Le pubblicheamministrazioni non devono inserire nei bandi di gara per i serviziassicurativi, l’obbligo per le compagnie aggiudicatarie di assumere l’incaricodi responsabile del trattamento dei dati.

L’assicurazione,ai sensi del Regolamento europeo sulla protezione dei dati e della normativa disettore, mantiene la sua autonomia decisionale, in qualità di titolare deltrattamento.

Lo ha chiarito il Garante per la privacy nel parerefornito a una società assicuratrice che si lamentava di nonpoter partecipare a gare per l’affidamento dei servizi assicurativi a causa dialcune clausole in merito al trattamento dei dati, a suo avviso errate, impostedagli enti aggiudicanti. Alcuni enti pubblici, nonché alcune societàcontrollate o partecipate, nel predisporre i capitolati, avevano infattiprevisto l’obbligo contrattuale per le compagnie che offrivano serviziassicurativi (come polizze sugli infortuni o sulla responsabilità civile diterzi) di riconoscere la titolarità della Pa per le decisioni in merito altrattamento dei dati personali.

Nel corso dell’istruttoria, l’Autorità ha precisato, invece, chela compagnia assicurativa deve assumere la posizione di titolare autonomo deltrattamento. L’ente aggiudicante e la compagnia assicuratrice perseguono,infatti, interessi separati e distinti, che impediscono all’assicurazione diporre in essere un trattamento di dati “per conto” dell’ente aggiudicante. Taleautonomia è particolarmente evidente nella fase di gestione dei sinistri,laddove la compagnia debba decidere se liquidare direttamente un sinistro senzaparticolari formalità, ovvero avviare più puntuali verifiche o anche resisterein giudizio.

Nel suo parere, il Garante ha inoltre sottolineato che lacompagnia assicuratrice deve comunque agire nel pieno rispetto della disciplinain materia di protezione dati personali. Potrà dunque utilizzare i datiacquisiti solo per le finalità previste dal contratto e non per altre, quali adesempio il marketing.

In un’ottica di responsabilizzazione (accountability) deisoggetti, pubblici e privati, che trattano i dati, prevista dal Regolamentoeuropeo (Gdpr), l’Autorità ha comunque rimarcato l’utilità di inserire neibandi di gara clausole che consentano di selezionare contraenti in grado difornire le più idonee garanzie in materia di protezione dei dati personali.