Lezione di Informatica Giuridica Avanzata del 22 marzo 2012

1. Milano, Marzo 2012
Privacy e trattamento di dati
personali
Simone Bonavita
Professore a Contratto in "trattamento dei dati sensibili"
Università degli Studi di Milano
aa 2011/2012

2. LE ORIGINI
l The right to be left alone
l Autodeterminazione informativa

3. LE ORIGINI
“The Right to Privacy” -Warren and Brandeis
Harvard Law Review. - Vol. IV December 15,
1890 No. 5
"It could be done only on principles of private
justice, moral fitness, and public convenience,
which, when applied to a new subject, make
common law without a precedent; much more
when received and approved by usage." —
Willes, J., in Millar v. Taylor, 4 Burr. 2303, 2312

4. LE ORIGINI
l Statuto dei lavoratori
l Sentenza 2129/1975 (il famoso caso della
principessa Soraya)
l L. n. 675/1996
l D.Lgs. n. 196/2003 - Codice della privacy

5. Il CODICE
Art. 2. Finalità
Il presente testo unico, di seguito denominato
"codice", garantisce che il trattamento dei dati
personali si svolga nel rispetto dei diritti e delle
libertà fondamentali, nonché della dignità
dell'interessato, con particolare riferimento alla
riservatezza, all'identità personale e al diritto
alla protezione dei dati personali.

6. PRINCIPI
Pertinenza, completezza e non eccedenza

7. IL CODICE
Art. 11. Modalità del trattamento e requisiti dei dati
1. I dati personali oggetto di trattamento sono:
a) trattati in modo lecito e secondo correttezza;
b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed
utilizzati in altre operazioni del trattamento in termini compatibili
con tali scopi;
c) esatti e, se necessario, aggiornati;
d) pertinenti, completi e non eccedenti rispetto alle finalità per
le quali sono raccolti o successivamente trattati;
e) conservati in una forma che consenta l'identificazione
dell'interessato per un periodo di tempo non superiore a quello
necessario agli scopi per i quali essi sono stati raccolti o
successivamente trattati.

8. Il CODICE
a) "trattamento", qualunque operazione o complesso di
operazioni, effettuati anche senza l'ausilio di strumenti
elettronici, concernenti la raccolta, la registrazione,
l'organizzazione, la conservazione, la consultazione,
l'elaborazione, la modificazione, la selezione, l'estrazione, il
raffronto, l'utilizzo, l'interconnessione, il blocco, la
comunicazione, la diffusione, la cancellazione e la
distruzione di dati, anche se non registrati in una banca di
dati;

9. IL CODICE
b) "dato personale", qualunque informazione relativa a
persona fisica, [persona giuridica, ente od
associazione], identificati o identificabili, anche
indirettamente, mediante riferimento a qualsiasi altra
informazione, ivi compreso un numero di identificazione
personale
c) "dati identificativi", i dati personali che permettono
l'identificazione diretta dell'interessato;

10. IL CODICE
d) "dati sensibili", i dati personali idonei a rivelare l'origine razziale
ed etnica, le convinzioni religiose, filosofiche o di altro genere, le
opinioni politiche, l'adesione a partiti, sindacati, associazioni od
organizzazioni a carattere religioso, filosofico, politico o sindacale,
nonché i dati personali idonei a rivelare lo stato di salute e la vita
sessuale;
e) "dati giudiziari", i dati personali idonei a rivelare provvedimenti di
cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R.
14 novembre 2002, n. 313, in materia di casellario giudiziale, di
anagrafe delle sanzioni amministrative dipendenti da reato e dei
relativi carichi pendenti, o la qualità di imputato o di indagato ai
sensi degli articoli 60 e 61 del codice di procedura penale

11. IL CODICE
n) "dato anonimo", il dato che in origine, o a
seguito di trattamento, non può essere
associato ad un interessato identificato o
identificabile;)

