Proibizioni ed esenzioni del trattamento di dati particolari

Il regolamento generale europeo, come già precedenti disposizioni, pone particolare attenzione al trattamento di dati particolari, che sono soggetti a specifiche protezioni limitazioni.

Riporto testualmente il primo comma dell’articolo 9, che definisce senza incertezze queste limitazioni:

Articolo 9 Trattamento di categorie particolari di dati personali

1. È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona.

Si faccia attenzione al fatto che non è solo necessario trattare questi dati in modo particolarmente attento, ma che è addirittura vietato trattarli. Ciò premesso, il regolamento illustra tutta una serie di esenzioni, d’altronde alcune abbastanza evidenti, che però debbono essere esplicitamente citate dal titolare del trattamento, ogniqualvolta egli voglia superare il divieto posto dal comma uno, con adeguata motivazione.

Cominciamo ad esaminare le varie esenzioni, che sono elencate nelle varie lettere del comma due.

Per ogni esenzione, riporto il testo con un breve commento.

L’esplicito consenso dell’interessato

Il rapporto impiegatizio

Gli interessi vitali dell’interessato

La adesione a particolari associazioni

I dati pubblici non hanno protezione

Le tutele legali

La tutela dell’interesse pubblico

L’ambito sanitario

La tutela dell’interesse pubblico nel settore della sanità

Ricerche storiche e scientifiche e finalità di archiviazione

Infine, si legga il comma 4

Pubblicità

Cyber Security - Cyber Security - Tutela dei dati e delle informazioni aziendali - 1 ora Corso online sui rischi e sulle responsabilità nel trattamento di dati e informazioni tramite l'utilizzo dei dispositivi informatici.

L’esplicito consenso dell’interessato

1. l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell’Unione o degli Stati membri dispone che l’interessato non possa revocare il divieto di cui al paragrafo 1;

Una delle ragioni per le quali occorre sempre analizzare attentamente il modulo di informativa e di consenso è legato proprio al fatto che è indispensabile che l’informativa sia stata correttamente aperta il consenso sia stato correttamente raccolto. Si faccia anche attenzione al fatto che potrebbero esistere anche altre disposizioni legislative, estranee al regolamento generale europeo, che potrebbero predire il trattamento di particolari dati.

Il rapporto impiegatizio

2. il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato;

Ad esempio, se un dipendente deve essere utilizzato in attività, per le quali è richiesto il superamento di una specifica visita medica, è evidente che il dipendente non può rifiutare il consenso al trattamento dei dati relativi. Questo diritto del datore di lavoro vale anche in fase di assunzione, quando il datore di lavoro circa un soggetto, cioè un interessato, svolge una specifica mansione, per la quale egli deve risultare idoneo. Non dimentichiamo poi il diritto alla sicurezza sociale della nostra società, che prevede ad esempio che, in caso di particolari malattie contagiose, il diritto alla protezione dei dati venga superato dal diritto della società civile ad essere tutelata da possibili problemi sanitari.

Gli interessi vitali dell’interessato

3. il trattamento è necessario per tutelare un interesse vitale dell’interessato o di un'altra persona fisica qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso;

un esempio classico, che viene spesso offerta per chiarire questa deroga è legato al fatto che l’interessato possa essere stato coinvolto in un incidente stradale e, in stato di incoscienza, venga portato al pronto soccorso. Qui i suoi familiari non solo possono, ma addirittura debbono fornire dati particolari afferenti all’infortunato, per consentirgli di tutelare i suoi interessi vitali. Analoga situazione si pone quando un tutore, designato dal tribunale, deve gestire dati personali del soggetto tutelato.

Si tratta evidentemente di situazioni estreme ma ben fai regolamento a mettere in evidenza queste particolari situazioni.

La adesione a particolari associazioni

4. il trattamento è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l’associazione o l’organismo a motivo delle sue finalità e che i dati personali non siano comunicati all'esterno senza il consenso dell’interessato;

Appare del tutto evidente che il fatto che un interessato aderisca ad una particolare fondazione, associazione od altro organismo comporta di necessità che egli comunichi suoi dati personali a questi enti, operanti come titolari del trattamento. Ricordo, con l’occasione, ai lettori che uno dei primi esempi di applicazione di questa deroga avvenne, immediatamente dopo l’entrata in vigore della legge 675/96 sulla protezione dati personali, per consentire ai soci della Cattolica Assicurazioni di poter gestire dati, allora chiamati sensibili, afferenti alla confessione religiosa. Al proposito, il garante emise un apposito provvedimento di deroga.

