La 2^ parte della relazione del Rag. Pietro Canta al convegno di Padova: La disciplina della privacy alla luce della proroga al 31 marzo 2006 disposta quasi esclusivamente per il DPS.

Il 1° gennaio 2004 è entrato in vigore il nuovo Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196, in G.U. 29 luglio 2003, n. 174, suppl. ord. N. 123) che vincola anche le nostre società ed associazioni sportive (oltre che il CONI, le FSN, gli EPS e tutto il comparto del terzo settore in genere) a trattare i dati personali nel rispetto della legge.

Il D.Lgs. n. 196/2003 sostituisce la famosa legge n. 675/96 e le successive disposizioni susseguitesi nel corso di sette anni, mantenendo, però, e migliorando l’impianto di garanzie della legge n. 675/96 (viene abrogato, tra l’altro, anche il D.P.R. n. 318/99 che per la prima volta aveva fissato le MISURE MINIME DI SICUREZZA.

Già all’articolo 1 del nuovo codice (articolo di nuova introduzione) viene disciplinato il “DIRITTO ALLA PROTEZIONE DEI DATI PERSONALI”, diritto fondamentale della persona, AUTONOMO rispetto al più generale DIRITTO ALLA RISERVATEZZA.

Il successivo articolo 4 definisce poi il TRATTAMENTO: qualunque operazione o complesso di operazioni, effettuati anche SENZA l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la CONSULTAZIONE, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei dati, ANCHE SE NON REGISTRATI IN UNA BANCA DATI.

Pertanto l’Associazione già al momento dell’ACQUISIZIONE DI UN DATO PERSONALE è tenuta al TRATTAMENTO “INTERNO” delle informazioni pervenute (prima ancora di decidere se tali informazioni vengono conservate in formato cartaceo o successivamente inserite su di un computer ovvero se vengono utilizzati nei rapporti con l’esterno).

Mentre la RACCOLTA GENERICA DI INFORMAZIONI non fa sorgere alcun obbligo, la raccolta di DATI PERSONALI in senso stretto richiede l’assolvimento di obblighi previsti dalla legge.

Attenzione che nel mese di febbraio 2002 il Garante per la privacy ha emesso le prime multe nei confronti di GESTORI DI CIRCOLI PRIVATI che non hanno rispettato la legge sulla privacy.
Nella fattispecie, alcuni poliziotti o carabinieri si sono recati in circoli privati (lo stesso poteva accadere alle nostre associazioni sportive), sotto mentite spoglie, CHIEDENDO DI ESSERE ISCRITTI.
Al momento dell’ISCRIZIONE QUALE SOCIO/ASSOCIATO DELL’ASSOCIAZIONE, l’articolo 13 del Codice Privacy (ex art. 10 legge 675/96) obbliga i gestori dei circoli (titolari del trattamento) a informare (INFORMATIVA) l’interessato sull’utilizzo dei dati personali rilasciati al momento dell’iscrizione.
La sanzione applicata è stata di 258 euro (ora sarebbe ben più elevata), in quanto a nulla è valsa la difesa dei responsabili sulla genericità dei dati (all’epoca l’art. 3 legge 675/96 disciplinava i “trattamenti di carattere esclusivamente personale”, esonerandoli da quasi tutti gli adempimenti.

Uno dei principi cardini per capire la volontà del legislatore in tema di Codice privacy è il PRINCIPIO DI NECESSITA’, vale a dire che nel TRATTAMENTO DEI DATI PERSONALI E DI DATI INDENTIFICATIVI non possono essere utilizzati dati eccedenti e di pertinenza, salvo l’espresso consenso del titolare.

Nel caso specifico delle associazioni sportive, il titolare del trattamento deve limitarsi a chiedere i dati essenziali (ad. Esempio quelli strettamente necessari per l’affiliazione del tesserato alla FSN prescelta, per l’aggiornamento del libro soci/associati, ecc.). Infatti l’art. 3 del Codice privacy stabilisce: “i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, DATI ANONIMI od OPPORTUNE MODALITA’ che permettano di identificare l’interessato SOLO IN CASO DI NECESSITA’.

