Il Garante per la privacy già era intervenuto con un primo provvedimento (1) in materia di mediazione finalizzata alla conciliazione di cui al d.lgs. n. 28 del 2010 (2) in quanto tale procedimento comporta l'uso dei dati personali delle parti che si avvalgono della conciliazione e degli altri eventuali protagonisti coinvolti nel procedimento, anche di tipo sensibile e giudiziario.
Il provvedimento n. 161 del 21 aprile 2011 del Garante per la protezione dei dati personali concerne l’autorizzazione per gli organismi privati di mediazione al trattamento dei dati sensibili di cui all’art. 4, comma 1, lett. d) Codice in materia di protezione dei dati personali (d.lgs. n. 196 del 2003) delle parti coinvolte nei procedimenti di mediazione.
Gli Organismi, in particolare, dovranno attenersi – tra l’altro – alle seguenti prescrizioni.
Il trattamento dei dati sensibili può essere effettuato ai soli fini dell’assistenza delle parti nella ricerca di un accordo amichevole per la composizione di una controversia (ovvero, ove tale accordo non venga raggiunto, nella formulazione di una proposta per la risoluzione della stessa) e può riguardare i soli dati sensibili attinenti ai soggetti coinvolti nella controversia oggetto di conciliazione. I dati sensibili relativi ai terzi, invece, possono essere trattati ove ciò sia strettamente indispensabile per l’attività di mediazione.
Il trattamento, inoltre, può riguardare i soli dati e le sole operazioni che risultino indispensabili, pertinenti e non eccedenti in relazione alla specifica controversia oggetto di mediazione e rispetto ad attività che non possano essere svolte mediante il trattamento di dati anonimi o di dati personali di natura diversa.
Il limite generale posto alla comunicazione dei dati è quello della stretta pertinenza all’espletamento dello specifico incarico di mediazione conferito ed al rispetto del d.lgs. n. 28/2010. I dati sensibili, inoltre, non possono essere diffusi.
Allo stesso modo, la conservazione dei dati è ammessa per un periodo non superiore a quello strettamente necessario per la gestione dell’attività di mediazione.
Da ultimo, in tema di autorizzazione è stabilito che i titolari dei trattamenti che rientrano nell’ambito di applicazione dell’autorizzazione in parola non sono tenuti a presentare una richiesta di autorizzazione all’Autorità per la privacy qualora il trattamento che si intende effettuare sia conforme alle prescrizioni suddette.
Detta autorizzazione è valida fino al 30 giugno 2012.
Si riporta di seguito il testo del provvedimento n. 161 del 21 aprile 2011 pubblicato in Gazzetta Ufficiale 3 maggio 2011 n. 101.
Fonte: Osservatorio Mediazione Civile n. 72/2012
Autorizzazione al trattamento dei dati sensibili nell'attività di mediazione finalizzata alla conciliazione delle controversie civili e commerciali - 21 aprile 2011
(Pubblicato sulla Gazzetta Ufficiale n. 101 del 3 maggio 2011)
Registro dei provvedimenti
n. 161 del 21 aprile 2011
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
In data odierna, con la partecipazione del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;
Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali;
Visto, in particolare, l’art. 4, comma 1, lett. d), del citato Codice, il quale individua i dati sensibili;
Considerato che, ai sensi dell’art. 26, comma 1, del Codice, i soggetti privati e gli enti pubblici economici possono trattare i dati sensibili solo previa autorizzazione di questa Autorità e, ove necessario, con il consenso scritto degli interessati, nell’osservanza dei presupposti e dei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;
Considerato che il trattamento dei dati in questione può essere autorizzato dal Garante anche d’ufficio con provvedimenti di carattere generale, relativi a determinate categorie di titolari o di trattamenti (art. 40 del Codice);
Considerato che le autorizzazioni di carattere generale sinora rilasciate sono risultate uno strumento idoneo per prescrivere misure uniformi a garanzia degli interessati, rendendo altresì superflua la richiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolari del trattamento;
Visto il d.lg. 4 marzo 2010, n. 28 di attuazione dell’art. 60 della legge 18 giugno 2009, n. 69 in materia di mediazione finalizzata alla conciliazione delle controversie civili e commerciali e il d.m. del 18 ottobre 2010, n. 180 emanato ai sensi dell’art. 16 del predetto decreto legislativo;
Considerato che un elevato numero di trattamenti di dati sensibili è effettuato da parte degli organismi definiti a norma dell’art. 1 comma 1, lett. d) del d.lg. n. 28/2010 per l’espletamento delle rispettive attività;
Vista l’autorizzazione generale n. 2/2009 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale rilasciata, altresì, quando il trattamento sia necessario "per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, sempre che il diritto sia di rango pari a quello dell'interessato, ovvero consistente in un diritto della personalità o in altro diritto o libertà fondamentale e inviolabile, e i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario per il loro perseguimento" (punto 1.3., lett. a);
Ritenuto che il trattamento di dati sensibili effettuato dagli organismi di mediazione ai sensi del d.lg. n. 28/2010 non sia riconducibile all’autorizzazione generale n. 5/2009 al trattamento dei dati sensibili da parte di diverse categorie di titolari in considerazione delle categorie di soggetti a cui si rivolge e delle relative prescrizioni;
Ritenuto necessario, pertanto, per permettere il trattamento di dati sensibili nell’esercizio della mediazione finalizzata alla conciliazione delle controversie civili e commerciali ai sensi del d.lg. n. 28/2010, rilasciare una nuova autorizzazione al trattamento dei dati sensibili;
Visto l’art. 27 del Codice, che consente il trattamento di dati giudiziari da parte di privati o di enti pubblici economici, soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le finalità di rilevante interesse pubblico del trattamento, i tipi di dati trattati e le operazioni eseguibili;
