Parere del Garante n. 580 del 07/12/2023

Adeguamento di ANPR al Regolamento (UE) 2018/1724

Il Garante per la protezione dei dati personali ha espresso parere favorevole sullo schema di decreto del Ministro dell’interno recante l’adeguamento delle procedure rese disponibili tramite ANPR alle previsioni del Regolamento (UE) 2018/1724. Il provvedimento mira a rendere fruibili online, anche nell’ottica dello sportello digitale unico europeo, le procedure relative alla richiesta di una prova della registrazione di nascita e alla registrazione del cambio di indirizzo, nell’ambito delle competenze attribuite dall’art. 62, comma 6-bis, del d.lgs. 82/2005.

Quadro normativo di riferimento

Il parere si colloca nel quadro del GDPR, del Codice privacy, della disciplina anagrafica nazionale e delle regole europee sul Single Digital Gateway. Sono richiamati, in particolare:

• l’art. 62 del CAD, che istituisce ANPR e disciplina i decreti ministeriali per l’aggiornamento dei servizi;
• il Regolamento (UE) 2018/1724, con riferimento all’art. 6 sulle procedure da poter svolgere interamente online e all’art. 14 sul sistema tecnico per lo scambio transfrontaliero automatizzato di prove;
• il Regolamento di esecuzione (UE) 2022/1463, che detta le specifiche tecniche e operative del sistema once-only e le modalità di autenticazione, anteprima e scambio delle evidence.

Contenuto dello schema di decreto

Lo schema, composto da quattro articoli e da un disciplinare tecnico parte integrante, disciplina:

• le modalità telematiche di richiesta e rilascio dei certificati di nascita tramite ANPR per il cittadino dell’Unione europea nato in Italia, non più iscritto in ANPR ma già presente nell’anagrafe comunale al momento del subentro o successivamente;
• le modalità telematiche di richiesta dell’iscrizione anagrafica da parte del cittadino UE, ai sensi degli artt. 3 e 9 del d.lgs. 30/2007, con conseguente possibilità di ottenere la certificazione di residenza.

Il testo chiarisce inoltre che la presentazione delle istanze avviene previa identificazione elettronica tramite servizi disponibili sul portale ANPR, secondo il disciplinare tecnico e secondo le regole del sistema SDG.

Flussi procedurali e dati trattati

Il disciplinare tecnico dettaglia i passaggi operativi e i dati coinvolti. In fase di accesso sono richiesti, tramite login eIDAS, il codice identificativo associato al mezzo di identificazione elettronica, nome, cognome, data di nascita, genere, luogo di nascita e indirizzo di posta elettronica per le comunicazioni procedimentali.

Per la richiesta del certificato di nascita è richiesto il codice fiscale del richiedente; per la domanda di iscrizione anagrafica il codice fiscale è richiesto in modo discrezionale, a seconda che il cittadino ne sia o meno in possesso. Il codice fiscale, se fornito, viene verificato tramite il servizio dell’Agenzia delle Entrate integrato con ANPR. Se il richiedente non possiede il codice fiscale, sarà l’ufficiale d’anagrafe, in caso di esito positivo dell’istanza, a richiederne l’assegnazione all’Agenzia delle Entrate.

Uso del sistema once-only e scambio di evidence

Lo schema attua il modello once-only previsto dal Regolamento (UE) 2018/1724. In particolare, per la procedura di registrazione del cambio di indirizzo, il cittadino potrà recuperare le prove necessarie tramite il sistema tecnico del SDG, evitando di allegare direttamente la documentazione. Il flusso prevede:

• avvio dal portale ANPR;
• dialogo con le componenti nazionali SDG sviluppate da AgID;
• acquisizione della prova dalle banche dati dell’autorità estera competente;
• reindirizzamento al nodo nazionale di Preview Space;
• autenticazione eIDAS;
• visione preventiva della prova e possibilità di confermarne o meno l’associazione alla richiesta.

Per l’invio di prove richieste da altre amministrazioni di Stati membri, lo scambio avviene esclusivamente tra amministrazioni, tramite le componenti nazionali SDG, e il cittadino può visionare in anteprima l’evidence prima di autorizzarne l’allegazione e la trasmissione.

Ruoli dei soggetti coinvolti

Il Garante precisa i ruoli privacy dei diversi soggetti:

• il Ministero dell’interno è titolare del trattamento dei dati contenuti in ANPR;
• Sogei S.p.A. è responsabile del trattamento ai sensi dell’art. 28 GDPR, in quanto incaricata della realizzazione del progetto e della gestione dell’infrastruttura;
• AgID, quale soggetto attuatore del SDG per l’Italia per conto delle pubbliche amministrazioni titolari dei procedimenti e/o responsabili dell’erogazione di prove, opera come responsabile del trattamento, con designazione secondo le modalità previste dal Regolamento di funzionamento.

Sicurezza, logging e accountability

Lo schema richiama le misure di sicurezza previste dall’allegato C del DPCM n. 194/2014 e ulteriori misure per mitigare il rischio di accesso automatizzato alle applicazioni. È inoltre prevista la tracciatura di accessi ed esiti delle operazioni, con registrazione di:

• Unique Identifier;
• codice fiscale;
• data e ora con indicazione di millisecondi;
• tipo di operazione;
• esito;
• identificativo della richiesta;
• modalità di autenticazione.

I log sono conservati fino a un anno online e poi per 10 anni offline; il Ministero adotta anche un sistema di log analysis per individuare eventi potenzialmente anomali o accessi illeciti.

Valutazioni del Garante e conclusioni

L’Autorità evidenzia che il Ministero dell’interno dovrà assicurare la conformità delle procedure e delle misure tecniche e organizzative della piattaforma ANPR al Regolamento di funzionamento dell’infrastruttura nazionale SDG e ai suoi eventuali aggiornamenti. Inoltre, quale titolare del trattamento, dovrà integrare e aggiornare la valutazione d’impatto sulla protezione dei dati personali rispetto ai rischi connessi ai trattamenti introdotti dallo schema, potendo fare riferimento alle analisi svolte da AgID per le attività a questa demandate.

Il Garante rileva che, grazie anche alle precisazioni emerse nel corso dell’istruttoria sulle modalità di integrazione tra ANPR e il nodo SDG nazionale e sul ruolo del Ministero dell’interno nello scambio automatizzato di prove, non emergono profili di criticità in materia di protezione dei dati personali. Pertanto, esprime parere favorevole sullo schema di decreto.