Si consiglia pertanto di limitarsi a richiedere i dati strettamente strumentali all’attività sportiva, in quanto ulteriori richieste possono presupporne l’utilizzo a fini esterni (l’informativa può essere anche verbale e non potrà di fatto essere contestata la richiesta della data di nascita, dell’esercente la patria parentale, dell’indirizzo, dati senza i quali non è possibile tesserare l’atleta alla federazione, predisporre la connessa polizza assicurativa per l’atleta, l’atleta non può essere iscritto a referto e partecipare alle gare ufficiali, non può svolgere attività agonistica, ecc.).

Diverso il caso in cui venga richiesto, oltre al numero di scarpe e di taglia (lecito per ordinare l’abbigliamento sportivo: l’informativa può essere richiesta verbalmente, spiegandone il fine), le proprie abitudini, la musica preferita, la squadra del cuore, ecc., che esulano dallo scopo primario.

LA RACCOLTA E LA REGISTRAZIONE DEI DATI

I dati personali oggetto di trattamento sono registrati e raccolti per SCOPI DETERMINATI (si vieta la raccolta di dati come attività in sé, senza che essa abbia uno scopo concreto), ESPLICITI (si deve informare il soggetto interessato che si sta effettuando tale attività, chiarendo inoltre per quali scopo lo si sta facendo) e LEGITTIMI (si richiamano i concetti in termini di LICEITA’ DEL TRATTAMENTO (non contrario a quanto previsto dal nostro ordinamento – disposizioni civilistiche, quali; le norme imperative, l’ordine pubblico, il buon costume).

IL DIRITTO DI ACCESSO AI DATI PERSONALI

L’interessato ha diritto di ottenere la CONFERMA DELL’ESISTENZA O MENO di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.
Ha DIRITTO DI OTTENERE l’indicazione:
a) dell’ORIGINE dei dati personali;
b) delle finalità e modalità di trattamento;
c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici;
d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell’articolo 5, comma 2;
e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza.

DIRITTI CHE PUO’ ESERCITARE L’INTERESSATO:
– diritto di conoscere i dati in possesso dell’associazione;
– diritto di certificare e di controllare/modificare, aggiornare, rettificare i dati, se INESATTI;
– diritto di resistere ed OPPORSI AL TRATTAMENTO, in tutto o in parte;
– LA TRASFORMAZIONE IN FORMA ANOMIMA DEI DATI;
– LA CANCELLAZIONE DEI DATI;
– IL BLOCCO DEI DATI.

I dati possono essere altresì CONSERVATI in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

I DATI PERSONALI trattati in VIOLAZIONE della disciplina rilevante in materia di trattamento dei dati personali NON POSSONO ESSERE UTILIZZATI.

IL TRATTAMENTO DEI DATI

Le REGOLE GENERALI DEL TRATTAMENTO DEI DATI sono fissate dagli articoli da 11 a 17 del codice privacy, mentre per PRIVATI ED ENTI PUBBLICI ECONOMICI (tra questi anche le ASSOCIAZIONI) esistono regole ulteriori disciplinate dagli artt. da 23 a 27).

L’INFORMATIVA (art. 13 – codice privacy)

L’informativa è il primo e più generalizzato adempimento, imposto a tutti i soggetti che TRATTANO DATI PERSONALI.

Corre l’obbligo di INFORMARE il soggetto interessato che si raccolgono e trattano dati sul suo conto.

Nel sistema privacy, L’INFORMATIVA E’ UN ADEMPIMENTO PROPEDUETICO A TUTTE LE OPERAZIONI DI TRATTAMENTO dei dati personali del soggetto interessato, che si intende porre in essere.

L’INFORMATIVA deve essere RESA ALL’INTERESSATO:
– sia nel caso in cui si intenda RACCOGLIERE dallo stesso alcuni dei suoi dati personali:
– sia nel caso in cui, avendo già a disposizione i dati dell’interessato, SI INTENDA EFFETTUARE UNA DIVERSA operazione di trattamento;
– è sufficiente rendere l’informativa all’interessato UNA SOLA VOLTA, ed in base ad essa effettuare tutti i trattamenti che si sono prospettati, A MENO CHE non vari un elemento essenziale della stessa.

FINALITA’ DEL TRATTAMENTO

E’ importante che il soggetto interessato SAPPIA ESATTAMENTE PERCHE’ il titolare intende trattare i suoi dati.

