Decreto legislativo 30 giugno 2003, n. 196 – Codice in materia di protezione dei dati personali
PARTE I – DISPOSIZIONI GENERALI
Titolo III – REGOLE GENERALI PER IL TRATTAMENTO DEI DATI
CAPO III – REGOLE ULTERIORI PER PRIVATI ED ENTI PUBBLICI ECONOMICI
Art. 24. Casi nei quali può essere effettuato il trattamento senza consenso
1.Il consenso non è richiesto, oltre che nei casi previsti nella Parte II, quando il trattamento:
a) è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) è necessario per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;
d) riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
e) è necessario per la salvaguardia della vita o dell’incolumità fisica di un terzo. Se la medesima finalità riguarda l’interessato e quest’ultimo non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere, il consenso è manifestato da chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l’interessato. Si applica la disposizione di cui all’articolo 82, comma 2;
f) con esclusione della diffusione, è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
g) con esclusione della diffusione, è necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, anche in riferimento all’attività di gruppi bancari e di società controllate o collegate, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell’interessato;
h) con esclusione della comunicazione all’esterno e della diffusione, è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferimento a soggetti che hanno con essi contatti regolari o ad aderenti, per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, e con modalità di utilizzo previste espressamente con determinazione resa nota agli interessati all’atto dell’informativa ai sensi dell’articolo 13;
i) è necessario, in conformità ai rispettivi codici di deontologia di cui all’allegato A), per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici presso archivi privati dichiarati di notevole interesse storico ai sensi dell’articolo 6, comma 2, del decreto legislativo 29 ottobre 1999, n. 490, di approvazione del testo unico in materia di beni culturali e ambientali o, secondo quanto previsto dai medesimi codici, presso altri archivi privati.
Relazione
Nell’art. 24 sono state riunite, in ragione della sostanziale omogeneità della disciplina, le disposizioni che autorizzano il trattamento di dati personali anche in assenza del consenso, unificando, in sostanza, i previgenti articoli 12 e 20 della legge n. 675/1996. L’art. 24 fa salve le specificità riconosciute, in alcuni casi, per la comunicazione e, soprattutto, per la diffusione dei dati (lett. c), f) e g)). La disciplina risulta ora più chiara, essendo state eliminate alcune duplicazioni ed apportate talune opportune precisazioni.
In particolare, fra l’altro:
in relazione alle lettere a) e b), è stato meglio specificato, in conformità a quanto previsto dalla direttiva europea (art. 7, par. 1, lett. c), dir. 95/46/CE), il presupposto di liceità del trattamento relativo alla sussistenza di un obbligo legale, riferita ora correttamente alla necessità di adempiere comunque ad un obbligo previsto dalla legge, e non più solo al caso di “dati raccolti e detenuti” in base al medesimo obbligo. Inoltre, in sintonia con il diritto vivente, si è chiarito che il trattamento è consentito quando è comunque necessario per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato e non solo per eseguire “misure” precontrattuali su richiesta del medesimo interessato. Quest’ultimo intervento, ripetuto in maniera speculare nell’articolo 43 (già 28 della legge n. 675/1996), in relazione al trasferimento di dati all’estero, completa l’allineamento alla direttiva europea delle disposizioni concernenti trattamenti effettuati in relazione a rapporti precontrattuali, già avviato con il decreto legislativo n. 467/2001 (art. 7, par. 1, lett. b), dir. 95/46/CE);