12. CHI TRATTA I DATI
l Titolare
l Incaricato
l Responsabile
l Interessato

13. CHI TRATTA I DATI
"titolare", la persona fisica, la persona giuridica, la pubblica
amministrazione e qualsiasi altro ente, associazione od
organismo cui competono, anche unitamente ad altro titolare, le
decisioni in ordine alle finalità, alle modalità del trattamento di
dati personali e agli strumenti utilizzati, ivi compreso il profilo
della sicurezza;
"responsabile", la persona fisica, la persona giuridica, la
pubblica amministrazione e qualsiasi altro ente, associazione
od organismo preposti dal titolare al trattamento di dati
personali;
"incaricati", le persone fisiche autorizzate a compiere operazioni
di trattamento dal titolare o dal responsabile;
"interessato", la persona fisica, la persona giuridica, l'ente o
l'associazione cui si riferiscono i dati personali;

14. IL CONSENSO
Il trattamento di dati personali da parte di privati o di enti
pubblici economici è ammesso solo con il consenso
espresso dell'interessato.
Il consenso può riguardare l'intero trattamento ovvero
una o più operazioni dello stesso.
Il consenso è validamente prestato solo se è espresso
liberamente e specificamente in riferimento ad un
trattamento chiaramente individuato, se è
documentato per iscritto, e se sono state rese
all'interessato le informazioni di cui all'articolo 13.
Il consenso è manifestato in forma scritta quando il
trattamento riguarda dati sensibili.

15. IL CONSENSO
(art. 24) Il consenso non è richiesto quando il trattamento:
a) è necessario per adempiere ad un obbligo previsto dalla legge,
da un regolamento o dalla normativa comunitaria;
b) è necessario per eseguire obblighi derivanti da un contratto del
quale è parte l'interessato o per adempiere, prima della
conclusione del contratto, a specifiche richieste dell'interessato;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o
documenti conoscibili da chiunque, fermi restando i limiti e le
modalità che le leggi, i regolamenti o la normativa comunitaria
stabiliscono per la conoscibilità e pubblicità dei dati.

16. IL CONSENSO
d) riguarda dati relativi allo svolgimento di attività economiche,
trattati nel rispetto della vigente normativa in materia di segreto
aziendale e industriale;
e) è necessario per la salvaguardia della vita o dell'incolumità
fisica di un terzo. (..)
f) con esclusione della diffusione, è necessario ai fini dello
svolgimento delle investigazioni difensive (..)
g) )con esclusione della diffusione, è necessario, nei casi
individuati dal Garante sulla base dei princìpi sanciti dalla legge,
per perseguire un legittimo interesse del titolare o di un terzo
destinatario dei dati, qualora non prevalgano i diritti e le libertà
fondamentali, la dignità o un legittimo interesse dell'interessato;

17. IL CONSENSO
h) con esclusione della comunicazione all'esterno e della diffusione, è effettuato
da associazioni, enti od organismi senza scopo di lucro, anche non
riconosciuti, in riferimento a soggetti che hanno con essi contatti regolari o ad
aderenti, per il perseguimento di scopi determinati e legittimi individuati
dall'atto costitutivo, dallo statuto o dal contratto collettivo, e con modalità di
utilizzo previste espressamente con determinazione resa nota agli interessati
all'atto dell'informativa ai sensi dell'articolo 13;
i) è necessario, in conformità ai rispettivi codici di deontologia di cui all'allegato
A), per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici
(…) ;
i-ter) con esclusione della diffusione e fatto salvo quanto previsto dall'articolo
130 del presente codice, riguarda la comunicazione di dati tra società, enti o
associazioni con società controllanti, controllate o collegate (…)

18. IL CONSENSO
i) è necessario, in conformità ai rispettivi codici di deontologia di
cui all'allegato A), per esclusivi scopi scientifici o statistici,
ovvero per esclusivi scopi storici (...)
i-bis)(2) riguarda dati contenuti nei curricula, nei casi di cui
all'articolo 13, comma 5-bis (19);
i-ter)(2) con esclusione della diffusione e fatto salvo quanto
previsto dall'articolo 130 del presente codice, riguarda la
comunicazione di dati tra società, enti o associazioni con
società controllanti, controllate o collegate (...)

