Parere del Garante n. 219 del 17/05/2023

Parere sullo schema di convenzione tra Ministero della giustizia e Agenzia delle entrate per la ricerca telematica dei beni da pignorare

Il Garante esamina lo schema di convenzione, previsto dall’art. 155-quater disp. att. c.p.c., tra Ministero della giustizia e Agenzia delle entrate, volto a disciplinare l’accesso telematico degli ufficiali giudiziari alle banche dati dell’Agenzia per la ricerca dei beni da pignorare ai sensi dell’art. 492-bis c.p.c. Il parere è favorevole, ma subordinato a condizioni puntuali e a ulteriori richieste di aggiornamento documentale.

Quadro normativo di riferimento

Il provvedimento richiama l’art. 492-bis c.p.c., che consente, su istanza del creditore munito di titolo esecutivo e precetto, la ricerca telematica dei beni da pignorare da parte dell’ufficiale giudiziario, nonché l’accesso diretto alle banche dati delle pubbliche amministrazioni, in particolare all’Anagrafe tributaria e all’archivio dei rapporti finanziari. Viene inoltre richiamato l’art. 155-quater disp. att. c.p.c., che subordina l’accesso alla stipulazione di una convenzione, sentito il Garante, e gli articoli 155-quinquies e 155-sexies disp. att. c.p.c. sul sistema complessivo di accesso e applicazione delle disposizioni.

Contenuto dello schema di convenzione

Lo schema consente agli ufficiali giudiziari di accedere, tramite il Sistema di interscambio dati (SID) dell’Agenzia delle entrate, alle informazioni relative a:

• dichiarazioni dei redditi e Certificazione Unica;
• atti del registro;
• archivio dei rapporti finanziari.

L’accesso è finalizzato all’acquisizione delle informazioni rilevanti per individuare beni da sottoporre a esecuzione e può avvenire per i soggetti per i quali sia stata presentata istanza del creditore o, nei casi previsti, previa autorizzazione del presidente del tribunale o di un giudice delegato.

Valutazione del Garante sui profili privacy già recepiti

Il Garante osserva che la versione finale dello schema ha recepito diverse indicazioni fornite nel corso dei confronti informali, in coerenza con il principio di privacy by design e by default di cui all’art. 25 GDPR. In particolare, risultano rafforzati:

• il richiamo ai principi generali del trattamento di cui all’art. 5 GDPR;
• gli obblighi del titolare e del responsabile del trattamento, anche in termini di sicurezza e responsabilizzazione (artt. 24, 28 e 32 GDPR);
• la limitazione della conservazione dei dati alla durata del procedimento amministrativo;
• il tracciamento degli accessi e le attività di controllo reciproche tra Ministero e Agenzia.

Tracciamento degli accessi: integrazioni richieste

Il Garante considera il tracciamento un presidio essenziale, specie in relazione all’Archivio dei rapporti finanziari, per mitigare i rischi di accessi illeciti o non autorizzati e per consentire al titolare di dimostrare la conformità al GDPR. Tuttavia, l’art. 7, comma 4, deve essere integrato per chiarire che i dati oggetto di tracciamento sono utilizzati dall’Agenzia anche:

• per verificare la liceità dei trattamenti;
• per garantire la sicurezza dei trattamenti;
• per adempiere gli obblighi in caso di violazione dei dati personali, ai sensi degli artt. 33 e 34 GDPR.

Criterio degli accessi anomali: modifica necessaria

Il provvedimento ritiene non opportuno fissare in convenzione un criterio rigido e dettagliato per individuare gli accessi potenzialmente anomali, basato sul superamento del doppio della media degli accessi degli ultimi tre mesi. Secondo il Garante, la misura deve restare adeguabile all’evoluzione tecnologica e al contesto concreto del trattamento. Per questo motivo:

• il criterio specifico va espunto;
• occorre un rinvio a criteri adeguati individuati e rivalutati periodicamente dall’Agenzia;
• tali criteri devono essere definiti nell’ambito della valutazione d’impatto sulla protezione dei dati ex art. 35 GDPR.

Valutazione d’impatto e relazione successiva al Garante

Poiché il trattamento riguarda una platea ampia di soggetti e banche dati particolarmente delicate, il Garante richiede un rafforzamento del monitoraggio. In particolare, l’Agenzia delle entrate deve trasmettere:

• prima dell’avvio del trattamento, una versione aggiornata della DPIA, con la descrizione dei criteri di rilevazione degli accessi anomali e delle misure di gestione;
• trascorsi sei mesi dall’avvio, una relazione sull’efficacia dei criteri e delle misure adottate, con indicazione delle eventuali criticità e tenendo conto dei controlli effettuati dal Ministero della giustizia.

Conclusioni

Il parere è favorevole, ma condizionato al recepimento delle modifiche richieste sull’art. 7, comma 4, e all’adempimento degli obblighi informativi e di aggiornamento della valutazione d’impatto. Il Garante fonda l’intervento sugli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, nonché sull’art. 155-quater disp. att. c.p.c.; inoltre ingiunge la trasmissione della relazione semestrale ai sensi dell’art. 58, par. 1, lett. a), GDPR e dell’art. 157 del Codice privacy, avvertendo che l’eventuale mancato riscontro può comportare la sanzione di cui all’art. 83, par. 5, lett. e), GDPR.