alla lettera e), si è chiarito che il presupposto di liceità del trattamento riferito all’esigenza di salvaguardare la vita o l’incolumità di un terzo è comunque applicabile anche fuori dei precedenti casi in cui veniva specificato che l’interessato non può, per incapacità o altri motivi, prestare il proprio consenso. Inoltre, in relazione al caso in cui la medesima finalità riguardi la vita o l’incolumità dell’interessato, la disciplina è stata allineata a quella vigente in ambito sanitario in relazione al trattamento di dati idonei a rivelare lo stato di salute per finalità di cura della persona, che in base alle disposizioni previgenti risultava più rigorosa rispetto a quella del trattamento di dati comuni o sensibili effettuato da soggetti diversi da quelli sanitari. La disciplina prevede, ora, che anche in questi ultimi casi, se manca il consenso della persona incapace o altrimenti impossibilitata a prestarlo è necessario acquisire il consenso dei prossimi congiunti o familiari, e si può procedere al trattamento dei dati personali dell’interessato solo se sia impossibile acquisire anche il consenso di tali soggetti o vi è rischio grave ed imminente per la salute della persona, purché il consenso sia acquisito successivamente (art. 82, comma 2);
è stato soppresso l’ormai inutile riferimento specifico alla comunicazione effettuata nell’ambito di gruppi bancari o fra società controllate o collegate, in quanto la disposizione era legata al generalizzato sistema delle notificazioni di trattamenti correlati che il codice ha sostanzialmente eliminato (cfr. art. 37 – Notificazione del trattamento). La medesima esigenza, peraltro, può essere comunque efficacemente soddisfatta in applicazione dell’istituto del bilanciamento degli interessi del titolare con i diritti dell’interessato (art. 24, comma 1, lett. g);
si è esteso l’esonero dall’obbligo di acquisire il consenso ai trattamenti in ambito “interno” effettuati da organismi “no – profit” anche in relazione a dati comuni, in conformità a quanto già previsto per i dati sensibili, a condizione che le modalità di utilizzo dei dati siano esplicitate in un’apposita determinazione resa nota agli associati con l’informativa (analoga condizione è stata inserita per i trattamenti di dati sensibili all’art. 26, comma 4, lett. a));
la lettera i) reca un miglior coordinamento con la disciplina in materia di trattamenti per scopi storici, statistici o scientifici.
Commento
Di norma, per effettuare i trattamenti di dati personali, i soggetti privati e gli enti pubblici economici devono porre in essere congiuntamente i seguenti adempimenti: a) informare il soggetto interessato, sia nell’ipotesi in cui si trattino dati di natura comune , che in quella in cui si trattino dati sensibili o giudiziari; b) ottenere il consenso del soggetto interessato , nell’ipotesi in cui si trattino dati di natura comune o di natura sensibile (p er potere effettuare il trattamento dei dati giudiziari , è necessario che esso sia previsto da una disposizione di legge o da un provvedimento del Garante).
Eccezione alle regole generali, è costituita, da alcune ipotesi nelle quali il trattamento può essere effettuato senza che sia necessario porre in essere uno o più degli adempimenti sopra descritti.
L’articolo 24 elenca una serie di casi in cui la regola del consenso informativo e preventivo viene meno per i dati diversi da quelli sensibili e giudiziari, mentre, per i dati sensibili e giudiziari la lista degli esoneri è disciplinata dal codice sulla privacy all’articolo 26.
Tali ipotesi disciplinate dall’articolo 24 sono:
- trattamento in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria.
Riguarda i casi in cui il trattamento dei dati deve essere effettuato in base ad un obbligo previsto dalla legge , da un regolamento o dalla normativa comunitaria.
In questi casi, sempre però nei limiti in cui tale trattamento è necessario per ottemperare a quanto prescritto da tali norme, risulta prevalente l’interesse collettivo rispetto alla tutela della privacy del soggetto interessato.
- trattamento necessario per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato
Le deroghe alla disciplina generale riguardano: a) i soli dati comuni, per i trattamenti che non implicano il trasferimento dei dati in Paesi extra-Ue (fermo restando il dovere di rendere l’informativa, si ha l’ esenzione dall’obbligo di richiedere il consenso del soggetto interessato -lettera b- del comma 1 dell’articolo 24); b) sia i dati comuni, che quelli sensibili e giudiziari, per quanto concerne l’esenzione dall’obbligo di seguire le particolari procedure, previste per i trasferimenti di dati in Paesi extra Ue.
