Consultazione preventiva per adozione della DPIA n. 81 del 23/03/2023

Autorizzazione ai trattamenti connessi alla CIEId del Ministero dell’interno

Il Garante per la protezione dei dati personali esamina la valutazione d’impatto sulla protezione dei dati presentata dal Ministero dell’interno per la creazione, l’impiego e la gestione delle credenziali dell’identità digitale CIE (CIEId), strumento di accesso ai servizi online di pubbliche amministrazioni e soggetti privati. Il provvedimento si colloca nel quadro del decreto interministeriale 8 settembre 2022 sulle modalità di impiego della carta di identità elettronica e dell’art. 35 GDPR.

Quadro normativo richiamato

L’Autorità richiama, oltre al GDPR e al Codice privacy, anche il Codice dell’amministrazione digitale e la normativa sulla carta d’identità elettronica. In particolare, vengono richiamati:

• l’art. 64, comma 2-quater, CAD, sull’accesso ai servizi in rete tramite SPID o CIE;
• l’art. 66, comma 6, CAD, sulle regole tecniche e di sicurezza;
• l’art. 7-vicies ter, comma 2-bis, del d.l. 7/2005, convertito dalla l. 43/2005, sulle modalità di emissione e sull’archivio informatizzato;
• l’art. 4 del decreto 8 settembre 2022, che richiede una DPIA da sottoporre a consultazione preventiva del Garante;
• gli artt. 11, 13 e 14 del medesimo decreto, relativi all’uso da parte dei minorenni, al monitoraggio aggregato e al livello minimo delle credenziali.

Oggetto della DPIA e trattamenti descritti

La DPIA sottoposta al Garante riguarda i trattamenti necessari per l’operatività della CIEId. Il documento descrive in modo analitico:

• i dati personali trattati, con indicazione dei relativi tempi di conservazione e delle modalità di cancellazione;
• le fasi di attivazione delle credenziali di livello 1 e 2, gestione dell’identità digitale, sospensione delle credenziali di livello 3, revoca, certificazione del terminale mobile, utilizzo delle credenziali di livello 1 e 2, blocco e recupero delle credenziali, gestione dei log e monitoraggio ex art. 13, comma 3, del decreto;
• l’esclusione, in questa fase, dei rischi connessi alla gestione della volontà di donazione di organi e tessuti, trattamenti previsti dal decreto ma non ancora attivi.

Valutazioni del Garante sulle misure di conformità

Il Garante evidenzia che la DPIA recepisce le osservazioni formulate dall’Ufficio nel corso delle interlocuzioni informali e risulta impostata in coerenza con i principi di accountability e privacy by design e by default. In particolare, vengono considerate adeguate le misure previste in relazione a:

• descrizione completa delle attività di trattamento e dei rischi connessi;
• integrità e riservatezza dei dati, nonché obblighi di sicurezza;
• autonomia dell’utente nella gestione della propria identità digitale tramite il Portale, con possibilità di modificare e certificare i contatti e di consultare i log;
• invio di avvisi ai contatti certificati in caso di modifiche dei contatti o delle credenziali;
• registrazione delle operazioni in file di log con conservazione per 20 anni dalla revoca e per 24 mesi dalla registrazione, su sistema di log management;
• individuazione del livello di sicurezza delle credenziali in funzione delle funzionalità disponibili nel Portale;
• modalità di acquisizione dei dati e rispetto dei principi di liceità, correttezza, trasparenza ed esattezza;
• informativa sugli attributi resi disponibili ai fornitori di servizi dopo l’autenticazione;
• minimizzazione dei dati nel monitoraggio ministeriale, con garanzia di non identificabilità, anche indiretta, degli interessati;
• definizione delle regole per il codice app CIEId e per la conservazione delle password mediante derivazione crittografica;
• meccanismo di informazione reciproca e tempestiva in caso di violazioni di sicurezza o altre minacce, anche per gli adempimenti ex artt. 33 e 34 GDPR;
• qualificazione dei ruoli di IPZS, fornitori di servizi e soggetti aggregatori;
• misure per consentire l’uso da parte dei minori, in attesa del successivo provvedimento previsto dall’art. 11 del decreto.

Trattamento dei dati dei minori

Il provvedimento dedica un passaggio specifico ai minori. Nelle more dell’adozione del provvedimento previsto dall’art. 11 del decreto, il Garante considera adeguata la soluzione proposta:

• uso della CIEId non consentito per i minori da 0 a 5 anni;
• uso consentito da 5 a 18 anni soltanto per l’accesso ai servizi degli istituti scolastici di ogni ordine e grado;
• previsione di un controllo genitoriale, con possibilità per il genitore di inserire un indirizzo e-mail al quale ricevere notifiche ad ogni utilizzo delle credenziali di livello 1, 2 e 3 e anche in caso di modifica di tale indirizzo. Resta fermo che i fornitori di servizi possono stabilire se un minore possa effettivamente utilizzare i loro servizi in rete.

Esito e portata dell’autorizzazione

Sulla base dell’analisi svolta, il Garante afferma che, per i trattamenti descritti nella DPIA e allo stato previsti, non vi sono rilievi da formulare per i profili di competenza. Ai sensi degli artt. 36, parr. 2 e 5, e 58, par. 3, lett. c), GDPR, l’Autorità autorizza quindi il Ministero dell’interno a effettuare i trattamenti di dati personali relativi alla CIEId.

Riserva sui futuri sviluppi

Il Garante si riserva espressamente di valutare, in un momento successivo, le garanzie che saranno individuate nel provvedimento di cui all’art. 11 del decreto, sulla base dell’aggiornamento della DPIA. Tale futura valutazione dovrà tenere conto degli specifici rischi connessi all’utilizzo della CIEId da parte dei minori per servizi diversi da quelli in ambito scolastico.