Parere del Garante n. 444 del 21/12/2022

Schema di decreto modificativo delle disposizioni attuative della Carta della cultura

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto modificativo del decreto interministeriale 10 febbraio 2021, n. 73, relativo alle disposizioni attuative della Carta della cultura prevista dall’art. 6 della legge 13 febbraio 2020, n. 15. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Quadro normativo e finalità dell’intervento

La Carta della cultura è istituita per contrastare la povertà educativa e promuovere la diffusione della lettura, mediante una carta elettronica del valore nominale di 100 euro utilizzabile per l’acquisto di libri, anche digitali, muniti di codice ISBN. Lo schema di modifica mira ad adeguare la disciplina ai requisiti del GDPR e del Codice privacy, anche in considerazione del riuso delle applicazioni software già utilizzate per l’iniziativa 18app e del riutilizzo dei dati degli esercenti già raccolti, con possibilità per questi ultimi di richiederne la cancellazione dall’elenco.

Ruoli e responsabilità nel trattamento

Lo schema stabilisce che il Ministero della cultura agisce quale titolare del trattamento e limita i trattamenti alla sola realizzazione dei compiti connessi all’attribuzione e all’utilizzo della Carta. Per l’esecuzione delle attività operative il Ministero si avvale di:

• PagoPA S.p.a. per la realizzazione di una sezione dedicata nell’App IO per la richiesta della Carta;
• Consap S.p.a. per la liquidazione delle fatture;
• SOGEI S.p.a. per la realizzazione e gestione della piattaforma per la registrazione di esercenti, richiedenti ed eventuali beneficiari, oltre che per il monitoraggio degli oneri e la quantificazione dei rimborsi.

Tali soggetti sono qualificati come responsabili del trattamento ai sensi dell’art. 28 GDPR, mediante contratto da stipularsi tramite il Centro per il libro e la lettura, con definizione degli obblighi reciproci, delle responsabilità e delle modalità di gestione e conservazione dei dati.

Dati trattati, accesso alla piattaforma e graduatoria dei beneficiari

Lo schema prevede che gli esercizi commerciali abilitati siano inseriti in un elenco consultabile tramite una piattaforma informatica dedicata, alla quale si accede con SPID o CIE, in analogia con quanto previsto per 18app dal decreto ministeriale 26 settembre 2022, n. 184.

Per la formazione della graduatoria dei soggetti beneficiari sono trattati:

• il codice fiscale del richiedente, per verificare tramite INPS il rispetto della soglia ISEE;
• il codice fiscale dei componenti del nucleo familiare;
• il protocollo della Dichiarazione Sostitutiva Unica (DSU);
• il valore numerico dell’indicatore ISEE, limitatamente ai casi in cui il richiedente rientri sotto la soglia prevista.

Il Garante valorizza la delimitazione delle categorie di dati, in coerenza con i principi di minimizzazione e limitazione delle finalità.

Valutazione d’impatto, sicurezza e conservazione

Prima dell’avvio del trattamento, il Ministero, per il tramite del Centro per il libro e la lettura e con il supporto dei responsabili, deve effettuare la valutazione di impatto ai sensi dell’art. 35 GDPR. Tale valutazione deve indicare le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi connessi ai trattamenti.

Lo schema disciplina anche i tempi di conservazione dei dati, da individuarsi per ciascuna tipologia di informazione nel rispetto dell’art. 5, par. 1, lett. e), GDPR. È previsto che la conservazione non superi i sette anni e che sia comunque limitata al tempo necessario al raggiungimento delle finalità del trattamento.

Informative agli interessati

Il testo prevede che le informazioni richieste dagli artt. 13 e 14 GDPR siano fornite dal Centro per il libro e la lettura:

• ai richiedenti e ai beneficiari, all’interno dell’App IO e sul sito web dell’iniziativa;
• agli esercenti, sul sito web dell’iniziativa e sulla pagina web della piattaforma gestita da Consap per la liquidazione delle fatture.

Il Garante considera tale impostazione coerente con i requisiti di trasparenza.

Valutazione complessiva del Garante

Nel provvedimento si dà atto che la versione finale dello schema ha recepito le indicazioni formulate dall’Ufficio durante le interlocuzioni con il Ministero, con particolare riguardo a:

• corretta definizione dei ruoli;
• individuazione delle categorie di dati trattati;
• contenuti delle informative;
• rispetto dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• rispetto del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR;
• adeguata valutazione dei rischi ai sensi degli artt. 24, 25 e 35 GDPR.

Sulla base di tali elementi, il Garante conclude che lo schema di decreto non presenta profili di criticità in materia di protezione dei dati personali e rende parere favorevole.