- trattamento di dati relativi allo svolgimento di attività economiche
La lettera d) del comma 1 dell’articolo 24 dispone che, fermo restando il dovere di rendere l’informativa all’interessato, il trattamento dei dati di natura comune può avvenire senza il consenso dell’interessato , a condizione che venga rispettata la vigente normativa in materia di segreto aziendale ed industriale. Nessuna deroga, rispetto alle regole generali, è invece prevista per il trattamento dei dati di natura sensibile o di carattere giudiziario.
- trattamento di dati riguardanti l’adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria
Ai sensi della lettera b) del comma 3 dell’articolo 26, per trattare i dati riguardanti l’adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria non è necessario ottenere il consenso del soggetto interessato, né l’autorizzazione del Garante.
- trattamento di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque
Per i dati di natura comune , la lettera c) del comma 1 dell’articolo 24 ammette che, fermo restando il dovere di rendere l’informativa, il trattamento possa avvenire senza il consenso del soggetto interessato, facendo però salvi i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati.
Il nuovo codice, contrariamente a quanto previsto nella legge privacy precedente, estende la facoltà , per le fonti normative in esame, di porre limiti anche per altri trattamenti , che siano in generale propedeutici alla conoscibilità e pubblicità dei dati.
Per quanto concerne i dati di natura sensibile o di natura giudiziaria, provenienti da pubblici registri, non è, invece, prevista alcuna eccezione alle regole generali.
- trattamento ai fini dello svolgimento delle investigazioni difensive o, comunque, per fare valere o difendere un diritto in sede giudiziaria
Per i trattamenti effettuati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento è prevista una serie di snellimenti procedurali: a) non sussiste l’obbligo di dovere dare l’informativa al soggetto interessato per nessuna tipologia di dati trattati (neppure per quelli sensibili); b) esenzione dall’obbligo di richiedere il consenso al soggetto interessato, entro certi limiti: 1) per i dati di natura comune e quelli di natura sensibile diversi da quelli idonei a rivelare lo stato di salute e la vita sessuale, viene posta la condizione per cui si può prescindere dal consenso solo per i trattamenti diversi dalla diffusione , ferma restando in tutti i casi la condizione prevista alla lettera f) del comma 1 dell’articolo 24); 2) per i dati sensibili idonei a rivelare lo stato di salute e la vita sessuale, ferme restando le condizioni di cui sopra, il trattamento senza l’ottenimento del consenso è ammesso solo nel caso in cui il diritto da difendere sia di rango pari a quello dell’interessato , ovvero consista in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile lettera c) del comma 4 dell’articolo 26).
Per la generalità dei dati sensibili rimane, però, necessario ottenere l’ autorizzazione del Garante.
- trattamento necessario per la salvaguardia della vita o dell’incolumità fisica di un terzo
La tutela della salute del terzo, con l’introduzione della nuova disciplina in materia privacy, assume un’importanza gerarchicamente superiore alla privacy dell’interessato, conseguentemente , fermo restando il dovere di rendere l’informativa, non è più prevista la necessità di richiedere il suo consenso , in alcun caso , sia per il trattamento di dati comuni lettera e) del comma 1 dell’articolo 24), che per quello di dati sensibili lettera b) del comma 4 dell’articolo 26).
Per il trattamento dei dati sensibili rimane ferma la necessità di ottenere l’autorizzazione del Garante.
- trattamento necessario per la salvaguardia della vita o dell’incolumità fisica del soggetto interessato
In tale ipotesi, deve essere comunque resa l’informativa , in assenza di qualsiasi previsione in senso contrario, nell’ambito dell’articolo 13, mentre, per quanto riguarda l’ottenimento del consenso , il nuovo codice impone condizioni procedurali più severe di quelle precedentemente in vigore, prevedendo che, fermo restando che non è necessario disporre del consenso del soggetto interessato, si deve però ottenerlo dalle seguenti persone: a) da chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da un familiare o da un convivente; b) solo in assenza dei soggetti appena elencati.
