Parere del Garante n. 305 del 06/07/2023

Parere sullo schema di decreto relativo al registro degli organismi di mediazione e all’elenco degli enti di formazione

Il Garante per la protezione dei dati personali ha reso parere, ai sensi dell’articolo 36, paragrafo 4, del GDPR, su richiesta del Ministero della giustizia, in relazione a uno schema di decreto regolamentare che riforma il DM 18 ottobre 2010, n. 180. Il testo disciplina la tenuta del registro degli organismi di mediazione, l’elenco degli enti di formazione, la sezione speciale per gli organismi ADR e i relativi obblighi di iscrizione, aggiornamento, pubblicità e conservazione dei dati.

Quadro normativo e finalità del provvedimento

Lo schema si colloca nel quadro del decreto legislativo 4 marzo 2010, n. 28, come modificato dal decreto legislativo 6 agosto 2015, n. 130 e, soprattutto, dal decreto legislativo n. 149 del 2022, che ha inciso sui requisiti di iscrizione degli organismi di mediazione e sulla disciplina degli enti di formazione. Il Garante richiama inoltre il Codice privacy, in particolare l’articolo 154, comma 5, e la disciplina delle finalità di rilevante interesse pubblico di cui all’articolo 2-sexies del Codice.

Struttura del regolamento e dati trattati

Il provvedimento introduce disposizioni sugli standard di qualità delle procedure di mediazione e della formazione specializzata, nonché sui requisiti per l’iscrizione nel registro. Viene istituita presso il Ministero della giustizia una sezione del registro dedicata agli organismi ADR e l’elenco degli enti di formazione per la mediazione.

Lo schema prevede trattamenti di dati personali in diverse fasi:

• raccolta e verifica dei requisiti di iscrizione;
• tenuta informatica del registro e degli elenchi;
• trasmissione di dati tra Ministero della giustizia e Ministero delle imprese e del made in Italy per la sezione ADR;
• pubblicazione di informazioni sul sito istituzionale;
• conservazione dei dati per finalità amministrative, statistiche e di controllo.

Requisiti di onorabilità ed efficienza

L’articolo 4 disciplina i requisiti di onorabilità che l’organismo deve documentare ai fini dell’iscrizione, con riferimento a mediatori, soci, responsabili, associati, amministratori e rappresentanti. Il Garante osserva che la scelta del regolamento è coerente con la norma primaria, che richiede requisiti di onorabilità per i soggetti che operano nell’organismo di mediazione, e rileva che l’estensione anche ad associati e rappresentanti consente di ricomprendere realtà non societarie.

L’articolo 6 richiede, quale requisito di efficienza, la disponibilità di registri informatizzati idonei a contenere, tra l’altro, i dati identificativi delle parti, il numero progressivo del procedimento, l’oggetto della mediazione, il mediatore designato, la durata, l’esito, l’eventuale proposta del mediatore e gli atti conclusivi del procedimento.

Tenuta informatica del registro, trasmissioni e finalità statistiche

L’articolo 12 disciplina la tenuta informatica del registro e degli elenchi presso il Ministero della giustizia, precisando che la gestione avviene nel rispetto dell’articolo 5 del GDPR. Il comma 4 introduce la sezione speciale per gli organismi ADR e il relativo elenco dei responsabili; il comma 5 regola la trasmissione dei dati prevista dall’articolo 141-decies, comma 4, del Codice del consumo, con il Ministero delle imprese e del made in Italy quale punto di contatto unico.

L’articolo 16 prevede, tra gli obblighi degli organismi e degli enti di formazione iscritti, la conservazione dei dati inseriti nei registri informatizzati relativi ai procedimenti trattati per un periodo non inferiore a tre anni. Il comma 5 fissa il termine per la comunicazione annuale dei dati sui corsi organizzati e svolti, compresi i nominativi di formatori e docenti. Il comma 9 impone agli organismi ADR la trasmissione di dati a fini statistici, che devono essere aggregati.

Trasparenza verso il pubblico e limiti alla diffusione

L’articolo 17 disciplina gli obblighi di trasparenza degli organismi di mediazione, imponendo la comunicazione al pubblico di dati quali identità e numero d’ordine dei mediatori, recapiti, sede, PEC, generalità e curriculum del responsabile dell’organismo. Il Garante precisa che l’obbligo relativo all’organigramma riguarda soltanto funzioni e responsabilità, non i nominativi dei dipendenti.

Il testo prevede inoltre che i dati personali non possano essere comunicati o diffusi a terzi, salvo gli adempimenti espressamente previsti dalla disciplina e la pubblicazione sul sito del Ministero delle informazioni indicate dal regolamento, con espresso divieto di diffusione di dati genetici e biometrici.

Titolari del trattamento, basi giuridiche e conservazione

L’articolo 47 individua nei due ministeri competenti i titolari del trattamento dei dati personali per la tenuta e l’aggiornamento del registro, della sezione speciale e degli elenchi. Il comma 3 collega le finalità di rilevante interesse pubblico alle lettere l) e q) dell’articolo 2-sexies, comma 2, del Codice, precisando che dovrebbe essere aggiunta anche la lettera n).

Il comma 5 stabilisce un periodo di conservazione dei dati trattati dal Ministero pari a dieci anni, comunque fino alla definizione di eventuali contenziosi. Il Garante ritiene tale termine compatibile con i principali termini di prescrizione rilevanti in materia.

Esito del parere e indicazione operativa

Il Garante conclude che la disciplina proposta non presenta criticità in termini di protezione dei dati, anche per la sua conformità al quadro normativo di riferimento. Esprime quindi parere favorevole sullo schema di regolamento.

Resta tuttavia l’osservazione che, per rafforzare le garanzie, è opportuno prevedere con decreto direttoriale e previa valutazione d’impatto ai sensi dell’articolo 35 del GDPR misure tecniche e organizzative adeguate ai sensi dell’articolo 32 del GDPR, comprensive delle modalità di accesso selettivo alle informazioni da parte dei soli soggetti autorizzati.