Il verbale dei controlli e' trasmesso al Garante.

8. Allo scopo di vigilare sulla puntuale osservanza delle disposizioni contenute nel presente codice e fermi restando i poteri previsti dal Codice in materia di accertamenti e controlli, il Garante puo' concordare con il gestore l'esecuzione di altre verifiche periodiche presso i luoghi ove si svolge il trattamento dei dati personali, con eventuali accessi, anche a campione, al sistema di informazioni creditizie. Il Garante puo' eseguire analoghi controlli concordati sugli accessi effettuati da parte dei partecipanti.

9. Le associazioni di categoria che sottoscrivono il presente codice e i gestori avviano forme di collaborazione con le associazioni dei consumatori e con il Garante, al fine di individuare sia soluzioni operative per il rispetto del presente codice, sia sistemi alternativi di risoluzione delle controversie derivanti dall'applicazione del presente codice.

Sottoscritto da:

AISReC - Associazione italiana delle societa' di referenza creditizia;

ABI - Associazione bancaria italiana;

FEDERCASSE - Federazione italiana delle banche di credito cooperativo;

ASSOFIN - Associazione italiana del credito al consumo e immobiliare;

ASSILEA - Associazione italiana leasing;

CTC - Consorzio per la tutela del credito;

ADICONSUM - Associazione difesa consumatori e ambiente;

ADOC - Associazione per la difesa e l'orientamento dei consumatori;

ADUSBEF - Associazione difesa utenti servizi bancari finanziari assicurativi e postali;

CODACONS - Coordinamento delle associazioni per la difesa dell'ambiente e la tutela dei diritti di utenti e di consumatori;

FEDERCONSUMATORI - Federazione nazionale consumatori e utenti.

-----------

DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati che abroga la direttiva 95/46/CE (di seguito, «Regolamento»);

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito «Codice»);

Visto l'art. 20, comma 4, del decreto legislativo n. 101/2018 che demanda al Garante il compito di effettuare, nel termine di novanta giorni dall'entrata in vigore del decreto stesso, una verifica della conformita' al Regolamento delle disposizioni contenute in alcuni codici deontologici ivi indicati, tra i quali quelle contenute nel «Codice di deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive», adottato il 6 novembre 2008, attualmente inserito nel Codice in materia di protezione come allegato A.6 ed applicabile sino al completamento della menzionata procedura;

Rilevato che, sempre secondo quanto previsto dal citato art. 20, comma 4, del decreto legislativo n. 101/2018, al termine della suddetta procedura di verifica, le «disposizioni ritenute compatibili, ridenominate regole deontologiche, sono pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministro della giustizia, sono successivamente riportate nell'allegato A del Codice»;

Ritenuto che la valutazione di compatibilita' di dette disposizioni con il regolamento non possa prescindere da una loro lettura che tenga integralmente conto del mutato quadro normativo di riferimento;

Ritenuto, per tale ragione, che:

i richiami al decreto legislativo n. 196/2003 contenuti in alcune disposizioni del codice deontologico, nonche' la terminologia utilizzata, sono stati opportunamente aggiornati ai sensi delle corrispondenti disposizioni del Regolamento e del medesimo decreto legislativo n. 196/2003, come modificato dal decreto legislativo n. 101/2018;

e' opportuno espungere il preambolo del codice di deontologia, dovendosi, in base al richiamato art. 20 del decreto legislativo 101/2018, ridenominare solo le disposizioni dello stesso; il preambolo, invece, nel sintetizzare le condizioni di liceita' del trattamento, evidenziava, altresi', i presupposti della sottoscrizione del codice di deontologia, nel rispetto del principio di rappresentativita', che, comunque, rimane alla base delle presenti regole;

e' stata eliminata la previsione riguardante il monitoraggio periodico del codice di deontologia e di buona condotta;

Ritenuto che tali elementi, relativi all'aggiornamento della disciplina in materia, debbano essere recepiti nelle «Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive» in ragione di quanto disposto dall'art. 20, comma 4, del decreto legislativo n. 101/2018;

Ritenuto, all'esito della verifica della conformita' al regolamento delle disposizioni previste nel «Codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria», che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, debbano essere pubblicate ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018 come «Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria»;

Considerato che le predette «Regole deontologiche» sono volte a disciplinare i trattamenti in questione in attesa di un auspicabile aggiornamento delle stesse ai sensi degli articoli 2-quater del Codice;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

Tutto cio' premesso il Garante:

Ai sensi dell'art. 20, comma 4, del decreto legislativo n. 101/2018, verificata la conformita' al regolamento delle disposizioni del «Codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria», dispone che le medesime, riportate nell'allegato 1 al presente provvedimento e che ne forma parte integrante, siano pubblicate come «relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria» e ne dispone, altresi', la trasmissione all´Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell´Allegato A) al Codice.