LA NATURA DELLA RACCOLTA

Nell’informativa si deve CHIARAMENTE SPECIFICARE se il conferimento dei dati sia obbligatorio o facoltativo.

COMUNICAZIONE E DIFFUSIONE DEI DATI

Si deve chiarire quali siano i soggetti, o le categorie di soggetti, ai quali i dati possono essere comunicati e l’ambito di diffusione dei dati.

L’INFORMATIVA NON PUO’ ESSERE GENERICA, ma deve contenere una precisa individuazione, quanto meno, delle categorie dei soggetti ai quali i dati sono destinati.

SANZIONI (art. 161 – Omessa o inidonea informativa all’interessato)

L’omessa o inidonea informativa è punita con la sanzione amministrativa da 3000 a 18000 euro nel caso di dati personali da 5000 a 30000 euro per dati sensibili e giudiziari.

ULTERIORI REGOLE PER LE ASSOCIAZIONI (privati ed enti pubblici economici)

per i DATI di natura COMUNE (articoli da 24 a 25) è necessario OTTENERE IL CONSENSO, fatte salve NUMEROSE ECCEZIONI.

per i DATI SENSIBILI, oltre a quanto previsto per i dati comuni, è in generale necessario ottenere l’autorizzazione del GARANTE, salvo poche eccezioni.

L’art. 23 del nuovo codice privacy (CONSENSO) prevede che il trattamento dei dati personali da parte delle associazioni è ammesso solo con il CONSENSO ESPRESSO DELL’INTERESSATO. Il consenso può riguardare l’intero trattamento ovvero una o più operazioni dello stesso.

Il consenso è validamente prestato solo se è ESPRESSO LIBERAMENTE E SPECIFICAMENTE IN RIFERIMENTO AD UN TRATTAMENTO CHIARAMENTE INDIVIDUATO, se è documentato per iscritto (è sufficiente anche una dichiarazione scritta del titolare del trattamento), e se sono state rese all’interessato le informazioni di cui all’articolo 13.

Il consenso è MANIFESTATO IN FORMA SCITTA quando il trattamento riguarda DATI SENSIBILI.

Il consenso deve essere ESPRESSO (quindi non è ammesso il consenso implicito), LIBERO (acquisito senza errore, violenza o dolo) e SPECIFICO (deve riferirsi ad un preciso genere di trattamento), NON GENERICO (chiaramente individuato).

Il CONSENSO NON E’ RICHIESTO, quando il trattamento:
a) è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) è necessario per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto,a specifiche richieste dell’interessato;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;
d) riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale ed industriale.
e) con esclusione della diffusione, è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000 n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale.

DEFINIZIONE RUOLI, COMPITI E PROCEDURE

Nell’ambito del TRATTAMENTO DEI DATI, la norma prevede le seguenti figure (struttura gerarchica di controllo):

IL TITOLARE (articolo 28);

IL RESPONSABILE (articolo 29);

L’INCARICATO (articolo 30).

Ai fini del codice privacy, si intende per TITOLARE colui al quale competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.
TITOLARE DEL TRATTAMENTO è invece l’entità nel suo complesso o l’unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulla finalità e le modalità del trattamento.

Il RESPONSABILE è colui che è PREPOSTO DAL TITOLARE al trattamento di dati personali.

L’articolo 29 sul RESPONSABILE DEL TRATTAMENTO, al comma 4, impone che i compiti affidati al RESPONSABILE sono analiticamente SPECIFICATI PER ISCRITTO dal titolare.

Deve possedere:
ESPERIENZA in ambito organizzativo e direttivo;
COMPETENZA tecnica, legale in tema di Privacy;
AFFIDABILITA’.

Si devono chiaramente SPECIFICARE LE ISTRUZIONI GENERALI, impartite dal titolare e descrivere analitamente i compiti che al responsabile vengono affidati (comprese le misure di sicurezza da applicare).

Le operazioni di trattamento possono essere effettuate anche da INCARICATI che operano sotto la diretta autorità del TITOLARE o dal RESPONSABILE del trattamento. Queste le modalità dell’incarico:

a) DESIGNAZIONE PER ISCRITTO del singolo incaricato;
b) DOCUMENTATA preposizione di una persona ad una unità.

