PRIVACY - Relazione 23.06.211 a Montecitorio del Garante.

Written by Avv. Salvatore Frattallone. Posted in Privacy

Giovedì scorso, 23 giugno 2011, il Prof. Francesco Pizzetti, alla presenza del Presidente della Camera Fini, delle massime autorità della Repubblica nonché del Segretario Generale Daniele De Paoli, del Collegio composto da Chiaravalloti, Paissan e Fortunato e dell'intero Ufficio del Garante per la protezione dei dati personali, ha resa nota la sua Relazione sull'attività del 2010.
Su invito del Garante, all'evento alla Sala della Lupa ha preso parte - come negli anni precedenti - l'Avv. Salvatore Frattallone.

 Il video dell'evento, con gli interventi del Presidente Fini e del Garante Privacy, è disponibile sul sito della Rai. Qui di seguito sono riportati taluni passaggi, tra i più salienti, della Relazione del Garante Privacy.

* * *

1. Principali interventi dell’Autoriità nel 2010
1.1. Provvedimenti più significativi
1.1.1. Trattamenti collegati allo svolgimento di funzioni di giustizia

Nel periodo di riferimento l’applicazione della normativa sulla protezione dei dati personali all’esercizio di funzioni giurisdizionali è stata oggetto di decisioni di particolare delicatezza, in relazione alle implicazioni di carattere generale, riguardanti la tutela di diritti fondamentali della persona nel quadro costituzionale dei rapporti tra poteri.
In risposta ad alcune istanze che avevano lamentato l’illecito utilizzo in giudizio di dati sensibili e giudiziari, l’Autorità ha sottolineato che, ai sensi dell’art. 160 del Codice, spetta al giudice adito pronunciarsi, in base alle pertinenti disposizioni processuali, sulla validità, l’efficacia e l’utilizzabilità di atti presentati nell’ambito del procedimento giudiziario, anche se basati su un trattamento illecito di dati personali (Provv. 23 settembre 2010 [doc. web n. 1756065]; Provv. 4 novembre 2010 [doc. web n. 1770943]; Provv. 17 novembre 2010 [doc. web n. 1779765]).
Al termine di verifiche svolte in collaborazione con il Consiglio di Stato ed il TAR del Lazio, è emerso – pur in un quadro di complessivo rispetto delle regole – che gli uffici giudiziari amministrativi dovranno accrescere le misure di sicurezza a protezione dei dati giudiziari (Provv. 23 settembre 2010 [doc. web n. 1753845]). In particolare, il Garante ha fornito specifiche indicazioni sia per il trattamento dei dati svolto senza l’ausilio di strumenti elettronici – soprattutto per una maggiore protezione dei fascicoli processuali – sia per il trattamento con l’ausilio di strumenti elettronici, specie per le modalità di accesso dei magistrati e del personale amministrativo al Nuovo sistema informativo della giustizia amministrativa (NSIGA).
L’Autorità si è altresì occupata della diffusione dei provvedimenti giurisdizionali su supporti cartacei ed informatici nonché mediante reti di comunicazione elettronica, fonte preziosa per lo studio e l’accrescimento della cultura giuridica e strumento indispensabile di controllo da parte dei cittadini dell’esercizio del potere giurisdizionale. In taluni casi, tuttavia, riportare le generalità delle parti può risultare in contrasto con esigenze di tutela della loro dignità e riservatezza.
Al riguardo, sulla base di segnalazioni e quesiti ricevuti, dopo ampia consultazione con gli operatori del settore, sono state adottate specifiche linee-guida (Provv. 2 dicembre 2010 [doc. web n. 1774813], in G.U. 4 gennaio 2011, n. 2) – che non si applicano all’attività giornalistica, oggetto di altra disciplina – sulla pubblicazione di atti giurisdizionali per la finalità di informazione giuridica. In sostanza sono stati individuati i casi in cui chi intende pubblicare l’atto giudiziario deve oscurare i dati delle parti e gli elementi utili ad indentificarle (in particolare ove si tratti di minori e di procedimenti relativi a rapporti di famiglia), nonché i criteri per richiedere l’“anonimizzazione”; questa, che può essere anche decisa d’ufficio dal giudice, va annotata sull’atto, in modo che chi lo riceve provveda prima di diffonderne il contenuto.

1.1.6. Protezione dei dati dei lavoratori dipendenti
L’utilizzo in azienda di strumenti resi disponibili dal progresso tecnologico rende di particolare rilievo l’applicazione delle disposizioni per la protezione dei dati personali. È quanto emerge dal provvedimento 7 ottobre 2010 [doc. web n. 1763071], con il quale il Garante ha bloccato la raccolta di dati effettuata da una società tramite l’installazione di sistemi di geolocalizzazione su alcune vetture aziendali. Dall’istruttoria è emerso il mancato rispetto delle disposizioni che subordinano l’installazione di apparecchiature idonee al controllo a distanza dei dipendenti al previo accordo dei sindacati o all’autorizzazione della Direzione provinciale del lavoro (art. 4, l. n. 300 del 1970). Il provvedimento stabilisce inoltre l’obbligo di notificare al Garante il trattamento (art. 37 ss. del Codice), ove autorizzato dalla predetta Direzione provinciale, e di nominare specifici incaricati per l’accesso ai dati acquisiti dal sistema.

1.1.7. Iniziativa economica: telemarketing e profilazione, agenzie di rating
I provvedimenti di carattere generale relativi al telemarketing adottati nel periodo di riferimento sono volti all’applicazione della nuova disciplina relativa al Registro delle opposizioni, per l’iscrizione delle utenze telefoniche degli abbonati che non desiderano ricevere telefonate promozionali.
Come ampiamente ricordato nella Relazione 2009 (p. 10), l’art. 20-bis del d.l. 25 settembre 2009, n. 135, convertito, con modificazioni, dalla l. n. 166/2009 ha ribaltato il principio della necessità del consenso esplicito per il trattamento di dati personali provenienti da elenchi pubblici effettuato mediante telefono per finalità commerciali (cd. “opt in”), sostituendovi la regola del necessario esercizio del diritto di opposizione da parte dell’interessato (cd. “opt out”) da esercitarsi mediante iscrizione nell’apposito Registro.
Durante i lavori parlamentari il Garante, con un comunicato stampa, sottolineando i possibili effetti negativi della riforma per lo stesso marketing telefonico, aveva fatto presente capitolo 1 - principali interventi dell’autorità nel 2010 che registri come quello previsto dal legislatore italiano non hanno in realtà funzionato in nessuno dei Paesi in cui sono stati istituiti.
In questo quadro, l’Autorità ha comunque assicurato al Governo la collaborazione richiesta, anche sullo schema di regolamento di attuazione del nuovo sistema, recentemente adottato (d.P.R. 7 settembre 2010, n. 178; Parere 13 maggio 2010 [doc. web n. 1734800]; v. anche par. 1.2.3.).
In tale parere l’Autorità nel dar conto, preliminarmente, del recepimento di gran parte delle osservazioni da essa formulate in via collaborativa, ha comunque proposto di elevare ulteriormente le garanzie del diritto alla protezione dei dati personali rispetto al trattamento effettuato per finalità di marketing, in relazione al quadro normativo vigente, anche europeo. Ciò segnatamente per quanto riguarda le modalità di consultazione del
Registro da parte degli operatori e la disciplina dell’assegnazione a ciascun operatore, da parte del gestore del Registro, delle credenziali di autenticazione e dei profili di autorizzazione, nonché la conservazione dei dati relativi a ogni operazione di accesso al sistema.
In concomitanza con l’entrata in funzione del Registro pubblico delle opposizioni – al quale il gestore (Fondazione Bordoni) deve consentire l’accesso al Garante, per l’esercizio delle funzioni di vigilanza e controllo attribuitegli dalla legge – l’Autorità ha adottato un provvedimento prescrittivo di carattere generale (Provv. 19 gennaio 2011 [doc. web n. 1784528], in G.U. 31 gennaio 2011, n. 24), in cui per assicurare il rispetto della volontà dei cittadini, ha precisato gli obblighi in capo alle imprese.
In particolare è stato chiarito che con l’entrata in funzione del Registro i numeri contenuti in banche dati comunque formate sono utilizzabili solo previo consenso ad hoc; la volontà espressa da un abbonato di non ricevere telefonate da una determinata impresa dev’esser rispettata, anche se l’interessato non è iscritto al Registro; il consenso alla ricezione, che il titolare del trattamento dev’esser in grado di documentare per iscritto, è sempre revocabile.
Con successivo provvedimento 24 febbraio 2011 [doc. web n. 1794638] è stato prescritto agli operatori di informare gli utenti della possibilità di iscriversi al Registro, ed è stato precisato il contenuto dei due modelli da utilizzare, l’uno per i nuovi abbonati e gli utenti che cambiano numero, l’altro per i vecchi abbonati, indicando anche un termine per fornire al Garante assicurazione dell’avvenuto adempimento. Ciò per rendere effettivo, tramite l’informazione, il diritto di scelta degli interessati.
Il mancato rispetto di queste e delle altre prescrizioni recate dai provvedimenti comporta l’applicazione di sanzioni che, nei casi più gravi, possono raggiungere i 300.000 euro.
Sempre in materia di marketing, con provvedimento 8 aprile 2010 [doc. web n. 1721205] relativo all’invio, ad opera di un’agenzia di viaggi, di comunicazioni promozionali agli interessati che si erano registrati sul sito, è stato ribadito che il consenso dell’interessato è necessario per l’invio di e-mail promozionali, e che per la profilazione dei dati di navigazione è richiesto un consenso specifico, distinto rispetto a quello necessario per i trattamenti con finalità di marketing.
Di natura diversa il provvedimento con il quale la filiale italiana di un’agenzia di rating è stata autorizzata a trattare, senza il consenso degli interessati, i dati dei dipendenti e, alla luce della normativa comunitaria in materia, del loro “nucleo familiare ristretto”, per verificare eventuali conflitti di interesse nell’attività posta in essere (Provv. 19 maggio 2010 [doc. web n. 1736161]; cfr. art. 24, comma 1, lett. g), del Codice). La vigente normativa statunitense richiede alla capogruppo, attiva in tutto il mondo, di certificare che l’attività,
anche delle società collegate, non è influenzata da conflitti di interesse. Il Garante ha tra l’altro prescritto di fornire agli interessati un’adeguata informativa, evidenziando che qualunque dato trattato in violazione della normativa sulla privacy non sarà utilizzabile.

3.8. L’attività giudiziaria
Anche nel 2010 sono pervenute segnalazioni relative al regime di pubblicità nell’ambito dei procedimenti di espropriazione forzata introdotto dalla riforma del processo esecutivo (d.l. 14 marzo 2005, n. 35, convertito, con modificazioni, dalla l. 1° maggio 2005, n. 80), che prevede la pubblicazione, in appositi siti Internet, di copia dell’ordinanza del giudice che dispone sulla vendita forzata, nonché della relazione di stima dei beni da espropriare.
In riscontro a tali segnalazioni, l’Autorità ha richiamato il provvedimento 7 febbraio 2008 ([doc. web n. 1490838]; v. Relazione 2007, p. 55) con il quale ha indicato all’autorità giudiziaria e ai professionisti incaricati delle vendite l’esigenza di omettere nelle copie pubblicate sia dell’avviso di vendita, sia delle ordinanze e delle relazioni di stima, le generalità e ogni altro dato personale idoneo a rivelare l’identità del debitore e di eventuali soggetti terzi non previsto dalla legge e comunque non pertinente rispetto alla procedura in corso.
In un caso particolare l’interessato, di età avanzata, ha lamentato che la pubblicazione in Internet della consulenza tecnica d’ufficio riguardante una procedura esecutiva a lui relativa consentiva la sua agevole identificazione, in quanto non erano stati oscurati il luogo e la data di nascita del medesimo, unica persona nata in quel comune in quel giorno.
Nel caso di specie l’Autorità, dopo aver verificato l’esattezza delle indicazioni contenute nei procedimenti
di espropriazione forzata nella segnalazione, ha ritenuto che, nonostante fosse stato omesso il nominativo dell’interessato, le informazioni pubblicate in chiaro nella consulenza tecnica ne consentissero effettivamente l’agevole identificazione. Tenuto conto delle peculiari circostanze della fattispecie, ha quindi invitato il giudice dell’esecuzione a disporre l’integrale oscuramento delle informazioni relative al segnalante (Nota 20 luglio 2010).
È pervenuta una segnalazione anche con riferimento alla pubblicazione su un quotidiano di un avviso recante i nominativi delle persone proprietarie di immobili confinanti con quello oggetto della procedura esecutiva. Nel riscontrare la segnalazione l’Autorità, ricordato il contenuto del provvedimento 7 febbraio 2008, ha provveduto a richiamare l’attenzione del giudice dell’esecuzione sul necessario rispetto dei princìpi posti a tutela della riservatezza sia dei soggetti coinvolti in procedimenti esecutivi, sia di eventuali soggetti terzi (Nota 5 maggio 2010).
In entrambi i casi le autorità giudiziarie hanno provveduto all’oscuramento delle informazioni oggetto delle segnalazioni.

