Parere del Garante n. 175 del 21/03/2024

Regolamento sul trattamento dei dati personali dell’ufficio del difensore civico della Valle d’Aosta

Il Garante per la protezione dei dati personali si pronuncia sullo schema di regolamento predisposto dal Consiglio regionale della Valle d’Aosta per disciplinare i criteri e le modalità del trattamento dei dati personali relativi all’ufficio del difensore civico, in attuazione della l.r. Valle d’Aosta 28 agosto 2001, n. 17. Il parere è reso ai sensi degli artt. 57, par. 1, lett. c), e 58, par. 3, lett. b), del GDPR.

Inquadramento normativo e oggetto dello schema

Lo schema di regolamento mira a definire finalità, natura dei dati, operazioni di comunicazione e diffusione, informativa, sicurezza e conservazione dei dati trattati nell’ambito delle funzioni del difensore civico regionale. La disciplina regionale prevede che l’Ufficio di Presidenza del Consiglio regionale, acquisito il parere del Garante, definisca con propria deliberazione i criteri e le modalità del trattamento, nel rispetto del GDPR e del Codice privacy.

Titolarità del trattamento e esclusione della contitolarità

La questione centrale affrontata dal Garante riguarda la possibile contitolarità tra Consiglio regionale e Difensore civico. Richiamando l’art. 4, n. 7, e l’art. 26 del GDPR, nonché le Linee guida EDPB n. 7/2020 sui concetti di titolare e responsabile del trattamento, l’Autorità ribadisce che la contitolarità richiede una partecipazione congiunta alla determinazione delle finalità e dei mezzi del trattamento, da valutare in concreto.

Nel caso esaminato, il Garante osserva che:

• Consiglio regionale e Difensore civico hanno competenze e funzioni distinte e trattano i dati per finalità istituzionali proprie, senza decisioni congiunte;
• il Difensore civico opera in piena libertà e indipendenza, senza controllo gerarchico o funzionale da parte del Consiglio regionale;
• il fatto che l’ufficio sia incardinato presso il Consiglio regionale, utilizzi personale dell’organico regionale e locali messi a disposizione dall’Ufficio di Presidenza non è sufficiente, da solo, a fondare una contitolarità.

Di conseguenza, il Garante esclude che il Consiglio regionale partecipi con il Difensore civico alla determinazione delle finalità e dei mezzi del trattamento ai sensi dell’art. 26 GDPR. La titolarità deve essere ricondotta al solo Difensore civico.

Funzioni del Difensore civico rilevanti ai fini privacy

Nel motivare tale conclusione, il Garante richiama la struttura delle competenze attribuite dalla legge regionale al Difensore civico: tutela non giurisdizionale dei diritti soggettivi, degli interessi legittimi, degli interessi collettivi o diffusi; funzioni di consulenza, mediazione e proposta; possibilità di intervenire anche in pendenza di lite; poteri di accesso ad atti e documenti, richiesta di notizie e informazioni, convocazione dei responsabili del procedimento, accesso agli uffici e formulazione di osservazioni.

Sono inoltre valorizzate le ulteriori funzioni di garanzia attribuite al medesimo ufficio in altri settori, cioè quelle di Garante dei diritti delle persone sottoposte a misure restrittive della libertà personale, Garante per l’infanzia e l’adolescenza e Garante dei diritti delle persone con disabilità. Tali competenze confermano un esercizio autonomo delle finalità del trattamento.

Modifiche già recepite nello schema

Il Garante prende atto che lo schema è stato già corretto in più punti sulla base delle osservazioni istruttorie:

• l’art. 3 viene impostato attribuendo la titolarità del trattamento al solo Difensore civico, eliminando il riferimento al Consiglio regionale come contitolare;
• l’art. 5 viene adeguato alla disciplina della comunicazione dei dati prevista dall’art. 2-ter del Codice;
• l’art. 8 viene corretto in materia di informativa, eliminando richiami non pertinenti agli artt. 78 e 79 del Codice;
• si prevede che il Difensore civico, quale titolare, adotti con successivo atto le misure tecniche, organizzative e di sicurezza.

Ulteriori criticità sull’art. 4: dati particolari e dati relativi a condanne penali e reati

Pur riconoscendo l’impostazione complessivamente corretta, il Garante individua ulteriori criticità, soprattutto per l’art. 4, dedicato ai dati particolari e ai dati relativi a condanne penali e reati. In applicazione degli artt. 9 e 10 del GDPR e degli artt. 2-sexies e 2-octies del Codice, la disciplina regolamentare deve essere più puntuale.

L’Autorità richiede in particolare che il regolamento:

• specifichi i motivi di interesse pubblico rilevante che legittimano il trattamento;
• descriva il trattamento e i flussi informativi, anche con l’indicazione delle fonti normative;
• venga aggiornato nel lessico, sostituendo l’espressione "dati giudiziari" con quella, oggi vigente, di "dati personali relativi a condanne penali e reati".

Per la parte descrittiva, il Garante suggerisce di prendere a riferimento la scheda n. 6 del regolamento regionale n. 1 del 24 luglio 2006 sul trattamento dei dati sensibili e giudiziari effettuato dalle strutture organizzative del Consiglio regionale, dal Difensore civico e dal Co.Re.Com., opportunamente aggiornata e integrata alla luce delle ulteriori funzioni oggi attribuite al Difensore civico.

Ulteriori criticità sull’art. 7: sicurezza, ruoli e segregazione dei dati

Un secondo profilo problematico riguarda la sicurezza dei dati. Considerato che l’ufficio del Difensore civico si avvale di personale assegnato nell’organico del Consiglio regionale e di locali messi a disposizione dall’Ufficio di Presidenza, il Garante ritiene necessario introdurre una disposizione specifica sull’art. 7, o in altra sede ritenuta più idonea.

La nuova previsione dovrà chiarire:

• la distinzione dei ruoli tra i soggetti coinvolti;
• la corretta gestione del protocollo e dei flussi documentali;
• l’adozione di misure di segregazione dei dati by design;
• l’accesso ai dati solo da parte di soggetti espressamente autorizzati e istruiti.

L’esigenza è particolarmente rilevante se il Consiglio regionale mette a disposizione del Difensore civico anche risorse informatiche o tecnologiche, piattaforme o altri strumenti di lavoro che comportano trattamento di dati personali.

Conclusioni

Il Garante esprime parere favorevole sullo schema di regolamento, ma a condizione che siano apportate le modifiche indicate. Il parere è quindi favorevole con condizioni: la disciplina potrà considerarsi conforme al GDPR e al Codice privacy solo dopo l’integrazione dell’art. 4 sulle basi di liceità per dati particolari e dati penali e dell’art. 7, o di altra disposizione equivalente, sulle misure di sicurezza, oltre agli ulteriori adeguamenti già recepiti nello schema.