In ogni caso, al fine di agevolare l’applicazione della nuova normativa, è previsto che l’ottenimento del consenso possa avvenire anche successivamente, purché senza ritardo, alla prestazione che implica il trattamento di dati personali, qualora vi sia rischio grave, imminente ed irreparabile per la salute o l’incolumità fisica dell’interessato (artt. 24, comma 1 lettera e), 26 comma 4 lettera d) e 82 comma 2).
Per i dati sensibili resta, inoltre, ferma la necessità di ottenere l’autorizzazione del Garante, mentre, per i dati giudiziari , qualora fosse necessario procedere al loro trattamento, occorre richiedere una specifica autorizzazione al Garante, con le procedure di cui all’articolo 41.
- trattamento necessario per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati
In tale ipotesi, fermo il dovere di rendere l’informativa, non occorre il consenso dell’interessato per i dati comuni , qualora il trattamento persegua un legittimo interesse di chi tratta i dati o di un terzo , a condizione che il trattamento non leda diritti, libertà fondamentali, dignità o un legittimo interesse del soggetto interessato lettera g) del comma 1 dell’articolo 24).
L’esenzione in esame non riguarda però la diffusione dei dati , per effettuare la quale resta ferma la necessità di ottenere il consenso del soggetto interessato.
Nessuna facilitazione viene prevista per il trattamento dei dati sensibili e giudiziari.
- trattamento effettuato da associazioni, enti od organismi senza scopo di lucro, in riferimento a soggetti che hanno con essi contatti regolari o ad aderenti
Le associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti possono beneficiare di alcune agevolazioni procedurali per il trattamento di dati personali relativi: a) agli aderenti; b) ai soggetti che hanno contatti regolari con le associazioni, gli enti e gli organismi stessi.
Tale agevolazione consiste nella facoltà di prescindere dal consenso del soggetto interessato, a condizione che il trattamento avvenga per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo e le modalità di utilizzo dei dati vengano previste espressamente , con apposita determinazione, che deve essere resa nota agli interessati all’atto dell’informativa resa ai sensi dell’articolo 13.
Alla luce di quanto esposto, tutto ciò risulta essere sufficiente per l’esenzione dall’obbligo di richiedere il consenso per il trattamento di dati comuni , con esclusione della comunicazione all’esterno dei dati e della loro diffusione , attività per le quali occorre quindi ottenere comunque il consenso dei soggetti interessati lettera h) del comma 1 dell’articolo 24).
Per il trattamento di dati sensibili , si osserva che non è concessa alla generalità degli enti interessati, alle condizioni sopra esposte, la facoltà di prescindere dal consenso dell’interessato, essendo tale facoltà prevista solo per gli enti che hanno carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici.
Resta comunque ferma, in tutti i casi, la necessità di ottenere l’ autorizzazione del Garante (rilasciata a con l’autorizzazione 3/2002 lettera a) del comma 4 dell’articolo 26), nonché la determinazione di idonee garanzie relativamente ai trattamenti effettuati.
- trattamento necessario per esclusivi scopi scientifici, statistici o storici
Un’altra ipotesi in cui non è richiesto l’espresso consenso dell’interessato è quella in cui il trattamento dei dati sia effettuato per scopi: a) storici, presso archivi privati dichiarati di notevole interesse storico o, secondo quanto previsto dai codici deontologici di cui all’Allegato A), presso altri archivi privati; b) statistici e di ricerca scientifica.
Il consenso non è richiesto in quanto trattati in forma anonima, però, in ogni caso, il trattamento deve essere effettuato in conformità ai codici deontologici di cui all’Allegato A).
Articolo aggiornato al 20/02/2007
Stampa la pagina