3.8.1. L’informatica giuridica
A seguito di numerosi quesiti e segnalazioni, e dopo avere un’ampia consultazione con gli operatori e gli editori del settore, il Garante ha adottato, in data 2 dicembre 2010, le “Linee-guida in materia di trattamento di dati personali nella riproduzione di provvedimenti giurisdizionali per finalità di informazione giuridica” ([doc. web n. 1774813], in G.U. 4 gennaio 2011, n. 2).
Le linee-guida attengono esclusivamente alla pubblicazione delle sentenze e dei provvedimenti giurisdizionali su riviste giuridiche, cd-rom, dvd, siti istituzionali, a fini di informazione giuridica. Non incidono, quindi, sulle norme processuali, quali quelle in materia di copie originali delle sentenze e degli altri provvedimenti giurisdizionali, o del loro deposito nelle cancellerie giudiziarie, e non riguardano l’attività giornalistica, che è
oggetto di specifiche disposizioni (art. 136 ss. del Codice; “Codice di deontologia relativo al trattamento dei dati personali nell’esercizio dell’attività giornalistica”, adottato dal Garante il 29 luglio 1998, in G.U. 3 agosto 1998, n. 179).
Con la deliberazione, viene prescritto l’obbligo di oscurare, sempre e in ogni caso, i dati dei minori e delle parti nei procedimenti che hanno ad oggetto i rapporti di famiglia e lo stato delle persone (ad es., controversie in materia di matrimonio, filiazione, adozione, abusi familiari, richieste di rettificazione di sesso), anche quando il giudizio si riferisca ad aspetti patrimoniali o economici. Devono, inoltre, essere omessi i dati relativi ad altre persone dai quali possa desumersi, anche indirettamente, l’identità dei soggetti tutelati. I dati devono essere oscurati non solo nei provvedimenti riprodotti per esteso, ma anche in quelli diffusi sotto forma di massima o contenuti in un elenco.
Al di fuori dei casi sopra indicati, nei quali la tutela opera ope legis, qualunque interessato (ad es., le parti in un giudizio civile o l’imputato in un processo penale, o anche un testimone o un consulente), può rivolgere un’istanza al giudice, prima della conclusione del processo, per chiedere che, in caso di riproduzione del provvedimento per finalità di informazione giuridica, siano oscurati le generalità e ogni altro elemento in grado di identificarlo. L’istanza deve indicare i “motivi legittimi” che la giustificano: ad es., la delicatezza del caso o la particolare natura dei dati contenuti nel provvedimento (stato di salute, vita sessuale). Se l’istanza è accolta si appone una annotazione sull’originale della sentenza.
L’anonimizzazione del provvedimento giudiziario può essere disposta dal giudice anche d’ufficio, nei casi in cui la diffusione di informazioni particolarmente delicate possa arrecare conseguenze negative alla vita di relazione o sociale dell’interessato (ad es., in ambito familiare o lavorativo).
Viene rilevato, infine, che non spetta all’ufficio giudiziario, ma a chi riceve la copia dei provvedimenti con l’annotazione che dispone l’oscuramento delle generalità provvedere in tal senso ove intenda riprodurli o diffonderli, anche sotto forma di massima, per finalità di informazione giuridica.

3.8.2. Trattamento di dati negli uffici giudiziari
Con provvedimento 3 dicembre 2009, a seguito di una segnalazione ricevuta, il Garante ha deliberato di effettuare, ai sensi dell’art. 160 del Codice, gli accertamenti necessari a verificare l’attuazione e l’idoneità delle misure di sicurezza adottate in relazione ai trattamenti di dati personali effettuati per ragioni di giustizia, ai sensi dell’art. 47, comma 2, del Codice, presso il Consiglio di Stato e il Tribunale amministrativo regionale del Lazio [doc. web n. 1753845].
Dalle verifiche svolte, pur in un generale quadro di rispetto delle regole, sono emerse alcune criticità. Il Garante ha pertanto prescritto alcune misure volte a rafforzare le misure di sicurezza a protezione dei dati trattati dai due uffici giudiziari sia in via informatica, sia in forma cartacea (Provv. 23 settembre 2010 [doc. web n. 1753845]).
Sotto il primo profilo, particolare attenzione è stata posta alla messa in sicurezza del Nuovo sistema informativo della giustizia amministrativa (NSIGA), che gestisce i documenti e i processi lavorativi dell’intero sistema, costituito dal Consiglio di Stato e dai ventinove Tribunali amministrativi regionali.
Deve essere in particolare garantito che per le comunicazioni gestite da NSIGA fra le sedi del sistema giudiziario amministrativo e per gli accessi dei magistrati a NSIGA da postazioni esterne agli uffici – la cd. “scrivania del magistrato” – sia adottato un protocollo che cifri i dati in transito. Tutte le operazioni compiute su NSIGA dai magistrati e dal personale amministrativo devono essere tracciate, compresi gli accessi in sola lettura e non solo le operazioni di scrittura. Devono, inoltre, essere adottate delle policy che specifichino
agli utenti di non utilizzare password banali per accedere a NSIGA (ad es., contenenti il nome stesso dell’utente).
Infine, l’accesso alla sala server e alla sala dove sono collocati i gruppi di continuità deve essere registrato (tramite log) e consentito solo con badge nominativi. I locali, inoltre, devono essere costantemente monitorati, eventualmente anche attraverso un impianto di videosorveglianza interno.
Quanto al trattamento in via cartacea, il Consiglio di Stato deve custodire i fascicoli processuali in armadi tutti dotati di serratura e il TAR del Lazio deve collocare i fascicoli dell’archivio in locali chiusi e controllati.
Sia il Consiglio di Stato che il TAR del Lazio hanno comunicato di aver già posto in essere gran parte delle misure indicate.
Sono giunti al Garante alcuni quesiti posti da uffici giudiziari in materia di accesso ad atti concernenti i processi. In un caso, una testata televisiva giornalistica aveva chiesto di accedere agli atti di un processo penale, al fine di utilizzare il materiale nell’ambito di un programma avente ad oggetto vicende giudiziarie. In un altro caso, un avvocato privo di mandato difensivo aveva chiesto di prendere visione dei ruoli di udienza.
Nel fornire riscontro, l’Autorità ha in primo luogo ricordato che la normativa in materia di protezione dei dati personali non ha innovato o modificato la disciplina relativa alla conoscenza degli esiti e dei calendari dei processi – come alla visione e al rilascio di estratti e di copie di atti giudiziari, alla pubblicità delle udienze e alla consultazione dei registri relativi ai procedimenti giudiziari – che rimane assoggettata alle pertinenti disposizioni processuali (art. 51 del Codice). Si tratta di attività che integrano trattamenti svolti “per ragioni di giustizia” (art. 47, comma 2, del Codice), che vengono svolte sotto il controllo dell’autorità giudiziaria e nel rispetto delle norme di settore. La decisione in ordine all’accesso deve essere quindi ricavata nel quadro del regime di pubblicità attribuito agli atti dalle norme processuali.
In secondo luogo, l’Autorità ha, peraltro, rilevato che anche a tali trattamenti si applicano i princìpi posti dall’art. 11 del Codice, in base ai quali l’accesso ai dati personali può essere consentito solo previa verifica dell’esistenza di uno scopo determinato, esplicito e legittimo (comma 1, lett. b) e relativamente alle sole informazioni pertinenti e non eccedenti rispetto allo scopo medesimo (comma 1, lett. d).
In caso di decisione favorevole a consentire l’accesso, il Garante ha, infine, invitato l’autorità giudiziaria a valutare attentamente la possibilità di raggiungere gli scopi perseguiti dal soggetto richiedente sulla base di soli dati anonimi, mediante preventiva omissione di informazioni atte a consentire l’identificazione dei soggetti coinvolti nei giudizi (Note 5 gennaio e 21 gennaio 2011).

3.8.3. Notificazioni di atti e comunicazioni
Come negli anni precedenti, il Garante è intervenuto in numerose occasioni per assicurare l’adozione di procedure idonee a tutelare la riservatezza delle persone alle quali vengono notificati atti giudiziari, verbali di contravvenzione, avvisi fiscali o altri atti amministrativi (art. 174 del Codice).
In particolare, con riferimento alle notificazioni di atti tributari, l’Ufficio ha ricordato che sulla busta devono essere leggibili solo le informazioni necessarie all’invio della comunicazione al destinatario (art. 11, comma 1, del Codice) (Nota 28 aprile 2010).
In un’altra occasione è stato evidenziato che la notificazione deve essere effettuata in busta sigillata solo se la consegna non possa avvenire nelle mani proprie del destinatario al quale l’atto può essere notificato, ancorché aperto, per il tramite del messo comunale.
Con particolare riferimento all’accessibilità del contenuto del documento da parte degli addetti al protocollo e del messo comunale, si è precisato che essi, in qualità di dipendenti pubblici ovvero incaricati di pubblico servizio, sono tenuti al segreto d’ufficio (art. 15 del d.P.R. 20 gennaio 1957, n. 3) (Nota 13 maggio 2010).

8.2. Cronache giudiziarie
L’Autorità ha risposto a diversi reclami e segnalazioni richiamando il principio, ormai consolidato, che la pubblicazione di dati personali relativi a procedimenti penali è ammessa anche senza il consenso dell’interessato, nei limiti dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico (art. 137, comma 3, del Codice; artt. 5, 6 e 12 del codice di deontologia). La valutazione deve essere fatta caso per caso, in prima battuta dal giornalista, nel quadro anche delle disposizioni che disciplinano il segreto delle indagini e il regime di pubblicazione degli atti processuali (artt. 114 e 329 c.p.p. e art. 684 c.p.).
A seguito della diffusione su due siti Internet di un’ordinanza di custodia cautelare in carcere, pubblicata a corredo di una notizia concernente un presunto caso di corruzione, il destinatario della misura restrittiva si è rivolto al Garante lamentando un’illecita diffusione di dati “di natura riservata e personale”, quali i numeri delle utenze cellulari oggetto di intercettazione, citati nel provvedimento. Compiuta l’istruttoria, il Garante ha accolto le richieste del segnalante, rilevando come la diffusione del provvedimento integrasse un trattamento a cui applicare la normativa privacy in materia di attività giornalistica.
Pertanto, pur riconoscendo il diritto alla manifestazione del pensiero da parte dell’associazione gestrice dei siti, che può esercitarsi anche mediante la pubblicazione di atti giudiziari non più coperti da segreto, il Garante ha ritenuto che la diffusione di dati quali i numeri di telefono, la residenza e i codici fiscali del segnalante e delle altre persone citate nel testo dell’ordinanza, avvenuta attraverso la pubblicazione in forma integrale del provvedimento giudiziario, abbia violato il principio dell’essenzialità dell’informazione, trattandosi di informazioni strettamente personali sicuramente sovrabbondanti e non indispensabili per rappresentare la vicenda giudiziaria.
Il Garante ha quindi vietato l’ulteriore diffusione disponendo la rimozione delle informazioni eccedenti dai due siti (Provv. 29 settembre 2010 [doc. web n. 1763096]).
Analoghe considerazioni sono state svolte in relazione alla pubblicazione delle utenze intercettate riportate nel documento inviato dalla Procura della Repubblica di Milano alla Giunta per le autorizzazioni a procedere della Camera dei deputati in relazione all’inchiesta che ha visto coinvolto, tra gli altri, il Presidente del Consiglio (Nota 20 gennaio 2011 e Comunicato stampa 21 gennaio 2011).
L’Autorità, anche in seguito a una segnalazione, ha avviato un’istruttoria in merito alla pubblicazione, anche su testate online, dell’audio degli interrogatori effettuati nell’ambito delle indagini sull’omicidio di una giovane donna di Avetrana. Tale circostanza è stata tempestivamente segnalata alla Procura della Repubblica che stava svolgendo le indagini la quale, come diffuso il 24 novembre 2010 dall’agenzia ANSA, ha provveduto al sequestro di detto materiale in relazione all’ipotesi di reato di “pubblicazione arbitraria integrale di atti e documenti di un procedimento penale”.
Il richiamato parametro dell’essenzialità dell’informazione ha infine costituito la base nella valutazione di diversi trattamenti giornalistici che, pur se attinenti a fatti giudiziari di rilevante interesse pubblico, contenevano riferimenti a soggetti terzi i cui dati identificativi erano meritevoli di tutela – ad es., familiari, anche minorenni, di persone interessate da procedimenti penali (Nota 8 settembre 2010), parti lese (Nota 25 giugno 2010), ecc. – oppure a fatti pur relativi alle persone indagate ma estranei a quelli di indagine (ad es., il riferimento al ripetuto mancato superamento dell’esame d’avvocato da parte di un soggetto destinatario di un provvedimento di perquisizione (Nota 29 ottobre 2010).
Il Garante è tornato ad occuparsi della pubblicazione delle fotografie che documentano operazioni di arresto e di quelle propriamente “segnaletiche”.
Nel valutare alcune segnalazioni, il Garante ha ribadito il principio secondo il quale, di regola, è possibile pubblicare notizie relative a operazioni di arresto, salvo i limiti relativi alla diffusione di immagini che ritraggono persone in manette, di foto segnaletiche e di immagini comunque lesive della dignità della persona (art. 8 del codice di deontologia; cfr. anche Relazione 2007, par. 8.2.).
Ad avviso dell’Autorità, tali limiti sono stati superati in un caso nel quale è stata diffusa la foto segnaletica di una persona della quale sono stati oscurati solo gli occhi e di cui, sotto il riquadro della foto, sono state riportate le iniziali, rendendola di fatto riconoscibile. Uno dei quotidiani interessati dalla segnalazione aveva pubblicato anche le complete generalità della persona fotografata. Analoga valutazione è stata effettuata in un altro caso in cui, pur non essendovi elementi dai quali potesse desumersi, in base alle caratteristiche della foto, che si trattasse di una foto segnaletica, l’immagine pubblicata è apparsa lesiva della dignità della persona in quanto ritratta con la testa fasciata a seguito delle medicazioni ricevute. I predetti rilievi sono stati comunicati alle testate interessate, le quali si sono attivate per rimuovere le foto ancora presenti sulle edizioni online (Note 15 e 18 novembre 2010).

