Parere del Garante n. 441 del 21/12/2022

Parere sullo schema di decreto dirigenziale relativo alle specifiche tecniche dell’Albo informatico della crisi d’impresa e dell’insolvenza

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto dirigenziale del responsabile per i sistemi informatizzati del Ministero della giustizia che adotta le specifiche tecniche dell’Albo informatico dei soggetti incaricati dall’autorità giudiziaria delle funzioni di gestione e di controllo nelle procedure del codice della crisi d’impresa e dell’insolvenza. Il parere è reso nel quadro dell’art. 3, comma 5, del d.m. 3 marzo 2022, n. 75, e degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR.

Quadro normativo di riferimento

Il provvedimento richiama il GDPR, il Codice privacy e il d.lgs. 12 gennaio 2019, n. 14, in particolare gli artt. 2, comma 1, lett. n), 356, 357 e 358. Tali disposizioni prevedono l’istituzione presso il Ministero della giustizia dell’albo dei gestori della crisi e dell’insolvenza, disciplinando requisiti di iscrizione, funzionamento dell’albo e poteri di vigilanza. Il d.m. 75/2022, attuativo dell’art. 357 del d.lgs. 14/2019, stabilisce che le specifiche tecniche per i dati della parte pubblica e riservata dell’albo e per l’accesso alla parte riservata siano fissate con decreto dirigenziale sentito il Garante.

Oggetto dello schema esaminato

Lo schema di decreto sottoposto a parere disciplina diversi profili operativi e di trattamento dati: l’informativa agli interessati, le infrastrutture informatiche utilizzate, le modalità di accesso alle aree pubblica e riservata dell’albo, le credenziali e l’autenticazione, la domanda di iscrizione e l’aggiornamento dei dati, le comunicazioni dell’autorità giudiziaria al Dipartimento per gli affari di giustizia ai fini di sospensione o cancellazione, i documenti allegabili e i tempi di conservazione dei dati dopo la cancellazione.

Valutazioni del Garante e adeguamenti privacy

L’Autorità rileva che lo schema è stato predisposto all’esito di interlocuzioni informali con l’Ufficio del Garante, nel corso delle quali sono state formulate osservazioni finalizzate ad adeguarlo ai principi del GDPR, in particolare al principio di privacy by design e by default di cui all’art. 25.

Le indicazioni hanno riguardato soprattutto:

• la necessità di definire in modo puntuale le modalità di informativa alle diverse categorie di interessati, inclusi i soci di società di professionisti e gli associati a studi professionali, nel rispetto degli artt. 5, par. 1, lett. a), 12, 13 e 14 GDPR;
• la delimitazione delle tipologie di dati personali pubblicabili nell’area pubblica dell’albo, dei dati trattati in caso di sopravvenuto venir meno dei requisiti e dei documenti che possono essere allegati, in applicazione dei principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c);
• la definizione delle modalità di autenticazione e dei profili autorizzativi per ciascuna tipologia di soggetto abilitato ad accedere alla sezione riservata, con limitazione dei dati acquisiti mediante SPID, in base ai principi di minimizzazione, integrità e riservatezza di cui all’art. 5, par. 1, lett. c) e f);
• la disciplina dei tempi di conservazione dei file di log degli accessi e dei dati successivi alla cancellazione dall’albo, in coerenza con il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e).

Esito del parere

Il Garante ritiene che le specifiche tecniche in esame tengano adeguatamente conto delle indicazioni fornite in sede di interlocuzione e dichiara di non dover formulare ulteriori rilievi. Di conseguenza, esprime parere favorevole sullo schema di decreto dirigenziale.

Valutazione d’impatto obbligatoria

Pur in presenza del parere favorevole, il Garante evidenzia un ulteriore adempimento necessario: poiché il trattamento ha ad oggetto anche i requisiti di onorabilità di cui all’art. 356, comma 3, del d.lgs. 14/2019, riferiti a persone fisiche, il Ministero della giustizia, in qualità di titolare del trattamento, deve effettuare prima dell’avvio una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, parr. 1 e 3, lett. b), GDPR. Il provvedimento richiama anche le linee guida WP 248 del 4 aprile 2017 sulla DPIA.

Conclusioni operative

Per il Ministero della giustizia, il parere consente l’adozione dello schema tecnico, ma impone di mantenere allineati informativa, accessi, autorizzazioni, log e conservazione ai principi del GDPR. Resta altresì essenziale la previa DPIA, dato il carattere sensibile del trattamento connesso alla verifica dei requisiti di onorabilità degli iscritti.