Roma, 19 dicembre 2018

Il presidente: Soro

Il relatore: Soro

Il segretario generale: Busia

a) avvocati o praticanti avvocati iscritti ad albi territoriali o ai relativi registri, sezioni ed elenchi, i quali esercitino l'attivita' in forma individuale, associata o societaria svolgendo, anche su mandato, un'attivita' in sede giurisdizionale o di consulenza o di assistenza stragiudiziale, anche avvalendosi di collaboratori, dipendenti o ausiliari, nonche' da avvocati stranieri esercenti legalmente la professione sul territorio dello Stato;

b) soggetti che, sulla base di uno specifico incarico anche da parte di un difensore, svolgano in conformita' alla legge attivita' di investigazione privata (art. 134 regio decreto 18 giugno 1931, n. 773; art. 222 norme di coordinamento del c.p.p.).

2. Le decisioni relativamente a quanto previsto dal comma 1 sono adottate dal titolare del trattamento il quale resta individuato, a seconda dei casi, in:

a) un singolo professionista;

b) una pluralita' di professionisti, codifensori della medesima parte assistita o che, anche al di fuori del mandato di difesa, siano stati comunque interessati a concorrere all'opera professionale quali consulenti o domiciliatari;

c) un'associazione tra professionisti o una societa' di professionisti.

3. Nel quadro delle adeguate istruzioni da impartire per iscritto alle persone autorizzate ad al trattamento dei dati, sono formulate concrete indicazioni in ordine alle modalita' che tali soggetti devono osservare, a seconda del loro ruolo di sostituto processuale, di praticante avvocato con o senza abilitazione al patrocinio, di consulente tecnico di parte, perito, investigatore privato o altro ausiliario che non rivesta la qualita' di autonomo titolare del trattamento, nonche' di tirocinante, stagista o di persona addetta a compiti di collaborazione amministrativa.

4. Specifica attenzione e' prestata all'adozione di idonee cautele per prevenire l'ingiustificata raccolta, utilizzazione o conoscenza di dati in caso di:

a) acquisizione anche informale di notizie, dati e documenti connotati da un alto grado di confidenzialita' o che possono comportare, comunque, rischi specifici per gli interessati;

b) scambio di corrispondenza, specie per via telematica;

c) esercizio contiguo di attivita' autonome all'interno di uno studio;

d) utilizzo di dati di cui e' dubbio l'impiego lecito, anche per effetto del ricorso a tecniche invasive;

e) utilizzo e distruzione di dati riportati su particolari dispositivi o supporti, specie elettronici (ivi comprese registrazioni audio/video), o documenti (tabulati di flussi telefonici e informatici, consulenze tecniche e perizie, relazioni redatte da investigatori privati);

f) custodia di materiale documentato, ma non utilizzato in un procedimento e ricerche su banche dati a uso interno, specie se consultabili anche telematicamente da uffici dello stesso titolare del trattamento situati altrove;

g) acquisizione di dati e documenti da terzi, verificando che si abbia titolo per ottenerli;

h) conservazione di atti relativi ad affari definiti.

5. Se i dati sono trattati per esercitare il diritto di difesa in sede giurisdizionale, cio' puo' avvenire anche prima della pendenza di un procedimento, sempreche' i dati medesimi risultino strettamente funzionali all'esercizio del diritto di difesa, in conformita' ai principi di liceita', proporzionalita' e minimizzazione dei dati rispetto alle finalita' difensive (art. 5 del regolamento UE 2016/679).

6. Sono utilizzati lecitamente e secondo correttezza secondo i medesimi principi di cui all'art. 5 del regolamento (UE) 2016/679:

a) i dati personali contenuti in pubblici registri, elenchi, albi, atti o documenti conoscibili da chiunque, nonche' in banche di dati, archivi ed elenchi, ivi compresi gli atti dello stato civile, dai quali possono essere estratte lecitamente informazioni personali riportate in certificazioni e attestazioni utilizzabili a fini difensivi;

2. Fermo restando quanto previsto dal codice deontologico forense in ordine alla restituzione al cliente dell'originale degli atti da questi ricevuti, e salvo quanto diversamente stabilito dalla legge, e' consentito, previa comunicazione alla parte assistita, distruggere, cancellare o consegnare all'avente diritto o ai suoi eredi o aventi causa la documentazione integrale dei fascicoli degli affari trattati e le relative copie.

