Adempimenti

In relazione agli adempimenti da adottare i principi generali di riferimento restano sostanzialmente invariati, con l'adozione, in alcuni casi di seguito specificati, di semplificazione.

INFORMATIVA
Tutti i trattamenti, indipendentemente dalla tipologia dei dati, comportano, come per la legge n. 675/96, l'obbligo di informativa degli interessati. L'obbligo di informativa (scritta o orale) riguarda:

a) le finalità e le modalità del trattamento cui sono destinati i dati;
b) la natura obbligatoria o facoltativa del conferimento dei dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;
e) i diritti di accesso di cui all'articolo 7 del codice;
f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato e del responsabile.
Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili.
Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile.
L'adempimento dell'informativa di cui alla nuova norma del codice specifica anche la necessità di informare l'interessato circa i soggetti che possono venire a conoscenza dei dati, compresi gli incaricati.
Tale prescrizione aggrava notevolmente l'onere di informativa, soprattutto nel caso di trattamenti complessi. A tale proposito, peraltro, il Garante ha chiarito che, comunque, tale obbligo non riguarda i trattamenti già in corso al momento di entrata in vigore del codice, come invece poteva apparire dalla interpretazione strettamente letterale della nuove norme; ciò deve intendersi pertanto nel senso di escludere qualsiasi obbligo di integrazione per i trattamenti già in essere e per i quali l'informativa è stata già resa agli interessati sulla base delle prescrizioni della legge n. 675/96.

CONSENSO
Anche con riferimento all'obbligo di ottenere il consenso al trattamento, il nuovo codice riconferma quanto previsto dalla legge n, 675/96.
In particolare il trattamento dei dati è consentito solo con il consenso espresso dell'interessato.
Il consenso deve essere manifestato in forma scritta (mediante sottoscrizione dell'interessato) unicamente per i trattamenti di dati sensibili, mentre in tutti gli altri casi è sufficiente che il consenso espresso sia documentato per iscritto.
Ciò significa che per i trattamenti di semplici dati personali è necessario unicamente che sia tenuta traccia documentale del rilascio da parte dell'interessato, secondo le modalità specifiche che la tipologia di trattamento richiede (ad esempio, nel caso di dati acquisiti mediante utilizzazione del telefono, la traccia documentale consiste nella avvenuta annotazione scritta della avvenuta manifestazione del consenso da parte dell'interessato, senza necessità di sua sottoscrizione).

NOTIFICA
L'adempimento della notifica (ovvero dell'atto con cui l'impresa, il professionista o la pubblica amministrazione segnalano al Garante i trattamenti di dati che si intendono effettuare) è l'elemento oggetto di maggiori interventi di semplificazione introdotti dal codice.
L'originale impianto della legge 675/1996 (e le successive modificazioni), prevedeva che dovessero notificare i trattamenti tutti i soggetti non esplicitamente esentati.
Nel testo unico si rovescia l'impostazione e si indicano solo i pochi casi nei quali la notifica va effettuata.
La notifica deve essere effettuata solo in particolari casi di trattamento di:

a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica;
b) dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria;
c) dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale;
d) dati trattati con l'ausilio di strumenti elettronici volti a definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti;
e) dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie;
f) dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti.

Secondo tale prescrizione, pertanto, si ritengono escluse dall'obbligo di notificazione le imprese, ancorché trattino dati sensibili diversi da quelli indicati nelle lettere precedenti.
Nei casi di trattamenti che rientrano nelle lettere precedenti, invece, la notifica deve essere effettuata, anche se già effettuata in vigenza della legge n. 675/96, entro il 30 aprile 2004 (articolo 181, comma 1, lettera c).

AUTORIZZAZIONE AL TRATTAMENTO DI DATI SENSIBILI
Il trattamento dei dati sensibili, oltre alla acquisizione del consenso dell'interessato, necessita, come nel passato, dell'autorizzazione del Garante.
Le autorizzazioni, come è noto, possono essere:

a) Generali, relative cioè a determinate categorie di titolari e/o trattamenti. In tal caso il titolare del trattamento rientrante nell'ambito di applicazione di un'autorizzazione generale non deve presentare alcuna richiesta al Garante se il trattamento che intende effettuare è conforme alle prescrizioni impartite mediante detti provvedimenti generali. Le autorizzazioni generali relative ai dati sensibili e giudiziari già emanate dal Garante per la protezione dei dati personali continuano ad essere valide a seguito della proroga emanata con provvedimento in data 30 giugno 2003 sino al 30 giugno 2004.
b) Su richiesta: nei casi in cui i trattamenti di dati sensibili non rientrino nell'ambito delle autorizzazioni generali.