19. IL CONSENSO
(art. 26) I dati sensibili possono essere oggetto di trattamento
anche senza consenso, previa autorizzazione del Garante:
a) quando il trattamento è effettuato da associazioni, enti od
organismi senza scopo di lucro, anche non riconosciuti, a
carattere politico, filosofico, religioso o sindacale, personali
degli aderenti(...)
b) quando il trattamento è necessario per la salvaguardia della
vita o dell'incolumità fisica di un terzo.
c) quando il trattamento è necessario ai fini dello svolgimento
delle investigazioni difensive
d) quando è necessario per adempiere a specifici obblighi o
compiti previsti dalla legge, del deontologia (..)

20. L'INFORMATIVA
(art. 13) L'interessato o la persona presso la quale sono
raccolti i dati personali sono previamente informati
oralmente o per iscritto circa:
a) le finalità e le modalità del trattamento cui sono destinati i
dati;
b) la natura obbligatoria o facoltativa del conferimento dei
dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
d) i soggetti o le categorie di soggetti ai quali i dati personali
possono essere comunicati o che possono venirne a
conoscenza in qualità di responsabili o incaricati, e l'ambito
di diffusione dei dati medesimi;

21. L'INFORMATIVA
e) i diritti di cui all'articolo 7;
f) gli estremi identificativi del titolare e, se designati, del
rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e
del responsabile. Quando il titolare ha designato più
responsabili è indicato almeno uno di essi, indicando il sito della
rete di comunicazione o le modalità attraverso le quali è
conoscibile in modo agevole l'elenco aggiornato dei
responsabili. Quando è stato designato un responsabile per il
riscontro all'interessato in caso di esercizio dei diritti di cui
all'articolo 7, è indicato tale responsabile.

22. NOTIFICA DI TRATTAMENTO
(art. 37)
a) dati genetici, biometrici o dati che indicano la posizione
geografica di persone od oggetti mediante una rete di
comunicazione elettronica;
b) dati idonei a rivelare lo stato di salute e la vita sessuale, trattati
a fini di procreazione assistita, prestazione di servizi sanitari per
via telematica relativi a banche di dati o alla fornitura di beni,
indagini epidemiologiche, rilevazione di malattie mentali,
infettive e diffusive, sieropositività, trapianto di organi e tessuti e
monitoraggio della spesa sanitaria;
c) dati idonei a rivelare la vita sessuale o la sfera psichica trattati
da associazioni, enti od organismi senza scopo di lucro, anche
non riconosciuti, a carattere politico, filosofico, religioso o
sindacale;

23. NOTIFICHE DI TRATTAMENTO
d) dati trattati con l'ausilio di strumenti elettronici
volti a definire il profilo o la personalità
dell'interessato, o ad analizzare abitudini o
scelte di consumo, ovvero a monitorare l'utilizzo
di servizi di comunicazione
→ Esempi di profilazione?

24. IL GARANTE
Il Garante interviene in tutti i settori, pubblici e
privati, nei quali occorre assicurare il corretto
trattamento dei dati e il rispetto dei diritti
fondamentali delle persone: in particolare,
banche e assicurazioni, giornalismo, giustizia e
polizia, internet, imprese, lavoro, marketing,
nuove tecnologie, ordini professionali, partiti,
pubblica amministrazione, sanità, società,
scuola, telecomunicazioni.

