Parere del Garante n. 460 del 18/07/2024

Parere sullo schema di decreto legislativo per la resilienza dei soggetti critici

Il Garante per la protezione dei dati personali si pronuncia sullo schema di decreto legislativo destinato a recepire la direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici, nell’ambito della delega prevista dall’articolo 5 della legge 21 febbraio 2024, n. 15. Il parere è reso ai sensi dell’articolo 36, paragrafo 4, del Regolamento (UE) 2016/679 e dell’articolo 154, comma 5, del d.lgs. 196/2003.

Oggetto e architettura dello schema

Lo schema mira a introdurre norme armonizzate per assicurare la continuità dei servizi essenziali per funzioni vitali della società, delle attività economiche, della salute, della sicurezza pubblica e dell’ambiente. In particolare, prevede:

• misure specifiche per garantire l’erogazione dei servizi essenziali senza impedimenti;
• criteri di individuazione dei soggetti critici e misure di sostegno per l’adempimento dei relativi obblighi;
• obblighi di resilienza per i soggetti critici, con vigilanza e sanzioni;
• disciplina della strategia nazionale, della valutazione del rischio, del Comitato interministeriale per la resilienza, delle autorità settoriali competenti e del punto di contatto unico;
• regole per i soggetti critici di particolare rilevanza a livello europeo e per la cooperazione tra Stati membri.

Lo schema esclude dall’ambito applicativo le materie già coperte dal decreto di recepimento della direttiva (UE) 2022/2555 (NIS2), prevede cautele nella circolazione di informazioni riservate e opera una clausola di salvaguardia in favore del Codice privacy.

Profili privacy esaminati dal Garante

Il Garante rileva che il provvedimento, nel complesso, non presenta particolari criticità sotto il profilo della protezione dei dati personali, ma richiede alcune integrazioni per assicurare piena conformità alla disciplina applicabile. In particolare, le aree di maggiore attenzione riguardano:

• il trattamento dei dati relativi ai precedenti penali per l’accesso a ruoli sensibili nei soggetti critici;
• il coordinamento tra la disciplina delle notifiche degli incidenti rilevanti e gli obblighi previsti dal GDPR in caso di violazioni di dati personali.

Articolo 15: controllo dei precedenti penali

L’articolo 15 disciplina la richiesta del certificato del casellario giudiziale europeo per soggetti che rivestano ruoli particolarmente delicati nei soggetti critici, che abbiano accesso ai siti o ai sistemi informatici o che siano candidati a tali ruoli. Il Garante ritiene necessarie specifiche integrazioni, perché la norma demanda all’autorità competente una valutazione che deve poggiare su criteri più puntuali.

In particolare, devono essere chiariti:

• le condizioni che legittimano la richiesta del controllo, costituendo esse il necessario parametro per la valutazione demandata all’autorità settoriale competente;
• le categorie di precedenti penali rilevanti, distinte per tipologia di reato ostativo e rapportate al ruolo concreto;
• le modalità e i tempi di conservazione dei certificati del casellario giudiziale europeo acquisiti, eventualmente anche mediante fonte regolamentare, nel rispetto dei principi di cui all’articolo 5 del GDPR e all’articolo 3 del d.lgs. 51/2018.

Articolo 16: incidenti rilevanti e violazioni di dati personali

Lo schema disciplina la notifica degli incidenti rilevanti che perturbano o possono perturbare in modo significativo la fornitura dei servizi essenziali, prevedendo comunicazioni tempestive alle autorità settoriali competenti e al punto di contatto unico. Le notifiche devono contenere tutte le informazioni utili sulla natura, le cause, le conseguenze e l’eventuale impatto transfrontaliero dell’incidente.

Il Garante sottolinea che tali adempimenti si affiancano agli obblighi previsti dagli articoli 32, 33, 34, 35 e 36 del GDPR, senza assorbirli. Per evitare dubbi interpretativi, suggerisce di integrare l’articolo 16 precisando che, quando l’incidente comporti una violazione di dati personali, restano fermi gli obblighi di notifica e comunicazione previsti dagli articoli 33 e seguenti del GDPR e, ove applicabile, dagli articoli 26 e seguenti del d.lgs. 51/2018, a prescindere dalla valutazione di rilevanza dell’incidente ai sensi dello stesso articolo 16.

Esito finale

Il Garante esprime parere favorevole sullo schema di decreto legislativo, ma con:

• una condizione, relativa all’integrazione dell’articolo 15 su presupposti, categorie di precedenti rilevanti e conservazione dei certificati;
• un’osservazione, relativa all’opportunità di integrare l’articolo 16 con un richiamo espresso agli obblighi in materia di violazione di dati personali previsti dal GDPR e, se del caso, dal d.lgs. 51/2018.

Il parere, dunque, non è negativo, ma favorevole con richieste di affinamento normativo per garantire un corretto coordinamento tra disciplina della resilienza dei soggetti critici e tutela dei dati personali.