Art. 4 - Definizioni

Relazione
Il comma 1 riguarda le definizioni "generali" già contenute nell'art. 1, comma 2, della legge n. 675/1996, alle quali sono state apportate alcune integrazioni:

•  alla lett. a), la definizione di trattamento include anche la "consultazione", in attuazione di quanto previsto dall'art. 2, par. 1, lett. b) della direttiva 95/46/CE;

•  la lett. c), contiene la definizione di "dati identificativi" già applicabile in base alla normativa previgente in materia di trattamenti per scopi statistici e di ricerca scientifica (art. 10, comma 5, d. lg. n. 281/1999);

•  le lett. d) ed e), recepiscono in forma di definizioni le nozioni di dati sensibili e di dati “giudiziari”, indicate, rispettivamente, agli articoli 22, comma 1, e 24 della legge n. 675/1996. La definizione di dati “giudiziari" è stata aggiornata tecnicamente a seguito all'adozione del testo unico in materia di casellario giudiziale e, inoltre, integrata in misura ragionevole con il riferimento alla qualità di imputato o di indagato, senza prendere in considerazione le violazioni amministrative, in attuazione di quanto previsto dalla direttiva 95/46/CE (art. 8, comma 5, il quale si riferisce ai trattamenti riguardanti "infrazioni"). Analoga operazione è stata effettuata per la definizione di "incaricati" (ricavata, in particolare, dall'art. 19 della legge n. 675/1996), con la quale si chiarisce, fra l'altro, che gli incaricati del trattamento possono essere solo persone fisiche (art. 4, comma 1, lett. h);

a cura degli specialisti di GBsoftware

Commento
L' articolo 4 può essere senza dubbio considerato uno dei più importanti, in quanto, in esso, sono contenuti i termini più utilizzati all'interno del Codice della Privacy, oramai divenuti di uso comune per gli operatori del settore.

La conoscenza delle definizioni chiave è infatti fondamentale non solo per comprendere le disposizioni legislative contenute nel Testo unico della privacy, ma anche per l'espletamento dei periodici adempimenti previsti dalla disciplina.

In una rapida spiegazione del significato dei termini più importanti contenuti all'interno della normativa in materia di privacy, pare opportuno cominciare dai termini “dato” e “trattamento dei dati”.

L'oggetto della disciplina della privacy, infatti, è rappresentato dal trattamento dei dati.

Il codice non fornisce una singola definizione di dato, ma ne individua varie tipologie, a seconda del tipo di informazione dallo stesso fornita relativamente al soggetto interessato.

In particolare, nel presente articolo è precisato il concetto di dato: personale, identificativo, sensibile, giudiziario e anonimo.

A seconda delle categorie di dato oggetto di trattamento, vi sono specifici obblighi ed adempimenti da rispettare.

Ovviamente maggiore è la delicatezza del dato trattato più elevate sono le misure di sicurezza previste.

La prima e fondamentale domanda cui rispondere è cosa la legge, e le relative interpretazioni, intendano per dati personali.

Quando si trattano gli stessi si è, infatti, soggetti alle previsioni ed agli adempimenti imposti dalla legge, mentre il trattamento di informazioni e notizie, che non sono considerati dati personali, è fuori dall'ambito di applicazione della stessa.

I l dato personale è una informazione su un soggetto , sia esso una persona fisica, una persona giuridica, un ente od una associazione: ciò porta ad escludere dalla definizione la semplice combinazione di nome, cognome, luogo e data di nascita di una persona.

Nel valutare se una determinata informazione costituisca un dato personale si deve utilizzare il massimo rigore, propendendo nell'incertezza più per la risposta affermativa, che per quella negativa. Tale fatto ha implicazioni pratiche soprattutto per quanto riguarda l'obbligo, per chi tratta dati personali, di comunicare quali essi siano al soggetto cui si riferiscono, su richiesta di quest'ultimo ( diritto di accesso , previsto dall'articolo 7 del codice).

In una decisione presa nel 1999, il Garante ha precisato che l'espressione qualunque informazione vuole evidentemente attribuire alla definizione di dato personale la massima ampiezza, comprendendo anche ogni notizia, informazione o elemento che abbia un'efficacia informativa tale, da fornire un contributo aggiuntivo di conoscenza rispetto ad un soggetto identificato od identificabile.

