Parere del Garante n. 466 del 18/07/2024

Parere sullo schema di decreto direttoriale interministeriale sulle specifiche tecniche S.IN.D.A.C.A

Il Garante per la protezione dei dati personali si pronuncia sullo schema di decreto direttoriale interministeriale, predisposto dal Ministero dell’interno e dal Ministero della giustizia, relativo alle specifiche tecniche per rendere disponibile, nella fase giurisdizionale di merito, la videoregistrazione dei colloqui dei richiedenti asilo nel progetto S.IN.D.A.C.A. Il parere è reso ai sensi dell’art. 36, par. 4, del Regolamento (UE) 2016/679 e si inserisce nel quadro applicativo dell’art. 14 del d.lgs. 25/2008.

Contesto procedurale e iter istruttorio

Il provvedimento sottoposto al Garante è il risultato di una articolata attività istruttoria. Dopo una prima nota di indicazioni preliminari dell’Ufficio del Garante, il Ministero dell’interno ha chiesto un confronto di lavoro con i dicasteri interessati; si è svolta una riunione con rappresentanti dei ministeri e dell’Ufficio del Garante, seguita da ulteriori interlocuzioni, fino all’invio di una versione aggiornata dello schema. Il testo esaminato risulta quindi frutto di un confronto tecnico volto a recepire i rilievi emersi in materia di protezione dei dati personali.

Quadro normativo di riferimento

Il decreto è adottato in attuazione dell’art. 14 del d.lgs. 25/2008, che disciplina il verbale del colloquio personale del richiedente asilo. La norma prevede la videoregistrazione del colloquio, la trascrizione in lingua italiana con strumenti automatici di riconoscimento vocale, la lettura della trascrizione al richiedente in una lingua comprensibile, la sottoscrizione del verbale e la conservazione informatica del file e del verbale con garanzie di integrità, non modificabilità e certezza temporale. In sede di ricorso giurisdizionale, videoregistrazione e verbale sono messi a disposizione dell’autorità giudiziaria secondo specifiche tecniche definite d’intesa tra i Ministeri, sentito il Garante per i profili privacy.

Valutazione complessiva del Garante

Il Garante rileva che il nuovo testo recepisce molte delle indicazioni fornite in fase istruttoria e che il Ministero dell’interno, anche sulla base della valutazione d’impatto sulla protezione dei dati ex art. 35 GDPR, ha previsto misure tecniche e organizzative idonee a presidiare i trattamenti svolti nell’ambito del sistema S.IN.D.A.C.A. In particolare, tali misure appaiono coerenti con i principi di limitazione delle finalità, minimizzazione, integrità e riservatezza, nonché con gli obblighi di sicurezza, prevenzione delle violazioni e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Misure di sicurezza e organizzative richiamate nello schema

Lo schema prevede, tra l’altro:

• la registrazione degli accessi e delle operazioni effettuate sul sistema, sulla videoregistrazione e sul verbale da parte dei soggetti autorizzati, con individuazione dei tempi di conservazione;
• l’uso della crittografia per la trasmissione dei dati e misure tecniche per assicurare integrità, non modificabilità e certezza temporale delle registrazioni;
• procedure operative tra i diversi titolari coinvolti per rilevare e gestire eventuali violazioni dei dati personali;
• la limitazione degli attributi associati alle identità digitali dei soggetti autorizzati ai soli dati necessari;
• misure di accesso selettivo alle informazioni;
• il riesame e l’aggiornamento almeno annuale delle misure tecniche e organizzative o in caso di cambiamento dei rischi.

Il Garante richiama, per tali profili, gli artt. 5, par. 1, lett. b), c), e), f), 25, 32 e 33 del GDPR.

Rilievo sulla titolarità del trattamento

Un primo punto da perfezionare riguarda l’art. 5, commi 1 e 2, dello schema, che attribuisce la titolarità dei trattamenti al Dipartimento libertà civili e immigrazione del Ministero dell’interno. Il Garante osserva che, in ragione della centralità della corretta individuazione del titolare ai fini delle responsabilità privacy, sarebbe preferibile identificare il titolare nel Ministero dell’interno e non nel solo dipartimento.

Rilievo sulla conservazione dei dati: necessità di termini certi

Il rilievo principale concerne la conservazione dei dati. Con riferimento all’art. 5, comma 2, lett. a), lo schema stabilisce che le registrazioni degli accessi e delle operazioni debbano essere inviate e raccolte da un sistema informatico centralizzato con tempi di conservazione di almeno 24 mesi. Per il Garante, tale formulazione non soddisfa il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR, perché lascia indeterminato il momento della cancellazione.

Il testo deve quindi essere modificato in modo da individuare un termine certo di scadenza, ad esempio eliminando la parola "almeno" oppure fissando ex novo un termine determinato in base alla valutazione dell’amministrazione competente e alle eventuali esigenze di settore.

Conservazione dei dati di cui all’art. 5, comma 4

Il Garante formula un’analoga osservazione anche per il termine di conservazione previsto dall’art. 5, comma 4, dello schema, in collegamento con l’art. 14, comma 3, del d.lgs. 25/2008. In tale prospettiva, ritiene ragionevole fissare la conservazione in tre anni, quale periodo minimo stabilito dalla norma primaria, oppure in un diverso termine congruo purché motivatamente individuato.

Conclusioni

Il parere è quindi favorevole, ma subordinato a una condizione: all’art. 5, commi 1, lett. a), e 4, devono essere individuati termini certi di conservazione dei dati personali. Il Garante formula inoltre un’osservazione sull’opportunità di ricondurre la titolarità del trattamento al Ministero dell’interno anziché al solo Dipartimento libertà civili e immigrazione. Il parere conferma la legittimità dell’impianto complessivo dello schema, purché siano precisati i profili di data retention e di corretta allocazione delle responsabilità privacy.