PROPOSTA DI LEGGE

Art. 1. (Definizioni).

1. Ai fini della presente legge, si intende per:

a) «programma per elaboratore» (software) ogni programma per elaboratore elettronico, costituito da un sistema operativo o da un programma applicativo;

b) «apparecchiatura di raccolta automatica di dati personali» qualunque apparecchio fisico o programma per elaboratore che memorizza o trasmette automaticamente, in maniera temporanea o permanente, dati concernenti il proprio funzionamento o quello di altri apparecchi e programmi per elaboratore, in cui si possono potenzialmente trovare o ricavare informazioni personali o sensibili, come individuate ai sensi del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 luglio 2003, n. 196, e successive modificazioni. Tra le apparecchiature di raccolta automatica dei dati personali sono compresi le reti Global System for Mobile (GSM), i dispositivi Radio Frequency Identification (RFID), i server World Wide Web ed i sistemi di videocontrollo, nonché tutte le apparecchiature che memorizzano su file di log o su supporti analogici informazioni prodotte dall'attività di individui, quali messaggi brevi di testo, posizioni dei terminali GSM, pagine web accedute, luoghi e tempi di presenza, dati biometrici. Tutte le raccolte di dati riguardanti l'attività di individui che sono georeferenziate, ovvero che contengono dati di posizione geografica, o cronoreferenziate, ovvero che contengono dati di posizione nel tempo, e che contengono un identificatore univoco di un

Pag. 6

utente (IUU) appartengono alla categoria definita ai sensi della presente lettera;

c) «gestore di raccolte di dati automatizzate» il titolare del trattamento di dati, individuato ai sensi del citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, o, in sua mancanza, il responsabile organizzativo delle apparecchiature di raccolta dei dati o, in sua mancanza, il responsabile operativo delle apparecchiature di raccolta di dati;

d) «raccolta di dati personali automatizzata» qualunque archivio o flusso di dati generato da una apparecchiatura di raccolta automatica di dati personali;

e) «file di log» qualunque raccolta di informazioni effettuata da un apparecchio fisico o da un programma per elaboratore che è utile o necessaria per il suo funzionamento, ma non ne realizza la funzione principale;

f) «flusso di dati generato da una apparecchiatura di raccolta automatica di dati personali» la trasmissione di dati realizzata da una apparecchiatura di raccolta automatica di dati personali ad altre apparecchiature o soggetti che possono potenzialmente elaborarli o memorizzarli;

g) «procedura di backup» l'insieme di procedure gestionali, di elaboratori, di periferiche per elaboratori e di supporti per la memorizzazione dei dati che vengono utilizzati per garantire la conservazione temporanea di copie degli archivi di dati, al fine di consentire l'archiviazione o il ripristino dei dati stessi in caso di necessità;

h) «profilazione degli utenti» qualunque operazione che, elaborando dati provenienti da una raccolta automatizzata di dati personali, produce dati derivati che evidenziano o raccolgono informazioni sugli utenti e sui loro comportamenti riconducibili a una singola persona;

i) «identificatore univoco di un utente» (IUU) qualunque dato che permette di raggruppare e di attribuire a un singolo

Pag. 7

utente, non identificabile anagraficamente, una serie di dati, non necessariamente personali o sensibili, precedentemente raccolti in forma anonima;

l) «identificazione di un utente» qualunque operazione di elaborazione o incrocio di raccolte automatizzate di dati personali tra loro o con altri tipi di dati che può portare, anche tramite l'impiego di IUU, all'identificazione anagrafica di un utente come persona fisica.

Art. 2. (Obblighi per i gestori di raccolte di dati automatizzate).

