Art. 2.
(Obblighi per i gestori di raccolte
di dati automatizzate).
1. Le raccolte di dati personali automatizzate possono essere realizzate solo per consentire, controllare o agevolare il funzionamento di apparecchiature di rilevamento, di elaboratori o di programmi per elaboratore. Le raccolte di dati personali automatizzate non possono essere utilizzate per scopi diversi da quelli per cui sono state effettuate, salvo quanto disposto dal comma 2. Le raccolte di dati personali automatizzate possono essere conservate solo per il tempo minimo necessario per il motivo tecnico per cui sono effettuate e devono successivamente essere cancellate, in maniera documentabile, dai supporti originali e da tutte le copie generate da eventuali operazioni di backup. Per la conservazione delle raccolte di dati personali automatizzate si applicano le disposizioni del citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni.
2. Il gestore di raccolte di dati automatizzate che intenda elaborare i dati raccolti per scopi diversi da quelli tecnici previsti deve operare sui dati stessi considerandoli informazioni personali o sensibili, ai sensi del citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, a seconda del tipo di informazioni personali che possono esservi contenute, e adempiendo agli obblighi previsti dal medesimo codice per tali tipologie di informazioni.
Pag. 8
3. Il gestore di raccolte di dati automatizzate che intende o deve procedere a elaborazioni o a memorizzazioni che eccedono quelle previste dal comma 1 è tenuto a darne comunicazione all'Autorità garante per la protezione dei dati personali. Il gestore di raccolte di dati automatizzate è tenuto altresì a rendere noti la raccolta, le sue modalità, i fini e le procedure di conservazione, copia e cancellazione dei dati alla citata Autorità garante e a tutti i soggetti i cui dati possono potenzialmente essere raccolti. Le modalità di comunicazione e di determinazione dei soggetti interessati sono stabilite dal regolamento di attuazione di cui all'articolo 4, che individua anche le tipologie di elaborazione per le quali è escluso l'obbligo di comunicazione alla citata Autorità garante.
4. Ove non diversamente previsto dalla legislazione vigente in materia, il periodo massimo di conservazione di dati ricavati tramite raccolta automatizzata di dati personali o di dati derivati da essi è stabilito in tre mesi.
5. Qualora il gestore di raccolte di dati automatizzate non provveda alla cancellazione dei medesimi dati entro i termini stabiliti, ovvero li elabori o li conservi oltre il periodo stabilito o li trasmetta a terzi, è soggetto alle sanzioni previste dal citato codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, per la stessa tipologia di violazione.