Diritti interna

Doveri interna

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

2.2 Informativa all'interessato e consenso - Relazione 1998 - 12 aprile 1999

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
1337458
Data:
12/04/99
Tipologia:
Relazione annuale

Indice

Relazione annuale 1998

2. Temi di maggior rilievo nell´attività del Garante

2.2 Informativa all´interessato e consenso

2.2.1 Complessità dei vecchi moduli e semplificazioni
L´informativa e il consenso costituiscono due aspetti fondamentali della nuova disciplina prevista dalla direttiva 95/46/CE e dalla l. n. 675/1996 per il trattamentodei dati personali, essendo espressione diretta dei principi di correttezza e di liceità nella raccolta e nell´utilizzazione delle informazioni.

Tali adempimenti, che per il settore pubblico riguardano soltanto l´informativa, sono anche quelli che hanno coinvolto maggiormente, e in modo più immediato, gli operatori di ogni settore, poiche¨incidono nelle attività quotidiane (professionali, commerciali o istituzionali) e nei normali rapporti che intercorrono, in particolare, con gli utenti, i clienti e i dipendenti.

Nella fase di prima applicazione della legge sono emersi diversi problemi in ordine alla corretta esecuzione degli obblighi in materia di informativa e di richiesta del consenso agli interessati. Nel primo anno di attività il Garante è intervenuto più volte per garantire il pieno rispetto delle disposizioni vigenti, fornendo anche alcuni criteri generali in modo da rendere più semplici e comprensibili gli appositi modelli predisposti, ad esempio, da banche, da compagnie di assicurazione e da altre società  (v., in particolare, la Relazione per l´anno 1997, cap. 4.4, pag. 72 e ss.).

Nel 1998 è continuata questa attività di collaborazione per assicurare sostanziali e adeguate garanzie a tutela dei diritti degli interessati e, allo stesso tempo, di chiarimento degli adempimenti connessi alla raccolta e al trattamento delle informazioni personali, anche sulla base di una campagna di informazione dei cittadini e di impulso attraverso comunicati stampa, gruppi di lavoro, seminari e conferenze, assistenza telefonica, ecc., affinchèle imprese adottino forme semplificate di informazione degli interessati.

Gli inconvenienti e le difficoltà che sia le organizzazioni imprenditoriali, sia i cittadini hanno incontrato nell´attuazione di questi adempimenti sono quelli che hanno accompagnato nei vari Paesi la fase d´avvio della disciplina sulla protezione dei dati personali. Questa disciplina introduce, infatti, un sistema avanzato di tutela delle persone, che richiede però una partecipazione attiva e un grado maggiore di consapevolezza da parte dei soggetti interessati.

Era pertanto del tutto fisiologico che, in questa prima fase, le cospicue novità introdotte dalla l. n. 675/1996 determinassero un certo disagio che ha portato anche alcuni cittadini a considerare come un fastidio quello che costituisce, invece, uno strumento assai utile in chiave di trasparenza e di tutela dei diritti della propria personalità .

Si deve tuttavia rilevare che, al di là del fenomeno fisiologico, gli stessi operatori che gestiscono dati personali, limitandosi ad adottare modelli di informativa che non fornivano reali chiarimenti sulle modalità e sulle finalità del trattamento, hanno alimentato vari dubbi negli interessati, inducendoli talvolta in errore e, comunque, non ponendoli in condizione di fornire una pronta manifestazione del consenso.

Nel 1998 questa Autorità ha svolto un´attività di verifica sul pieno rispetto dei principi già affermati in precedenti provvedimenti, soprattutto per quanto riguarda il settore creditizio e finanziario, sulla base sia di un´apposita indagine conoscitiva svolta richiedendo informazioni e modelli a numerosi istituti di credito, sia dell´attivazione di specifici gruppi consultivi con le principali istituzioni e società bancarie.

In sintesi si è appurato che, a seguito delle indicazioni generali fornite dal Garante, i cui contenuti sono stati ampiamente riportati sulla stampa, varie società operanti specie nel settore bancario hanno riformulato i modelli già distribuiti ai propri clienti, inviandoli nuovamente alla clientela.

La nuova modulistica distribuita dalle banche, per quanto ancora complessa e non facilmente comprensibile per il cittadino, è apparsa in linea generale conforme ai principi evidenziati dal Garante, prevedendo essa, di regola, la possibilità per la clientela di esprimere un distinto consenso "informato" nei riguardi dei trattamenti non strettamente connessi ai servizi richiesti contrattualmente (in riferimento, ad esempio, all´invio di materiale pubblicitario e, in genere, all´offerta di prodotti e servizi anche di società terze), senza che ciò abbia riflessi sul contratto medesimo.

