Parere del Garante n. 540 del 12/09/2024

Regolamento sulla banca dati regionale dell’ILIA della Regione Friuli-Venezia Giulia

Il Garante per la protezione dei dati personali ha espresso parere favorevole sullo schema di regolamento per l’istituzione, l’organizzazione e il funzionamento della banca dati regionale dell’imposta locale immobiliare autonoma (ILIA), adottato dalla Regione Friuli-Venezia Giulia ai sensi dell’art. 17 della legge regionale 14 novembre 2022, n. 17. Il parere è reso nell’ambito della procedura prevista dall’art. 36, par. 4, GDPR, con riferimento al trattamento di dati personali, anche appartenenti a categorie particolari, connesso alla gestione del tributo.

Quadro normativo di riferimento

L’Autorità richiama il GDPR, il d.lgs. 196/2003 e l’art. 51, comma 4, lett. b-bis, dello Statuto speciale della Regione Friuli-Venezia Giulia, che attribuisce alla Regione competenze in materia di tributi locali comunali di natura immobiliare. Viene inoltre richiamata la legge regionale n. 17/2022, che istituisce l’ILIA e prevede che la disciplina dei contenuti della banca dati regionale avvenga con regolamento nel rispetto dell’art. 6, par. 3, GDPR; se la banca dati include categorie particolari di dati, si applica anche l’art. 2-sexies del Codice privacy.

Oggetto dello schema esaminato

La Regione ha trasmesso al Garante, con più note nel 2023 e nel 2024, lo schema di regolamento corredato dall’allegato tecnico “Banca dati regionale dell’imposta locale immobiliare autonoma (BDR ILIA) – Allegato tecnico” e dalla valutazione d’impatto. La finalità dichiarata del trattamento è raccogliere dai Comuni i dati necessari per disciplinare il nuovo tributo locale immobiliare e per definirne le modalità di gestione e applicazione, anche ai fini della valutazione dell’impatto delle scelte di politica tributaria.

Finalità del trattamento e ruoli dei soggetti coinvolti

Lo schema precisa che la BDR ILIA serve a consentire all’Amministrazione regionale di valutare gli effetti delle scelte tributarie, come modifiche delle aliquote, introduzione di nuove fattispecie di trattamento o agevolazioni, e a stimare l’impatto sul gettito comunale. La Regione è titolare del trattamento dei dati presenti nella banca dati regionale, mentre ogni Comune conserva la titolarità della propria banca dati ILIA quale soggetto attivo dell’imposta. La società Insiel S.p.A. è designata responsabile del trattamento ai sensi dell’art. 28, par. 3, GDPR.

Tipologie di dati trattati

Il regolamento individua i dati trattati in relazione ai soggetti passivi dell’imposta, ossia proprietari o titolari di diritti reali sugli immobili. Si tratta di dati comuni, come codice fiscale, stato di residente, dati sul gettito fiscale riferiti agli immobili, tipologia del possesso e informazioni sugli immobili, ma anche di dati relativi a soggetti vulnerabili e di categorie particolari di dati personali, tra cui:

• stato di disabilità o anzianità;
• residenza in istituti di ricovero o sanitari;
• assegnazione di alloggio sociale o di edilizia residenziale pubblica;
• condizione di genitore affidatario dei figli.

Architettura della banca dati e flussi operativi

Secondo l’allegato tecnico, la BDR ILIA si compone di due archivi distinti. La componente BDR ILIA - Temp riceve i file trasmessi dai Comuni tramite funzionalità dedicate del Portale di Upload e non è accessibile al Servizio tributi locali della Regione. Da tale archivio temporaneo i dati vengono sottoposti a pseudonimizzazione dal responsabile del trattamento e riversati nella BDR ILIA - Regione, che contiene esclusivamente dati pseudonimizzati. Il caricamento dei dati da parte dei Comuni avviene due volte l’anno, nel primo e nel secondo semestre.

Pseudonimizzazione, reidentificazione e misure di sicurezza

Il Garante evidenzia che lo schema e l’allegato tecnico descrivono le tecniche di pseudonimizzazione applicate, riguardanti in particolare il codice fiscale e gli identificativi catastali degli immobili, nonché le misure per mitigare il rischio di reidentificazione degli interessati. Sono inoltre individuati i presupposti e le modalità per l’eventuale reidentificazione in casi straordinari, su richiesta del titolare del trattamento, ad esempio in presenza di anomalie del sistema. L’Autorità valorizza anche le misure di sicurezza previste, tra cui:

• procedure di autenticazione informatica;
• utilizzo di canali di trasmissione protetti;
• politica di back up;
• registrazione delle operazioni di trattamento nei file di log.

Conservazione dei dati e logging

I tempi di conservazione sono differenziati in funzione della componente del sistema e delle finalità perseguite. Lo schema prevede che i file caricati dai Comuni siano conservati non oltre 20 settimane, i dati pseudonimizzati non oltre 64 settimane e i file di log non oltre 24 settimane; l’allegato tecnico indica altresì un periodo di 180 giorni per i log. Decorso il termine di conservazione, i dati sono cancellati dalla BDR ILIA e possono essere ulteriormente trattati solo in forma anonima.

Valutazione finale del Garante

Il Garante dà atto che lo schema recepisce le indicazioni fornite nel corso delle numerose interlocuzioni con l’Ufficio, in particolare su:

• ruoli dei soggetti coinvolti, ossia Regione, Comuni e Insiel S.p.A.;
• puntuale individuazione delle tipologie di dati trattati;
• adozione di una procedura di pseudonimizzazione efficace, conforme ai principi di limitazione delle finalità, minimizzazione, protezione dei dati fin dalla progettazione e per impostazione predefinita;
• definizione dei presupposti della reidentificazione nei soli casi strettamente necessari;
• adozione di misure tecniche e organizzative idonee a garantire riservatezza, integrità e disponibilità dei dati;
• determinazione dei tempi di conservazione delle diverse categorie di dati.

Considerata la valutazione d’impatto ex art. 35 GDPR, e ritenendo che le criticità siano state adeguatamente affrontate, l’Autorità esprime parere favorevole sullo schema di regolamento.