3. In caso di revoca o di rinuncia al mandato fiduciario o del patrocinio, la documentazione acquisita e' rimessa, in originale ove detenuta in tale forma, al difensore che subentra formalmente nella difesa.

a) a liberi professionisti che prestino o su mandato dell'avvocato o unitamente a esso o, comunque, nei casi e nella misura consentita dalla legge, attivita' di consulenza e assistenza per far valere o difendere un diritto in sede giudiziaria o per lo svolgimento delle investigazioni difensive;

2. L'investigatore privato non puo' intraprendere di propria iniziativa investigazioni, ricerche o altre forme di raccolta dei dati. Tali attivita' possono essere eseguite esclusivamente sulla base di apposito incarico conferito per iscritto e solo per le finalita' di cui alle presenti regole.

3. L'atto d'incarico deve menzionare in maniera specifica il diritto che si intende esercitare in sede giudiziaria, ovvero il procedimento penale al quale l'investigazione e' collegata, nonche' i principali elementi di fatto che giustificano l'investigazione e il termine ragionevole entro cui questa deve essere conclusa.

4. L'investigatore privato deve eseguire personalmente l'incarico ricevuto e puo' avvalersi solo di altri investigatori privati indicati nominativamente all'atto del conferimento dell'incarico, oppure successivamente in calce a esso qualora tale possibilita' sia stata prevista nell'atto di incarico. Restano ferme le prescrizioni predisposte ai sensi dell'art. 2-septies del decreto legislativo n. 196/2003 e art. 21 del decreto legislativo n. 101/2018 relative al trattamento delle particolari categorie di dati personali di cui all'art. 9, par. 1, del Regolamento (UE) 2016/679.

5. Nel caso in cui si avvalga di persone autorizzate al trattamento dei dati per suo conto, l'investigatore privato rende specifiche istruzioni in ordine alle modalita' da osservare e vigila, con cadenza almeno settimanale, sulla puntuale osservanza delle norme di legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla collaborazione a essi richiesta.

a) l'acquisizione di dati personali presso altri titolari del trattamento, anche mediante mera consultazione, verificando che si abbia titolo per ottenerli;

b) il ricorso ad attivita' lecite di rilevamento, specie a distanza, e di audio/videoripresa;

c) la raccolta di dati biometrici.

2. Una volta conclusa la specifica attivita' investigativa, il trattamento deve cessare in ogni sua forma, fatta eccezione per l'immediata comunicazione al difensore o al soggetto che ha conferito l'incarico, i quali possono consentire, anche in sede di mandato, l'eventuale conservazione temporanea di materiale strettamente personale dei soggetti che hanno curato l'attivita' svolta, a i soli fini dell'eventuale dimostrazione della liceita', trasparenza e correttezza del proprio operato. Se e' stato contestato il trattamento il difensore o il soggetto che ha conferito l'incarico possono anche fornire all'investigatore il materiale necessario per dimostrare la liceita', trasparenza e correttezza del proprio operato, per il tempo a cio' strettamente necessario.

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");

Visto l'art. 27 della direttiva n. 95/46/CEdel Parlamento europeo e del Consiglio del 24 ottobre 1995, secondo cui gli Stati membri e la Commissione incoraggiano l'elaborazione di codici di condotta destinati a contribuire, in funzione delle specificita' settoriali, alla corretta applicazione delle disposizioni nazionali di attuazione della direttiva adottate dagli Stati membri;

Visti gli artt. 12 e 154, comma 1, lett. e), del Codice, i quali attribuiscono al Garante il compito di promuovere nell'ambito delle categorie interessate, nell'osservanza del principio di rappresentativita' e tenendo conto dei criteri direttivi delle raccomandazioni del Consiglio d'Europa sul trattamento dei dati personali, la sottoscrizione di codici di deontologia e di buona condotta per determinati settori, verificarne la conformita' alle leggi e ai regolamenti anche attraverso l'esame di osservazioni di soggetti interessati e contribuire a garantirne la diffusione e il rispetto;

Visto l'art. 118 del Codice con il quale e' stato demandato al Garante il compito di promuovere la sottoscrizione di un codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale, prevedendo anche, in correlazione con quanto previsto dall'art. 13, comma 5, modalita' semplificate per l'informativa all'interessato e idonei meccanismi per favorire la qualita' e l'esattezza dei dati raccolti e comunicati;