Tuttavia, molti clienti non hanno ancora fornito un riscontro ai modelli inviati dalle banche e dalle altre società operanti nel settore e si è creato, pertanto, il problema della mancanza del consenso. Problema che è stato in parte superato con la soluzione del tutto temporanea già prospettata dal Garante, per cui, nell´attesa del rilascio della dichiarazione relativa al consenso, la richiesta di una prestazione da parte del cliente (es.: l´emissione di un assegno) è stata considerata come una manifestazione di volontà equiparabile al consenso per le operazioni di trattamento connesse a quella prestazione, sia pure in via del tutto provvisoria.

Pertanto, vi è la necessità che la clientela rimasta inerte sia nuovamente stimolata a esprimere il proprio consenso. Il Garante ha preso atto di alcune iniziative in corso nel settore bancario volte a richiamare l´attenzione della clientela con messaggi inviati, ad esempio, a margine degli estratti conto.

Al tempo stesso, il Garante ha avviato una autonoma riflessione e si è impegnato a suggerire schemi di modelli che, pur mantenendo ferme le sostanziali garanzie a tutela dei diritti degli interessati, siano più semplici e meglio comprensibili, in modo da permettere ai clienti di fornire più agevolmente un rapido riscontro alle richieste di consenso formulate dalle società bancarie (v. al riguardo, cap. 2.10).

Una prima bozza di informativa semplificata è stata sottoposta nel febbraio del 1999 alla attenzione del pubblico e degli operatori del settore anche attraverso la sua pubblicazione su alcuni quotidiani. Sono pervenute alcune proposte e osservazioni che il Garante ha considerato in tempi brevi suggerendo, così , uno schema di informativa standard.

  

222 Chiarezza delle informative ed esoneri
Come è noto, l´informativa rappresenta una delle condizioni per la validità del consenso e consiste nell´indicazione, alla persona cui si riferiscono i dati, degli elementi principali del loro trattamento da parte di colui che li raccoglie (finalità e logiche perseguite, ambito di divulgazione dei dati all´esterno, possibilità dell´esercizio di specifici diritti di accesso, ecc.).

Secondo l´orientamento ribadito da questa Autorità nel corso del 1998 in relazione a diversi settori, l´informativa:

  • può essere fornita agli interessati, oralmente o per iscritto, una tantum da ogni soggetto, pubblico e privato, che acquisisca e gestisca dati personali, dovendo essere rinnovata solo quando cambi una delle informazioni essenziali previste dall´art. 10 della l. n. 675/1996;
  • deve essere distinta sul piano concettuale, anche se può essere fornita contestualmente per entrambi i casi, a seconda che la raccolta dei dati avvenga presso la persona cui questi si riferiscono, oppure presso terzi (in tale ultima ipotesi l´informativa va comunicata all´interessato al momento della registrazione dei dati o della loro prima comunicazione ai terzi - art. 10, comma 3);
  • può anche essere in parte orale e in parte scritta, o fornita attraverso l´affissione del documento in spazi utilizzati per una efficace informazione al pubblico.

In particolare, il Garante ha segnalato alle pubbliche amministrazioni (ministeri, regioni, comuni, università e altri organismi) che appaiono ancora in notevole ritardo rispetto a tale adempimento, la necessità di dare attuazione agli obblighi di informativa nella raccolta dei dati personali, suggerendo peraltro modalità semplificate di informazione ai cittadini soprattutto quando il trattamento sia effettuato in base a obblighi di legge o di regolamento (ad esempio, attraverso modelli esplicativi in forma sintetica, da consegnare direttamente agli interessati ed eventualmente da affiggere anche negli uffici o presso gli appositi sportelli adibiti ai rapporti con il pubblico).

Tuttavia sono state riscontrate ancora diverse carenze in tema di informativa, in ambito sia pubblico sia privato. Fra le più ricorrenti si segnalano la mancanza di chiarezza sulla natura obbligatoria o facoltativa del conferimento dei dati, l´insufficiente delimitazione dell´ambito di comunicazione e di diffusione e l´assenza di spiegazioni in ordine ai principali criteri e metodologie di elaborazione.

Più in generale, questa Autorità ha rilevato che i primi modelli distribuiti da soggetti operanti nei vari campi sono risultati spesso del tutto "tautologici" e generici, essendosi determinata una preferenza per formulazioni troppo ampie e al tempo stesso complesse, che hanno sortito l´effetto di confondere o, peggio, di insospettire l´interessato, al punto di ostacolare una manifestazione di volontà , quale che essa fosse. Dovrebbero ora essere realizzate informative semplici nel linguaggio e nel contenuto, specifiche e da collegare in modo più immediato al servizio o alla prestazione richiesta dal cittadino (utente-cliente). Di qui anche l´impegno dell´Autorità a formulare schemi esemplificativi per agevolare la corretta esecuzione di questo obbligo, su cui si riferirà meglio nell´ultima parte del presente paragrafo.