I dati pubblici non hanno protezione

5. il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato;

Ricordo ancora una volta che l’interessato al trattamento è signore e padrone dei suoi dati ed e della sua piena facoltà pubblicizzarli, se lo ritiene necessario, utile o appropriato. Ovviamente, nel momento in cui un dato viene pubblicizzato, cade ogni forma di protezione nei confronti del dato stesso e qualsiasi titolare e libero di trattare come meglio crede questi dati. L’unica limitazione residua è legata al fatto che, nel momento in cui i dati vengono resi pubblici dall’interessato, l’interessato stesso ponga dei limiti al loro utilizzo. Si tratta però di una sorta di contraddizione nei termini.

Le tutele legali

6. il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;

La protezione della società civile ha sempre priorità sulla protezione dei dati personali, come dimostra il fatto che la magistratura inquirente e giudicante è libera di acquisire e trattare dati personali, anche particolari, al fine di garantire il rispetto delle leggi vigenti. Analogo diritto a evidentemente qualsiasi soggetto ritenga che i suoi diritti siano stati violati e faccia ricorso agli strumenti legislativi disponibili per tutelare i propri diritti. Ricordo che anche investigatori privati, debitamente autorizzati dalle strutture dello Stato, godono di poteri, che certamente esulano dai normali poteri attribuiti a un titolare del trattamento.

La tutela dell’interesse pubblico

7. il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato;

Questa esenzione può essere in qualche modo collegata alla precedente, ricordando ancora una volta che l’interesse pubblico ha sempre priorità rispetto alla protezione dei dati personali. Tuttavia è indispensabile che un eventuale trattamento di dati particolari possa essere effettuato in condizioni di massima sicurezza e minimizzazione del rischio che tali dati vengano portati a conoscenza di soggetti, non coinvolti nel raggiungimento delle finalità del trattamento.

L’ambito sanitario

8. il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3;

anche questo caso può essere riconducibile alla tutela degli interessi vitali dell’interessato. In questo caso la deroga è ampliata dal fatto che un professionista della sanità, possa acquisire trattare questi dati proprio al fine di proteggere l’interessato coinvolto. L’impegno pubblico di riservatezza di un professionista della sanità è un concetto che risale a secoli addietro e non fa altro che essere ribadito da questa esenzione.

La tutela dell’interesse pubblico nel settore della sanità

1. il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale;

Qualche studioso ha rilevato una ridondanza in questa lettera, rispetto a deroghe offerta in precedenza. Ricordando il motto latino “repetita juvant”, ritengo comunque che legislatore abbia ben fatto a sottolineare con chiarezza l’ambito di queste specifiche deroghe, tutte finalizzate alla tutela della società civile.

Ricerche storiche e scientifiche e finalità di archiviazione

10. il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell'articolo 89, paragrafo 1, sulla base del diritto dell'Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l'essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.

I lettori ricorderanno che già a suo tempo la nostra autorità Garante emise un provvedimento specifico per consentire trattamenti di dati personali per questo ambito specifico. Anche in questo caso, una accurata conoscenza della nostra storia può in qualche caso prevedere una deroga al diritto di tutela dei dati di qualche specifico interessato. Anche in questo caso, la custodia di dati storici e statistici di una società civile può richiedere che determinate informazioni, afferenti ad un singolo individuo, possono essere messe a disposizione della comunità.

Infine, si legga il comma 4

4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute.

Questa deroga alla proibizione generale di trattamento dei dati particolari lascia ampio spazio alle autorità garanti nazionali di introdurre deroghe, riferite a casi specifici. Ad esempio, già oggi la nostra autorità garante ha pubblicato uno specifico provvedimento, nel quale è consentito il trattamento di dati biometrici, ad esempio per la realizzazione di impianti di controllo accesso.

Ancora una volta, raccomando ai lettori di astenersi dal trattare dati particolari, illustrati all’articolo 9, comma 1, salvo motivare qualunque trattamento con adeguati riferimenti alle deroghe consentite dal regolamento stesso.

Adalberto Biasiotti

Questo articolo è pubblicato sotto una Licenza Creative Commons.