|
Capo
IV
TRATTAMENTO DI DATI PARTICOLARI
Art.
22
Dati sensibili
1. I
dati personali idonei a rivelare l'origine razziale ed etnica,
le convinzioni religiose, filosofiche o di altro genere, le
opinioni politiche, l'adesione a partiti, sindacati, associazioni
od organizzazioni a carattere religioso, filosofico, politico
o sindacale, nonché i dati personali idonei a rivelare lo stato
di salute e la vita sessuale, possono essere oggetto di trattamento
solo con il consenso scritto dell'interessato e previa autorizzazione
del Garante.
1-bis.
Il comma 1 non si applica ai dati relativi agli aderenti alle
confessioni religiose i cui i rapporti con lo Stato siano regolati
da accordi o intese ai sensi degli articoli 7 e 8 della Costituzione,
nonchè relativi ai soggetti che con riferimento a finalità di
natura esclusivamente religiosa hanno contatti regolari con
le medesine confessioni, che siano trattati dai relativi organi
o enti civilmente riconosciuti, semprechè i dati non siano comunicati
o diffusi fuori delle medesime confessioni. Queste ultime determinano
idonee garanzie relativamente ai trattamenti effettuati.
2. Il
Garante comunica la decisione adottata sulla richiesta di autorizzazione
entro trenta giorni, decorsi i quali la mancata pronuncia equivale
a rigetto. Con il provvedimento di autorizzazione, ovvero successivamente,
anche sulla base di eventuali verifiche, il Garante può prescrivere
misure e accorgimenti a garanzia dell'interessato, che il titolare
del trattamento è tenuto ad adottare.
3. Il
trattamento dei dati indicati al comma 1 da parte di soggetti
pubblici, esclusi gli enti pubblici economici, è consentito
solo se autorizzato da espressa disposizione di legge, nella
quale siano specificati i tipi di dati che possono essere trattati,
le operazioni eseguibili e le rilevanti finalità di interesse
pubblico perseguite. In mancanza di espressa disposizione di
legge, e fuori dai casi previsti dai decreti legislativi di
modificazione ed integrazione della presente legge, emanati
in attuazione della legge 31 dicembre 1996, n. 676, i soggetti
pubblici possono richiedere al Garante, nelle more della specificazione
legislativa, l'individuazione delle attività, tra quelle demandate
ai medesimi soggetti dalla legge, che perseguono rilevanti finalità
di interesse pubblico e per le quali è conseguentemente autorizzato,
ai sensi del comma 2, il trattamento dei dati indicati al comma
1.
3-bis.
Nei casi in cui è specificata, a norma del comma 3, la finalità
di rilevante interesse pubblico, ma non sono specificati i tipi
di dati e le operazioni eseguibili, i soggetti pubblici, in
applicazione di quanto previsto dalla presente legge e dai decreti
legislativi di attuazione della legge 31 dicembre 1996, n. 676,
in materia di dati sensibili, identificano e rendono pubblici,
secondo i rispettivi ordinamenti, i tipi di dati e di operazioni
strettamente pertinenti e necessari in relazione alle finalità
perseguite nei singoli casi, aggiornando tale identificazione
periodicamente.
4.
I dati personali idonei a rivelare lo stato di salute e la vita
sessuale possono essere oggetto di trattamento previa autorizzazione
del Garante, qualora il trattamento sia necessario ai fini dello
svolgimento delle investigazioni di cui all'articolo 38 delle
norme di attuazione, di coordinamento e transitorie del codice
di procedura penale, approvate con decreto legislativo 28 luglio
1989, n. 271, e successive modificazioni, o, comunque, per far
valere o difendere in sede giudiziaria un diritto di rango pari
a quello dell'interessato, sempre che i dati siano trattati
esclusivamente per tali finalità e per il periodo strettamente
necessario al loro perseguimento. Il Garante prescrive le misure
e gli accorgimenti di cui al comma 2 e promuove la sottoscrizione
di un apposito codice di deontologia e di buona condotta secondo
le modalità di cui all'articolo 31, comma 1, lettera h). Resta
fermo quanto previsto dall'articolo 43, comma 2
Art.