5. I dati genetici
Si è riferito nella Relazione 2009 (p. 117), sul nuovo schema di autorizzazione generale al trattamento di dati genetici, inviato al Ministero della salute per il parere del Consiglio superiore di sanità previsto dall’art. 90 del Codice. Nel parere, il Consiglio superiore di sanità ha formulato alcuni suggerimenti in ordine alle definizioni utilizzate dall’autorizzazione, all’individuazione degli ambiti della ricerca scientifica ed alle finalità di tutela della salute per i quali è autorizzato il trattamento di dati genetici.
L’Ufficio del Garante, all’esito di un doveroso approfondimento – anche alla luce dell’esperienza in ambito comunitario – delle indicazioni del Consiglio, riguardanti in particolare, la definizione di “dato genetico”, ha modificato la formulazione proposta, al fine di evitare l’esclusione dal novero dei dati genetici delle informazioni relative alle caratteristiche genotipiche di un individuo che, pur non essendo il risultato di analisi
genetiche, presentano alcune caratteristiche comuni ai dati genetici, tali da rendere opportuna la previsione di particolari cautele nel loro trattamento.
Sul punto, di particolare rilevanza, si è reso necessario acquisire un nuovo parere del Consiglio superiore di sanità (Nota 17 settembre 2010).
Nelle more del completamento di tali valutazioni, con deliberazione del 23 dicembre 2010 è stata ulteriormente prorogata l’efficacia della vigente autorizzazione generale sino al 30 giugno 2011, per permettere nel frattempo, alle medesime condizioni, la prosecuzione dei trattamenti di dati genetici già autorizzati (Provv. 23 dicembre 2010 [doc. web n. 1776159] in G.U. 4 gennaio 2011, n. 2).
Sul trattamento di dati genetici per finalità di ricerca statistica v. par. 6.
Sull’avvio, da parte del Gruppo europeo in materia di cooperazione giudiziaria e di polizia, dell’analisi dell’utilizzo dei dati genetici contenuti nelle banche dati DNA per finalità giudiziarie e di polizia v. par. 20.3.

7. L’attività di polizia
7.1. Il controllo sul ced del dipartimento della pubblica sicurezza
A seguito di segnalazioni ricevute, l’Autorità ha assicurato il riscontro da parte del Dipartimento della pubblica sicurezza e di uffici periferici della polizia di Stato a richieste degli interessati sia di accesso e comunicazione dei dati conservati presso il Centro elaborazione dati (CED), sia di eventuale rettifica dei dati medesimi, nel rispetto delle disposizioni poste dall’art. 10 della l. 1° aprile 1981, n. 121, come modificato dall’art. 175 del Codice.
7.2. Altri interventi in relazione ad ulteriori attività di forze di polizia
Nel riscontrare un quesito posto dal Dipartimento della pubblica sicurezza sulle modalità di acquisizione dei dati di georeferenziazione nell’espletamento dei compiti di polizia giudiziaria disciplinati dall’art. 55 c.p.p., con particolare riferimento ai dati relativi all’ubicazione di cui alla lett. c), dell’art. 1, del d.lgs. 30 maggio 2008, n. 109 (di attuazione della Direttiva n. 2006/24/CE, riguardante la conservazione dei dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione), l’Autorità ha chiarito che ove i dati prescindano da una comunicazione fra soggetti, e non siano quindi qualificabili come “dati di traffico” (si tratta dei dati reperibili, in tempo reale, nel cd. “HLR-Home Location Register” tenuto dai gestori telefonici, che non vengono conservati dal gestore se non temporaneamente, fino a spostamento dell’apparecchio in altra cella), non trova applicazione la particolare disciplina posta dagli artt. 123 e 132 del Codice. Al riguardo, l’Autorità ha richiamato il provvedimento concernente l’acquisibilità di tali informazioni relative a persone disperse da parte degli organismi di soccorso preposti a ricerche in montagna (Provv. 19 dicembre 2008 [doc. web n. 1580543]).
Al contrario, i dati relativi all’ubicazione delle apparecchiature di comunicazione mobile che presuppongono necessariamente una comunicazione fra soggetti devono essere considerati “dati di traffico”, in quanto relativi alla cella da cui una chiamata di telefonia mobile ha origine o nella quale si conclude. Tali dati sono conservati dai gestori nel rispetto delle disposizioni degli artt. 123 e 132 del Codice (quest’ultimo come modificato dal d.lgs. n. 109/2008); ai fini della loro acquisizione si applica quindi la disciplina dettata dal menzionato art. 132 che, al comma 3, ne prevede l’acquisibilità solo previa emanazione del decreto motivato del pubblico ministero.
7.3. Il controllo sul sistema di informazione Schengen
Si è riferito nella Relazione 2009, p. 123, del provvedimento con cui il Garante, all’esito di accertamenti che si sono sviluppati nel corso del 2009, ha prescritto al Ministero dell’interno - Dipartimento della pubblica sicurezza di adottare alcune misure volte a rafforzare la sicurezza nel trattamento dei dati effettuati per l’attuazione della Convenzione di Schengen.
Il Dipartimento ha fornito riscontro nel termine assegnato, illustrando le iniziative intraprese al fine dare attuazione alle prescrizioni.
L’Autorità, nel prendere positivamente atto di tali iniziative, ritenute in linea con gli adempimenti richiesti, ha peraltro prescritto al Ministero dell’interno di indicare una precisa e definita tempistica di effettiva e concreta realizzazione delle misure prescritte.
Il Codice ha introdotto nuove modalità di esercizio dei diritti relativamente ai dati registrati nell’N-SIS (sezione nazionale del Sistema informativo Schengen), in virtù delle quali l’interessato può rivolgersi in Italia direttamente all’autorità che ha la competenza centrale per la sezione nazionale del SIS, ossia al Dipartimento della pubblica sicurezza (cd. “accesso diretto”). Il numero e il contenuto delle richieste degli interessati che, tuttavia, ancora pervengono direttamente al Garante non hanno subito sostanziali variazioni rispetto all’anno precedente (v. Relazione 2009, p. 124).
Anche nel 2010 sono aumentate le richieste di accesso ai dati pervenute al Garante da autorità di controllo di sezioni nazionali del SIS di altri Stati, interpellate dagli interessati in relazione a segnalazioni inserite nel sistema da autorità di polizia italiane. Le informazioni sono state comunicate, previa consultazione degli Uffici segnalanti, nel rispetto delle disposizioni degli artt. 109 e 114 della Convenzione.