Visto il regolamento n. 2/2006 recante le procedure per la sottoscrizione dei codici deontologici e di buona condotta, adottato dal Garante il 20 luglio 2006 (G.U. n. 183 dell'8 agosto 2006);

Considerato che il Collegio del Garante in data 19 febbraio 2015, all'esito della complessa attivita' di stesura dell'articolato, ha analizzato lo schema preliminare del codice di deontologia e di buona condotta predisposto dai partecipanti al tavolo di lavoro, ritenendolo conforme alle leggi ed ai regolamenti anche in relazione a quanto previsto dall'art. 12 del Codice e ha disposto l'avvio della consultazione pubblica su tale testo, pubblicato sul sito internet del Garante;

Rilevato che la consultazione pubblica si e' svolta nel periodo compreso tra il 17 marzo ed il 27 aprile u.s.;

Visto il verbale dell'incontro tenutosi il 9 giugno 2015 presso gli uffici del Garante nel corso del quale i soggetti rappresentativi, esaminate le osservazioni ricevute nel corso della consultazione pubblica, hanno definito lo schema finale del codice di deontologia e di buona condotta rimettendolo al Garante per il prosieguo dell'iter di adozione;

Visto il provvedimento n. 434 del 23 luglio 2015 con il quale il Garante, nell'esaminare lo schema finale del Codice, lo ha ritenuto conforme alle norme di legge e di regolamento, invitando i soggetti rappresentativi e quelli interessati a sottoscriverlo;

Visto il verbale redatto il 3 settembre 2015 dal quale risulta che in tale data il testo del Codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale (riportato in allegato alla presente deliberazione) e' stato sottoscritto, in qualita' di soggetti rappresentativi, da ANCIC (Associazione nazionale tra le imprese di informazione commerciale e di gestione del Credito), FEDERPOL (Federazione italiana degli istituti privati per le investigazioni, per le informazioni e per la sicurezza) ed ABI (Associazione bancaria italiana), nonche', in qualita' di soggetti interessati che hanno manifestato la loro adesione ai principi del Codice, da CONFCOMMERCIO (Confederazione Generale Italiana delle Imprese, delle Attivita' Professionali e del Lavoro Autonomo) CONFESERCENTI (Confederazione degli Esercenti attivita' Commerciali e Turistiche), CODACONS (Coordinamento delle Associazioni per la Difesa dell'Ambiente e dei Diritti degli Utenti e dei Consumatori), ASSOUTENTI (Associazione nazionale a difesa dei consumatori nei confronti di burocrazia, commercio, assicurazioni, banche e telecomunicazioni), ADICONSUM (Associazione italiana difesa consumatori e ambiente);

Rilevato che le sottoscrizioni e le adesioni fino ad oggi manifestate rappresentano un adeguato spettro delle realta' che trattano professionalmente informazioni commerciali, che le utilizzano nello svolgimento della propria attivita' economica e professionale nonche' della platea degli interessati i cui dati sono oggetto di trattamento da parte dei c.d. "informatori commerciali";

Considerato che, in conformita' all'art. 8, comma 3, del citato reg. 2/2006, il Garante esaminera' le eventuali richieste di altri soggetti rappresentativi o interessati volte ad apporre le sottoscrizioni o le adesioni in epoca successiva all'adozione del codice di deontologia e buona condotta;

Rilevato che il rispetto delle disposizioni contenute nel codice di deontologia e di buona condotta costituisce condizione essenziale per la liceita' e la correttezza del trattamento dei dati personali effettuato da soggetti privati e pubblici (art. 12, comma 3, del Codice);

Considerato che, ai sensi dell'art. 12, comma 2, del Codice e dell'art. 9 del menzionato regolamento n. 2/2006, il codice di deontologia e di buona condotta deve essere pubblicato a cura del Garante nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministro della giustizia, riportato nell'Allegato A) al medesimo Codice;

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

Tutto cio' premesso il Garante:

preso atto della conclusione dell'iter procedurale di redazione e sottoscrizione del codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale, che figura in allegato, quale parte integrante della presente deliberazione, ai sensi dell'art. 9 del regolamento n. 2/2006, ne dispone la trasmissione all'Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana, nonche' al Ministero della giustizia per essere riportato nell'Allegato A) al Codice.

