P.a., privacy senza delega

Tipologia
Notizia
Data
29/10/2019

 

La compagnia, che fornisce servizi assicurativi a un ente pubblico, ai fini privacy, non è responsabile esterno del trattamento dei dati per conto della p.a. È, invece, un titolare autonomo del trattamento.
Nei bandi di gara per l'affidamento dei servizi assicurativi (polizze infortuni, responsabilità civile di terzi, e così via), quindi, gli enti pubblici e/o società controllate o partecipate da enti pubblici non devono prevedere che la compagnia assicurativa aggiudicataria debba necessariamente assumere il ruolo di responsabile del trattamento ai sensi dell'articolo 28 del Regolamento Ue sulla privacy n. 2016/679 (Gdpr).

È quanto chiarito dal Garante della privacy, che ha fornito il parere 21/10/2019, rispondendo al quesito di una compagnia.

Secondo il Garante la conclusione deriva da una serie rilievi: 1) l'attività dell'assicurazione è effettuata in maniera totalmente autonoma; 2) l'attività assicurativa è riservata per legge a soggetti specializzati (e cioè le compagnie, soggette alla vigilanza dell'Ivass), mentre una p.a. non può svolgere questa attività, né tanto meno delegarla; 3) la compagnia deve avere mani libere nella valutazione e liquidazione del danno, ad essa sola spettando decidere se liquidare direttamente un sinistro, oppure avviare puntuali verifiche o resistere in giudizio. La conclusione è che la società assicuratrice, aggiudicataria del servizio di copertura assicurativa, agisce in qualità di autonomo titolare, in quanto non effettua un trattamento di dati «per conto» dell'ente aggiudicante.

Detto questo, si pone il problema delle condizioni del trasferimento di dati (ad esempio di dipendenti e utenti) dall'ente alla compagnia: sul punto, il Garante precisa che, per i dati diversi da quelli sensibili, particolari e giudiziari, la base giuridica del trasferimento è il contratto (articolo 6, paragrafo 1, lett. b) del Gdpr (si deve rilevare, però, non sempre le persone, i cui dati sono trattati, sono parte del contratto assicurativo e ci si chiede, allora, se le compagnie debbano utilizzare una diversa base giuridica per il loro autonomo trattamento). Il Garante aggiunge, inoltre, che l'assicurazione non può usare i dati, ricevuti per trattare i sinistri, a fini diversi da quelli assicurativi (ad esempio marketing).

Nella lettera non vi sono specifiche indicazioni sulla base giuridica utilizzabile per il trasferimento, da ente ad assicurazione, dei dati sensibili, particolari o relativi a condanne e reati e per il successivo autonomo trattamento dei medesimi dati da parte delle compagnie.

Tornando ai bandi, il Garante rileva che, in un'ottica di accountability (articolo 25 Gdpr), è comunque apprezzabile l'inserimento, in sede di bando di gara, di elementi per selezionare contraenti che diano le massime garanzie in materia di privacy.

Infine, nel contratto con l'assicurazione devono essere determinati puntuali termini di conservazione dei dati, una volta esauriti gli effetti del contratto stesso.

Fin qui il parere del Garante. Ci si chiede, peraltro, se il risultato sia lo stesso in relazione alla possibile attività di gestione delle liti sui sinistri da parte delle compagnie per conto dell'ente aggiudicante.

Più in generale si ricorda che il problema della qualificazione del fornitore di servizi alla p.a. non è nuovo e il Garante se ne è occupato molte volte in passato, arrivando a individuare quali responsabili del trattamento:

1) i soggetti privati chiamati a collaborare con l'ente pubblico per lo svolgimento di compiti istituzionali, come una società incaricata da un comune di effettuare misurazioni presso abitazioni per l'accertamento della tassa di smaltimento dei rifiuti (provvedimento 29 luglio 1998);

2) il concessionario di pubblici servizi rispetto alla p.a. concedente (provvedimento 15 ottobre 1998);

3) la società di consulenza informatica, professionisti ed altri organismi che elaborano dati inerenti a clienti, fornitori, dipendenti, a fini di gestione amministrativa e contabile (provvedimento 26 novembre 1998).

 

A cura di ItaliaOggi del 29.10.2019 NUMERO 255   PAG. 32


Loading...