ELABORAZIONE CON STRUMENTI ELETTRONICI – mansionario privacy

Tra gli incaricati:
IL PREPOSTO ALLA CUSTODIA DELLE PAROLE CHIAVE (passwords)

Il soggetto incaricato alla MANUTENZIONE DEL SISTEMA ed il CUSTODE DELL’ARCHIVIO ad accesso controllato: questo il caso dei DATI SENSIBILI O A CARATTERE GIUDIZIARIO, per i quali è previsto che uno o più incaricati controllino l’accesso agli stessi e tengano il registro delle persone che vi accedono, DOPO L’ORARIO DI CHIUSURA.

SICUREZZA DEI DATI E DEI SISTEMI

Le misure, da adottare in via preventiva, devono RIDURRE AL MINIMO i rischi di:
DISTRUZIONE O PERDITA, anche accidentale, dei dati;
ACCESSO NON AUTORIZZATO ai dati;
TRATTAMENTO NON CONSENTITO o non conforme alla finalità della raccolta;

Art. 33 – MISURE MINIME DI SICUREZZA

I titolari del trattamento sono comunque tenuti ad adottare le MISURE MINIME volte ad assicurare un LIVELLO MINIMO di protezione dei dati personali.

Per quanto concerne i TRATTAMENTI EFFETTUATI CON MEZZI ELETTRONICI, il DPR 318/99 distingueva quelli NON in rete da quelli accessibili da altri terminali o da una rete esterna (internet), mentre il nuovo codice perde qualunque rilievo tale distinzione.

Per l’utilizzo di TUTTI GLI ELABORATORI, viene imposta l’ADOZIONE DELLE MISURE DI SICUREZZA PIU’ SEVERE.

TRATTAMENTI EFFETTUATI CON MEZZI ELETTRONICI – misure minime (art. 34):

a) autenticazione informatica (verifica dell’identità);
b) adozione di procedure di gestione delle credenziali di autenticazione (codice per l’identificazione dell’incaricato (userID) associato ad una parola chiave (password) conosciuta solamente dal medesimo;
c) o tesserino magnetico (smart card) o impronte digitali;

non è possibile assegnare la MEDESIMA CHIAVE (credenziale) a DUE O PIU’ INCARICATI.

La password DEVE ESSERE COMPOSTA DA ALMENO 8 CARATTERI e non deve contenere riferimenti agevolmente riconducibili all’interessato (es. nome o cognome ecc.). Al momento dell’attribuzione la PAROLA CHIAVE deve essere IMMEDIATAMENTE SOSTITUITA (non appena la riceve per la 1^ volta).

OGNI 6 MESI deve essere sostituita (ogni 3 mesi in caso di trattamento di dati sensibili o giudiziari).

La USERNAME deve essere UNIVOCA e MAI assegnata ad altri (neanche in futuro). Il computer non deve rimanere incustodito per PIU’ DI 5 MINUTI (screensaver).

Occorre poi:
– PROTEGGERE gli STRUMENTI ELETTRONICI ED I DATI rispetto a trattamenti illeciti di dati, ad ACCESSI NON CONSENTITI, ecc.
– ADOTTARE procedure per la custodia delle COPIE DI SICUREZZA;
– ANTIVIRUS COSTANTEMENTE AGGIORNATO (specie se con accesso internet), FIREWALL e CRIPTAZIONE;

TRALASCIAMO LE PROBLEMATICHE PER DATI SENSIBILI E GIUDIZIARI.

La mancata adozione delle MISURE MINIME DI SICUREZZA costituisce REATO, con la previsione della pena dell’arresto fino a 2 anni o ammenda da 10000 a 50000 euro.

Art. 34 comma 1 lett. g del codice privacy – regola 19 allegato b:
L’OBBLIGO DI REDIGERE IL D.P.S. (documento programmatico sulla Sicurezza) viene generalizzato a tutti i casi in cui si trattino DATI SENSIBILI O GIUDIZIARI con l’utilizzo DI STRUMENTI ELETTRONICI, anche nell’ipotesi in cui tali strumenti non siano in rete.

SONO DATI SENSIBILI, i dati personali idonei a rilevare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idoneii a rilevare lo stato di salute e la vita sessuale.