Blog

Quali sono le regole da seguire nella notificazione al Garante?

Ogniqualvolta si procede al trattamento dei dati personali, è necessario effettuare la notificazione al Garante. Si tratta di un’operazione fondamentale al fine della tutela del cittadino, con la quale un soggetto, pubblico o privato, rende nota all’autorità l’esistenza di un’attività di raccolta e utilizzazione dei dati personali, svolta quale autonomo titolare del trattamento. Tutte le notificazioni sono inserite in un registro pubblico, consultabile online, che permette a chiunque ne abbia bisogno di utilizzare le notizie presenti per l’applicazione della disciplina in materia di protezione dei dati personali.

Data la delicatezza dei dati trasmessi, devono essere fornite tutte le informazioni di carattere personale richieste secondo regole ben precise. Qui di seguito, proviamo a fornirne un vademecum completo.

Spaziottantotto, come intermediario, può occuparsi della compilazione del modulo, e su delega cartacea del titolare, della sua sottoscrizione mediante firma digitale.

Vademecum per la Notificazione al Garante.

All’Art. 37 co.1, il D.Lgs. 196/2003 stabilisce le tipologie di trattamenti per i quali il Titolare deve adempiere alla Notificazione al Garante mediante procedura telematica prima di porli in atto.

Tuttavia sulla base dei seguenti presupposti giuridici

• ai sensi del co.1-bis del medesimo art. 37,
• Provvedimento del Garante n. 1 del 31 marzo 2004 (G. U. n. 81 del 6 aprile 2004) e relativi chiarimenti del 23 e 26 aprile 2004
• Provvedimento del Garante n. 259 del 24 giugno 2011 (G.U. n.161 del 13 luglio 2011)

sono individuate quelle casistiche in cui detti trattamenti non sono suscettibili di recare pregiudizio ai diritti e alle libertà dell’interessato, in ragione delle relative modalità o della natura dei dati personali e che, per tale motivo, sono sottratti all’obbligo di notificazione.

Elenco dei casi oggetto di notificazione.

Segue l’elenco delle tipologie di trattamenti soggetti all’obbligo di notificazione, con i relativi casi di esclusione.

a.1) trattamenti di dati genetici e biometrici

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale;
• effettuati da medici titolari di un trattamento in materia di igiene e sicurezza del lavoro e della popolazione;
• non sistematici effettuati da esercenti le professioni sanitarie (anche in forma associata, ma non per le strutture sanitarie), anche unitamente ad altri esercenti titolari dei medesimi trattamenti, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica, limitatamente ai dati e alle operazioni, compresa la comunicazione, indispensabili per perseguire finalità di tutela della salute o dell’incolumità fisica dell’interessato o di un terzo;
• effettuati nell’esercizio della professione di avvocato (anche in forma associata), in relazione alle operazioni e ai dati necessari per svolgere le investigazioni difensive di cui alla legge n. 397/2000, o comunque per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, sempre che il diritto sia di rango almeno pari a quello dell’interessato e i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
• effettuati da organismi di mediazione nell’esercizio e con le modalità proprie dell’attività di mediazione di cui al d.lg. 4 marzo 2010, n. 28 s.m.i.

a.2) trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica

ad esclusione di quelli:

• che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto;
• che consentono solo una rilevazione non continuativa del passaggio o della presenza di persone o oggetti, effettuata, ad esempio, all’atto della:
  • registrazione di ingressi o uscite presso luoghi di lavoro, tramite tessere elettromagnetiche, codici di accesso o altri dispositivi, a meno che, mediante la rete di comunicazione elettronica, sia possibile tracciare gli spostamenti di interessati in determinati luoghi o aree sul territorio. Non devono essere inoltre trattati dati biometrici, perché in tal caso la notificazione è necessaria;
  • rilevazione di immagini o suoni, anche con impianti a circuito chiuso, presso immobili o edifici ove si svolgono attività del titolare del trattamento (locali commerciali, professionali o aziendali, nonché le relative aree perimetrali, adibite a parcheggi o a carico/scarico merci, accessi, uscite di emergenza), a meno che, anche mediante interazione con altri sistemi, il titolare possa rilevare le diverse ubicazioni o spostamenti di una persona o di un oggetto in determinati luoghi o aree sul territorio;
  • lettura di carte elettroniche per fornire beni, prestazioni o servizi quali, ad esempio, carte di pagamento, carte di credito o di fidelizzazione. I dati non devono essere peraltro rilevati con strumenti elettronici volti ad analizzare abitudini o scelte di consumo, poiché in tal caso la notificazione è necessaria:

b.1) trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale;
• effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti sempre che i trattamenti siano effettuati non sistematicamente, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica e limitatamente ai dati e alle operazioni indispensabili per la tutela della salute o dell’incolumità fisica dell’interessato o di un terzo;
• effettuati nell’ambito di servizi di assistenza o consultazione sanitaria per via telefonica, come i servizi telefonici gestiti in ambito assicurativo e che consentono il consulto di esercenti professioni sanitarie;

b.2) trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale ();
• effettuati nell’ambito di servizi di assistenza o consultazione sanitaria per via telefonica, come i servizi telefonici gestiti in ambito assicurativo e che consentono il consulto di esercenti professioni sanitarie;
• effettuati nell’ambito della c.d. teleassistenza, nei quali i dati sulla salute o sulla vita sessuale sono trattati per vari servizi di assistenza o consultazione sanitaria per via telefonica (come ad esempio quelli che permettono di consultare telefonicamente uno o più esercenti professioni sanitarie);
• organizzati in banche di dati trattati manualmente (archivi cartacei);
• organizzati in banche dati informatizzate anche con più accessi nello stesso studio, ma non collegate ad una rete telematica (es., lan o computer non connesso ad altri elaboratori);

b.3) trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di indagini epidemiologiche

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale;
• effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti sempre che i trattamenti siano effettuati non sistematicamente, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica e limitatamente ai dati e alle operazioni indispensabili per la tutela della salute o dell’incolumità fisica dell’interessato o di un terzo;
• effettuati nell’ambito di servizi di assistenza o consultazione sanitaria per via telefonica, come i servizi telefonici gestiti in ambito assicurativo e che consentono il consulto di esercenti professioni sanitarie;

b.4) trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di rilevazione di malattie mentali, infettive e diffusive, sieropositività

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale;
• effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti sempre che i trattamenti siano effettuati non sistematicamente, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica e limitatamente ai dati e alle operazioni indispensabili per la tutela della salute o dell’incolumità fisica dell’interessato o di un terzo;
• effettuati nell’ambito di servizi di assistenza o consultazione sanitaria per via telefonica, come i servizi telefonici gestiti in ambito assicurativo e che consentono il consulto di esercenti professioni sanitarie;

b.5) trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di trapianto di organi e tessuti

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale;
• effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti sempre che i trattamenti siano effettuati non sistematicamente, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica e limitatamente ai dati e alle operazioni indispensabili per la tutela della salute o dell’incolumità fisica dell’interessato o di un terzo;
• effettuati nell’ambito di servizi di assistenza o consultazione sanitaria per via telefonica, come i servizi telefonici gestiti in ambito assicurativo e che consentono il consulto di esercenti professioni sanitarie;

b.6) trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini monitoraggio della spesa sanitaria

ad esclusione di quelli:

• effettuati da parte dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale;
• effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti ad esclusivi fini di monitoraggio della spesa sanitaria o di adempimento di obblighi normativi in materia di igiene e sicurezza del lavoro e della popolazione;

c) trattamenti di dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale

ad esclusione di quelli:

• idonei a rivelare la sfera psichica di lavoratori effettuati da associazioni, enti od organismi a carattere sindacale per adempiere esclusivamente a specifici obblighi o compiti previsti dalla normativa in materia di rapporto di lavoro o di previdenza, anche in tema di diritto al lavoro dei disabili;
• idonei a rivelare la sfera psichica di lavoratori effettuati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico o religioso riguardo a dati di propri dipendenti o collaboratori, per adempiere esclusivamente a specifici obblighi previsti dalla normativa in materia di rapporto di lavoro o di previdenza, riferita anche ai casi in cui si deve adempiere a specifici obblighi stabiliti in sede di contrattazione collettiva e giuridicamente rilevanti in base alla normativa in materia;

d.1) trattamenti di dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato

ad esclusione di quelli:

