GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno IV – n.117           25  febbraio – 3 marzo 2002    www.garanteprivacy.it

Il Garante informa:	
	
Perizie mediche comunicabili solo tramite medico…………………………...pag.1
Notificazioni. I chiarimenti dell'Autorità …………………….………..….....pag.1
I consumatori USA chiedono più privacy.………………………..…..……...pag.2

ASSICURAZIONI. PERIZIE MEDICHE  COMUNICABILI SOLO TRAMITE IL  MEDICO 
Le informazioni sulle condizioni di salute contenute in una perizia medica devono essere comunicate, all’interessato che lo richieda, solo tramite un suo medico di fiducia o da uno designato dalla società che ha raccolto e utilizzato i dati . La normativa sulla privacy stabilisce, infatti, che per poter comunicare correttamente i dati sanitari  all’interessato occorre adottare questa particolare procedura. 
Il principio è stato ribadito dal Garante che ha accolto il ricorso di una persona che lamentava di non aver  ricevuto riscontro ad una richiesta di accesso (formulata ai sensi della legge 675/96) ai propri dati personali, tra i quali vi erano anche dati sanitari, contenuti in una perizia redatta dal medico di una società di assicurazioni. L’interessato si era allora rivolto all’Autorità chiedendo che disponesse la comunicazione di tali  dati, mediante l’invio dei dati contenuti nella perizia  presso il proprio domicilio. 
La società, da parte sua, chiamata dal Garante a fornire dei chiarimenti, aveva affermato di voler aderire alle richieste del ricorrente, mettendo a disposizione per la consultazione tutta la documentazione (composta dagli esiti di una visita medica e da un successivo certificato redatto da  un medico supervisore), depositata presso il proprio centro liquidazione sinistri, situato in un’altra città.
Entrambe le modalità di adempimento sono state ritenute dal Garante  non aderenti alla normativa vigente. 
Secondo il principio generale previsto dalla normativa sulla privacy (in particolare, l’art.23 comma 2, della legge n.675/1996), l’interessato può accedere ai propri dati sanitari solo per il tramite di un medico, designato dall’interessato oppure dalla società che tratta 

i dati. Altre modalità, quali la semplice messa a disposizione di  materiale non selezionato, peraltro presso gli uffici della società che ha raccolto ed utilizzato i dati, siti in altra città, non sono conformi alle norme. 
Per i dati personali comuni, invece, la procedura prevede l’obbligo per il titolare del trattamento di confermare l’esistenza dei dati  richiesti e di comunicarli all’interessato, senza ritardo, in forma 
intelligibile, estrapolandoli, se necessario dai documenti dove sono contenuti.  Solo nel caso in cui 
l’estrazione risulti particolarmente difficoltosa, la documentazione può essere esibita, o se ne può consegnare una copia. 

LE NOTIFICAZIONI DOPO LE NUOVE NORME SULLA PRIVACY.  CHIARIMENTI DELL’AUTORITA’
Il decreto legislativo n. 467/2001 ha previsto una approfondita  revisione della notificazione al Garante dei trattamenti di dati personali, che dovrà essere approvata con un regolamento. Nel frattempo, poiché resteranno temporaneamente applicabili le disposizioni vigenti, l’Autorità ricorda quanto segue:
Ø	la  designazione di uno o più responsabili del trattamento da parte del titolare era e resta facoltativa, (non è infatti stato modificato l’art.8 della l.675/96); 
Ø	il titolare può designare, se vuole, più responsabili; deve tenere costantemente aggiornato l’elenco, ma deve comunicarne  uno solo al Garante, compilando il riquadro f) del modello delle notificazioni, aggiungendo la dicitura “ai sensi del d.lgs. 467/2001”;
Ø	di  conseguenza, non è necessario effettuare comunque una modifica della notificazione al Garante per il solo fatto che è intervenuto il decreto legislativo o viene aggiunto o cambiato uno dei responsabili già indicati  nella notificazione;
Ø	la modifica della notificazione andrà, invece, ad esempio, effettuata se viene designato per la  prima volta almeno un responsabile (e il trattamento, si noti bene, debba essere necessariamente notificato, non rientrando tra gli esoneri di cui all’art.7) oppure se viene designato (o muta) il responsabile specificamente designato per i rapporti con l’interessato, ai fini dell’esercizio dei diritti di cui all’art. 13 della legge.
Si precisa, comunque, che il titolare deve tenere sempre all’interno della propria organizzazione l’elenco completo e aggiornato di tutti i responsabili eventualmente designati, come richiesto dall’art. 4 del decreto legislativo sull’informativa all’interessato.
Per quanto riguarda invece la nomina di un  rappresentante in Italia da parte di un titolare stabilito in  un Paese non appartenente all’Unione europea – il quale impieghi per il trattamento mezzi situati nel territorio dello Stato e che non siano utilizzati solo a fini di transito nel territorio dell’Unione europea (artt. 1, comma 2, e 3 comma 3) - occorre fin d’ora apportare una modifica alla precedente notificazione, comunicandola al Garante. Dovrà essere utilizzato il riquadro f) del modello di notificazione, aggiungendo la dicitura “rappresentante del titolare nel territorio dello Stato”. 
Restano invariate tutte le altre modalità per la redazione della notificazione mediante utilizzo dei modelli standard, compreso l’obbligo, anche in caso di modifica della notificazione, di accompagnare il modello di notificazione con la ricevuta del versamento di euro 12,91, in caso di notificazione su modello cartaceo, e di euro 7,75 in caso di notificazione su dischetto, sul c/c 97204002 indirizzato al Garante per la protezione dei dati personali, Piazza di Monte  Citorio, n. 121 – 00186 Roma.

