R.R. Emilia-Romagna 2/2023

Modifiche alla disciplina regionale su comunicazione e diffusione dei dati personali

Il regolamento della Regione Emilia-Romagna aggiorna il regolamento regionale n. 2 del 2007 in materia di comunicazione e diffusione di dati personali diversi da quelli di cui agli articoli 9 e 10 del GDPR. L’intervento allinea il testo alle fonti europee e nazionali sulla protezione dei dati e amplia/precisa i casi in cui i diversi soggetti regionali possono comunicare o diffondere dati per finalità istituzionali, di trasparenza e di pubblicità amministrativa.

Ambito soggettivo e oggetto della disciplina

La disciplina riguarda le operazioni di comunicazione e diffusione di dati personali non rientranti nelle categorie particolari o relative a condanne e reati, quando il trattamento è effettuato nell’ambito delle rispettive competenze da:

• Giunta della Regione Emilia-Romagna;
• Assemblea legislativa;
• AGREA;
• Agenzia regionale per la sicurezza territoriale e la protezione civile;
• Intercent-ER;
• Commissari delegati alla gestione delle emergenze nel territorio regionale;
• Agenzia regionale per il lavoro.

Il regolamento non si applica all’attività di diffusione svolta dalle strutture di Giunta e Assemblea che svolgono attività giornalistica, per la quale resta ferma la disciplina deontologica dei giornalisti. Restano inoltre salvi gli obblighi di pubblicazione previsti dalle leggi statali e regionali in materia di trasparenza.

Definizioni, principi e sicurezza

Le definizioni richiamate sono quelle del GDPR e del Codice privacy. Il testo chiarisce anche che:

• “comunicazione” e “diffusione” sono quelle di cui all’art. 2-ter, comma 4, lettere a) e b), del d.lgs. 196/2003;
• per “indirizzo” si intende il dato territoriale geografico;
• per “indirizzo telematico” si intendono email, PEC, URL e numero di fax.

Le operazioni di comunicazione e diffusione devono rispettare i principi dell’art. 5 GDPR, con particolare attenzione alla minimizzazione dei dati. I titolari devono inoltre adottare misure tecniche e organizzative adeguate al rischio, ai sensi dell’art. 32 GDPR.

Comunicazioni tra Giunta e Assemblea legislativa

Giunta e Assemblea legislativa possono scambiarsi i dati necessari per lo svolgimento delle rispettive funzioni istituzionali, con riferimento allo Statuto, alle leggi regionali, ai regolamenti interni e ai regolamenti regionali sui dati particolari.

Tra i dati comunicabili rientrano, in particolare:

• dati contenuti nei verbali delle sedute e negli atti amministrativi;
• dati relativi alle nomine di competenza degli organi regionali;
• dati necessari per reclutamento e gestione di personale e collaboratori;
• dati di amministratori e consiglieri;
• dati utili a rispondere all’attività di sindacato ispettivo assembleare.

Per tale attività ispettiva, i dati necessari possono essere comunicati alla Giunta anche dagli altri titolari indicati nel regolamento.

Pubblicazione di graduatorie e trasparenza

I titolari possono pubblicare nel BURERT e sui rispettivi siti istituzionali le graduatorie adottate nelle materie di competenza e formate a seguito di procedure comparative per l’affidamento di incarichi, ma la pubblicazione deve limitarsi ai soli soggetti idonei e vincitori e ai dati necessari, di regola cognome, nome, luogo di esercizio dell’attività e punteggio.

Per le graduatorie regionali di aspiranti medici di medicina generale e pediatri di libera scelta, sia per l’ammissione ai corsi sia per il posto in convenzione, sono pubblicabili:

• cognome e nome;
• punteggio;
• possesso di specifico titolo;
• comune di residenza;
• titolo specifico di priorità in caso di pari merito.

In caso di omonimia effettiva o potenziale può essere pubblicato anche il numero di protocollo o altro dato distintivo della domanda.

Valorizzazione di beni culturali e iniziative collegate

La Giunta può comunicare e diffondere, per finalità di valorizzazione dei beni artistici, culturali e naturali, i dati relativi ai beni stessi e agli eventi, mostre, convegni e iniziative connesse. Sono compresi, in particolare:

• immagini;
• costi;
• recapiti, anche telematici, dei referenti.

Comunicazioni ad altre pubbliche amministrazioni e ad organismi di controllo

I titolari possono comunicare ad altre pubbliche amministrazioni, alle autorità di gestione e certificazione e alle autorità di audit i dati necessari per la rendicontazione di progetti europei, compresi nome, cognome dei dipendenti coinvolti e dati sulla situazione stipendiale, al fine di calcolare ore lavorate e costi del progetto.

La Giunta può inoltre comunicare ad altre pubbliche amministrazioni, per le finalità istituzionali del richiedente, i dati dei soggetti proprietari o detentori di immobili oggetto di certificazione energetica e di impianti termici registrati nel catasto unico regionale, includendo nome, cognome, indirizzo dell’immobile e dati catastali.

Contributi, sovvenzioni e benefici

Il regolamento disciplina la comunicazione e diffusione dei dati relativi a contributi, sovvenzioni e benefici comunque denominati.

Per la trasparenza amministrativa, i titolari possono comunicare e diffondere i dati di contributi assegnati o potenzialmente assegnabili, includendo normalmente:

• nominativo del richiedente o del beneficiario, oppure denominazione della ditta;
• comune di residenza e partita IVA;
• denominazione ed entità del contributo;
• ragione dell’erogazione;
• punteggio totale o valutazione, se necessari.