• che non siano fondati unicamente su un trattamento automatizzato volto a definire profili professionali e che siano effettuati per esclusive finalità di occupazione o di gestione del rapporto di lavoro, fuori dei casi di cui alla successiva lettera e);
• che non siano fondati unicamente su un trattamento automatizzato volto a definire il profilo di un investitore, effettuati esclusivamente per adempiere a specifici obblighi previsti dalla normativa in materia di intermediazione finanziaria;
• effettuati al solo fine di:
  • fornire all’interessato beni, prestazioni o servizi, con l’ausilio di strumenti elettronici finalizzati alla gestione del relativo rapporto e dei connessi adempimenti contabili o fiscali, all’invio di eventuali comunicazioni informative commerciali e al controllo della qualità di servizi offerti senza procedere ad alcuna profilazione degli interessati;
  • verificare l’identità o il profilo di autorizzazione di utenti o incaricati, nell’ambito di sistemi di autenticazione informatica o di autorizzazione per l’accesso a dati o sistemi (ad esempio, per accedere ad una banca di dati personali o a determinati contenuti di un sito web). Anche in questo caso, se sono trattati dati biometrici la notificazione è necessaria);
  • registrare gli accessi ad un sito web, se i dati sono memorizzati esclusivamente per il tempo tecnicamente indispensabile ai fini di sicurezza del sistema o di elaborazione statistica in forma anonima;

d.2) trattamenti di dati trattati con l’ausilio di strumenti elettronici volti ad analizzare abitudini o scelte di consumo

ad esclusione di quelli:

• effettuati al solo fine di:
  • fornire all’interessato beni, prestazioni o servizi, con l’ausilio di strumenti elettronici finalizzati alla gestione del relativo rapporto e dei connessi adempimenti contabili o fiscali, all’invio di eventuali comunicazioni informative commerciali e al controllo della qualità di servizi offerti senza procedere ad alcuna profilazione degli interessati;
  • verificare l’identità o il profilo di autorizzazione di utenti o incaricati, nell’ambito di sistemi di autenticazione informatica o di autorizzazione per l’accesso a dati o sistemi (ad esempio, per accedere ad una banca di dati personali o a determinati contenuti di un sito web). Anche in questo caso, se sono trattati dati biometrici la notificazione è necessaria);
  • registrare gli accessi ad un sito web, se i dati sono memorizzati esclusivamente per il tempo tecnicamente indispensabile ai fini di sicurezza del sistema o di elaborazione statistica in forma anonima;

d.3) trattamenti di dati trattati con l’ausilio di strumenti elettronici volti a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti

ad esclusione di quelli:

• relativi all’utilizzo di marcatori elettronici o di dispositivi analoghi installati, oppure memorizzati temporaneamente, e non persistenti, presso l’apparecchiatura terminale di un utente, consistenti nella sola trasmissione di identificativi di sessione in conformità alla disciplina applicabile, all’esclusivo fine di agevolare l’accesso ai contenuti di un sito Internet;

e.1) trattamenti di dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi

ad esclusione di quelli:

• effettuati per conto esclusivamente di soggetti appartenenti al medesimo gruppo bancario o societario al solo fine di selezione di personale;
• effettuati da soggetti pubblici per adempiere esclusivamente a specifici obblighi o compiti previsti dalla normativa in materia di occupazione e mercato del lavoro;

e.2) trattamenti di dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie

ad esclusione di quelli:

• effettuati da associazioni o organizzazioni di categoria al solo fine di svolgere ricerche campionarie relativamente a dati riguardanti l’adesione alla medesima associazione o organizzazione;

f) trattamenti di dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale

ad esclusione di quelli:

• effettuati da soggetti pubblici per la tenuta di pubblici registri o elenchi conoscibili da chiunque;
• registrati in banche di dati utilizzate in rapporti con l’interessato di fornitura di beni, prestazioni o servizi, o per adempimenti contabili o fiscali, anche in caso di inadempimenti contrattuali (e pre-contrattuali), azioni di recupero del credito e contenzioso con l’interessato;
• registrati in banche di dati utilizzate da soggetti pubblici o privati per adempiere esclusivamente ad obblighi normativi in materia di rapporto di lavoro, previdenza o assistenza, compresi quelli concernenti eventuali obblighi derivanti dalla contrattazione collettiva, giuridicamente rilevanti in base alla normativa in materia;
• registrati in banche di dati utilizzate da soggetti pubblici al solo fine della tenuta ed esecuzione di atti, provvedimenti e documenti, in tema di riscossione di tributi, applicazione di sanzioni amministrative, o rilascio di licenze, concessioni o autorizzazioni;
• trattati, in base alla legge, dai soggetti autorizzati in relazione alle operazioni e ai dati necessari all’esclusivo fine di prestare l’attività di garanzia collettiva dei fidi e i servizi a essa connessi o strumentali, come il caso di “confidi”;
• effettuati da soggetti che utilizzano banche di dati centralizzate o sistemi informativi gestiti autonomamente da altri soggetti -titolari del relativo trattamento- e che, pur comunicando a questi ultimi alcuni dati personali, non hanno alcun potere decisionale in ordine alle finalità e alle modalità del trattamento e agli strumenti utilizzati in tali ambiti. Ciò anche quando, per mere ragioni tecniche, una copia della banca di dati gestita dal terzo autonomo titolare del trattamento, risieda presso il soggetto abilitato unicamente a consultarla in tale forma;
• relativi a clienti o fornitori effettuati da liberi professionisti od organismi (es.: CAAF) per adempimenti fiscali (ad es., in qualità di intermediari necessari per presentare le dichiarazione dei redditi) o contabili (es.: redazione di bilanci);

f.2) trattamenti di dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti

ad esclusione di quelli:

• relativi a immagini o suoni conservati temporaneamente per esclusive finalità di sicurezza o di tutela delle persone o del patrimonio e non già anche relative a comportamenti illeciti o fraudolenti;
• registrati in banche di dati utilizzate da soggetti pubblici al solo fine della tenuta ed esecuzione di atti, provvedimenti e documenti, in tema di riscossione di tributi, applicazione di sanzioni amministrative, o rilascio di licenze, concessioni o autorizzazioni;
• registrati in banche di dati utilizzate in rapporti con l’interessato di fornitura di beni, prestazioni o servizi, o per adempimenti contabili o fiscali, anche in caso di inadempimenti contrattuali, azioni di recupero del credito e contenzioso con l’interessato;
• registrati in banche di dati utilizzate da soggetti pubblici o privati per adempiere esclusivamente ad obblighi normativi in materia di rapporto di lavoro, previdenza o assistenza;
• relativi a clienti o fornitori effettuati da liberi professionisti od organismi per svolgere investigazioni difensive o curare la difesa in sede giudiziaria di diritti degli assistiti;
• effettuati da soggetti pubblici che utilizzano la banca di dati elettronica per riscuotere tributi, applicare sanzioni amministrative o rilasciare licenze, concessioni o autorizzazioni;
• effettuati da soggetti privati concessionari di servizi di riscossione di tributi che esercitano le medesime attività, sulla base di una designazione formale ed effettiva a “responsabile del trattamento” per conto del soggetto pubblico ai sensi dell’art. 29 del Codice;

Modalità di notificazione

La notificazione del trattamento è presentata al Garante prima che ricorrano le seguenti circostanze:

1. inizio del trattamento per il quale la notificazione è necessaria
2. cessazione del trattamento
3. mutamento di taluno degli elementi da indicare nella notificazione medesima.

La notificazione è validamente effettuata solo se è trasmessa telematicamente attraverso il sito del Garante, https://web.garanteprivacy.it/rgt/NotificaTelematica.php, utilizzando l’apposito modello, che contiene tutte e soltanto le seguenti informazioni:

1. le coordinate identificative del titolare del trattamento e, eventualmente, del suo rappresentante, nonché le modalità per individuare il responsabile del trattamento se designato;
2. la o le finalità del trattamento;
3. una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;
4. i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
5. i trasferimenti di dati previsti verso Paesi terzi;
6. una descrizione generale che permetta di valutare in via preliminare l’adeguatezza delle misure adottate per garantire la sicurezza del trattamento.

Allo stato non sono previste e ammesse altre modalità: non è quindi possibile utilizzare modelli cartacei.

Ogni notificazione inviata al Garante (prima notificazione, modifica o cessazione del trattamento) deve essere accompagnata dal pagamento dei diritti di segreteria, il cui importo è fissato in euro 150,00.

Infine, per perfezionare la notificazione è necessario sottoscriverla con firma digitale (art. 10, comma 3, D.P.R. n. 445/2000).

Codice univoco del notificante-C.U.N.

Eseguite le operazioni (inserimento dei dati, pagamento dei diritti di segreteria, apposizione della firma digitale e trasmissione in via telematica) e trasmessa la notificazione in via telematica, verrà inviato dal Garante con l’indicazione di giorno, ora e minuto, un ID permanente (C.U.N.) da conservare a cura del notificante. Il C.U.N. verrà comunicato al solo notificante per posta elettronica (non PEC)

Solo con l’inserimento del C.U.N. il notificante potrà accedere, in tempi successivi, alla notificazione per modificarla o per provvedere alla notificazione della cessazione del trattamento; il C.U.N., inoltre, permette di “legare” le notificazioni effettuate nel tempo da uno stesso titolare.

Ricorso ad un intermediario

L’intermediario rilascia ricevuta, controfirmata anche dal notificante, di avvenuto invio della notificazione. Consegna altresì, a richiesta del notificante, una copia della notificazione, che sarà comunque consultabile on-line da chiunque.