In relazione alla richiesta di parere avente ad oggetto "dati per compleanni", e relativo alla correttezza di utilizzare i dati presenti nel database dell'anagrafe per inviare a nome del Sindaco/Amministrazione gli auguri di compleanno, si fornisce il seguente parere.

IN VIA PRELIMINARE

In via preliminare, va rilevato quanto segue. La materia oggetto del quesito si riferisce al trattamento di dati personali e, segnatamente, alle operazioni di comunicazione dei dati.

In particolare, dalla formulazione del quesito si ricava che:

1. il Sindaco/Amministrazione intende formulare gli auguri di compleanno per i residenti nel territorio comunale che compiono il 18º anno di età e l'85º anno di età;

2. A tale fine, il Sindaco/Amministrazione intende utilizzare i dati anagrafici, presenti nel database dell'anagrafe, sia per identificare i soggetti a cui inviare gli auguri sia per estrarre gli indirizzi a cui inviare gli auguri medesimi.

NEL MERITO

Ciò premesso in via preliminare, nel merito, va dedotto quanto segue. La materia oggetto del quesito risulta disciplinata dalle seguenti fonti normative e/o regolamentari:

• art. 4, par. 1, n. 1, del Regolamento (UE) 2016/679, secondo cui per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”;

• artt. 6, paragrafo 1, lett. c Regolamento (UE) 2016/679, secondo cui gli enti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale per adempiere a specifici obblighi o compiti previsti da leggi;

• art. 6, paragrafo 1, lett. e) e paragrafo 2 e 3 Regolamento (UE) 2016/679; 2-ter del d.lgs. n. 196 del 30 giugno 2003, secondo cui il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”;

• art. 2-ter, commi 1 e 3 Decreto Legislativo 196/2003 (Base giuridica per il trattamento di dati personali effettuato per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri), secondo cui la base giuridica per trattare i dati e' costituita esclusivamente da una norma di legge o, nei casi previsti dalla legge, di regolamento. La comunicazione fra titolari che effettuano trattamenti di dati personali, diversi da quelli ricompresi nelle particolari categorie di cui all'articolo 9 del Regolamento e di quelli relativi a condanne penali e reati di cui all'articolo 10 del Regolamento, per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri e' ammessa se prevista da una norma di legge o di regolamento. In mancanza di tale norma, la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di compiti di interesse pubblico e lo svolgimento di funzioni istituzionali e può' essere iniziata se e' decorso il termine di quarantacinque giorni dalla relativa comunicazione al Garante, senza che lo stesso abbia adottato una diversa determinazione delle misure da adottarsi a garanzia degli interessati. La diffusione e la comunicazione di dati personali, trattati per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, a soggetti che intendono trattarli per altre finalità' sono ammesse unicamente se la base giuridica e' costituita da una norma di legge o, nei casi previsti dalla legge, di regolamento.

• art. 5 Regolamento UE 679/2016 (Principi applicabili al trattamento di dati personali), secondo cui i dati personali devono essere: a) trattati con «liceità, correttezza e trasparenza»; b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità e adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati; c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);

• art. 13 Regolamento UE 679/2016 (Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato), secondo cui in caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni: c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; (...). Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all'interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2 (comma 3).

Sulla base delle fonti e delle deduzioni sopra indicate, si formulano le seguenti conclusioni.

In relazione all'art. 13 del Regolamento UE 679/2016 il Comune, in quanto titolare del trattamento, in caso di raccolta presso l'interessato di dati che lo riguardano, deve fornire all'interessato medesimo le informazioni relative:

• le finalità del trattamento cui sono destinati i dati personali
• la base giuridica del trattamento.

Il Comune intende utilizzare i dati presenti nel database dell'anagrafe, e dunque dati anagrafici (nome/cognome/data di nascita), per una finalità differente rispetto a quella per cui sono raccolti (gestione servizi anagrafici), ovvero inviare gli auguri di compleanno a nome del Sindaco/Amministrazione. In relazione alla finalità indicata, il Comune è tenuto, prima di effettuare ulteriore trattamento, a fornire all'interessato tutte le informazioni in merito alla diversa finalità e ogni ulteriore informazione pertinente necessarie per garantire un trattamento corretto e trasparente, come previsto dall'art. 13 comma 3 del Regolamento UE 679/2016.

A tal fine, il Comune per fornire agli interessati le informazioni necessarie per garantire un trattamento corretto e trasparente, è tenuto a:

• pubblicare l'informativa medesima (ex art. 13 Regolamento UE 679/2016) sul sito internet istituzionale del Comune, in modo che tutti gli interessati possano prenderne visione;
• specificare nell'informativa l'ulteriore finalità per la quale i dati raccolti nel database dell'anagrafe saranno utilizzati.

CONCLUSIONI

Lo scrivente Servizio di Protezione Dati (DPO) indica di procedere come segue.

• predisporre e pubblicare l'informativa ex art. 13 Regolamento UE 679/2016 sul sito internet istituzionale del Comune in modo che tutti gli interessati possano prenderne visione e i dati possano essere trattati correttamente.