PIU’ PRIVACY = PIU’ AFFARI
(da un articolo di Maryfran Johnson su Computerworld del 25 febbraio 2002)
Più privacy = più affari è l’equazione che sempre di più si afferma anche negli USA. Cresce infatti, sia fra le imprese sia fra i consumatori, la consapevolezza che il rispetto della privacy offra l’occasione di maggiori guadagni e di una maggiore fidelizzazione dei clienti.
Il rischio è che, altrimenti, le imprese debbano pagare in spese giudiziarie quanto non hanno pagato per garantire la sicurezza dei dati. Un sondaggio recente di Harris Interactive (v. Newsletter 18-24 febbraio 2002) ha indicato, per l’appunto, che la diffusione dei dati personali senza il consenso del cliente costituisce la maggiore fonte di preoccupazione per i consumatori, l’84% dei quali chiede una “verifica indipendente” della politica seguita dalle imprese in materia di privacy. Anche la Forrester Research ha stimato che il volume di affari online nel 2001 avrebbe potuto essere di 15 miliardi di dollari più consistente (rispetto ai 47.6 miliardi effettivamente realizzati) se i consumatori avessero avuto più fiducia nella privacy garantita dalle imprese.
Alcuni casi verificatisi di recente negli USA hanno evidenziato l’importanza del tema:
- l’Università del Minnesota ha rivelato per errore ad oltre 400 trapiantati l’identità dei rispettivi donatori d’organo. Il database contenente queste informazioni, come sottolineato dalla stessa Università, non sarebbe neppure dovuto esistere.
- la Eli Lily, una multinazionale farmaceutica, ha inviato una e-mail ad oltre 600 pazienti in terapia con Prozac rivelando per errore nominativo e indirizzo e-mail di tutti gli altri destinatari. Il caso è stato esaminato dalla FTC (la Federal Trade Commission degli USA) e la società ha patteggiato un’ammenda molto salata.
- un ex-dipendente della Global Crossing, una società di TLC, per vendicarsi di essere stato licenziato ha pubblicato sul proprio sito Web nominativi, numeri della previdenza sociale e data di nascita dei dipendenti della società. La causa giudiziaria è tuttora in corso.
E’ chiaro, dunque, che una maggiore attenzione alla sicurezza delle informazioni ed alla corretta gestione dei flussi di dati è indispensabile per evitare conseguenze spiacevoli. Computerworld evidenzia, in particolare, tre elementi che le imprese dovrebbero tenere presenti a questo scopo:
- assicurarsi che i dati sulla clientela siano accurati, aggiornati ed uniformi per tenere conto in modo adeguato, ad esempio, delle preferenze espresse in materia di privacy (vedi opt-out);
- evitare database sovradimensionati: “piccolo è meglio” per la privacy;
- seguire gli sviluppi legislativi e regolamentari (che anche negli USA si fanno sempre più importanti in questo settore).

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo. Ha collaborato: Antonio Caselli. Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n.121 - 00186 Roma. Tel: 06/69677713- Fax: 06/69677755. Newsletter è consultabile sul sito Internet www.garanteprivacy.it