Delib. Aut. Garante Privacy 19/12/2018, n. 515

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (di seguito «Regolamento» e «RGPD»);

Visto il decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE»;

Visto il Codice in materia di protezione dei dati personali, decreto legislativo 30 giugno 2003, n. 196, (di seguito Codice), così come modificato dal predetto decreto legislativo n. 101 del 2018;

Visto il Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e scientifici allegato A.4 al Codice;

Visto l'art. 5-ter del decreto legislativo 14 marzo 2013, n. 33, Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni, relativo all'accesso per fini scientifici ai dati elementari raccolti per finalità statistiche;

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del garante n. 1/2000;

Relatore la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

L'art. 20, commi 3 e 4, del decreto legislativo 101 del 2018 ha conferito al garante il compito di verificare, nel termine di 90 giorni dalla sua entrata in vigore, la conformità al regolamento delle disposizioni contenute nei codici di deontologia e buona condotta di cui agli allegati A.1, A.2, A.3, A.4 e A.6 al Codice.

Le disposizioni ritenute compatibili, ridenominate regole deontologiche, dovranno essere pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministero della giustizia, saranno successivamente riportate nell'allegato A al Codice.

Il Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici, allegato A.4 al Codice, cessa di produrre effetti dalla pubblicazione delle predette regole nella Gazzetta Ufficiale (art. 20, comma 3, del decreto legislativo n. 101 del 2018).

Resta fermo che successivamente, il Garante potrà promuovere la revisione di tali regole, secondo la procedura di cui

CAPO I - AMBITO DI APPLICAZIONE E PRINCIPI GENERALI

Art. 1. - Definizioni

1. Ai fini delle presenti regole si applicano le definizioni elencate nell'art. 4 del Regolamento con le seguenti integrazioni:

a) «risultato statistico», l'informazione ottenuta con il trattamento di dati personali per quantificare aspetti di un fenomeno collettivo;

b) «unità statistica», l'entità alla quale sono riferiti o riferibili i dati trattati;

c) «variabile pubblica», il carattere o la combinazione di caratteri, di tipo qualitativo o quantitativo, oggetto di una rilevazione statistica che faccia riferimento ad informazioni presenti in pubblici registri, elenchi, atti, documenti o fonti conoscibili da chiunque;

d) «istituto o ente di ricerca», un organismo pubblico o privato per il quale la finalità di statistica o di ricerca scientifica risulta dagli scopi dell'istituzione e la cui attività scientifica è documentabile;

e) «società scientifica», un'associazione che raccoglie gli studiosi di un ambito disciplinare, ivi comprese le relative associazioni professionali.

2. Salvo quando diversamente specificato, il riferimento a trattamenti per scopi statistici si intende comprensivo anche dei trattamenti per scopi scientifici.

Art. 2. - Ambito di applicazione

1. Le presenti regole deontologiche si applicano all'insieme dei trattamenti effettuati per scopi statistici e scientifici -conformemente agli standard metodologici del pertinente settore disciplinare-, di cui sono titolari università, altri enti o istituti di ricerca e società scientifiche, nonché ricercatori che operano nell'ambito di dette università, enti, istituti di ricerca e soci di dette società scientifiche.

2. Le presenti regole deontologiche non si applicano ai trattamenti per scopi statistici e scientifici connessi con attività di tutela della salute svolte da esercenti professioni sanitarie od organismi sanitari, ovvero con attività comparabili in termini di significativa ricaduta personalizzata sull'interessato, che restano regolati dalle pertinenti disposizioni.

Art. 3. - Presupposti dei trattamenti

1. La ricerca è effettuata sulla base di un progetto redatto conformemente agli standard metodologici del pertinente settore disciplinare, anche al fine di documentare che il trattamento sia effettuato per idonei ed effettivi scopi statistici o scientifici.

2. Il progetto di ricerca di cui al comma 1, inoltre:

a) specifica le misure da adottare nel trattamento di dati personali, al fine di garantire il rispetto delle presenti regole deontologiche, nonché della normativa in materia di protezione dei dati personali;

b) individua gli eventuali responsabili del trattamento

c) contiene una dichiarazione di impegno a conformarsi alle presenti regole deontologiche. Un'analoga dichiarazione è sottoscritta anche dai soggetti -ricercatori, responsabili e persone autorizzate al trattamento- che fossero coinvolti nel prosieguo della ricerca, e conservata conformemente a quanto previsto al comma 3.

3. Il titolare deposita il progetto presso l'università o ente di ricerca o società scientifica cui afferisce, la quale ne cura la conservazione, in forma riservata (essendo la consultazione del progetto possibile ai soli fini dell'applicazione della normativa in materia di dati pers