8. Attività giornalistiche
8.1. I minori
Il Garante si è occupato nuovamente del delicato tema del rapporto tra libertà di informazione e tutela della riservatezza dei minori.
L’Autorità è intervenuta d’urgenza con un provvedimento di blocco temporaneo del trattamento nei confronti di alcuni quotidiani che, nel riferire dell’avvio di un’indagine a carico di un personaggio di rilievo pubblico su presunti abusi sessuali ai danni della nipote minorenne, avevano diffuso dati ritenuti idonei a identificarla indirettamente (Provv. 25 giugno 2010). In particolare i quotidiani avevano indicato il legame parentale che legava la minorenne con l’indagato, individuato nominativamente, unitamente ad altre informazioni relative alla famiglia, nonché divulgato alcuni dettagli del referto stilato dai medici a seguito degli accertamenti sanitari compiuti sulla bambina. L’Autorità ha rilevato che, anche quando la vittima non viene individuata nominativamente, la diffusione di altre dettagliate informazioni che la riguardano può comunque renderla riconoscibile, in particolare nella cerchia delle relazioni sociali degli interessati e ciò costituisce una violazione
del codice di procedura penale (art. 114, comma 6, c.p.p.), del codice di deontologia per l’attività giornalistica (art. 7) e della Carta di Treviso. Tale valutazione è stata confermata anche dopo il completamento dell’istruttoria e pertanto l’Autorità ha disposto nei confronti dei quotidiani interessati il definitivo divieto di ogni ulteriore diffusione di qualunque informazione idonea, anche indirettamente, a identificare la minore e a fornire dettagli del referto medico (Provv. 8 luglio 2010).
Analogo provvedimento di divieto è stato adottato nei confronti di un’emittente televisiva in relazione a una trasmissione nella quale è stata ospitata una ragazza ventunenne che ha affermato di essere stata vittima, quando era bambina, di ripetuti episodi di violenza sessuale da parte di uno zio. Nel corso della trasmissione, in risposta a una specifica domanda della conduttrice, la ragazza ha dichiarato che anche la sorella più piccola – ora quattordicenne e adottata – è stata vittima di episodi analoghi, e ha fornito alcuni elementi idonei a identificare indirettamente la sorella, in particolare il proprio cognome e il luogo di svolgimento dei fatti di violenza. L’Autorità ha rilevato una violazione delle disposizione a tutela dei minori sopra richiamate (art. 114, comma 6, c.p.p.; art. 7 del codice di deontologia giornalistica; Carta di Treviso) le quali – ha ribadito – operano a maggior ragione con riferimento a minori vittime di violenze di natura sessuale. La stessa Autorità
ha poi ritenuto irrilevante la circostanza che sia stata l’ospite della trasmissione a diffondere le notizie relative alla sorella in quanto, a prescindere dalla facoltà dell’ospite intervistato di raccontare liberamente la propria storia, incombe sul conduttore-intervistatore e sulla società emittente l’onere di rispettare le disposizioni di legge sopra richiamate impedendo che vengano diffuse, anche nel corso di interviste rilasciate da altri soggetti, informazioni idonee a identificare i minori. Nel caso di specie, tra l’altro, era emerso che la diffusione delle informazioni relative alla bambina era avvenuta su sollecitazione della conduttrice (Provv. 16 settembre 2010 [doc. web n. 1753383]).
La ratio delle disposizioni a tutela dei minori consiste nel prevenire e/o eventualmente vietare un’informazione idonea a lederne la personalità e a comprometterne un armonico sviluppo. Come indicato nella Carta di Treviso, tale eventualità può non configurarsi se la notizia inquadra il minore in un contesto positivo. Tale principio, già ricordato dal Garante (cfr. Relazione 2009, pp. 126 e 127), ha ispirato la risposta a una segnalazione riguardante un servizio giornalistico con immagini che documentavano in termini positivi
la dimensione familiare e affettiva di un noto esponente politico, dimensione a cui lo stesso esponente ha sempre dato autonomo risalto (cfr. anche art. 6 comma 2, del codice di deontologia cit.) (Nota 8 ottobre 2010). Analoghi princìpi hanno ispirato la risposta a una segnalazione relativa a un servizio giornalistico avente ad oggetto il nuovo film di un noto regista italiano ispirato al tema dei rapporti familiari, servizio contenente immagini che rappresentano il contesto delle relazioni familiari e affettive di alcuni dei protagonisti del film e che ritraggono la figlia minore dei segnalanti in quanto parte anch’essa del cast (Nota 26 aprile 2010).
In relazione a diverse segnalazioni riguardanti la trattazione, da parte degli organi di informazione, di vicende familiari che hanno portato all’allontanamento di un minore dai genitori e il suo affidamento ai servizi sociali, l’Autorità è stata chiamata a cogliere il punto di equilibrio tra diritto di cronaca e di critica su provvedimenti giurisdizionali in materia di famiglia e il rispetto della sfera privata del minore, interessato da detti provvedimenti. Il Garante, nel rispondere alle segnalazioni ha rilevato che non si può escludere in assoluto che provvedimenti in materia di rapporti familiari possano essere oggetto di cronaca e critica giornalistica.
Ciò premesso, la valutazione deve essere sempre fatta caso per caso. In uno dei casi esaminati, infatti, durante una trasmissione televisiva sono state riferite informazioni delicate (necessità di assunzione di psicofarmaci, asserite molestie sessuali) riconducibili a una minore identificata non solo indirettamente mediante la rivelazione dell’identità del padre intervistato, ma anche direttamente, attraverso la divulgazione del nome della stessa riproposto ripetutamente attraverso una didascalia in continuo scorrimento sul video durante l’intervista del padre. In questo caso l’Autorità ha ritenuto detto trattamento, nel suo insieme, non idoneo a soddisfare l’obiettivo di salvaguardia dell’interesse del minore sopra richiamato e ne ha dato comunicazione all’emittente televisiva interessata (Nota 15 ottobre 2010).
Il trattamento delle informazioni riguardanti vicende adottive presenta aspetti delicati anche quando coinvolge soggetti non più minori, trattandosi di informazioni che ricevono di per sé una particolare protezione da parte dell’ordinamento (l. 4 maggio 1983, n. 184 “Disciplina dell’adozione e dell’affidamento dei minori”, modificata dalla l. 28 marzo 2001, n. 149).
L’Autorità è intervenuta nei confronti di una trasmissione televisiva che ha dedicato ripetutamente uno spazio alla narrazione di storie di adozione. In particolare, sulla base di alcune segnalazioni pervenute, il Garante ha ravvisato la necessità di disporre d’urgenza il blocco del trattamento dei dati trattati nel corso di alcune puntate in quanto ritenute in contrasto con la disciplina in materia di protezione dei dati personali e con la legge sull’adozione sopra citata (Provv. 8 aprile 2010 [doc. web n. 1718160].
Nelle more dell’istruttoria è stata riscontrata la violazione del provvedimento di blocco essendo stati trattati nuovamente dati personali attinenti alla vicenda adottiva raccontata nel corso di una delle puntate oggetto del blocco; l’Autorità ha quindi contestato all’emittente televisiva la sanzione amministrativa di cui all’art. 162, comma 2-ter del Codice nonché segnalato il caso all’autorità giudiziaria per eventuali valutazioni di competenza (art. 170).
Inoltre, esaurita l’istruttoria, l’Autorità ha ribadito la propria valutazione in ordine all’illiceità di alcuni trattamenti.
Il Garante ha infatti rilevato che erano stati trattati dati personali relativi a vicende adottive, nonché diffusi dati idonei a identificare le predette persone, spesso associati a delicate informazioni sul loro passato. L’Autorità ha inoltre rilevato che gli appelli lanciati e le scritte apparse in sovraimpressione nel corso della trasmissione avevano evidenziato come il trattamento dei dati avesse come scopo la ricerca degli adottati da parte di membri della famiglia naturale di origine; ciò, in contrasto con la ratio della disciplina sulle adozioni la quale individua specificamente quali sono i presupposti perché l’adottato possa accedere a informazioni che riguardano la sua origine e l’identità dei genitori biologici, delineando un percorso preordinato a tutelare, attraverso particolari procedure e l’intervento dei soggetti e delle istituzioni competenti, la personalità dell’adottato – anche divenuto maggiorenne – e i contesti familiari interessati (artt. 27, 28, e 73, l. 4 maggio 1983, n. 184, modificata dalla l. 28 marzo 2001, n. 149). Alla luce di tali valutazioni, il Garante ha vietato l’ulteriore trattamento dei dati relativi alle vicende esaminate e ha, in termini generali, raccomandato all’emittente interessata di assicurare la dovuta osservanza delle disposizioni in materia di adozione (Provv. 6 maggio 2010 [doc. web n. 1718239]). Il provvedimento è stato impugnato dall’emittente ed è pendente giudizio dinanzi al giudice civile.

9.6. Dati personali utilizzati a fini di profilazione e marketing
Nel 2010 è proseguita l’attività di verifica preliminare relativa al corretto utilizzo dei dati personali aggregati dei clienti per finalità di profilazione da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico, sulla base del provvedimento generale del 25 giugno 2009 [doc. web n. 1629107], che aveva stabilito i parametri e le misure minime da seguire.
In tal senso l’Autorità ha emanato una serie di provvedimenti a seguito delle diverse istanze di prior checking inviate dai gestori di telefonia presenti sul mercato e ha contestualmente avviato l’attività ispettiva relativamente alla verifica del corretto adempimento delle misure tecnico-giuridiche prescritte.
Il Garante ha concluso le attività di carattere ispettivo e di accertamento relative al trattamento di dati personali contenuti in banche dati utilizzate per finalità di marketing iniziate nel 2008 (cfr. Relazione 2008, p. 112; Relazione 2009, p. 142).
Al termine delle ispezioni sono stati aperti dieci procedimenti amministrativi nei confronti dei soggetti ispezionati: [omissis].
Nell’ambito di ciascun procedimento sono stati adottati, dopo quelli del 2009, altri provvedimenti inibitori e/o prescrittivi per violazioni al Codice. In particolare, il quadro complessivo ha evidenziato il persistere di un utilizzo di dati personali raccolti in violazione del Codice e l’adozione di procedure elusive della normativa.
È risultato infatti che la maggior parte delle società non forniva alcuna informativa, sia quando raccoglieva i dati direttamente presso gli interessati (ad es., attraverso moduli o coupon) sia, più frequentemente, quando li raccoglieva presso terzi. Le stesse società, inoltre, non avevano richiesto o non erano in grado di documentare un consenso al trattamento dei dati per le finalità di marketing o, nell’ipotesi di cessione del database, per la comunicazioni dei dati medesimi a terzi.
Per la prima volta, infine, relativamente ad alcune sanzioni amministrative, è stata applicata la sanzione prevista dall’art. 164-bis, comma 2 (banche dati di rilevanti dimensioni o interesse) e l’aggravante del successivo comma 3 (in relazione all’elevato numero di interessati).
I relativi procedimenti sanzionatori sono ancora in corso (v., più nel dettaglio, par. 19.4.2.).
Come è noto, la disciplina del marketing, limitatamente a quello effettuato mediante l’utilizzo del telefono, è stata recentemente modificata dal legislatore; tuttavia si rileva che il nuovo quadro normativo ha disposto una modifica sostanziale alla materia valida pro futuro e pertanto ha avuto un impatto limitato sugli esiti dei procedimenti amministrativi relativi alle citate società, prima dell’entrata in vigore delle novità normative.
In questo ambito è emersa la necessità di fornire alcuni chiarimenti in merito al requisito del consenso di cui all’art. 23 del Codice. A fronte di un’interpretazione della norma che comporterebbe la non equivalenza tra specificità e necessaria modularità del consenso, con la conseguente possibilità di acquisire dall’interessato un consenso indifferenziato per i diversi trattamenti effettuati dal titolare, il Garante ha ribadito il proprio costante orientamento secondo cui il consenso deve invece essere inteso come specifico per ogni finalità del trattamento, anche nel rispetto dei princìpi sanciti dall’art. 11 del Codice. Ciò con la conseguenza di dover necessariamente distinguere le finalità di marketing da quelle di profilazione, essendo illecito un consenso mirato ad autorizzare, con un’unica formulazione, una pluralità di trattamenti ben distinti (Note 26 marzo 2010 e 23 dicembre 2010).
Anche con riguardo all’interpretazione dell’art. 130 del Codice, ed in particolare del comma 2, l’Autorità nelle note suindicate, ha avuto modo di chiarire la propria posizione.
La norma infatti non può essere intesa, come pure proposto, nel senso di ritenere legittimo il trattamento dei dati attraverso il riscorso a modalità automatizzate (ad es., Sms, Mms, posta elettronica e telefax) anche se all’utente non sia stato richiesto uno specifico consenso, dovendosi, al contrario, ritenere necessaria l’acquisizione di un consenso ad hoc posta la peculiarità del mezzo comunicativo utilizzato.
In concomitanza con l’entrata in funzione del Registro pubblico delle opposizioni, introdotto dalla recente riforma della disciplina normativa del telemarketing (v., più nel dettaglio, par. 1.1.), il Garante ha adottato un provvedimento generale (19 gennaio 2011 [doc. web n. 1784528], in G.U. 31 gennaio 2011, n. 24) rivolto a tutti gli operatori che intendano utilizzare i dati personali presenti negli elenchi telefonici per attività di telemarketing e, più precisamente, per effettuare chiamate con operatore ai fini di invio di materiale pubblicitario, vendita diretta, ricerche o comunicazioni commerciali.
Come prescrive il disposto del nuovo art. 130 del Codice, dall’entrata in vigore della nuova disciplina gli operatori non possono più contattare telefonicamente coloro che, presenti in elenchi telefonici, abbiano iscritto la propria numerazione nel Registro. Il Garante, con il citato provvedimento, ha chiarito alcune ipotesi che potevano risultare dubbie, stabilendo in primis che la riforma legislativa (cd. “opt out”) si applica ai dati di coloro che sono presenti in qualunque elenco telefonico, comprendendo, quindi, anche i dati presenti negli elenchi cd. “categorici”.
Ha stabilito inoltre che qualora un interessato si sia opposto al trattamento dei suoi dati personali nei confronti di uno specifico titolare in epoca precedente all’entrata in vigore del Registro, egli non può essere chiamato in ogni caso da quel titolare, a prescindere dall’iscrizione nel Registro. Analogamente, se l’interessato ha manifestato un consenso specifico a ricevere telefonate promozionali nei confronti di un titolare determinato, quest’ultimo potrà continuare a contattarlo, anche se la numerazione risulterà iscritta nel
Registro, sempreché sia in grado di documentare per iscritto tale consenso, come dispone l’art. 23 del Codice.
L’Autorità ha altresì chiarito che con l’entrata in funzione del Registro vengono meno le deroghe introdotte negli anni in tale materia dal Garante e pertanto non possono più essere utilizzate le numerazioni telefoniche contenute in banche dati comunque formate (comprese quelle costituite utilizzando i dati estratti dagli elenchi telefonici prima del 1° agosto 2005), senza aver prima acquisito uno specifico consenso.
Infine, il Garante ha stabilito che, per quanto riguarda le numerazioni presenti in pubblici registri, elenchi, atti o documenti conoscibili da chiunque esse potranno essere utilizzate solo se le telefonate promozionali risultino direttamente funzionali all’attività svolta dall’interessato (sempre che questi non si sia opposto) o se il telemarketing sia previsto dalla normativa di riferimento.
Il Garante con provvedimento 24 febbraio 2011 [doc. web n. 1794638] ha definito i nuovi modelli di informativa e di richiesta di consenso che le società telefoniche devono utilizzare per informare i nuovi e i vecchi abbonati sulle nuove modalità da utilizzare per non ricevere telefonate pubblicitarie.
Nei due modelli vengono specificati i cinque modi per potersi iscrivere al Registro (per posta, tramite numero verde, via e-mail, via fax, direttamente sul sito web della Fondazione Bordoni).
Il primo modello riguarda i nuovi abbonati alla telefonia, fissa e mobile, e coloro che cambiano operatore richiedendo la cosiddetta “portabilità del numero”. Il modulo dovrà essere fornito al momento della stipula del contratto, oltre che inserito nei siti web degli operatori telefonici. Consentirà‚ anche di decidere se comparire negli elenchi telefonici ed eventualmente con quali dati (ad. es., solo con il cognome e l’iniziale del nome). Il secondo modello é relativo ai vecchi abbonati e dovrà essere inviato alla prima occasione utile di contatto (rendiconti, fatture, altre comunicazioni di servizio) oltre che essere inserito nei siti web degli operatori. Il modello dovrà specificare che l’abbonato ha sempre diritto di cancellarsi in ogni momento dagli elenchi telefonici.
Si evidenzia che il mancato rispetto delle prescrizioni del Garante comporterà sanzioni amministrative da un minimo di 30.000 ad un massimo di 180.000 euro, che potranno raggiungere, nei casi di violazione più grave, i 300.000 euro.
Con riguardo all’obbligo di rendere l’informativa, quando i dati non sono raccolti presso l’interessato, all’atto della registrazione degli stessi o al più tardi, quando ne è prevista la comunicazione, non oltre la prima comunicazione (art. 13, comma 4, del Codice), l’Autorità ha ricevuto diverse istanze di esonero ai sensi dell’art. 13, comma 5, lett. c), del Codice e di conseguente individuazione di modalità equipollenti per informare gli interessati qualora l’informativa in forma individualizzata comporti un impiego di mezzi che il Garante dichiari manifestamente sproporzionato rispetto al diritto tutelato.
L’Autorità ha, in ragione delle diverse fattispecie esaminate, assunto differenti determinazioni.
In alcuni casi ha respinto l’istanza di esonero, in particolare, con riguardo a dati estratti dal DBU (database telefonico unico), in ragione del fatto che i trattamenti che il titolare intendeva svolgere con l’ausilio di tali dati esulavano dalle finalità per le quali detto database è stato costituito. Il Garante ha infatti ribadito che il DBU rappresenta un archivio elettronico unico, contenente i dati personali dei clienti di tutti gli operatori di
telefonia fissa e mobile per la formazione degli elenchi telefonici e la fornitura dei servizi di informazione abbonati, e pertanto non può essere utilizzato per finalità diverse da quelle per le quali è stato costituito se non in violazione dell’art. 11, comma 1, lett. b), del Codice (Provv. 16 settembre 2010 [doc. web n. 1753351]).
Con specifico riguardo all’offerta di servizi integrati di mailing postale per finalità di comunicazione commerciale e di marketing, è infatti emerso che diverse società, pur raccogliendo i dati presso terzi, non avevano fornito agli interessati l’informativa né al momento della registrazione, né al momento della prima comunicazione così come stabilito dal cit. art. 13, comma 4 del Codice, essendo invalsa la prassi di rendere l’informativa con il primo mailing postale inviato per conto dei propri clienti o direttamente da questi ultimi. A fronte dei provvedimenti emanati dall’Autorità che hanno vietato il trattamento in assenza dell’informativa, prevista dall’art. 13, comma 4, del Codice, sono successivamente pervenute al Garante istanze di esonero ai sensi del successivo comma 5, lett. b), della norma.
L’Autorità ha valutato la sussistenza dei presupposti per disporre l’esonero (la sproporzione dei mezzi, con riguardo sia all’elevato numero di interessati, operatori economici ed istituzionali, sia all’onerosità di tali mezzi) e previsto l’adozione di misure alternative per consentire di rilasciare agli interessati un’adeguata informativa generale, con modalità idonee e di facile accesso. Ciò sia nel caso in cui i dati personali siano stati acquisiti direttamente da fonti pubblicamente accessibili, sia nel caso in cui siano stati forniti da società specializzate.
Il Garante ha anche previsto, nel caso di cessione dei dati, un’integrazione dell’informativa rilasciata con il primo contatto commerciale con alcune specifiche informazioni, proprio in ragione dell’informativa generale rilasciata precedentemente ai sensi dell’art. 13, comma 5, lett. b), del Codice (Provv. 16 dicembre 2010 [doc. web n. 1781973]).

