Parere del Garante n. 328 del 23/05/2024

Parere su piattaforme NCC/taxi, RENT e foglio di servizio elettronico

Il Garante per la protezione dei dati personali, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, esamina unitariamente tre schemi di decreto trasmessi dal Ministero delle infrastrutture e dei trasporti nel maggio 2024, relativi alla disciplina delle piattaforme tecnologiche di intermediazione, all’attivazione del registro informatico pubblico nazionale RENT e alle modalità di compilazione e tenuta del foglio di servizio elettronico per il servizio NCC.

Quadro normativo di riferimento

Gli schemi si inseriscono nel sistema delineato dalla legge 15 gennaio 1992, n. 21, come modificata dall’art. 10-bis del d.l. 14 dicembre 2018, n. 135, convertito con modificazioni dalla legge 11 febbraio 2019, n. 12. In particolare:

• l’art. 10-bis, comma 3, istituisce presso il CED del Ministero il registro informatico pubblico nazionale delle imprese titolari di licenza taxi e di autorizzazione NCC;
• l’art. 10-bis, comma 8, demanda a un DPCM la disciplina delle piattaforme tecnologiche di intermediazione;
• l’art. 11, comma 4, della legge quadro demanda a un decreto ministeriale, di concerto con il Ministero dell’interno, la disciplina del foglio di servizio elettronico.

Il Garante richiama inoltre i principi generali del Regolamento (UE) 2016/679, in particolare gli artt. 5, 24, 25, 28 e 32.

Contenuto dei tre schemi esaminati

Il primo schema, il DPCM Piattaforme, disciplina l’attività di intermediazione svolta mediante piattaforme tecnologiche tra domanda e offerta di autoservizi pubblici non di linea. Vengono distinti i ruoli di vettore, conducente, utente, soggetto gestore e titolare della piattaforma, nonché l’organizzazione e il funzionamento delle piattaforme. È prevista anche una sezione specifica presso il CED del Ministero per l’iscrizione dei soggetti gestori.

Il secondo schema, il Decreto RENT, disciplina l’attivazione del registro informatico pubblico nazionale delle imprese taxi e NCC, con le relative modalità di accesso e registrazione. Sono individuati i soggetti abilitati all’accesso, tra cui agenti dell’art. 12 del codice della strada, imprese registrate, UMC, CED e Comuni.

Il terzo schema, il Decreto FDSE, regola compilazione, tenuta e uso del foglio di servizio elettronico per il servizio NCC mediante autovettura o motocarrozzetta, con esclusioni e limiti territoriali previsti dalla disciplina di settore. Sono approvati anche allegati tecnici contenenti misure di sicurezza.

Valutazioni del Garante sui ruoli privacy e sulla governance dei trattamenti

Per le piattaforme tecnologiche, i soggetti gestori sono qualificati come titolari del trattamento dei dati personali effettuati per le attività di intermediazione; gli operatori infrastrutturali, i provider cloud e altri soggetti tecnici sono qualificati come responsabili del trattamento ex art. 28 GDPR. Per RENT e FDSE, il Ministero delle infrastrutture e dei trasporti è titolare del trattamento, con facoltà di affidare operazioni a responsabili esterni previo accordo sulla protezione dei dati.

Il Garante rileva positivamente che il Ministero abbia recepito le indicazioni volte a puntualizzare i ruoli e a richiamare espressamente gli obblighi di conformità ai principi di protezione dei dati, in particolare quelli di liceità, minimizzazione, limitazione della conservazione, integrità, riservatezza e responsabilizzazione.

Misure per minimizzazione, accesso e protezione dei dati degli utenti

Uno dei punti centrali del parere riguarda i dati contenuti nel foglio di servizio elettronico, in quanto idonei a rivelare informazioni delicate sugli spostamenti e sull’ubicazione degli interessati. Il Garante ricorda di avere già segnalato nel 2019 criticità analoghe per il trattamento dei dati dell’utenza NCC.

Alla luce anche della sentenza della Corte costituzionale n. 56 del 26 marzo 2020, il Garante osserva che il Ministero ha introdotto nell’allegato 5 del decreto FDSE misure di attenuazione del rischio, tra cui:

• accesso ai dati identificativi degli utenti limitato al solo ciclo di vita del foglio di servizio;
• accesso consentito esclusivamente ai soggetti di cui all’art. 12 del codice della strada;
• pseudonimizzazione senza ritardo al momento della chiusura del foglio di servizio;
• accesso selettivo alle sole informazioni necessarie per le funzioni dei Comuni, degli organi di controllo e del personale autorizzato dal CED;
• configurazione delle autorizzazioni secondo il principio del "minimo privilegio".

Il Garante considera tali misure coerenti con i principi di cui all’art. 5, par. 1, lett. c) e f), GDPR e con l’art. 32 GDPR.

Conservazione dei dati: osservazione del Garante sul FDSE

Per il decreto FDSE, l’art. 7 prevede la conservazione per tre anni dei fogli di servizio e dei relativi dati, nonché l’accessibilità, per lo stesso periodo, dei dati del committente o utente tramite codice identificativo ai fini dei controlli. Sul punto, il Garante formula un’osservazione e invita il Ministero a valutare la conformità di tali tempi al termine di due anni richiamato dall’art. 3 del d.l. n. 203/2005, come modificato dall’art. 1, comma 153, della legge n. 244/2007, in coerenza con il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR.

Pseudonimizzazione: condizione posta sul decreto FDSE

Il Garante ritiene che la disciplina della pseudonimizzazione nel decreto FDSE non sia sufficientemente dettagliata sul piano tecnico. In particolare, le modalità di attuazione della funzione di pseudonimizzazione dei dati dell’utente, da eseguire alla chiusura del foglio di servizio, non sono descritte in modo puntuale.

Per questo il parere favorevole sul FDSE è subordinato alla condizione che il Ministero individui misure tecniche adeguate ai sensi dell’art. 32 GDPR, tenendo conto di:

• stato dell’arte;
• costi di attuazione;
• natura, oggetto, contesto e finalità del trattamento;
• rischio di diversa probabilità e gravità per i diritti e le libertà delle persone fisiche.

Il richiamo è anche ai principi di integrità e riservatezza e di responsabilizzazione, di cui agli artt. 5, par. 1, lett. f), 24 e 32 GDPR.

Esito del parere

Il Garante conclude esprimendo parere favorevole:

• sul DPCM relativo alle piattaforme tecnologiche di intermediazione;
• sul decreto RENT relativo al registro informatico pubblico nazionale;
• sul decreto FDSE, ma con una osservazione sui tempi di conservazione e con una condizione sulla concreta attuazione della pseudonimizzazione.

Nel complesso, il parere conferma la compatibilità degli schemi con il GDPR, purché siano rafforzate la determinazione tecnica delle misure di pseudonimizzazione e la coerenza dei tempi di conservazione con il principio di minimizzazione temporale.