23
Dati inerenti alla salute
1. Gli
esercenti le professioni sanitarie e gli organismi sanitari
pubblici possono, anche senza l'autorizzazione del Garante,
trattare i dati personali idonei a rivelare lo stato di salute,
limitatamente ai dati e alle operazioni indispensabili per il
perseguimento di finalità di tutela dell'incolumità fisica e
della salute dell'interessato. Se le medesime finalità riguardano
un terzo o la collettività, in mancanza del consenso dell'interessato,
il trattamento può avvenire previa autorizzazione del Garante.
1-bis.
Con decreto del ministro della Sanità adottato ai sensi dell'articolo
17, comma 3, della legge 23 agosto 1988, n. 400, sentiti la
Conferenza permanente per i rapporti tra lo Stato, le regioni,
e le province autonome di Trento e Bolzano e il Garante, sono
individuate modalità semplificate per le informative di cui
all'articolo 10 e per la prestazione del consenso nei confronti
di organismi sanitari pubblici, di organismi sanitari e di esercenti
le professioni sanitarie convenzionati o accreditati dal Servizio
sanitario nazionale, nonché per il trattamento dei dati da parte
dei medesimi soggetti, sulla base dei seguenti criteri:
a)
previsione di informative effettuate da un unico soggetto, in
particolare da parte del medico di medicina generale scelto
dall'interessato, per conto di più titolari di trattamento;
b) validità nei confronti di più titolari di trattamento, del
consenso prestato ai sensi dell'articolo 11, comma 3, per conto
di più titolari di trattamento, anche con riguardo alla richiesta
di prestazioni specialistiche, alla prescrizione di farmaci,
alla raccolta di dati da parte del medico di medicina generale,
detenuti da altri titolari, e alla pluralità di prestazioni
mediche effettuate da un medesimo titolare di trattamento;
c) identificazione dei casi di urgenza nei quali anche per effetto
delle situazioni indicate nel comma 1-ter, l'informativa e il
consenso possono intervenire successivamente alla richiesta
della prestazione;
d) previsione di modalità di applicazione del comma 2 del presente
articolo ai professionisti sanitari, diversi dai medici, che
intrattengono rapporti diretti con i pazienti;
e) previsione di misure volte ad assicurare che nell'organizzazione
dei servizi e delle prestazioni sia garantito il rispetto dei
diritti di cui all'articolo 1.
1-ter.
Il decreto di cui al comma 1 disciplina anche quanto previsto
dall'articolo 22, comma 3-bis, della legge.
1-quater.
In caso di incapacità di agire, ovvero di impossibilità fisica
o di incapacità di intendere o di volere, il consenso al trattamento
dei dati idonei a rivelare lo stato di salute è validamente
manifestato nei confronti di esercenti le professioni sanitarie
e di organismi sanitari, rispettivamente, da chi esercita legalmente
la podestà ovvero da un familiare, da un prossimo congiunto,
da un convivente, o, in loro assenza, dal responsabile della
struttura presso cui dimori.
2. I
dati personali idonei a rivelare lo stato di salute possono
essere resi noti all'interessato o ai soggetti di cui al comma
1-ter solo per il tramite di un medico designato dall'interessato
o dal titolare.
3. L'autorizzazione
di cui al comma 1 è rilasciata, salvi i casi di particolare
urgenza, sentito il Consiglio superiore di sanità. è vietata
la comunicazione dei dati ottenuti oltre i limiti fissati con
l'autorizzazione.
4.
La diffusione dei dati idonei a rivelare lo stato di salute
è vietata, salvo nel caso in cui sia necessaria per finalità
di prevenzione, accertamento o repressione dei reati, con l'osservanza
delle norme che regolano la materia.
Art.
24
Dati relativi ai provvedimenti di cui all'articolo 686 del codice
di procedura penale
1.
Il trattamento di dati personali idonei a rivelare provvedimenti
di cui all'articolo 686, commi 1, lettere a) e d), 2 e 3, del
codice di procedura penale, è ammesso soltanto se autorizzato
da espressa disposizione di legge o provvedimento del Garante
che specifichino le rilevanti finalità di interesse pubblico
del trattamento, i tipi di dati trattati e le precise operazioni
autorizzate.
Art.
25
Trattamento di dati particolari nell'esercizio della professione
di giornalista
1.