11.2. Trattamento dei dati personali nell’ambito della centrale dei rischi gestita dalla banca d’italia e dei sistemi di informazione creditizia (Sic)
Anche nel corso del 2010 sono pervenute all’Autorità segnalazioni e reclami riguardanti il trattamento dei dati personali posto in essere da banche dati pubbliche e private (Sistemi di informazione creditizia-SIC e Centrale dei rischi gestita dalla Banca d’Italia) e dalle banche e finanziarie che agiscono in qualità di partecipanti a tali sistemi.
Le segnalazioni hanno riguardato soprattutto l’informativa da fornire agli interessati, nonché il rispetto delle norme di condotta previste dal “Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti” (Provv. 16 novembre 2004 [doc. web n. 1556693] Allegato A.5. al Codice), che costituiscono condizione essenziale per la liceità e la correttezza dei trattamenti di dati personali effettuati dai gestori e dagli utenti dei sistemi di informazioni creditizie (SIC).
Al riguardo, il Garante ha ribadito che i dati conservati nei SIC devono essere sempre corretti ed aggiornati e che l’iscrizione di una posizione debitoria in tali banche dati è lecita solo se ne è stato dato preavviso all’interessato.
Più in dettaglio, in un caso l’interessato aveva segnalato di essere venuto a conoscenza, in occasione di una richiesta di mutuo, dell’esistenza di una segnalazione negativa a suo nome presso un SIC, effettuata da parte di una finanziaria dalla quale aveva in passato ricevuto un prestito. Le risultanze istruttorie hanno consentito di accertare che il segnalante aveva pagato tutte le rate previste, ma che, presumibilmente per errore, una di tali rate non era stata registrata dalla società finanziaria. Quest’ultima, inoltre, prima di procedere all’iscrizione del nominativo dell’interessato nel SIC, non aveva provveduto ad inviargli l’avviso dell’imminente registrazione del suo nominativo nei SIC, come previsto dall’art. 4, comma 7, del suddetto codice di deontologia e di buona condotta. In considerazione di quanto sopra esposto, il Garante ha prescritto alla società finanziaria di disporre la cancellazione dal SIC dei dati riferiti al finanziamento sottoscritto dall’interessato (Provv. 16 settembre 2010 [doc. web n. 1753816]).
In un’altra segnalazione, relativa ad una complessa vicenda, una società ha rappresentato di avere riscontrato la presenza del proprio nominativo in un sistema di informazioni creditizie, quale richiedente un prestito finalizzato. La segnalazione al SIC era stata effettuata da una finanziaria, alla quale la segnalante asseriva di non aver chiesto alcun finanziamento.
Nel riscontro fornito all’Autorità, la società finanziaria rappresentava di aver ricevuto i dati da un’altra società, per valutare la richiesta di concessione di un fido per l’acquisto di beni formulata dalla segnalante a quest’ultima società. La comunicazione di dati e l’avvio dell’istruttoria nella richiesta di finanziamento erano, tuttavia, avvenute senza la previa informativa richiesta dall’art. 13 del Codice.
Il trattamento è risultato, pertanto, in contrasto con la previsione dell’art. 13 del Codice e non conforme alle regole di comportamento previste dal citato codice di deontologia.
Il Garante ha pertanto prescritto alle società titolari del trattamento rispettivamente di formulare un’informativa in stretta aderenza a quanto previsto dall’art. 13 del Codice e di osservare scrupolosamente e dare concreta attuazione alle regole di comportamento stabilite dal codice di settore (Provv. 6 maggio 2010 [doc. web n. 1737818]).
In un altro caso un segnalante, al quale era stato rifiutato un finanziamento, aveva appreso che presso un SIC risultava, a suo nome, un’operazione di “prestito rinunciato”, a suo dire non corrispondente al vero.
Dall’istruttoria è emerso che tale dato non era esatto, non era stata fornita all’interessato l’informativa, ed il riscontro alle richieste avanzate dall’interessato stesso ai sensi dell’art. 7 del Codice era stato tardivo.
Pertanto il Garante ha prescritto alla banca di garantire il rispetto delle regole di comportamento stabilite dal codice di settore e di sensibilizzare in tal senso gli incaricati del trattamento, ribadendo l’essenzialità del rispetto di tale regole, nonché di assicurare che sia fornito un idoneo e tempestivo riscontro nei termini di legge a tutte le istanze ritualmente proposte ai sensi dell’art. 7 del Codice (Provv. 11 marzo 2010 [doc. web n. 1715024]).
L’Autorità ha poi dato corso a una segnalazione inviata dal presidente del consiglio di amministrazione di due società, il quale ha rappresentato di essere venuto a conoscenza della presenza di segnalazioni a carico delle società stesse presso il cd. “servizio di prima informazione” presso la Centrale dei rischi della Banca d’Italia, riguardanti richieste di finanziamento. Tali segnalazioni sarebbero state “abusive in quanto non corrispondenti ad alcuna richiesta di concessione di fido da parte delle due società”.

Dai riscontri forniti dalle menzionate società è emerso che, in un caso, la finanziaria aveva ricevuto una richiesta per una operazione di leasing da una persona incaricata dalla stessa società segnalante, alla quale, secondo quanto dichiarato dalla finanziaria era stata fornita in forma orale la necessaria informativa. Nell’altro caso invece, è risultato che la finanziaria aveva ricevuto i dati da un’altra società e non era stata data l’informativa ai sensi dell’art. 13 del Codice in merito alla comunicazione dei dati a terzi. All’esito dell’attività istruttoria il Garante, come in precedenti pronunce, ha confermato che la comunicazione dei dati alla Centrale dei rischi di Banca d’Italia, in quanto prevista da una normativa, non richiede il rilascio del consenso da parte degli interessati (art. 24, comma 1, lett. a), del Codice). Ha poi precisato che l’informativa deve essere fornita quando i dati sono raccolti direttamente presso gli interessati indicando anche “i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati”, e che il titolare del trattamento non è tenuto a fornire la predetta informativa ove essi siano raccolti presso terzi e “trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria” (art. 13, comma 5, lett. a), del Codice).
Il Garante ha pertanto prescritto alla società che ha raccolto i dati dall’interessato e comunicato gli stessi alla finanziaria, di predisporre un’informativa in stretta aderenza a quanto previsto dall’art. 13 del Codice, nella quale sia riportata anche l’indicazione dei soggetti terzi ai quali i dati dei clienti potranno essere comunicati, riservando ad un autonomo procedimento le valutazioni di competenza in ordine all’eventuale applicazioni
di sanzioni amministrative (Provv. 10 novembre 2010 [doc. web n. 1769502]).