25. I COMPITI DEL GARANTE
- controllare che i trattamenti di dati personali siano conformi a
leggi e regolamenti e, eventualmente, segnalare ai titolari o ai
responsabili dei trattamenti le modifiche da adottare per
rispettare la conformità;
- esaminare le segnalazioni e i reclami avanzati dagli interessati,
nonché valutare i ricorsi presentati ai sensi dell’art. 145 del
Codice in materia di protezione dei dati personali;
- vietare in tutto od in parte il trattamento ovvero disporre il blocco
del trattamento di dati personali che per la loro natura, per le
modalità o per gli effetti del loro trattamento possano
rappresentare un rilevante pregiudizio per l’interessato;
- adottare i provvedimenti previsti dalla normativa in materia di
dati personali, tra cui, in particolare, le autorizzazioni generali
per il trattamento dei dati sensibili; (...)

26. TRASFERIMENTO DATI
ALL'ESTERO
• (Art. 42) Le disposizioni del presente codice non possono
essere applicate in modo tale da restringere o vietare la
libera circolazione dei dati personali fra gli Stati membri
dell'Unione europea, fatta salva l'adozione, in conformità allo
stesso codice, di eventuali provvedimenti in caso di
trasferimenti di dati effettuati al fine di eludere le medesime
disposizioni.

27. TRASFERIMENTO DATI
ALL'ESTERO
Il trasferimento anche temporaneo fuori del territorio dello
Stato, con qualsiasi forma o mezzo, di dati personali oggetto
di trattamento, se diretto verso un Paese non appartenente
all'Unione europea è consentito quando:
a) l'interessato ha manifestato il proprio consenso espresso o,
se si tratta di dati sensibili, in forma scritta;
b) è necessario per l'esecuzione di obblighi derivanti da un
contratto del quale è parte l'interessato o per adempiere,
prima della conclusione del contratto, a specifiche richieste
dell'interessato, ovvero per la conclusione o per l'esecuzione
di un contratto stipulato a favore dell'interessato;

28. TRASFERIMENTO DATI
ALL'ESTERO
c) è necessario per la salvaguardia di un interesse pubblico
rilevante individuato con legge o con regolamento o, se il
trasferimento riguarda dati sensibili o giudiziari, specificato o
individuato ai sensi degli articoli 20 e 21;
d) è necessario per la salvaguardia della vita o dell'incolumità
fisica di un terzo. Se la medesima finalità riguarda
l'interessato e quest'ultimo non può prestare il proprio
consenso per impossibilità fisica, per incapacità di agire o
per incapacità di intendere o di volere, il consenso è
manifestato da chi esercita legalmente la potestà, ovvero da
un prossimo congiunto, da un familiare, da un convivente o,
in loro assenza, dal responsabile della struttura presso cui
dimora l'interessato.

29. TRASFERIMENTO DATI
ALL'ESTERO
e) è necessario ai fini dello svolgimento delle investigazioni
difensive di cui alla legge 7 dicembre 2000, n. 397, o,
comunque, per far valere o difendere un diritto in sede
giudiziaria, sempre che i dati siano trasferiti esclusivamente
per tali finalità e per il periodo strettamente necessario al
loro perseguimento, nel rispetto della vigente normativa in
materia di segreto aziendale e industriale;
f) è effettuato in accoglimento di una richiesta di accesso ai
documenti amministrativi, ovvero di una richiesta di
informazioni estraibili da un pubblico registro, elenco, atto o
documento conoscibile da chiunque, con l'osservanza delle
norme che regolano la materia;

30. TRASFERIMENTO DATI
ALL'ESTERO
g) è necessario, in conformità ai rispettivi codici di deontologia
di cui all'allegato A), per esclusivi scopi scientifici o statistici,
ovvero per esclusivi scopi storici presso archivi privati
dichiarati di notevole interesse storico ai sensi dell'articolo 6,
comma 2, del decreto legislativo 29 ottobre 1999, n. 490, di
approvazione del testo unico in materia di beni culturali e
ambientali o, secondo quanto previsto dai medesimi codici,
presso altri archivi privati;

31. TRASFERIMENTO DATI
ALL'ESTERO
- Autorizzazioni del Garante al di fuori delle ipotesi previste
dall'art. 43
- Trasferimenti vietati ex art. 45.