Specie a seguito della recente emanazione del regolamento governativo sull´organizzazione e il funzionamento del Garante (d.P.R. 31 marzo 1998, n. 501, in G.U. n. 25 del 1‚ febbraio 1999), sarà peraltro necessario, per i casi di sostanziale violazione dell´obbligo di informativa, provvedere all´applicazione delle sanzioni amministrative pecuniarie di cui all´art. 39 della l. n. 675/1996.

Nel corso dei primi due anni di applicazione della legge sono pervenute inoltre numerose istanze con le quali diversi soggetti hanno chiesto di essere esonerati dall´obbligo di fornire l´informativa agli interessati, così come previsto dall´art. 10, comma 4, in caso di raccolta di dati presso terzi. Larga parte di queste richieste - riguardanti i dati raccolti dai clienti, dai fornitori, dai dipendenti, ecc. ai fini della tenuta della contabilità e dell´adempimento di obblighi fiscali e retributivi, i trattamenti svolti nel settore pubblico, i curricula vitae inviati spontaneamente alle aziende o i dati degli abbonati a quotidiani e periodici - non sono state accolte, in quanto formulate in modo del tutto generico o prive di adeguata motivazione, oppure sono state giudicate inammissibili, perche¨non soddisfacevano i parametri individuati dall´art. 10, comma 4, della l. n. 675/1996 o erano riconducibili a ipotesi di trattamento per le quali la legge stessa non obbliga a informare gli interessati.

Al riguardo, l´Autorità ha ritenuto però necessario fornire alcune indicazioni di carattere generale in modo da chiarire l´esatto ambito applicativo delle disposizioni sull´informativa. In sintesi il Garante ha ricordato che:

  • l´informativa relativa ai dati raccolti presso terzi non deve essere fornita quando i dati siano utilizzati per adempiere a obblighi normativi o per lo svolgimento di investigazioni difensive penali, ovvero per la difesa di un diritto in sede giudiziaria;
  • la richiesta di esonero dall´informativa può trovare accoglimento da parte del Garante, in via eccezionale (nel caso in cui l´informativa stessa comporti un impiego di mezzi manifestamente sproporzionati o si riveli impossibile: v. citato art. 10, comma 4), relativamente, sempre, ai soli dati raccolti presso terzi;
  • a sostegno delle richieste di esonero devono essere addotte comprovate motivazioni e concreti elementi di riscontro, con particolare riferimento alla speciale natura delle finalità perseguite o dei dati trattati, alle complesse modalità di realizzazione dell´adempimento, all´ingente numero degli interessati, alle attività necessarie per rintracciarli, alla data di raccolta delle informazioni o alla particolare onerosità dei costi da sostenere.

A tale proposito l´Autorità ha altresì prospettato, ai fini dell´eventuale riconoscimento dell´esonero, la possibilità di valutare, in circostanze particolari, modalità  di informazione sostitutive di quelle rivolte caso per caso a ciascun interessato (per es., mediante avvisi pubblici o annunci periodici, specie sulla stampa nazionale o locale anche specializzata).

Una informativa analoga è stata ad esempio inserita nel codice di deontologia recentemente adottato dai giornalisti in tema di tutela dei dati personali. Accanto alle ridotte e, in alcuni casi, non obbligatorie informazioni che il singolo giornalista deve fornire all´interessato al momento della raccolta dei dati (rendendo note la propria identità , la propria professione e le finalità perseguite: v. l´art. 2 del codice), è infatti prevista una forma di informativa "pubblica" o "impersonale" per i dati personali comunque utilizzati presso le testate giornalistiche e le imprese editrici, le quali devono rendere nota al pubblico mediante annunci, almeno due volte l´anno, l´esistenza dei propri archivi (v. § 2.3.2 e 2.3.3).

  

223 Libertà e specificità del consenso
In relazione alla gestione del consenso, questa Autorità ha ribadito alcuni principi della l. n. 675/1996 applicabili a tutti i soggetti privati, chiarendo che:

  • sono del tutto inammissibili le pressioni su clienti e interessati per conseguire un loro consenso generale;
  • la formula di consenso, preceduta da una chiara e corretta informativa, deve essere precisa e ben articolata, con la previsione di specifiche opzioni per l´interessato; queste devono essere di tipo "positivo", dovendo permettere di esprimere o di negare il consenso;
  • il consenso deve essere manifestato in forma scritta solo se si tratta di dati sensibili, mentre negli altri casi è sufficiente che esso, se necessario, sia espresso "in forma specifica e documentata per iscritto" (v. art. 11, comma 3, l. n. 675/1996);ad esempio, nell´ipotesi di collegamento telefonico, attraverso la documentazione da parte dell´operatore che raccoglie le informazioni.