11.4.2. Rapporto di lavoro in ambito privato
In una segnalazione un dipendente di una società aveva ritenuto illecita la richiesta che quest’ultima gli aveva rivolto di documentare (dal punto di vista sanitario) le “improcrastinabili esigenze personali” poste a fondamento dell’istanza di fruizione di un periodo feriale.
L’Autorità ha ritenuto ingiustificata la richiesta di documentazione in quanto, benché formulata nell’ambito di una legittima attività di verifica per finalità di gestione del rapporto di lavoro, non trovava giustificazione né nella normativa vigente (art. 2109 c.c.), né nella normativa contrattuale esaminata. Peraltro, la stessa richiesta non è risultata giustificata nemmeno in relazione alla finalità concretamente perseguita dalla società, tenuto conto della discrezionalità che la stessa normativa riconosce a quest’ultima nell’individuare il periodo di fruizione delle ferie da parte dei lavoratori (art. 2109 c.c.; art. 38 del CCNL applicabile).
Conseguentemente, è stato prescritto alla società di sensibilizzare i soggetti preposti a non chiedere la produzione di documenti volti a rendere note le ragioni delle richieste di congedo ordinario avanzate dai dipendenti (Provv. 4 novembre 2010 [doc. web n. 1779735]).
L’Autorità ha poi esaminato una richiesta di verifica preliminare formulata da una società (anche nell’interesse di altre controllate) che intendeva adottare uno strumento di valutazione dei dipendenti basato su procedure di autovalutazione e sui riscontri forniti dai terzi.
Il sistema, preordinato all’elaborazione dei dati acquisiti per il tramite di questionari compilati in forma anonima (successivamente “sintetizzati” e “aggregati” in report finali resi disponibili, tra l’altro, agli stessi interessati), sarebbe stato utilizzato su un numero ristretto di dipendenti (circa una ventina su base annua), anche in collegamento con il processo di valutazione del personale e per la corresponsione di eventuali incentivi economici.
Inoltre, tale sistema avrebbe consentito ai lavoratori di valutare meglio le proprie capacità professionali e l’attività espletata, con significativi contributi al miglioramento delle prestazioni lavorative e al raggiungimento degli obiettivi concordati in sede aziendale.
L’Autorità ha reputato il trattamento lecito e proporzionato, sia perché giustificato dalle specifiche dinamiche di tipo contrattuale presenti in ambito aziendale, sia perché effettuato su base meramente consensuale (art. 23 del Codice), senza pregiudizio per i lavoratori che avessero manifestato un eventuale diniego al trattamento, della possibilità di conseguire comunque un incentivo di natura economica.
L’Autorità ha tuttavia richiamato al rispetto di specifiche disposizioni (art. 14 del Codice; art. 8 della l. n. 300/1970), prescrivendo al contempo alla società di conservare i dati non oltre il termine strettamente necessario al perseguimento della finalità dichiarata (art. 11, comma 1, lett. e), del Codice) (Provv. 4 novembre 2010 [doc. web n. 1771838]).
A seguito di una segnalazione l’Autorità si è poi pronunciata sul trattamento di dati personali dei lavoratori svolto da una società mediante sistemi di localizzazione satellitare (Provv. 7 ottobre 2010 [doc. web n. 1763071]).
L’interessato aveva lamentato l’installazione, a bordo di alcuni autoveicoli in dotazione alla società presso la quale prestava servizio, di un sistema di localizzazione satellitare in assenza di preventiva informativa ai lavoratori e in asserita violazione della disciplina sul controllo a distanza dell’attività dei lavoratori (art. 4, comma 2, l. n. 300/1970).
L’Autorità, nel riconoscere che i dispositivi in esame servivano anche per pianificare gli interventi, diminuire i costi per danni conseguenti a violazioni del codice della strada, nonché per determinare i costi di trasferta e di intervento, e per esigenze di sicurezza sul lavoro, ha tuttavia evidenziato che il loro impiego deve comunque avvenire, oltre che in osservanza della pertinente disciplina di settore in tema di controlli a distanza, nel rispetto dei princìpi in materia di protezione dei dati personali e con modalità concretamente
idonee a garantire, in particolare, l’osservanza dei diritti e delle libertà fondamentali, nonché della dignità degli interessati (art. 2 del Codice).
Le risultanze istruttorie hanno evidenziato che la società non aveva rispettato il precetto di cui all’art. 4, comma 2, della l. n. 300/1970; non aveva notificato il trattamento, né documentato la formale designazione quali incaricati del trattamento dei soggetti effettivamente legittimati ad accedere alle informazioni acquisite (art. 30 del Codice).
L’Autorità ha quindi disposto il blocco del trattamento nei confronti della società titolare; formulato al contempo – in caso di eventuale rilascio del provvedimento autorizzatorio da parte del competente ufficio territoriale del Ministero – specifiche prescrizioni in tema di notificazione del trattamento e di designazione degli incaricati, e infine, ha invitato la società commisurare i tempi di conservazione dei dati alle finalità concretamente perseguite.
Il trattamento dei dati personali dei dipendenti effettuato mediante strumenti di localizzazione satellitare è stato anche oggetto di una verifica preliminare richiesta da un’associazione operante nel campo dei controlli sulle aziende zootecniche per certificare l’effettività dei controlli svolti presso le aziende associate (in ottemperanza alle pertinenti normative di settore), e documentare la propria attività presso gli enti pubblici sovvenzionanti (in particolare, il Ministero delle politiche agricole, alimentari e forestali).
Il Garante ha ritenuto lecito il trattamento ove effettuato per la finalità dichiarata e nel rispetto delle prescrizioni di cui all’art. 4, comma 2, l. n. 300/1970; ha prescritto all’associazione di anonimizzare i dati di localizzazione in caso di loro comunicazione a terzi per dar conto dell’attività espletata, nonché di rendere agli interessati un’informativa dettagliata ed esaustiva circa il trattamento da svolgere. È stato infine prescritto
all’associazione di provvedere alla notifica del trattamento (Provv. 18 febbraio 2010 [doc. web n. 1703103]).
A seguito di alcune notizie di stampa, l’Autorità ha valutato i trattamenti svolti da una società in relazione ai dati personali dei propri dipendenti, consistenti nell’utilizzo di “tagliandi” scritti a fini di allontanamento temporaneo dalla postazione di lavoro, per assicurare al cliente una fornitura di prodotti continua e per garantire una efficace e tempestiva sostituzione dei dipendenti momentaneamente allontanatisi.
Il trattamento è stato tuttavia ritenuto lesivo della disciplina in materia di protezione dei dati personali ed è stato vietato alla società di trattare ulteriormente i dati dei lavoratori acquisiti per il tramite dei citati tagliandi scritti.
Al riguardo, il Garante ha rilevato che l’utilizzo dei tagliandi, per allontanamenti dei lavoratori dovuti all’espletamento di necessità “fisiologiche”, risulta contrario all’art. 2 del Codice, soprattutto in considerazione del potenziale condizionamento (anche in termini di mortificazione personale) degli interessati in ordine alla propria libertà di movimento, nonché comunque sproporzionato e non necessario (artt. 3 e 11, comma 1, lett. d), del Codice).
Nel vietare il trattamento l’Autorità ha inoltre prescritto alla società di predisporre nuove modalità di comunicazione delle assenze temporanee dei dipendenti dalla propria postazione lavorativa, tali da assicurare l’effettiva salvaguardia della dignità e riservatezza dei lavoratori (Provv. 24 febbraio 2010 [doc. web n. 1705070]).
Con il provvedimento 22 aprile 2010 [doc. web n. 1727692], il Garante si è occupato di una particolare fattispecie: la cessione inter-societaria dell’azienda e, per quanto di competenza dell’Autorità, degli account di posta elettronica appartenenti al dominio aziendale.
Nel caso, due lavoratrici hanno lamentato l’utilizzo da parte della società, acquirente del compendio fallimentare, degli indirizzi di posta elettronica aziendale loro assegnati.
In particolare, le segnalanti hanno evidenziato la possibilità che la società subentrante non avesse disattivato i rispettivi account di posta elettronica (dal momento che le comunicazioni inviate non generavano messaggi di errore) rappresentando quindi il rischio che la suddetta società potesse leggere le e-mail pervenute sui propri indirizzi.
La società ha ammesso di utilizzare le caselle di posta elettronica delle segnalanti, precisando di aver adottato la modalità “catch-all ”, tale da consentire la ricezione di tutti i messaggi pervenuti sugli indirizzi appartenenti al dominio aziendale in maniera indifferenziata su un’unica casella di posta elettronica.
La società ha sottolineato che tale scelta era stata giustificata dalla circostanza dell’avvenuto acquisto dell’intero compendio fallimentare della società cedente, incluso il relativo avviamento e, quindi, anche il dominio aziendale, ivi compresi gli indirizzi di posta elettronica aziendale, nonché dalla circostanza che l’utilizzo di questi ultimi risultasse indispensabile alla corretta gestione dei rapporti commerciali della società.
Ciò in considerazione del fatto che le segnalanti avrebbero svolto, anche successivamente alla cessione aziendale, un’attività di sviamento della clientela. La società ha rappresentato altresì come le segnalanti risultassero socie di una nuova società, dalla denominazione simile a quella della società cedente, costituita poco dopo la dichiarazione di fallimento.
Il Tribunale di Bologna, adito sulla questione, aveva dato atto che la ricezione dei dati da parte della stessa avveniva in modo indifferenziato secondo il cd. “sistema del catch-all”, che non consentiva di risalire al destinatario, e che inoltre le caselle in questione erano di pertinenza aziendale con conseguente proprietà delle stesse da parte dell’imprenditore e possibilità dello stesso di accedervi.
Il Garante, tuttavia, considerando l’esigenza di tutela dei dati personali in rilievo, con il citato provvedimento, ha prescritto alla società subentrata nella titolarità degli indirizzi in questione la disattivazione di tutti gli account, appartenenti al dominio aziendale, ma attribuiti personalmente a soggetti che non facevano più parte dell’organizzazione imprenditoriale della società e la predisposizione di un sistema idoneo ad informare della disattivazione tutti i mittenti di comunicazioni inviate agli account, invitando all’inoltro della corrispondenza di lavoro ad un indirizzo di posta elettronica alternativo.

13. Libere professioni
13.1. Ordini professionali
Nel corso del 2010 sono pervenuti al Garante diversi quesiti concernenti, in particolare, il regime di conoscibilità delle informazioni relative agli iscritti agli albi.
Al riguardo, in termini generali, è stato ribadito che la diffusione dei dati degli iscritti ad un ordine professionale deve essere valutata in concreto dal relativo consiglio, in considerazione delle specifiche forme di pubblicità previste dalla normativa di settore.
Più in dettaglio, un consiglio nazionale aveva chiesto se fosse possibile, per esigenze di trasparenza, pubblicare sul proprio sito web i nominativi degli iscritti all’ordine destinatari di una sanzione disciplinare definitiva.
In proposito è stato evidenziato che può essere “menzionata l’esistenza di provvedimenti che dispongono la sospensione o che incidono sull’esercizio delle professione”, purché il trattamento riguardi informazioni corrette, complete ed aggiornate (art. 11, comma 1 e 61, comma 2, del Codice; Provv. 29 marzo 2001 [doc. web n. 39536]; Relazione 2003, p. 82) (Nota 18 gennaio 2010).
È stato evidenziato ad un ordine professionale, in merito alla possibilità di diffondere gli indirizzi di posta elettronica degli iscritti, che una specifica recente normativa di settore prevede che i professionisti iscritti in albi ed elenchi debbano comunicare ai rispettivi ordini o collegi il proprio indirizzo di posta elettronica (Nota 30 luglio 2010).
In termini analoghi si è risposto ad un avvocato che lamentava la pubblicazione sull’albo, in particolare, del suo codice fiscale (prevista dall’art. 3-bis del d.l. 29 dicembre 2009, n. 193, convertito, con modificazioni, dalla l. 22 febbraio 2010, n. 24) (Nota 31 marzo 2010).

15.2. Videosorveglianza in ambito privato
Da accertamenti ispettivi svolti in seguito ad una segnalazione è risultato che, per finalità di sicurezza, presso un centro commerciale era stata installata una webcam in assenza della prescritta informativa e in violazione della pertinente disciplina di settore in tema di controlli a distanza dell’attività dei lavoratori (art. 4, comma 2, l. n. 300/1970), con conseguente illiceità del trattamento svolto (artt. 11, comma 1, lett. a) e 114, del Codice).
Il Garante ha quindi disposto il blocco del trattamento effettuato a mezzo della webcam installata, in attesa dell’eventuale espletamento delle procedure previste dal richiamato art. 4, comma 2, l. n. 300/1970 (Provv. 10 giugno 2010 [doc. web n. 1736167]).
L’Autorità si è poi pronunciata in relazione ad una istanza di verifica preliminare presentata da una società operante nel settore della progettazione e produzione di smart card principalmente per il mercato GSM e bancario e volta ad ampliare, quale misura di protezione ulteriore a garanzia dei clienti, i tempi di conservazione delle immagini registrate a mezzo dell’impianto di videosorveglianza installato presso la sede operativa della società; ciò, muovendo dall’assunto che l’attività svolta, assimilabile a quella della Zecca di Stato, sarebbe stata potenzialmente soggetta ad un alto rischio di illecito.
Il periodo di conservazione suggerito dalla società (90 giorni), “imposto” dagli enti certificatori (tra i più noti, VISA, MASTERCARD, GSM Association) anche ai fini di un eventuale rinnovo delle stesse certificazioni, avrebbe inoltre risposto all’esigenza di rafforzare le misure di prevenzione e contrasto contro possibili comportamenti fraudolenti da parte di terzi (in particolare, i lavoratori della società), consentendo l’accertamento a posteriori di possibili illeciti di natura penale suscettibili di verifica solo a distanza di tempo dalla loro commissione (anche in ragione delle complesse procedure organizzative e produttive in essere presso la società).
L’Autorità ha rigettato l’istanza ritenendo sproporzionati i tempi di conservazione proposti in relazione alle esigenze prospettate, peraltro non sufficientemente documentate (Provv. 4 novembre 2010 [doc. web n. 1767759]). Da un lato, infatti, le “prescrizioni” impartite dagli enti certificatori sono risultate “derogabili” in presenza di “restrizioni legali” all’utilizzo di sistemi di videosorveglianza; dall’altro, non sono stati addotti elementi rigorosi tali da giustificare il segnalato allungamento dei tempi di conservazione delle immagini in rapporto alle (ipotetiche) condotte criminose descritte dalla società, peraltro mai verificatesi in concreto (verosimilmente anche in ragione delle altre numerose misure di sicurezza già approntate: accessi controllati; sensori di allarme e di movimento; sistemi di criptazione dei dati; divieto di utilizzo di strumenti di archiviazione, ecc.).
L’Autorità ha peraltro ricordato il consolidato orientamento giurisprudenziale che riconosce al datore di lavoro la possibilità, nel rispetto delle garanzie previste dall’ordinamento (in particolare, gli artt. 2, 3 e 6 della l. n. 300/1970), di adibire a mansioni di vigilanza e tutela del patrimonio aziendale anche propri dipendenti, a mezzo dei quali poter controllare l’attività di altri lavoratori per accertare eventuali comportamenti fraudolenti estranei alla prestazione lavorativa e incidenti sull’integrità del patrimonio aziendale.