Roma, 17 settembre 2015

Il presidente: Soro

Il relatore: Iannini

Il segretario generale: Busia

Allegato

Codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale

PREAMBOLO

I sotto indicati soggetti privati sottoscrivono il presente Codice deontologico, adottato sulla base di quanto previsto dall'art. 118 del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni ed integrazioni, recante il Codice in materia di protezione dei dati personali (di seguito denominato "Codice"), sulla base delle seguenti premesse:

1) i soggetti operanti nel settore relativo alle attivita' di informazione commerciale si impegnano al rispetto dei diritti, delle liberta' fondamentali e della dignita' delle persone interessate, in particolare del diritto alla protezione dei dati personali, del diritto alla riservatezza e del diritto all'identita' personale;

2) nel presente Codice deontologico sono individuate le adeguate garanzie e modalita' di trattamento dei dati personali a tutela dei diritti degli interessati da porre in essere nel perseguire le finalita' di informazione commerciale per garantire, da un lato, la certezza e la trasparenza nei rapporti commerciali nonche' l'adeguata conoscenza e circolazione delle informazioni commerciali ed economiche e, dall'altro lato, la qualita', la pertinenza, l'esattezza e l'aggiornamento dei dati personali trattati;

3) le disposizioni del presente Codice deontologico si applicano alle sole informazioni commerciali riferite a persone fisiche (rientranti nel concetto di interessato di cui all'art. 4, comma 1, lettera i), del Codice) ed, in particolare, al trattamento dei dati personali provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque o pubblicamente accessibili da chiunque (c.d. fonti pubbliche), nonche' al trattamento avente ad oggetto i dati personali forniti direttamente dagli interessati, effettuato dai soggetti che prestano a terzi servizi, per finalita' di informazione commerciale, nel rispetto dei limiti e delle modalita' che le normative vigenti stabiliscono per la conoscibilita', utilizzabilita' e pubblicita' di tali dati; e' escluso dall'ambito di applicazione del presente Codice deontologico il trattamento avente ad oggetto i dati personali raccolti presso soggetti privati diversi dall'interessato, che rimane disciplinato dalle disposizioni del Codice oltre che da eventuali provvedimenti specifici adottati dal Garante, al fine di disciplinare compiutamente questo particolare tipo di trattamento;

4) non rientra nell'ambito di applicazione del presente Codice deontologico il trattamento dei dati personali effettuato nell'ambito di sistemi informativi creditizi (c.d. SIC). Per il trattamento di tali dati, resta fermo, pertanto, quanto previsto dal relativo Codice deontologico (v. Allegato 5 al Codice);

2. Ai medesimi fini, si intende per:

a) "informazione commerciale": il dato relativo ad aspetti patrimoniali, economici, finanziari, creditizi, industriali e produttivi di un soggetto;

b) "attivita' di informazione commerciale": l'attivita' consistente nella fornitura di servizi informativi e/o valutativi che comportano la ricerca, la raccolta, l'elaborazione, l'analisi, anche mediante stime e giudizi, e la comunicazione di informazioni commerciali;

c) "finalita' di informazione commerciale": la finalita' di fornire informazioni ai committenti sulla situazione economica, finanziaria e patrimoniale delle persone fisiche, nonche' sulla solidita', solvibilita' ed affidabilita' delle predette, in relazione ad esigenze connesse all'instaurazione e gestione di rapporti commerciali, anche precontrattuali, di natura economica e finanziaria e alla tutela dei relativi diritti da parte dei committenti;

d) "servizio di informazione commerciale": il servizio concernente l'esecuzione, per conto dei committenti, di operazioni di raccolta, analisi, valutazione, elaborazione e comunicazione delle informazioni provenienti da fonti pubbliche, da fonti pubblicamente e generalmente accessibili da chiunque o acquisite direttamente dall'interessato, tali da fornire un valore di conoscenza aggiuntiva ai terzi;

e) "committente": il soggetto privato o pubblico che richiede al fornitore il servizio di informazione commerciale;

f) "fornitore": il soggetto privato che fornisce al committente il servizio di informazione commerciale;

g) "soggetto censito": il soggetto cui si riferiscono il servizio di informazione commerciale o il rapporto informativo richiesti dal committente;

h) "rapporto informativo": il documento cartaceo od elettronico (dossier o report) che, ove richiesto, puo' essere elaborato dal fornitore per il committente e che contiene la rappresentazione complessiva, anche in forma unitaria, aggregata o sintetica, delle informazioni commerciali raccolte in relazione al soggetto censito;

2. Il trattamento non puo' riguardare i dati sensibili ed i dati giudiziari, fatto salvo quanto previsto al successivo art. 3, comma 5, per il trattamento dei soli dati giudiziari provenienti da fonti pubbliche o da quelle pubblicamente e generalmente accessibili da chiunque ivi indicate, nel rispetto dei limiti e delle modalita' stabiliti dalla legge in ordine alla loro conoscibilita', utilizzabilita' e pubblicita'.