In diversi provvedimenti, l´Autorità ha fornito inoltre chiarimenti per ciò che attiene ai casi di esclusione del consenso, con particolare riferimento all´adempimento di obblighi normativi e ai dati riguardanti lo svolgimento di attività economiche da parte dell´interessato. Il Garante ha ritenuto che in quest´ultima espressione rientrino anche gli aspetti economici dell´attività svolta da imprenditori individuali o da liberi professionisti, ma ha escluso che la stessa espressione possa essere interpretata fino al punto di ricomprendervi ogni informazione personale a sfondo economico, anche quando, ad esempio, il dato riguardi attività puramente personali o familiari di una persona.

Questo approccio è stato da ultimo ribadito in un parere reso all´Autorità garante della concorrenza e del mercato il 16 febbraio 1999, ove si è ricordato che:

a) la predetta interpretazione risulta indirettamente confermata dalla lettura delle disposizioni di precedenti testi legislativi relativi ad altre materie, nei quali l´espressione "attività economiche" viene utilizzata con specifico riferimento ad attività produttive, industriali, commerciali o comunque concernenti la produzione di beni o di servizi, anche nel terziario, da considerarsi in modo del tutto distinto rispetto ad altri aspetti e attività delle persone;

b) una interpretazione dell´espressione "dati relativi allo svolgimento di attività economiche" fuori della ratio legis porterebbe a uno svuotamento della disciplina in materia di dati personali o ad un significativo aggiramento di molte sue disposizioni.

Un riferimento al dato economico tout court finirebbe, tra l´altro, per avvalorare la tesi erronea secondo cui qualsiasi informazione utilizzata dal titolare nello svolgimento della propria attività economica può essere ricondotta nella menzionata esimente dal consenso.

È stata altresì ulteriormente precisata la differente disciplina in tema di consenso tra i soggetti privati e quelli pubblici, i quali ultimi non operano, come si è detto, in base al consenso degli interessati, bensì secondo le proprie funzioni istituzionali e le norme di riferimento (v. § 2.1.1 e 2.1.4).

Parimenti rilevanti sul predetto tema (e su quello dell´informativa) sono apparse le indicazioni fornite da questa Autorità in materia di dati sensibili e sanitari, in riferimento a strutture sanitarie, medici, enti previdenziali e assistenziali, ecc. (v. capp. 2.6 e 2.7), nonche¨i chiarimenti concernenti il settore del lavoro e, da ultimo, l´attuazione dei menzionati adempimenti nel mercato del lavoro temporaneo e interinale.

Infine, un problema rilevante in ambito finanziario, come in quello assicurativo, si è posto per quanto riguarda l´espressione del consenso nei confronti del "circuito" o della "catena" di ulteriori soggetti che possono venire a conoscenza dei dati e svolgere determinati trattamenti puramente strumentali e temporanei rispetto a quello dell´originario titolare. Al riguardo, stante l´opportunità di evitare l´eccessivo moltiplicarsi di informative e di consensi, andrebbe ricercata una soluzione che permetta a un titolare del trattamento, all´inizio del rapporto con l´interessato, di acquisire una tantum il consenso anche per conto di alcuni altri titolari di trattamenti strettamente connessi e funzionali ai servizi e alle prestazioni richieste dagli interessati, mediante un´indicazione precisa delle relative categorie e il rinvio a un elenco puntuale costantemente aggiornato e prontamente accessibile con facilità dal pubblico, ad esempio mediante un sito Web, un numero verde o una missiva inviata immediatamente a domicilio. Soggetti che, d´altra parte, devono restare distinti da quelli che svolgono stabilmente autonomi trattamenti dei dati, per i quali deve essere invece rilasciato un separato e puntuale consenso.

Nonostante sussistano simili possibilità di semplificazione, alcune associazioni di categoria di vari settori economici e produttivi ritengono che tali adempimenti siano comunque ancora gravosi e avanzano ad esempio l´ipotesi di una integrazione, in sede di decretazione delegata, dell´art. 20 della l. n. 675/1996, per avvicinarlo alle previsioni degli artt. 12 e 28 sull´esclusione del consenso per i trattamenti dei dati connessi all´esecuzione degli obblighi contrattuali.

Ove il Governo ritenga di esercitare la delega a tale proposito, andrà in ogni caso rispettata l´impostazione di fondo prescelta dal Parlamento, che ha portato a ritenere tuttora necessaria una specifica consapevolezza del contraente in ordine alla divulgazione dei suoi dati all´esterno, e che potrebbe, ad esempio, condurre a legittimare la comunicazione dei dati nei casi in cui questa sia oggetto di una precisa previsione contrattuale sottoposta alla specifica e realmente consapevole accettazione dell´interessato (sempre in quest´ultimo caso, la comunicazione dei dati presupporrebbe una particolare consapevolezza dell´interessato che potrebbe non sfociare in una distinta manifestazione del consenso).