15.3. Biometria
Nel corso dell’anno il Garante è stato nuovamente interpellato in ordine all’utilizzabilità, da parte di soggetti pubblici, di sistemi di rilevazione automatica per il controllo degli accessi al luogo di lavoro mediante il riconoscimento dei dati biometrici dei dipendenti.
Si è reso, quindi, necessario ribadire le indicazioni contenute nel provvedimento generale recante le linee-guida in materia (Provv. 14 giugno 2007 [doc. web n. 1417809]).
In particolare, il Garante ha ricordato ad una amministrazione comunale, a seguito di una specifica segnalazione di un sindacato che, di regola, i sistemi di rilevazione di impronte digitali possono essere attivati soltanto per l’accesso a speciali aree dei luoghi di lavoro in cui si debbano assicurare elevati e specifici livelli di sicurezza, in relazione a particolari necessità e nel rispetto di specifiche condizioni indicate nel cit. provvedimento generale (cfr. punto 7.2.). Il Comune è stato quindi invitato a verificare l’eventuale sussistenza di tali condizioni e ad informare l’Ufficio in ordine alle misure volte ad assicurare il rispetto di quanto indicato (Nota 20 dicembre 2010; v., infra, Nota 31 dicembre 2010).
In un’altra occasione, in risposta alle preoccupazioni manifestate da un Prefetto, circa istanze sindacali relative al trattamento di dati biometrici dei lavoratori italiani presso una base militare degli Stati Uniti, il Garante, con disponibilità ad esaminare eventuali profili critici, ha ricordato che, nel corso di una fruttuosa attività di collaborazione con l’Ambasciata americana, sono state fornite puntuali indicazioni anche sugli adempimenti procedurali necessari per rendere il trattamento conforme alla disciplina sulla protezione dei dati. Da ultimo l’Ambasciata si era riservata di valutare la possibilità di formulare all’Autorità una richiesta di interpello per l’implementazione di una carta elettronica che consenta l’accesso ai sistemi informatici delle basi militari (Nota 9 luglio 2010).
Nel fornire indicazioni ad alcuni dipendenti italiani di un’altra base militare americana, l’Ufficio ha precisato che il trattamento dei dati biometrici effettuato per le sole finalità di autenticazione informatica non richiede la valutazione preventiva del Garante.
L’adozione di un sistema di autenticazione informatica (conforme ai requisiti tecnici indicati dalle regole 1-11 dell’Allegato B. al Codice) costituisce infatti una misura minima di sicurezza, che deve essere adottata ai sensi dell’art. 34, comma 1, lett. a), del Codice. Tali credenziali di autenticazione possono consistere anche in una caratteristica biometrica dell’incaricato, eventualmente associata ad un codice identificativo o a una parola chiave (Nota 31 dicembre 2010).
Con riferimento all’uso delle impronte digitali dei lavoratori per l’accesso a particolari aree riservate sono state richiamate le regole restrittive di cui sopra si è fatto cenno, indicate nel provvedimento 14 giugno 2007 [doc. web n. 1417809], in particolare al punto 7.2. (Nota 31 dicembre 2010; v., supra, Nota 20 dicembre 2010).
Pur rientrando tra le legittime facoltà del datore di lavoro quella di sovrintendere all’esecuzione della prestazione lavorativa (art. 2094 c.c.), verificando le presenze dei dipendenti e il rispetto dell’orario di lavoro, le imprese che intendono adottare sistemi di lettura delle impronte digitali per verificare la presenza in servizio dei dipendenti devono prima dimostrare che le finalità di controllo non possano essere realizzate con sistemi meno invasivi, nel rispetto dei princìpi di necessità e di proporzionalità.
Con questa motivazione l’Autorità ha respinto le richieste di verifica preliminare, ai sensi dell’art. 17 del Codice, con le quali due società di trasporti chiedevano di poter usare, presso le proprie aziende, un meccanismo di autenticazione biometrico (provvedimenti 17 novembre 2010 [doc. web nn. 1779745 e 1779758]).
Secondo le società, il rilevamento delle impronte avrebbe potuto evitare eventuali condotte irregolari, come lo scambio di badge attestanti la presenza in servizio, con conseguenti maggiori garanzie per l’incolumità degli utenti e del personale viaggiante. Nel corso dell’istruttoria, tuttavia, è emerso che i tradizionali metodi di controllo si erano dimostrati più che sufficienti a garantire la verifica della presenza in servizio dei dipendenti.
L’uso dei sistemi biometrici era stato richiesto dalle due società anche per accedere ai locali nei quali venivano custodite le banche dati cartacee e informatiche contenenti i dati personali dei dipendenti. Dagli accertamenti effettuati dal Garante è invece emerso che tali dati, lungi dall’essere caratterizzati da specifiche peculiarità, non richiedevano particolari sistemi di controllo, trattandosi di informazioni solitamente elaborate dagli uffici amministrativi di qualsiasi azienda.

17.4.3. Trattamento di dati in ambito bancario e informazioni commerciali
Si è già fatto cenno al gran numero di ricorsi che hanno riguardato l’ambito bancario-finanziario complessivamente inteso.
L’elevato numero dei procedimenti e la tipologia delle richieste avanzate (fondamentalmente volte ad acquisire cognizione di informazioni utili a ricostruire il quadro dei rapporti intrattenuti con gli istituti di credito o a sollecitare la cancellazione di evidenze negative associate a determinati interessati) si pongono in sostanziale continuità con le esperienze degli anni più recenti. Si è ormai delineato un utilizzo degli strumenti di tutela messi a disposizione dall’art. 7 del Codice finalizzato, alternativamente o in connessione con altri mezzi quali quelli previsti dal testo unico bancario, ad acquisire informazioni volte essenzialmente a: a) ricostruire posizioni contabili di persone defunte da parte di soggetti interessati alla corretta allocazione dell’asse ereditario; b) raccogliere tutti i dati relativi a contratti di investimento o ad altre posizioni bancarie al fine (spesso) di contestare i tassi di interesse o la regolarità dei rapporti medesimi, o per verificare la sussistenza e la validità delle informazioni ricevute e dei consensi prestati.
A fianco di queste ipotesi si collocano poi le richieste di cancellazione dei dati di tipo “negativo” che, su indicazione delle banche, vengono riportate, a seconda dei contesti, negli archivi dei sistemi di informazioni creditizie, nella Centrale dei rischi della Banca d’Italia o nell’archivio elettronico della Centrale d’allarme interbancaria. Si tratta di materia che trova regole (anche procedurali) dettagliate nelle relative discipline di settore o nell’apposito codice di deontologia concernente il settore del cd. “credito al consumo”.
Ed è proprio alla verifica del rispetto di questa normativa che rimandano i provvedimenti in merito del Garante (v., fra tanti, Provv. 27 aprile 2010 [doc. web n. 1733190]; Provv. 22 luglio 2010 [doc. web n. 1748844]).
In qualche modo connesso a questa problematica è il trattamento di dati ricavati dal Registro delle imprese, dagli archivi delle ex conservatorie dei registri immobiliari o da altre fonti pubbliche e relativi, ad esempio, ai soggetti titolari di quote azionarie o di cariche sociali, ai dati sugli eventuali fallimenti o su altre vicende economicamente e giuridicamente rilevanti per la vita delle imprese.
Tali informazioni sono fatte oggetto di aggregazione, valutazione e commento, in modo generalmente informatizzato, da parte dei soggetti che operano nel settore delle cd. “informazioni commerciali”.
La rilevanza di questa attività e la potenziale risonanza negativa che questo tipo di informazioni può avere sulla reputazione economica di molti imprenditori ha determinato negli ultimi anni un cospicuo contenzioso in materia. La necessità di affrontare organicamente la materia e di fissare “paletti” condivisi nel trattamento di queste informazioni ha spinto l’Autorità a promuovere l’apertura dei lavori mirati alla sottoscrizione di un codice di deontologia ad hoc per questo settore, cui già il d.lgs. n. 196/2003 faceva peraltro riferimento all’art. 118.
I lavori per la redazione del codice sono stati avviati all’inizio del 2011 e procedono con l’attiva collaborazione sia dei soggetti rappresentativi degli operatori economici del settore, sia di soggetti portatori di interessi qualificati in relazione alla tipologia di dati trattati (ad es., banche ed associazioni di consumatori e utenti).

Un altro argomento che per la sua attualità e importanza da luogo a numerose controversie è rappresentato dal trattamento dei dati personali effettuato da soggetti privati in tema di credito al consumo, affidabilità e puntualità nei pagamenti.

I giudizi hanno riguardato, in particolare, errate segnalazioni degli interessati come cattivi pagatori da parte di istituti di credito o società finanziarie ai soggetti che gestiscono i sistemi di informazioni creditizia (SIC).
Tutte le pronunce hanno visto, oltre alla cancellazione dei nominativi degli interessati dal SIC, anche la condanna al risarcimento del danno dell’istituto o della società che ha effettuato la segnalazione.
I casi decisi hanno riguardato la segnalazione: del fideiussore del terzo debitore in mancanza di prova dell’esistenza di un credito esigibile e del ritardato pagamento da parte del debitore principale (Tribunale di Milano, sentenza n. 13640 del 25 novembre 2010), di un omonimo del soggetto effettivamente inadempiente, con condanna al risarcimento del danno, in solido, anche della società che gestisce il SIC che non aveva verificato l’esattezza dei dati forniti dall’intermediario finanziario (Tribunale di Milano, sentenza n. 5351 del 28 aprile 2010), del sottoscrittore di un contratto di locazione finanziaria, in mancanza di prova dell’effettiva sottoscrizione del contratto (Tribunale di Roma, sentenza n. 6687 del 28 settembre 2010), dell’interessato erroneamente segnalato dall’operatore di una società finanziaria in relazione ad un contratto proposto telefonicamente e non accettato dal ricorrente (Tribunale di Brescia, sentenza n. 3764 del 16 dicembre 2010), di un correntista, in relazione ad un credito residuo a seguito della chiusura del conto corrente, a cui non era stata fornita idonea comunicazione sull’esistenza del debito, che è poi stato immediatamente saldato, mentre l’istituto aveva tardato a procedere alla cancellazione del nominativo dell’interessato dal SIC (Tribunale di Milano, sentenza n. 3716 del 22 marzo 2010).