Vista l’autorizzazione generale n. 7/2009 al trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di soggetti pubblici rilasciata "a chiunque, per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi […]" (punto 2) lett. a), e, quindi, applicabile anche al trattamento di dati a carattere giudiziario indispensabili nell’ambito dell’attività di mediazione di cui al d.lg. n. 28/2010;
Considerato opportuno che anche tale nuova autorizzazione sia provvisoria e a tempo determinato, ai sensi dell’art. 41, comma 5, del Codice; ritenuto congruo, in particolare, statuirne l’efficacia, nella fase di prima applicazione della disciplina normativa di cui al menzionato d.lg. n. 28/2010, fino al 30 giugno 2012, ciò in quanto entro tale periodo di tempo dovrebbero essere ultimati gli adempimenti necessari per dare attuazione all’art. 16 del d.lg. n. 28/2010 secondo i criteri indicati dall’art. 4 del d.m. n. 180/2010 con conseguente completamento del quadro normativo di riferimento;
Considerata la necessità di garantire il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, e in particolare, per il diritto alla protezione dei dati personali sancito dall’art. 1 del Codice;
Visto l’art. 167 del Codice;
Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della disciplina rilevante in materia di trattamento di dati personali non possono essere utilizzati;
Visti gli articoli 31 e seguenti del Codice e il disciplinare tecnico di cui all’Allegato B) al medesimo Codice, recanti norme e regole sulle misure di sicurezza;
Visto l’art. 41 del Codice;
Visti gli articoli 42 e seguenti del Codice in materia di trasferimento di dati personali all'estero;
Visti gli atti d’ufficio;
Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
Relatore il prof. Francesco Pizzetti;
Autorizza
1) Soggetti ai quali è rilasciata l’autorizzazione.
Sono autorizzati, anche senza richiesta, a trattare i dati sensibili di cui all’art. 4, comma 1, lett. d), del Codice, secondo le prescrizioni di seguito indicate gli organismi di mediazione privati di cui all’art. 1, comma 1, del d.lg. 4 marzo 2010, n. 28 e successive modificazioni e integrazioni.
2) Finalità del trattamento.
Il trattamento dei dati sensibili può essere effettuato ai soli fini dell’espletamento di un’attività che rientri tra quelle che i soggetti indicati al punto 1) possono svolgere ai sensi del d.lg. n. 28/2010 e successive modifiche ed integrazioni e, in particolare, per assistere due o più soggetti sia nella ricerca di un accordo amichevole per la composizione di una controversia, sia, ove tale accordo non venga raggiunto, nella formulazione di una proposta per la risoluzione della stessa. Qualora i dati siano idonei a rivelare lo stato di salute e la vita sessuale, il diritto da far valere o difendere deve essere di rango pari a quello dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile.
3) Interessati ai quali i dati si riferiscono.
Il trattamento può riguardare i soli dati sensibili attinenti ai soggetti coinvolti nella controversia oggetto di conciliazione.
I dati sensibili relativi ai terzi possono essere trattati ove ciò sia strettamente indispensabile per l’attività di mediazione.
4) Categorie di dati e operazioni di trattamento.
Il trattamento può riguardare i soli dati e le sole operazioni che risultino indispensabili, pertinenti e non eccedenti in relazione alla specifica controversia oggetto di mediazione e rispetto ad attività che non possano essere svolte mediante il trattamento di dati anonimi o di dati personali di natura diversa.
Il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale deve essere effettuato anche nel rispetto della citata autorizzazione generale n. 2/2009.
5) Comunicazione dei dati.
I dati sensibili possono essere comunicati, laddove indispensabile, alle parti nel procedimento di mediazione finalizzata alla conciliazione delle controversie civili e commerciali, nei limiti strettamente pertinenti all’espletamento dello specifico incarico di mediazione conferito e nel rispetto del d.lg. n. 28/2010.
I dati sensibili non possono essere diffusi.
6) Conservazione dei dati.
Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e), del Codice, i dati sensibili possono essere conservati, per il periodo di tempo previsto dalla normativa comunitaria, da leggi, o da regolamenti e, comunque, per un periodo non superiore a quello strettamente necessario per la gestione dell’attività di mediazione.
A tal fine, anche mediante controlli periodici, deve essere verificata la stretta pertinenza, non eccedenza e indispensabilità dei dati rispetto agli incarichi in corso, da instaurare o cessati, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non indispensabili non possono essere utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto o del documento che li contiene. Specifica attenzione è prestata per l’indispensabilità dei dati riferiti a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni e gli adempimenti.
7) Richieste di autorizzazione.
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento che si intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che, ai sensi dell’art. 41 del Codice, il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
8) Norme finali.
Restano fermi gli obblighi previsti da norme di legge o di regolamento o dalla normativa comunitaria che stabiliscono divieti o limiti più restrittivi in materia di trattamento di dati personali.
Restano fermi, altresì, gli obblighi di legge che vietano la rivelazione senza giusta causa e l’impiego a proprio o altrui profitto delle notizie coperte dal segreto professionale, nonché gli obblighi deontologici o di buona condotta relativi alle singole figure professionali.
9) Efficacia temporale.
La presente autorizzazione ha efficacia fino al 30 giugno 2012, salve eventuali modifiche che il Garante ritenga di dover apportare in conseguenza di eventuali novità normative rilevanti in materia.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 21 aprile 2011
IL PRESIDENTE
Pizzetti
IL RELATORE
Pizzetti
IL SEGRETARIO GENERALE
De Paoli
AVVISO. Il testo riportato non riveste carattere di ufficialità.
