Parere del Garante n. 379 del 20/06/2024

Parere sullo schema di decreto MAECI per il documento di viaggio provvisorio europeo (ETD UE)

Il Garante per la protezione dei dati personali si pronuncia sullo schema di decreto del Ministero degli affari esteri e della cooperazione internazionale che recepisce la direttiva (UE) 2019/997, relativa al documento di viaggio provvisorio dell’Unione europea, cd. ETD UE, e abroga la decisione 96/409/PESC. Il parere è reso ai sensi dell’art. 36, par. 4, e dell’art. 58, par. 3, lett. b), del GDPR.

Quadro normativo e oggetto del decreto

Lo schema di decreto, composto da 12 articoli e 2 allegati, disciplina la procedura per il rilascio dell’ETD UE ai cittadini dell’Unione non rappresentati in un Paese terzo e, per quanto riguarda i cittadini italiani, la relativa assistenza consolare. Il testo recepisce anche le prescrizioni tecniche della decisione di esecuzione (UE) 2022/2452 della Commissione dell’8 dicembre 2022, che stabilisce requisiti complementari per il documento di viaggio provvisorio.

Principali previsioni rilevanti per la protezione dei dati

Il decreto prevede che l’ETD UE sia rilasciato dall’ufficio consolare in caso di smarrimento, furto o distruzione del passaporto o documento di viaggio, ovvero quando non sia possibile ottenerne uno entro un tempo ragionevole. La domanda deve essere presentata mediante apposito modulo e corredata, tra l’altro, dalla denuncia alle autorità di polizia, dal titolo di viaggio ove possibile e da una fotografia digitale o scansionata conforme al documento ICAO 9303.

Per i cittadini non rappresentati, l’ufficio consolare consulta il Ministero degli affari esteri oppure l’ambasciata o il consolato dello Stato membro di cittadinanza per verificare cittadinanza e identità; in caso di conferma, il documento viene rilasciato, mentre l’eventuale opposizione dello Stato membro di cittadinanza viene comunicata all’interessato. L’ufficio consolare conserva una copia o scansione di ciascun documento rilasciato e ne trasmette una seconda copia allo Stato membro di cittadinanza. Sono previsti meccanismi analoghi di consultazione anche quando siano le autorità di altri Stati membri a chiedere conferma della cittadinanza italiana.

Trattamento dei dati personali, conservazione e sicurezza

Lo schema stabilisce che i dati personali raccolti per il rilascio dell’ETD UE siano utilizzati esclusivamente per verificare l’identità del richiedente, stampare l’adesivo uniforme ETD UE e agevolarne il viaggio. I dati sono conservati solo per il tempo necessario allo svolgimento delle attività disciplinate dal decreto e, comunque, per un massimo di due anni per i cittadini italiani o 180 giorni per i cittadini di altri Stati membri. Gli ETD UE restituiti e tutte le copie devono essere distrutti tempestivamente con modalità idonee a garantire la sicurezza dei dati.

Valutazione del Garante

Il Garante osserva che lo schema, nel complesso, non presenta specifici profili di criticità in materia di protezione dei dati personali, trattandosi essenzialmente di un recepimento di normativa europea già puntualmente definita. Tuttavia, per un corretto allineamento al quadro GDPR, l’Autorità ritiene necessario che il testo venga integrato in tre punti:

• sia esplicitato il ruolo di titolare del trattamento in capo al Ministero degli affari esteri e della cooperazione internazionale;
• sia inserito un richiamo più generale ai diritti degli interessati previsti dagli artt. 15-22 del GDPR, oltre alla sola verifica e rettifica dei dati contenuti nel documento;
• sia precisato che il livello di sicurezza dei trattamenti deve essere conforme al Regolamento (UE) 2016/679, al Codice privacy e alle disposizioni della disciplina di settore.

Esito

Alla luce di tali integrazioni, il Garante esprime parere favorevole sullo schema di decreto. Il parere è quindi favorevole con condizioni, e le condizioni riguardano essenzialmente la qualificazione del titolare del trattamento, la completezza dell’informativa sui diritti degli interessati e il rinvio puntuale alle norme sulla sicurezza dei dati personali.