Per essere considerata un dato personale, l'informazione deve riferirsi ad un soggetto identificato o identificabile , sia esso una persona fisica o una persona giuridica.

Non rientrano quindi nell'applicazione della legge i dati anonimi , i quali né si riferiscono ad un dato soggetto, né permettono di risalire, neppure se associati con altri elementi, allo stesso. Più precisamente, la lettera n) della disposizione in commento, definisce anonimo “il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile” .

Il concetto di soggetto identificabile deve essere accuratamente analizzato, per applicarlo correttamente caso per caso.

Non tutti i dati sono uguali di fronte alla legge, ma la stessa garantisce una più intensa tutela a quelli che più toccano la libertà e la sfera intima delle persone.

Nell'ambito dell'intero coacervo dei dati personali, la legge ha quindi individuato le seguenti categorie di dati, alle quali sono riservate particolari forme di tutela : i dati sensibili , i dati giudiziari e i dati di natura comune, ma il cui trattamento presenta rischi specifici , di cui si occupa l'articolo 17 del codice.

Per effettuare correttamente il trattamento dei dati personali è di fondamentale importanza comprendere se essi appartengono ad una di tali categorie, ovvero se essi rientrano nei dati comuni , per trattare i quali gli oneri e le cautele imposti dalla legge sono meno stringenti.

Ai dati sensibili è garantita una più intensa tutela, in quanto toccano la sfera più intima e delicata della personalità: tali sono i dati idonei a rivelare lo stato di salute e la vita sessuale della persona e, mentre taluni di questi dati sono propri delle sole persone fisiche (es. origine razziale o etnica), altri possono riguardare anche le persone giuridiche (ci si riferisce in particolare alla adesione ad associazioni imprenditoriali e di categoria). Nel silenzio della legge, in merito, anche nei riguardi di tali soggetti si applicano le particolari forme di tutela, previste per la generalità dei dati sensibili, nonostante venga evidentemente meno ogni motivazione di evitare intenti discriminatori e persecutori.

E' di fondamentale importanza soffermarsi sul fatto che la legge considera di natura sensibile non solo determinati dati, di per sé esaustivi al fine di rivelare una informazione sensibile in merito ad una persona, ma estende la definizione anche ai dati idonei a rivelare tale informazione.

In taluni casi non esistono quindi dati di per sé sensibili o non sensibili: determinate informazioni relative ad un soggetto, se adeguatamente elaborate, possono infatti essere idonee a rivelare la sfera sensibile di una persona. In questi casi, quello che rende un dato sensibile è l'uso che il titolare del trattamento ne fa, in relazione alle concrete finalità per le quali il dato viene trattato.

Per dati giudiziari si intendono quei dati cui è garantita una particolare tutela, in quanto sono idonei a rivelare taluni provvedimenti di cui all'articolo 3, comma 1, Dpr 313/2002 o la qualità di imputato o di indagato.

Per il semplice fatto di essere a conoscenza di dati personali altrui, non si viene automaticamente assoggettati alle disposizioni del codice privacy, infatti, p er essere assoggettati alle norme della legge occorre porre in atto un trattamento dei dati così come definito dalla lettera a) della disposizione in commento.

Le operazioni di trattamento si possono idealmente suddividere in tre macro-tipologie, in funzione del fatto che il loro fine sia: il reperimento delle informazioni, il trattamento “interno” delle informazioni o l'uso delle informazioni nei rapporti con l'esterno.

È importante chiarire che non tutto ciò di cui si viene a conoscenza è considerato raccolta di dati, e rende quindi soggetti alle disposizioni della legge. Esiste cioè una fondamentale differenza tra raccolta generica di informazioni , il verificarsi della quale non fa sorgere alcun obbligo e raccolta di dati personali in senso stretto , l'attuazione della quale, invece, rende soggetti agli obblighi previsti dalla legge.

L'uso delle informazioni nei rapporti con l'esterno sono i trattamenti più delicati, in quanto è con essi che si può concretamente ledere la sfera della privacy altrui: essi vengono genericamente definiti come utilizzo , ovvero la realizzazione dello scopo per cui si è provveduto alla raccolta ed ai trattamenti interni.

