Consultazione preventiva per adozione della DPIA n. 604 del 21/12/2023

Autorizzazione ai trattamenti della Piattaforma notifiche digitali (PN) con prescrizioni sui servizi RADD

Il Garante per la protezione dei dati personali esamina la DPIA trasmessa da PagoPA S.p.A., in qualità di gestore della Piattaforma notifiche digitali, relativa ai trattamenti svolti per la notificazione digitale degli atti della pubblica amministrazione. Il provvedimento si colloca nel quadro dell’art. 26 del d.l. 76/2020 e del d.m. 8 febbraio 2022, n. 58, e conclude il procedimento autorizzando i trattamenti, ma imponendo specifiche misure correttive a tutela della riservatezza degli interessati.

Quadro normativo e riparto dei ruoli

Il Garante richiama la disciplina della PN e la struttura dei ruoli delineata dal decreto attuativo. Le amministrazioni mittenti sono titolari del trattamento per l’invio alla piattaforma degli atti da notificare e per la loro trasmissione e conservazione; PagoPA, quale gestore della PN, è titolare per i trattamenti necessari all’accesso alla piattaforma e alle attività strumentali, mentre per gli altri trattamenti necessari alla gestione del servizio di notificazione agisce come responsabile del trattamento per conto delle amministrazioni mittenti. È inoltre ricordato il ruolo del fornitore del servizio universale, che opera come responsabile del trattamento per lo sviluppo della piattaforma, e la necessità, per il gestore, di svolgere una DPIA ai sensi dell’art. 35 GDPR e di consultare il Garante.

Contenuto della DPIA presentata da PagoPA

La valutazione d’impatto descrive in modo dettagliato le principali operazioni di trattamento effettuate nell’ambito della PN. Tra queste figurano:

• registrazione e de-registrazione delle amministrazioni mittenti;
• gestione dei referenti della PA mittente;
• deposito degli atti da notificare;
• invio dell’avviso di avvenuta ricezione e dell’avviso di cortesia;
• invio della raccomandata cartacea nei casi previsti;
• accesso alle copie analogiche tramite i servizi RADD per i destinatari privi degli strumenti digitali necessari;
• gestione delle preferenze, inclusa l’indicazione dei recapiti digitali;
• consultazione dei documenti informatici oggetto di notificazione;
• raccolta dei dati di navigazione;
• aggregazione dei dati per finalità di miglioramento dei servizi e valorizzazione del patrimonio aziendale.

La DPIA indica per ciascuna attività finalità, soggetti coinvolti, categorie di interessati, tipologie di dati e tempi di conservazione, oltre a una mappatura dei responsabili del trattamento e dei sub-responsabili, con attenzione ai fornitori situati in Italia e nell’Unione europea e, nei casi residui, ai trasferimenti verso gli Stati Uniti.

Valutazioni del Garante: accountability, minimizzazione e privacy by design

Nel corso dell’istruttoria, il Garante rileva che la DPIA recepisce in larga parte le osservazioni formulate dall’Ufficio, specie in relazione ai principi di accountability, privacy by design e privacy by default, liceità, correttezza, trasparenza, minimizzazione e sicurezza. Viene valorizzata la corretta definizione dei ruoli e dei compiti dei soggetti coinvolti, con particolare riferimento ai dati acquisiti dai registri delle imprese e dall’INI-PEC, nonché alle attività svolte dagli operatori RADD.

L’Autorità apprezza anche alcune scelte di minimizzazione, tra cui l’acquisizione, nei servizi RADD, dei soli estremi del documento di identità del destinatario, anziché della copia integrale del documento, per ridurre il rischio di usi impropri e di furti d’identità. Analogamente, viene considerata la necessità di limitare le operazioni di aggregazione dei dati ai soli casi compatibili con le finalità dichiarate.

Criticità sulla causale dell’atto notificato

Uno dei punti centrali del provvedimento riguarda l’introduzione del campo denominato "causale", definito come oggetto della notifica o titolo dell’atto/provvedimento/comunicazione. Il Garante osserva che tale elemento non è previsto dal decreto istitutivo della PN e può creare rischi per la riservatezza del destinatario, poiché terzi potrebbero venire a conoscenza della tipologia di atto notificato.

Il rischio è particolarmente rilevante in casi come:

• notifiche di atti personali indirizzate a un domicilio digitale ad uso professionale;
• acquisizione, tramite operatore RADD, dell’avviso di avvenuta ricezione contenente la causale.

Il Garante richiama inoltre le garanzie già previste dall’ordinamento per la notificazione analogica, secondo cui sulla busta non devono comparire segni o indicazioni idonei a rivelare il contenuto dell’atto quando la notifica non avvenga in mani proprie.

Misure richieste per i servizi RADD

Il secondo profilo critico riguarda le attività connesse alla stampa dei documenti notificati e degli avvisi da parte dell’operatore RADD. La DPIA prevedeva alcune misure di mitigazione, ma il Garante ritiene necessario impostare sin da subito l’applicativo RADD in modo da ridurre in modo sostanziale la visibilità dei dati personali.

Le misure richieste sono:

• impedire all’operatore RADD di effettuare download o copie dei documenti oggetto di notifica e degli avvisi di avvenuta ricezione;
• non consentire all’operatore RADD la visualizzazione dei documenti, degli avvisi e delle causali ad essi riferite;
• riportare sulla pagina bianca stampata prima dei documenti il numero delle pagine e informazioni utili a identificare correttamente il destinatario, specie in presenza di stampanti condivise.

Il Garante evidenzia inoltre l’opportunità di configurare l’applicativo in modo da inibire, ove possibile, anche determinate azioni quali il download o la copia, consentendo solo la stampa diretta del documento.

Autorizzazione condizionata ai trattamenti

Alla luce delle valutazioni svolte, il Garante autorizza PagoPA S.p.A. a effettuare i trattamenti di dati personali nell’ambito della PN, ai sensi degli artt. 36, par. 5, e 58, par. 3, lett. c), GDPR e dell’art. 14, comma 8, del d.m. n. 58/2022. L’autorizzazione è però subordinata all’adozione delle seguenti misure:

• limitare la visibilità della causale ai casi in cui sia certa la notifica nelle mani proprie del destinatario;
• impedire all’operatore RADD download e copie;
• impedire all’operatore RADD la visualizzazione dei documenti, degli avvisi e delle causali;
• riportare sulla pagina bianca della stampa il numero delle pagine e le informazioni utili all’identificazione del destinatario.

Trasferimenti verso gli Stati Uniti e uso di fornitori cloud

Il provvedimento affronta infine il tema dei trasferimenti di dati personali verso gli Stati Uniti. Il Garante richiama la decisione di adeguatezza della Commissione europea del 10 luglio 2023 sul quadro EU-US Data Privacy Framework, chiarendo che i trasferimenti verso organizzazioni statunitensi incluse nella lista DPF sono coperti dalla decisione di adeguatezza e non richiedono misure supplementari.

Resta però fermo che i fornitori cui PagoPA si avvale per i servizi della PN, quando operano come responsabili del trattamento, devono rispettare integralmente l’art. 28 GDPR. Il Garante richiama inoltre le indicazioni del Comitato europeo per la protezione dei dati sull’uso di servizi cloud nel settore pubblico, sottolineando la necessità di verificare sempre la conformità del trattamento al GDPR anche in presenza di infrastrutture e fornitori internazionali.