La motivazione di non ammissibilità che riguardi la sfera personale del richiedente deve essere di norma comunicata solo all’interessato, salvo diversa previsione di legge o regolamento.

Per i contributi ricevuti, anche sulla base di progetti presentati, può esserne disposta la diffusione per trasparenza e promozione istituzionale, con indicazione:

• del soggetto che ha disposto il contributo, se richiesto dal destinatario;
• della denominazione del progetto;
• dell’entità del contributo;
• dei costi del personale impiegato nel progetto.

Inoltre, i titolari possono comunicare:

• ai soggetti pubblici che svolgono attività di erogazione del contributo, i dati relativi all’intero progetto;
• ai soggetti privati coinvolti nell’erogazione, come organismi di garanzia, consorzi fidi, cooperative di garanzia e istituti bancari, i dati necessari all’erogazione;
• ai ministeri o agli enti italiani ed europei competenti, i dati relativi ai contributi erogati e ricevuti per certificazione, rendicontazione e monitoraggio.

Dati in materia di lavoro, formazione, cultura e politiche giovanili

La parte più estesa dell’intervento riguarda le comunicazioni dell’Agenzia regionale per il lavoro e della Giunta in materia di occupazione, formazione, certificazione delle competenze e politiche giovanili.

L’Agenzia regionale per il lavoro può comunicare a INPS, direzione regionale del lavoro, Province, Città Metropolitana di Bologna, uffici giudiziari e altri soggetti pubblici i dati dei lavoratori per finalità connesse a crisi occupazionali, ammortizzatori sociali in deroga, rioccupazione, lavori socialmente utili, verifiche e certificazione della spesa.

Sono previste anche comunicazioni per:

• tirocini per stranieri residenti all’estero, verso Ministero del lavoro, Interno e Affari esteri, con dati di promotori, ospitanti e tirocinanti;
• attuazione di “Garanzia Giovani”, con comunicazione all’Autorità di gestione e all’INPS dei dati dei partecipanti e, per l’indennità di frequenza dei tirocini, dei dati necessari all’erogazione;
• repertorio regionale degli attestati, presidenti di commissione ed esperti, verso Province, Città Metropolitana di Bologna e soggetti autorizzati alla certificazione;
• soggetti candidati ai ruoli del Sistema regionale di formalizzazione e certificazione delle competenze, anche per la costituzione delle commissioni;
• dati dei candidati destinatari del servizio SRFC, comunicati ai professionisti che ricoprono i ruoli del sistema, per autorizzare il servizio;
• anagrafica dei partecipanti alle attività formative approvate e autorizzate, attestati o qualifiche conseguite e dati dell’attività formativa, verso altre pubbliche amministrazioni, gestori di pubblici servizi ed enti pubblici, per finalità di decertificazione;
• dati dei partecipanti alle attività formative verso Province e Città Metropolitana per gestione, controllo, valutazione dell’efficacia e monitoraggio delle politiche attive del lavoro;
• dati dei lavoratori, dei tirocinanti e dei giovani prestatori di servizio civile, verso enti di formazione accreditati, università, autonomie scolastiche e soggetti autorizzati alla formalizzazione e certificazione, per favorire l’occupazione giovanile e migliorare professionalità e competenze;
• dati dei richiedenti assegni/voucher verso organismi di formazione accreditati e altri soggetti autorizzati, per la validazione della richiesta;
• nominativo e recapiti del referente dell’ente di formazione verso il pubblico, per finalità orientative e promozione dell’accesso ai destinatari;
• dati dei dirigenti disoccupati verso le imprese operanti nel territorio regionale, per la loro ricollocazione;
• dati di chi richiede la YoungERcard o beneficia di altre iniziative regionali per giovani, verso Comuni e Unioni di Comuni, per servizi agevolati e iniziative educative, solidali e di cittadinanza attiva;
• dati dei soggetti presi in carico dai Centri per l’impiego verso organismi accreditati dei servizi per il lavoro, per politiche attive e formazione.

Comunicazioni effettuate da AGREA

Per AGREA la rubrica viene aggiornata e i dati comunicabili sono descritti in modo più puntuale. In via ordinaria possono comprendere:

• nome e cognome;
• indirizzo;
• codice fiscale;
• partita IVA;
• CAA con mandato fascicolo;
• importi pagati o recuperati;
• data del recupero ed estremi dell’atto di recupero;
• dati relativi al terreno e ai prodotti.

Ulteriori modifiche e abrogazione finale

Vengono inoltre aggiornate varie disposizioni del regolamento del 2007:

• il riferimento al BURER è sostituito con BURERT;
• sono estese a tutti i titolari alcune facoltà prima attribuite solo alla Giunta;
• viene eliminato un riferimento limitativo al personale regionale;
• un comma dell’articolato originario è abrogato;
• viene soppressa una parte del richiamo normativo in materia di protezione civile;
• l’articolo 25 del regolamento del 2007 è abrogato.

Rilievo pratico e attualità

Il provvedimento ha natura modificativa e si innesta nel regolamento regionale n. 2 del 2007, aggiornandone la disciplina in vigore. Non contiene un termine di efficacia limitato nel tempo, ma le sue disposizioni operano stabilmente come testo consolidato. Non risulta deprecato, poiché incide su una disciplina attuale e utile per la gestione dei dati personali nell’amministrazione regionale emiliano-romagnola.