3. I dati personali raccolti e trattati dal fornitore ai fini dell'erogazione del servizio di informazione commerciale possono riguardare sia l'interessato quale soggetto censito, sia le persone fisiche od altri interessati legati sul piano giuridico e/o economico al soggetto censito, anche se diverso dalla persona fisica (come, ad es., nel caso di una societa').

4. Ai fini del presente Codice deontologico, deve ritenersi che sussista un legame sul piano giuridico e/o economico tra due o piu' persone fisiche e tra un interessato ed un soggetto (es: societa') diverso dalla persona fisica, quando ricorra una o piu' delle seguenti situazioni:

a) partecipazione dell'interessato ad un'impresa o ad una societa' attraverso il possesso o controllo diretto od indiretto di una percentuale di quote o azioni, oppure di diritti di voto, pari o superiore alle soglie individuate al successivo art. 7;

b) esercizio, tramite la carica o qualifica ricoperta dall'interessato, di effettivi poteri di amministrazione, direzione, gestione e controllo di una impresa o societa'.

2. Sono fonti utilizzabili dal fornitore:

a) Le fonti pubbliche ossia i pubblici registri, gli elenchi, gli atti o i documenti conoscibili da chiunque in base alla vigente normativa di riferimento, nei limiti e con le modalita' che in essa sono stabiliti per la conoscibilita', l'utilizzabilita' e la pubblicita' dei dati ivi contenuti, tra cui rientrano, in via esemplificativa e non esaustiva:

1) registro delle imprese, bilanci ed elenchi dei soci, visure e/o atti camerali, atti ed eventi relativi a fallimenti o altre procedure concorsuali nonche' il registro informatico dei protesti presso le camere di commercio e la relativa societa' consortile InfoCamere;

2) atti immobiliari, atti pregiudizievoli ed ipocatastali (come, ad es., iscrizioni o cancellazioni di ipoteche, trascrizioni e cancellazioni di pignoramenti, decreti ingiuntivi o atti giudiziari, e relativi annotamenti) conservati nei registri gestiti dall'Agenzia delle Entrate (tra i quali rientrano le ex Conservatorie dei registri immobiliari e l'Ufficio del Catasto), nel Pubblico Registro Automobilistico e presso l'Anagrafe della popolazione residente.

b) Le fonti pubblicamente e generalmente accessibili da chiunque, sono costituite da:

1) quotidiani e testate giornalistiche in formato cartaceo, che risultino regolarmente registrate;

2) elenchi c.d. categorici ed elenchi telefonici;

3) siti Internet appartenenti a:

3.1. soggetti censiti ed altri soggetti a loro connessi ai sensi del successivo art. 7;

3.2. enti pubblici, governativi, territoriali e locali, agenzie pubbliche, nonche' autorita' di vigilanza e controllo, relativamente ad elenchi, registri, atti e documenti ivi diffusi e contenenti informazioni relative allo svolgimento di attivita' economiche;

3.3. associazioni di categoria ed ordini professionali, relativamente ad elenchi od albi di operatori economici e imprenditoriali, diffusi sui propri siti;

3.4. quotidiani e testate giornalistiche on-line nel numero minimo di tre, che confermino le informazioni oggetto di comunicazione e che risultino regolarmente registrati. Sono escluse dal conteggio le testate giornalistiche on-line, per le quali sia gia' stata computata la corrispondente testata cartacea, nonche' gli articoli che rappresentino una mera ripubblicazione dello stesso testo sotto diverse testate;

3.5. servizi on-line di elenchi telefonici e categorici.

3. Il fornitore raccoglie i dati personali provenienti dalle suddette fonti pubbliche o pubblicamente e generalmente accessibili da chiunque anche mediante l'ausilio di strumenti elettronici e per via telematica, in forma sia diretta che mediata, presso soggetti pubblici o presso altri fornitori privati, sulla base di appositi accordi con questi ultimi e, comunque, nel rispetto delle forme e dei limiti stabiliti dalle disposizioni normative che disciplinano la conoscibilita', utilizzabilita' e pubblicita' degli atti e dei dati in essi contenuti.