Le disposizioni relative al consenso dell'interessato e all'autorizzazione
del Garante,nonché il limite previsto dall'articolo 24, non
si applicano quando il trattamento dei dati di cui agli articoli
22 e 24 è effettuato nell'esercizio della professione di giornalista
e per l'esclusivo perseguimento delle relative finalità. Il
giornalista rispetta i limiti del diritto di cronaca, in particolare
quello dell'essenzialità dell'informazione riguardo a fatti
di interesse pubblico,ferma restando la possibiltà di trattare
i dati relativi a circostanze o fatti resi noti direttamente
dall'interessato o attraverso i suoi comportamenti in pubblico.
2. Il
Garante promuove, nei modi di cui all'articolo 31, comma 1,
lettera h), l'adozione, da parte del Consiglio nazionale dell'ordine
dei giornalisti, di un apposito codice di deontologia relativo
al trattamento dei dati di cui al comma 1 del presente articolo,
effettuato nell'esercizio della professione di giornalista,
che preveda misure ed accorgimenti a garanzia degli interessati
rapportate alla natura dei dati, in particolare per quanto riguarda
quelli idonei a rivelare lo stato di salute e la vita sessuale.
Nella fase di formazione del codice, ovvero successivamente,
il Garante, in cooperazione con il Consiglio, prescrive eventuali
misure e accorgimenti a garanzia degli interessati, che il Consiglio
è tenuto a recepire.
Il codice è pubblicato sulla Gazzetta Ufficiale a cura del Garante,
e diviene efficace quindici giorni dopo la sua pubblicazione.
3. Ove
entro sei mesi dalla proposta del Garante il codice di deontologia
di cui al comma 2 non sia stato adottato dal Consiglio nazionale
dell'ordine dei giornalisti, esso è adottato in via sostitutiva
dal Garante ed è efficace sino alla adozione di un diverso codice
secondo la procedura di cui al comma 2. In caso di violazione
delle prescrizioni contenute nel codice di deontologia, il Garante
può vietare il trattamento ai sensi dell'articolo 31, comma
1, lettera l).
4.
Nel codice di cui ai commi 2 e 3 sono inserite, altresì, prescrizioni
concernenti i dati personali diversi da quelli indicati negli
articoli 22 e 24.
Il codice può prevedere forme semplificate per le informative
di cui all'articolo 10.
4-bis.
Le disposizioni della presente legge che attengono all'esercizio
della professione di giornalista si applicano anche ai trattamenti
effettuati dai soggetti iscritti nell'elenco dei pubblicisti
o nel registro dei praticanti di cui agli articoli 26 e 33 della
legge 3 febbraio 1963, n. 69, nonché ai trattamenti temporanei
finalizzati esclusivamente alla pubblicazione o diffusione occasionale
di articoli, saggi e altre manifestazioni del pensiero.
Art.
26
Dati concernenti persone giuridiche
1. Il
trattamento nonché la cessazione del trattamento di dati concernenti
persone giuridiche, enti o associazioni non sono soggetti a
notificazione.
2.
Ai dati riguardanti persone giuridiche, enti o associazioni
non si applicano le disposizioni dell'articolo 28.
Capo
V
TRATTAMENTI SOGGETTI A REGIME SPECIALE
Art.
27
Trattamento da parte di soggetti pubblici
1.
Salvo quanto previsto al comma 2, il trattamento di dati personali
da parte di soggetti pubblici, esclusi gli enti pubblici economici,
è consentito soltanto per lo svolgimento delle funzioni istituzionali,
nei limiti stabiliti dalla legge e dai regolamenti.
2.
La comunicazione e la diffusione a soggetti pubblici, esclusi
gli enti pubblici economici, dei dati trattati sono ammesse
quando siano previste da norme di legge o di regolamento, o
risultino comunque necessarie per lo svolgimento delle funzioni
istituzionali. In tale ultimo caso deve esserne data previa
comunicazione nei modi di cui all'articolo 7, commi 2 e 3 al
Garante che vieta, con provvedimento motivato, la comunicazione
o la diffusione se risultano violate le disposizioni della presente
legge.
3.
