La normativa: DL 30 giugno 2003 n. 196: gli elementi fondamentali

Quando si parla di aspetti normativi in materia di trattamento di dati siano essi identificativi, personali, sensibili e giudiziari è doveroso commentare alcuni articoli del Testo Unico sulla privacy cosi dettagliati:

Art. 3  (Principio di necessità nel trattamento dei dati)

1. I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità.

Ma cosa è un “dato anonimo”? 

“dato anonimo”, il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile.

Un esempio di dati anonimi sono quelli delle statistiche: il conoscere le abitudini di un gruppo di persone attraverso percentuali, non ci permette di risalire all’identità dei singoli soggetti. Non sono anonimi i dati sanitari che identificano i pazienti solo con i campi relativi alle prime lettere del cognome e nome e con indicazioni di data di nascita e sesso. Quale sistema informatico che tratta un procedimento amministrativo di una PA (ma anche di una banca, assicurazione, azienda…) può trattare “dati anonimi”? Come ad esempio i seguenti dati: 

Paghe e stipendi?

Concessioni edilizie?

Permessi commerciali?

Catasto?

Sanità?

Scuola/università?

Anagrafi?

Banche e finanza?

Fisco?

Tutti i processi della vita quotidiana richiedono o per interesse della persona (scuola, paghe …) o per interesse dell’ente (Fisco …) ma più spesso nell’interesse di entrambi il trattamento di dati

“personali”:  qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale (Esempio: nome e cognome della persona, la ragione sociale della ditta, l’indirizzo o i numeri di telefono o di cellulare, codice fiscale e partita IVA, l’indirizzo e-mail…)

“identificativi”: i dati personali che permettono l’identificazione diretta dell’interessato

“sensibili”: i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale

Ciò è in parte in contraddizione con il senso comune, in quanto notoriamente vi è più resistenza a rendere noto il proprio reddito o il proprio stato di indigenza che non a dichiarare le proprie opinioni politiche o sindacali (p.es. partecipando a manifestazioni pubbliche).

e a volte “giudiziari”

Art. 7 (Diritto di accesso ai dati personali ed altri diritti)

1. L’interessato ha diritto di ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.

2. L’interessato ha diritto di ottenere l’indicazione:

a) dell’origine dei dati personali;

b) delle finalità e modalità del trattamento;

c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici;

d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell’articolo 5, comma 2;

e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati.

3. L‘interessato ha diritto di ottenere:

a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati;

b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non e’ necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;

c) l’attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.

4. L‘interessato ha diritto di opporsi, in tutto o in parte:

a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta;

b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Ci sembrano sufficienti? E soprattutto li applichiamo? Tutto ciò nella realtà amministrativa trova poca applicazione.

Art. 11 (Modalità del trattamento e requisiti dei dati)

1. I dati personali oggetto di trattamento sono:

a) trattati in modo lecito e secondo correttezza;

b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;

c) esatti e, se necessario, aggiornati;

d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;

e) conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Come si fa per esempio a garantire che i dati sono conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario?

Art. 13 (Informativa)

1. L’interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:
a) le finalità e le modalità del trattamento cui sono destinati i dati;

b) la natura obbligatoria o facoltativa del conferimento dei dati;

c) le conseguenze di un eventuale rifiuto di rispondere;

d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l’ambito di diffusione dei dati medesimi;

e) i diritti di cui all’articolo 7;

f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell’articolo 5 e del responsabile. Quando il titolare ha designato più responsabili e’ indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali e’ conoscibile in modo agevole l’elenco aggiornato dei responsabili. Quando e’ stato designato un responsabile per il riscontro all’interessato in caso di esercizio dei diritti di cui all’articolo 7, e’ indicato tale responsabile.