Con i termini titolare, responsabile, incaricati ed interessato, vengono individuate quelle figure che, all'interno della corretta applicazione della normativa, assumono un ruolo di estremo rilievo. Al titolare spetta, per presunzione assoluta di legge, la direzione delle attività di trattamento dei dati personali. A tale soggetto competono, infatti, le decisioni strategiche di fondo su come ( modalità ) e perché ( finalità ) raccogliere e trattare i dati, nonché sull' organizzazione del trattamento e sulle risorse (strumenti) da dedicarvi , anche per garantire la sicurezza . Il titolare è una figura di massima importanza, in quanto può disporre in maniera ampia in merito al trattamento dei dati personali in termini di: 1) finalità ed obiettivi perseguiti; 2) modalità di effettuazione; 3) strumenti utilizzati; 4) misure di sicurezza. Il titolare del trattamento è tenuto al rispetto dei numerosi obblighi ed adempimenti previsti dalla legge sulla privacy. Il titolare non può sottrarsi, anche se delega taluno, o al limite tutti gli aspetti gestionali ad altri soggetti, al compito di vigilare sul fatto che le norme privacy vengano diligentemente rispettate e che le misure di sicurezza vengano attuate. Conseguentemente, è il soggetto che per primo è tenuto al risarcimento degli eventuali danni, nonché quello su cui grava in prima istanza la spada di Damocle delle ricche e variegate sanzioni penali, di cui il sistema – privacy è assai ben fornito.

L'individuazione di un responsabile del trattamento, invece, non si riferisce tanto alla possibilità di designare un soggetto, al quale il titolare possa trasferire, delegandole, le proprie responsabilità giuridiche, quanto piuttosto alla possibilità di affidare specifici incarichi di ordine organizzativo e direttivo ad un soggetto professionalmente qualificato e capace. Dal testo legislativo si evince che il responsabile non si limita ad essere il mero esecutore delle istruzioni impartitegli dal titolare, poiché le caratteristiche di esperienza, capacità tecnica, affidabilità e conoscenza della legge, poste come condizioni necessarie per la sua nomina, lo qualificano come soggetto in grado di integrare, da un punto di vista pratico e tecnico, le scelte strategiche che il titolare, non necessariamente dotato delle capacità tecniche idonee, ha intrapreso in ordine al trattamento dei dati personali. Il responsabile è tenuto al rispetto delle istruzioni impartitegli dal titolare del trattamento e delle norme in materia di privacy. Il responsabile deve procedere al trattamento attenendosi alle istruzioni assegnate dal titolare che, anche attraverso verifiche periodiche, deve vigilare sulla puntuale osservazione delle disposizioni di legge e delle istruzioni impartite. Il ruolo di responsabile può essere affidato a persone fisiche, persone giuridiche ed a qualsiasi altro ente, associazione od organismo, facenti o meno parte della organizzazione del titolare: quest'ultimo, se ritiene di farlo, può quindi nominare un proprio dipendente, un consulente esterno o una società terza. Per quanto concerne gli incaricati, invece, essi sono coloro i quali effettuano materialmente le operazioni connesse al trattamento dei dati personali, quali raccolta ed elaborazione, archiviazione e comunicazione e diffusione. La presenza dei soggetti incaricati al trattamento dei dati è necessaria per il funzionamento di una qualsiasi realtà operativa. Pur non rispondendo in maniera diretta delle violazioni, anche per tali figure vige l'obbligo di rispettare tutte le norme in materia di privacy. La designazione degli incaricati deve avvenire obbligatoriamente per iscritto ed indicare espressamente le operazioni che dagli stessi possono essere messe in atto. L'incaricato ha una assoluta mancanza di autonomia gestionale, nel lavoro di trattamento affidatogli, e, conseguentemente, nessun tipo di responsabilità penale od amministrativa, inerente la disciplina in materia di protezione dei dati, grava sull'incaricato. Le uniche responsabilità, che permangono a suo carico, sono connesse con la violazione delle clausole del contratto di servizio, attraverso il quale è stato conferito l'incarico: in altri termini, l'incaricato risponderà esclusivamente degli inadempimenti contrattuali, nella misura in cui il servizio non è conforme a quanto richiesto dal committente (in questo caso dall'azienda titolare o dal responsabile). L' interessato, nelle sue vesti di soggetto cui si riferiscono i dati personali, può assumere qualsiasi forma giuridica e viene ad esistenza dal momento in cui i relativi dati personali iniziano ad essere oggetto di trattamento. I diritti dell'interessato sono elencati nell'articolo 7, D. lgs. N. 196/2003.