4. Nell'acquisire e registrare i dati personali provenienti da fonti pubbliche o da fonti pubblicamente e generalmente accessibili da chiunque, il fornitore adotta idonee e preventive misure per assicurare che:

a) l'informazione estratta sia esatta e pertinente rispetto al fine perseguito e i relativi dati personali vengano trattati in conformita' al principio di proporzionalita';

b) sia annotata la specifica fonte di provenienza dei dati;

c) sia effettuato l'aggiornamento dei medesimi dati nei propri rapporti informativi.

2. L'informativa di cui al precedente comma contiene gli elementi previsti dall'art. 13, comma 1, del Codice, indicati mediante una descrizione sintetica delle principali caratteristiche del trattamento effettuato dai fornitori, autonomi titolari, e deve recare obbligatoriamente:

a) l'indicazione dei responsabili del trattamento, qualora designati, e/o l'elenco degli stessi, anche al fine di ottenere il riscontro in caso di esercizio dei diritti di cui all'art. 7 del Codice (art. 13, comma 1, lett. f), del Codice);

b) l'indicazione dei siti Internet o altre sedi dove sia agevolmente e gratuitamente consultabile la specifica e dettagliata informativa di ciascun fornitore;

c) l'indicazione delle modalita' attraverso le quali e' possibile esercitare i diritti di cui all'art. 7 del Codice.

a) utilizza le informazioni di cui sopra che riguardino direttamente l'interessato, quale soggetto censito;

b) utilizza - qualora il soggetto censito sia una persona fisica che non svolga o abbia svolto alcuna attivita' d'impresa, non ricopra od abbia ricoperto cariche sociali, o non detenga o abbia detenuto partecipazioni rilevanti in un'impresa o societa' nei termini indicati ai successivi commi - soltanto le informazioni relative a protesti ed atti pregiudizievoli che lo riguardino direttamente, nonche' le informazioni giudiziarie cosi' come indicate e disciplinate dall'art. 3, comma 5;

c) indica, nel contesto del rapporto informativo, la sola circostanza dell'esistenza di altre informazioni e/o rapporti informativi relativi ad ulteriori interessati legati sul piano giuridico e/o economico al soggetto censito, senza che tali informazioni provenienti da fonti pubbliche e riguardanti eventi negativi, possano essere, in alcun modo, direttamente associate all'interessato quale soggetto censito, ne' tanto meno utilizzate per l'elaborazione di informazioni valutative riferite a quest'ultimo, fatto salvo quanto previsto dai successivi commi.

2. Con riferimento a quanto indicato al precedente comma 1, lett. c), viene fatta salva la facolta' per il fornitore qualora il soggetto censito sia una persona fisica, ai fini dell'erogazione dei servizi di informazione commerciale di associare direttamente all'interessato quale soggetto censito ed utilizzare per l'elaborazione di informazioni valutative riferite a quest'ultimo le informazioni provenienti da fonti pubbliche che si riferiscono ad eventi negativi relativi ad imprese o societa' nelle quali lo stesso interessato (soggetto censito) rivesta o abbia rivestito, fino ad un anno prima, le cariche o qualifiche qui sotto indicate:

a) titolare di ditta individuale;

b) socio di societa' semplice e di societa' in nome collettivo;

c) socio accomandatario di societa' in accomandita semplice e socio accomandante con partecipazioni pari o superiori alla soglia del 25% o detentore della quota di maggioranza del capitale sociale, fatte salve, nel caso di societa' in accomandita semplice, le quote di controllo e partecipazioni del 10% in caso di quote paritarie tra i soci;

d) nelle societa' di capitali:

1) socio con partecipazioni pari o superiori alla soglia del 25% o in possesso del pacchetto di maggioranza del capitale sociale, fatte salve le partecipazioni del 10% in caso di quote paritarie tra i soci;

2) presidente o vice presidente del consiglio di amministrazione, consigliere od amministratore delegato, consigliere, amministratore, consigliere od amministratore con deleghe, amministratore unico o socio unico di societa' a responsabilita' limitata e socio unico di societa' per azioni;

3) sindaco, revisore, institore, presidente del patto di sindacato, organi delle procedure concorsuali e soggetti con qualifica di procuratori e direttori, soltanto se il soggetto censito che ricopra tali ultime cariche o qualifiche abbia:

3.1. amministrato l'impresa o la societa':

3.2. avuto fino ad un anno prima partecipazioni pari o superiori alla soglia del 25% o la quota di maggioranza del capitale sociale, fatte salve le quote di controllo e le partecipazioni con quote paritarie, per le quali i soci rilevano tutti, anche al di sotto della soglia predetta, con il limite della soglia minima del 10%.