18. Il contenzioso giurisdizionale
18.3. profili di merito
Analogamente a quanto verificatosi nello scorso anno, su alcune pronunce emesse dall’Autorità giudiziaria, relative a fattispecie in cui non erano in discussione provvedimenti adottati dal Garante, ha trovato applicazione l’art. 137 del Codice in tema di bilanciamento tra l’esercizio del diritto di cronaca e il diritto alla tutela dei dati personali, confermando che si tratta di un tema che frequentemente genera contenzioso.
In particolare 7 decisioni hanno accertato la violazione del corretto esercizio del diritto di cronaca relativamente al mancato rispetto del principio dell’essenzialità dell’informazione, con specifico riferimento alla pubblicazione di dati personali, idonei a identificare i protagonisti di alcuni fatti di cronaca o a rivelare aspetti intimi della loro vita, ritenuti non indispensabili al soddisfacimento dell’interesse pubblico alla conoscenza delle vicende descritte.
In tal senso si è pronunciato il Tribunale di Milano che, in relazione ad un fatto di sangue di cui si è ampiamente e a lungo occupata la stampa nazionale e internazionale, ha ritenuto illecita la pubblicazione in più articoli e in un libro di alcune informazioni, riguardanti le abitudini sessuali e lo stato di salute della protagonista della vicenda, ritenute gravemente lesive della sua dignità e della sua riservatezza. Il Tribunale ha condannato la società editrice del quotidiano e la giornalista autrice degli articoli e del libro al risarcimento
del danno (sentenza n. 3580 del 20 aprile 2010).
Analoghe considerazioni sono state espresse dal medesimo Tribunale di Milano riguardo alla pubblicazione su di un settimanale di notizie concernenti il domicilio e l’attività lavorativa della ricorrente, coinvolta in un fatto di cronaca quale coniuge del capo di una nota organizzazione criminale. Anche in questo caso all’accertamento della violazione della normativa sulla protezione dei dati personali è seguita la condanna al risarcimento del danno a favore della parte lesa (sentenza n. 8044 del 21 giugno 2010).
Negli altri casi, l’autorità giudiziaria ha ritenuto non essenziali alla conoscenza dei fatti da parte del pubblico la pubblicazione delle generalità di un minore (Tribunale di Roma, sentenza n. 15605 del 13 luglio 2010), di una persona affetta dalla cd. “influenza suina” (Tribunale di Roma, sentenza n. 19843 del 5 novembre 2010), della vittima di una rapina (Tribunale di Milano, sentenza n. 13696 del 1 dicembre 2010), di alcune persone fermate per detenzione di sostanze di stupefacenti (Tribunale di Frosinone, sentenza n. 507 del 30
aprile 2010). In tutti i casi è stata pronunciata condanna al risarcimento del danno in favore degli interessati.
Al contrario, il Tribunale di Roma ha ritenuto legittima la messa in onda, all’interno di un programma di informazione calcistica, di un filmato amatoriale che ritraeva un noto calciatore a cui veniva somministrato un farmaco che, benché non vietato dalla normativa antidoping, non veniva assunto a scopi terapeutici (sentenza n. 23369 del 24 novembre 2010).
In tal caso, il giudice ha ritenuto che costituisce un tema di indubbia rilevanza sociale quello del miglioramento delle performance sportiva realizzata attraverso l’assunzione di farmaci. Nella fattispecie il filmato integra un mero presupposto del necessario soddisfacimento dell’interesse generale alla conoscenza del fenomeno, senza che si possa configurare una lesione della riservatezza del soggetto ripreso, atteso che le immagini divulgate non concernono lo stato di salute dell’interessato, in quanto il farmaco non era stato prescritto a causa di qualche patologia.
Un altro argomento che per la sua attualità e importanza da luogo a numerose controversie è rappresentato dal trattamento dei dati personali effettuato da soggetti privati in tema di credito al consumo, affidabilità e puntualità nei pagamenti. I giudizi hanno riguardato, in particolare, errate segnalazioni degli interessati come cattivi pagatori da parte di istituti di credito o società finanziarie ai soggetti che gestiscono i sistemi di informazioni creditizia (SIC).
Tutte le pronunce hanno visto, oltre alla cancellazione dei nominativi degli interessati dal SIC, anche la condanna al risarcimento del danno dell’istituto o della società che ha effettuato la segnalazione.
I casi decisi hanno riguardato la segnalazione: del fideiussore del terzo debitore in mancanza di prova dell’esistenza di un credito esigibile e del ritardato pagamento da parte del debitore principale (Tribunale di Milano, sentenza n. 13640 del 25 novembre 2010), di un omonimo del soggetto effettivamente inadempiente, con condanna al risarcimento del danno, in solido, anche della società che gestisce il SIC che non aveva verificato l’esattezza dei dati forniti dall’intermediario finanziario (Tribunale di Milano, sentenza n. 5351 del 28 aprile 2010), del sottoscrittore di un contratto di locazione finanziaria, in mancanza di prova dell’effettiva sottoscrizione del contratto (Tribunale di Roma, sentenza n. 6687 del 28 settembre 2010), dell’interessato erroneamente segnalato dall’operatore di una società finanziaria in relazione ad un contratto proposto telefonicamente e non accettato dal ricorrente (Tribunale di Brescia, sentenza n. 3764 del 16 dicembre 2010), di un correntista, in relazione ad un credito residuo a seguito della chiusura del conto corrente, a cui non era stata fornita idonea comunicazione sull’esistenza del debito, che è poi stato immediatamente saldato, mentre l’istituto aveva tardato a procedere alla cancellazione del nominativo dell’interessato dal SIC (Tribunale di Milano, sentenza n. 3716 del 22 marzo 2010).

18.4. Le opposizioni ai provvedimenti del Garante
L’anno 2010 ha registrato un leggero incremento delle opposizioni a provvedimenti del Garante: a fronte dei 56 ricorsi del 2009, nel 2010 sono state proposte 65 opposizioni.
Di queste, 19 si riferiscono a opposizioni ad ordinanze ingiunzioni, con una sostanziale equivalenza rispetto al 2009, nel quale si erano registrate 17 opposizioni di tale natura.
L’Autorità ha avuto notizia di 17 decisioni dell’autorità giudiziaria relative a opposizioni a provvedimenti del Garante, che si è sempre costituito in questi giudizi.
Quattro pronunce concernono opposizioni ad ordinanze ingiunzioni. Tutte hanno avuto ad oggetto violazioni dell’art. 13 del Codice per omessa o tardiva informativa agli interessati (Tribunale di Arezzo, sentenza n. 197 del 18 febbraio 2010; Tribunale di Milano, sentenza n. 12973 del 16 novembre 2010 e sentenza n. 3972 del 25 marzo 2010; Tribunale di Varese, sentenza n. 942 del 1° febbraio 2010). Tutte queste pronunce hanno respinto le opposizioni, confermando i provvedimenti del Garante. In un caso la sanzione è stata ridotta a causa della precaria situazione economica della società sanzionata.
Per quanto attiene al trattamento di dati personali effettuato in ambito giornalistico, devono essere segnalate 3 pronunce. In un caso l’Autorità, con provvedimento del 25 luglio 2007, aveva respinto il ricorso volto ad ottenere la cancellazione ed il blocco dell’ulteriore trattamento dei dati diffusi in un articolo pubblicato su un quotidiano [doc. web n. 1435059]. Il Tribunale di Verona ha respinto l’opposizione proposta dall’interessato in quanto la notizia oggetto dell’articolo è stata ritenuta di indubbia rilevanza pubblica e la sua pubblicazione rientrava nella scelta discrezionale della testata giornalistica (sentenza n. 647 del 9 febbraio 2009).
Un altro caso ha riguardato il provvedimento 28 maggio 2009 con il quale il Garante ha respinto il ricorso volto ad ottenere il blocco del trattamento dei dati personali in relazione ad un articolo consultabile, anche in versione informatica, nell’archivio storico di un noto quotidiano [doc. web n. 1635910]. Il Tribunale di Milano ha confermato il provvedimento del Garante, ritenendo che l’articolo contenga fatti di pubblico interesse e rispetti il limite dell’essenzialità dell’informazione (sentenza n. 4302 del 6 aprile 2010).
Infine, il Tribunale di Milano ha respinto il ricorso avverso il provvedimento 3 novembre 2009 con cui una società aveva chiesto l’adozione delle misure necessarie per la cancellazione, rettifica e aggiornamento delle informazioni ricavabili da un motore di ricerca di un noto sito Internet relativamente ad una notizia pubblicata su di un quotidiano online inerente una vicenda giudiziaria che aveva coinvolto la ricorrente [doc. web n. 1687662]. Il Tribunale di Milano, condividendo le argomentazioni dell’Autorità, ha affermato il difetto di legittimazione passiva della società italiana citata in giudizio, rilevando che la gestione dei servizi del motore di ricerca viene effettuata dalla società capogruppo con sede all’estero, limitandosi la società italiana ad un’attività di supporto nel campo del marketing (sentenza n. 10756 del 25 ottobre 2010).
L’esercizio del diritto di accesso ai dati personali ha riguardato 5 pronunce.
In 2 casi si è trattato di un’istanza di accesso ai dati relativi a una persona defunta.
Nel primo caso, l’erede aveva chiesto di poter avere accesso al nominativo del beneficiario di una polizza assicurativa sottoscritta dal de cuius. Il Tribunale di Roma, conformemente a quanto stabilito dal Garante con provvedimento 26 marzo 2009 [doc. web n. 1608042], ha ritenuto che l’impresa assicuratrice, in qualità di titolare del trattamento, ha l’obbligo di fornire all’erede tutte le informazioni relative alle polizze stipulate dal dante causa, ma con esclusivo riferimento agli atti contenenti i dati personali del medesimo e non anche di terzi beneficiari che non vi abbiano acconsentito (sentenza n. 13713 del 15 dicembre 2010).
Nel secondo caso il Garante, con provvedimento 28 settembre 2006, ha ritenuto applicabile la disciplina dell’accesso ai dati personali dettata dal Codice alla richiesta rivolta dall’erede all’istituto bancario di avere copia degli assegni rilasciati dal de cuius [doc. web n. 1348677]. Il Tribunale di Pisa, sezione distaccata di Pontedera, ha, invece, stabilito che la movimentazione bancaria relativa ai suddetti titoli di credito non contiene dati personali e ha ritenuto applicabile la disciplina disposta dal t.u. bancario in materia di accesso alla documentazione bancaria (sentenza n. 173 del 14 aprile 2010).
Altre 2 pronunce hanno riguardato l’accesso ai dati personali in tema di lavoro.
Nel primo caso (sentenza n. 462 del 24 febbraio 2010), il Tribunale di Lecce ha respinto il ricorso proposto avverso il provvedimento 19 dicembre 2008 [doc. web n. 1582051], con il quale l’Autorità ha ordinato alla società datrice di lavoro di consentire al dipendente l’accesso ai dati personali che lo riguardano inerenti il rapporto di lavoro.
Nel secondo caso, il Garante, con provvedimento 21 gennaio 2010, ha ordinato ad una società di consentire ad una dipendente licenziata l’accesso alla propria casella di posta elettronica presso la sede lavorativa, nonché di trasporre i dati personali ivi contenuti su supporto cartaceo o informatico in presenza di personale appositamente incaricato dalla resistente [doc. web n. 1701577]. Il Tribunale di Milano ha confermato il provvedimento del Garante, ritenendo che le informazioni contenute nelle e-mail inviate e ricevute sulla casella di posta elettronica aziendale dal dipendente costituiscono dati personali del medesimo, che in relazione ad essi è quindi possibile chiedere l’accesso ai sensi dell’art. 7 del Codice e che le modalità di accesso delineate nel provvedimento sono idonee a preservare la riservatezza dell’azienda (sentenza n. 8188 del 2 settembre 2010).
Con altra pronuncia, il Tribunale di Milano ha confermato il provvedimento 25 marzo 2008 con il quale il Garante [doc. web n. 1507012] ha respinto, in quanto presentata oltre il termine previsto dalla legge, la richiesta di una società volta ad ottenere da un gestore di telefonia mobile, al fine della difesa in giudizio, i dati relativi al traffico telefonico di un’utenza (sentenza n. 13750 del 30 novembre 2010).
Una decisione ha riguardato la richiesta di un privato nei confronti di un istituto bancario, di prescrivere tutte le misure necessarie per il ripristino dei diritti del ricorrente, di conoscere dell’esistenza, della conservazione e delle modalità di gestione dei propri dati personali presso il suddetto istituto e di dichiarare l’illegittimità della diffusione dei dati e la cessazione del comportamento illegittimo. Il Tribunale di Bologna, nel respingere il ricorso, ha confermato il provvedimento 18 aprile 2008, rilevando la genericità e l’indeterminatezza della domanda, nonché l’assenza di violazioni della normativa in materia di protezione dei dati personali (sentenza n. 7997 del 4 novembre 2010).
In tema di misure di sicurezza, il Garante, con provvedimento 26 marzo/2 aprile 2009 ha prescritto ad un’associazione, in relazione ad un illecito utilizzo dei dati degli iscritti a fini propagandistici-elettorali da parte di un terzo, di adottare misure idonee a contenere i rischi di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta, e di designare gli incaricati del trattamento [doc. web n. 1606059]. Il Tribunale di Roma ha confermato integralmente il provvedimento con sentenza n. 19186 del 7 ottobre 2010.
Un’ulteriore pronuncia del Tribunale di Roma (sentenza n. 24978 del 6 aprile 2010) ha accolto il ricorso proposto da una società che gestisce banche dati nell’ambito della cd. “business information”, ritenendo che alcune specifiche informazioni riferite ad un soggetto censito nella banca dati costituiscono dati pertinenti al medesimo e non eccedenti lo scopo del trattamento, e annullando il provvedimento 19 dicembre 2008 [doc.
web n. 1583124].
Con un’altra decisione il Tribunale di Grosseto, annullando il provvedimento 14 ottobre 2009 [doc. web n. 1658058], ha accolto il ricorso presentato da un dirigente scolastico, ritenendo lecito il trattamento dei dati personali di un’insegnante, contenuti in un verbale di accertamento sanitario redatto dalla commissione medica di verifica, consistito nella trasmissione, in busta chiusa, dei dati all’istituzione scolastica individuata come competente (sentenza n. 502 del 11 novembre 2010).
Infine, come già riportato (supra, par. 18.2.), il Tribunale di Perugia, sezione distaccata di Todi, ha dichiarato la propria incompetenza territoriale in favore del Tribunale di Roma, in applicazione dell’art. 152, comma 2, del Codice, che prevede la competenza a conoscere della controversia del Tribunale del luogo ove ha la sede legale il titolare del trattamento (sentenza n. 15 del 19 febbraio 2008).

Print