La comunicazione e la diffusione dei dati personali da parte
di soggetti pubblici a privati o a enti pubblici economici sono
ammesse solo se previste da norme di legge o di regolamento.
4.
I criteri di organizzazione delle amministrazioni pubbliche
di cui all'articolo 5 del decreto legislativo 3 febbraio 1993,
n. 29, sono attuati nel pieno rispetto delle disposizioni della
presente legge.
Art.
28
Trasferimento di dati personali all'estero
1.
Il trasferimento anche temporaneo fuori del territorio nazionale,
con qualsiasi forma o mezzo, di dati personali oggetto di trattamento
deve essere previamente notificato al Garante, qualora sia diretto
verso un Paese non appartenente all'Unione europea o riguardi
taluno dei dati di cui agli articoli 22 e 24.
2.
Il trasferimento può avvenire soltanto dopo quindici giorni
dalla data della notificazione; il termine è di venti giorni
qualora il trasferimento riguardi taluno dei dati di cui agli
articoli 22 e 24.
3.
Il trasferimento è vietato qualora l'ordinamento dello Stato
di destinazione o di transito dei dati non assicuri un livello
di tutela delle persone adeguato ovvero, se si tratta dei dati
di cui agli articoli 22 e 24, di grado pari a quello assicurato
dall'ordinamento italiano. Sono valutate anche le modalità del
trasferimento e dei trattamenti previsti, le relative finalità,
la natura dei dati e le misure di sicurezza.
4. Il
trasferimento è comunque consentito qualora:
a)
l'interessato abbia manifestato il proprio consenso espresso
ovvero, se il trasferimento riguarda taluno dei dati di cui
agli articoli 22 e 24, in forma scritta;
b) sia necessario per l'esecuzione di obblighi derivanti da
un contratto del quale è parte l'interessato o per l'acquisizione
di informative precontrattuali attivate su richiesta di quest'ultimo,
ovvero per la conclusione o per l'esecuzione di un contratto
stipulato a favore dell'interessato;
c) sia necessario per la salvaguardia di un interesse pubblico
rilevante individuato con legge o con regolamento, ovvero specificato
ai sensi degli articoli 22, comma 3, e 24, se il trasferimento
riguarda taluno dei dati ivi previsti;
d) sia necessario ai fini dello svolgimento delle investigazioni
di cui all'articolo 38 delle norme di attuazione, di coordinamento
e transitorie del codice di procedura penale, approvate con
decreto legislativo 28 luglio 1989, n. 271, e successive modificazioni,
o, comunque, per far valere o difendere un diritto in sede giudiziaria,
sempre che i dati siano trasferiti esclusivamente per tali finalità
e per il periodo strettamente necessario al loro perseguimento;
e) sia necessario per la salvaguardia della vita o dell'incolumità
fisica dell'interessato o di un terzo, nel caso in cui l'interessato
non può prestare il proprio consenso per impossibilità fisica,
per incapacità di agire o per incapacità di intendere o di volere;
f) sia effettuato in accoglimento di una richiesta di accesso
ai documenti amministrativi, ovvero di una richiesta di informazioni
estraibili da un pubblico registro, elenco, atto o documento
conoscibile da chiunque, con l'osservanza delle norme che regolano
la materia;
g) sia autorizzato dal Garante sulla base di adeguate garanzie
per i diritti dell'interessato, prestate anche con un contratto.
g-bis) il trattamento sia finalizzato unicamente a scopi di
ricerca scientifica o di statistica e sia effettuato nel rispetto
dei codici di deontologia e di buona condotta sottoscritti ai
sensi dell'articolo 31.
5.
Contro il divieto di cui al comma 3 del presente articolo può
essere proposta opposizione ai sensi dell'articolo 29, commi
6 e 7.
6.
Le disposizioni del presente articolo non si applicano al trasferimento
di dati personali effettuato nell'esercizio della professione
di giornalista e per l'esclusivo perseguimento delle relative
finalità.
7.
La notificazione di cui al comma 1 del presente articolo è effettuata
ai sensi dell'articolo 7 ed è annotata in apposita sezione del
registro previsto dall'articolo 31, comma 1, lettera a). La
notificazione può essere effettuata con un unico atto unitamente
a quella prevista dall'articolo 7.
|