3. Sempre con riferimento a quanto indicato al precedente comma 1, lett. c), viene inoltre fatta salva la facolta' per il fornitore, qualora il soggetto censito sia un soggetto diverso dalla persona fisica (come nel caso, ad es., di una societa'), ai fini dell'erogazione dei servizi di informazione commerciale, di associare direttamente al soggetto censito ed utilizzare per l'elaborazione di informazioni valutative riferite a quest'ultimo, le informazioni provenienti da fonti pubbliche che si riferiscono ad eventi negativi riguardanti:

a) le persone fisiche che, nell'ambito del soggetto censito, ricoprono le cariche o qualifiche di cui al precedente comma 2, ivi incluse quelle relative ad imprese o societa' connesse a tali persone fisiche secondo quanto previsto al medesimo comma 2;

b) le persone fisiche, che detengano partecipazioni al capitale del soggetto censito nella misura di cui al precedente comma 2, ivi incluse quelle su dati negativi relative ad imprese o societa' connesse a tali persone fisiche secondo quanto previsto al medesimo comma 2.

4. Fatti salvi i termini piu' restrittivi previsti da specifiche norme di legge, le informazioni provenienti da fonti pubbliche ed attinenti ad eventi negativi oggetto di trattamento nei termini di cui ai precedenti commi 2 e 3, sono conservate dal fornitore, ai fini dell'erogazione dei servizi di informazione commerciale, nel rispetto dei seguenti limiti temporali:

a) le informazioni relative a fallimenti o procedure concorsuali per un periodo di tempo non superiore a 10 anni dalla data di apertura della procedura del fallimento; decorso tale periodo, le predette informazioni potranno essere ulteriormente utilizzate dal fornitore, solo quando risultino presenti altre informazioni relative ad un successivo fallimento o risulti avviata una nuova procedura fallimentare o concorsuale riferita al soggetto censito o ad altro soggetto connesso, nel qual caso, il trattamento puo' protrarsi per un periodo massimo di 10 anni dalle loro rispettive aperture;

2. Gli interessati possono esercitare i predetti diritti anche tramite il portale telematico costituito per tali finalita', le cui regole di gestione ed accesso sono rimesse ad un distinto documento tecnico da adottarsi successivamente alla sottoscrizione del presente Codice.

3. Nella presentazione della richiesta di esercizio dei propri diritti l'interessato indica anche il codice fiscale e/o la partita Iva al fine di agevolare la ricerca dei dati che lo riguardano da parte del fornitore.

4. Il terzo, al quale l'interessato conferisce per iscritto delega o procura, puo' trattare i dati personali acquisiti presso un fornitore esclusivamente per finalita' di tutela dei diritti dell'interessato, con esclusione di ogni altra finalita' perseguite dal terzo medesimo.

a) la soluzione di eventuali problemi relativi all'applicazione delle predette regole;

b) la verifica dell'osservanza delle predette regole da parte dei rispettivi associati nei casi di eventuali controversie insorte tra fornitori, committenti e/o interessati.

2. Le stesse associazioni si impegnano inoltre a valutare, anche con le associazioni di categoria ed organismi rappresentativi degli altri soggetti firmatari del presente Codice, forme o sistemi alternativi di risoluzione di eventuali controversie insorte tra fornitori, committenti e/o interessati, nonche' specifiche misure sanzionatorie, secondo i rispettivi ordinamenti statutari, delle eventuali violazioni delle suddette regole da parte degli aderenti alle associazioni di categoria dei fornitori che sottoscrivono il presente Codice deontologico.

(art. 118 del d.lgs. 196/2003 - Codice in materia di protezione dei dati personali)

Elenco sottoscrittori:

- ANCIC (Associazione nazionale tra le imprese di informazioni commerciali e di gestione del credito) -

- Federpol (Federazione italiana degli istituti privati per le investigazioni, per le informazioni e per la sicurezza)

- Abi (Associazione bancaria italiana)

- Confcommercio

- Confesercenti

- Codacons (Coordinamento di associazioni per la tutela dell'ambiente e dei diritti di utenti e consumatori)

- Assoutenti (Associazione degli utenti dei servizi pubblici)