1. Le raccolte di dati personali automatizzate possono essere realizzate solo per consentire, controllare o agevolare il funzionamento di apparecchiature di rilevamento, di elaboratori o di programmi per elaboratore. Le raccolte di dati personali automatizzate non possono essere utilizzate per scopi diversi da quelli per cui sono state effettuate, salvo quanto disposto dal comma 2. Le raccolte di dati personali automatizzate possono essere conservate solo per il tempo minimo necessario per il motivo tecnico per cui sono effettuate e devono successivamente essere cancellate, in maniera documentabile, dai supporti originali e da tutte le copie generate da eventuali operazioni di backup. Per la conservazione delle raccolte di dati personali automatizzate si applicano le disposizioni del citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni.
2. Il gestore di raccolte di dati automatizzate che intenda elaborare i dati raccolti per scopi diversi da quelli tecnici previsti deve operare sui dati stessi considerandoli informazioni personali o sensibili, ai sensi del citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, a seconda del tipo di informazioni personali che possono esservi contenute, e adempiendo agli obblighi previsti dal medesimo codice per tali tipologie di informazioni.

Pag. 8

      3. Il gestore di raccolte di dati automatizzate che intende o deve procedere a elaborazioni o a memorizzazioni che eccedono quelle previste dal comma 1 è tenuto a darne comunicazione all'Autorità garante per la protezione dei dati personali. Il gestore di raccolte di dati automatizzate è tenuto altresì a rendere noti la raccolta, le sue modalità, i fini e le procedure di conservazione, copia e cancellazione dei dati alla citata Autorità garante e a tutti i soggetti i cui dati possono potenzialmente essere raccolti. Le modalità di comunicazione e di determinazione dei soggetti interessati sono stabilite dal regolamento di attuazione di cui all'articolo 4, che individua anche le tipologie di elaborazione per le quali è escluso l'obbligo di comunicazione alla citata Autorità garante.
      4. Ove non diversamente previsto dalla legislazione vigente in materia, il periodo massimo di conservazione di dati ricavati tramite raccolta automatizzata di dati personali o di dati derivati da essi è stabilito in tre mesi.
      5. Qualora il gestore di raccolte di dati automatizzate non provveda alla cancellazione dei medesimi dati entro i termini stabiliti, ovvero li elabori o li conservi oltre il periodo stabilito o li trasmetta a terzi, è soggetto alle sanzioni previste dal citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, per la stessa tipologia di violazione.

Art. 3. (Accesso a raccolte di dati personali automatizzate da parte della magistratura e dell'autorità di pubblica sicurezza).

1. A richiesta del giudice competente o dell'autorità di pubblica sicurezza dallo stesso delegata, nell'ambito di indagini correlate a procedimenti penali pendenti o in fase di istruzione, il gestore di raccolte di dati automatizzate è tenuto a fornire i dati provenienti da raccolte di dati personali

Pag. 9

automatizzate per i soli scopi previsti dalla richiesta.
      2. Con il regolamento di attuazione di cui all'articolo 4 sono individuate particolari raccolte di dati personali automatizzate di cui è prevista la conservazione per periodi di tempo inferiori a quanto disposto dall'articolo 2, comma 4. Il medesimo regolamento individua, altresì, le procedure di conservazione e di cancellazione dei dati e le procedure per la richiesta di essi da parte delle autorità competenti.
      3. È comunque esclusa la possibilità di richiedere consegne generalizzate di dati che prevedono o possono portare alla creazione di banche di dati personali riguardanti interi gruppi di persone fisiche o giuridiche che non sono oggetto di indagine giudiziaria nel loro complesso. Le consegne devono essere strettamente limitate ai soli dati necessari ai procedimenti o alle indagini ed essere conservate solo per il periodo strettamente necessario.
      4. I dati trasmessi al giudice competente o all'autorità di pubblica sicurezza ai sensi del presente articolo devono essere utilizzati per i soli scopi per i quali sono stati richiesti. Al termine dell'impiego, tutte le copie dei dati devono essere cancellate, fatte salve quelle eventualmente necessarie per atti obbligatori per legge. In quest'ultimo caso i dati devono essere trattati ed eventualmente resi pubblici con le stesse modalità degli atti con cui sono stati richiesti.

Art. 4. (Regolamento di attuazione).

1. Entro sei mesi dalla data di entrata in vigore della presente legge, il Governo adotta, ai sensi dell'articolo 17, comma 1, della legge 23 agosto 1988, n. 400, e successive modificazioni, il regolamento di attuazione della presente legge.