Parere del Garante n. 424 del 15/12/2022

Parere sullo schema di decreto del Ministro del turismo sull’Ecosistema TDH022

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro del turismo recante la definizione di finalità e interazioni dell’Ecosistema TDH022 e l’adozione di specifiche Linee Guida. Il parere è reso nell’ambito delle competenze previste dagli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, in relazione a un intervento normativo collegato al PNRR e, in particolare, all’Investimento 4.1 "Hub del Turismo Digitale".

Contesto dell’intervento normativo

Lo schema di decreto si inserisce nella strategia per il turismo digitale prevista dal PNRR e mira a disciplinare un ecosistema nazionale di interscambio tra soggetti pubblici e privati del settore turistico. L’Ecosistema TDH022 è descritto come uno standard digitale nazionale preposto allo scambio di dati e contenuti sia aperti sia chiusi, con funzione di interfaccia tra il TDH e gli operatori di settore operativi sul territorio italiano.

Oggetto dello schema e Linee Guida TDH022

Il decreto sottoposto al Garante definisce le finalità e le interazioni dell’Ecosistema TDH022 e approva Linee Guida che individuano standard e tecnologie da rispettare per rendere interoperabili i sistemi informatici di Pubbliche Amministrazioni, enti e società terze. L’interoperabilità è finalizzata a consentire, previa sottoscrizione di accordi di dettaglio, il colloquio tra i sistemi e la raccolta e il coordinamento informativo e informatico dei dati con l’Ecosistema.

Trattamenti di dati personali previsti

Lo schema contiene una disciplina espressa dei trattamenti di dati personali connessi all’Ecosistema TDH022. In sintesi:

• le finalità sono indicate nell’integrazione e promozione dell’offerta turistica, nel rilancio del settore e nel favorire l’incontro tra domanda e offerta turistica;
• le basi giuridiche richiamate sono il consenso dell’interessato oppure, se necessario, il contratto o le misure precontrattuali;
• vengono richiamati i principi e gli obblighi del GDPR da rispettare nel trattamento;
• vengono individuati i ruoli dei soggetti coinvolti, con il Ministero del turismo quale titolare del trattamento;
• sono previste garanzie per eventuali trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali;
• il titolare è tenuto a effettuare e aggiornare costantemente la valutazione d’impatto sulla protezione dei dati.

Osservazioni del Garante e adeguamenti apportati

Il Garante osserva che lo schema di decreto tiene conto delle precedenti interlocuzioni informali con l’Ufficio, finalizzate a rendere i trattamenti conformi al GDPR in ossequio al principio di privacy by design e by default di cui all’art. 25 GDPR. Le osservazioni hanno riguardato in particolare:

• l’adeguata trasparenza dei trattamenti e la possibilità per gli interessati di esprimere scelte libere, specifiche e consapevoli, tenuto conto delle diverse finalità perseguite nell’ambito dell’Ecosistema;
• il rispetto dei principi di liceità, correttezza, trasparenza e limitazione della finalità di cui all’art. 5, par. 1, lett. a) e b), GDPR;
• l’esplicitazione di garanzie specifiche per i processi decisionali automatizzati, compresa la profilazione, ai sensi dell’art. 22 GDPR;
• l’individuazione di misure adeguate per assicurare un agevole esercizio dei diritti degli interessati.

Coordinamento con la disciplina sull’interoperabilità

Lo schema prevede che le Linee Guida TDH022 siano in linea con le indicazioni dell’Agenzia per l’Italia Digitale contenute nelle "Linee Guida sull’Interoperabilità Tecnica delle Pubbliche Amministrazioni". Il Garante richiama il precedente provvedimento favorevole n. 260 dell’8 luglio 2021 relativo a tali Linee Guida AgID.

Esito del parere e clausola di salvaguardia

L’Autorità esprime parere favorevole sullo schema di decreto. Resta tuttavia fermo quanto previsto dall’art. 36, par. 1, GDPR: se la valutazione d’impatto ai sensi dell’art. 35 evidenzia un rischio elevato in assenza di misure sufficienti a ridurlo, il titolare deve consultare preventivamente l’Autorità di controllo prima di procedere al trattamento.