Parere del Garante n. 315 del 06/10/2022

Registro automatizzato dei provvedimenti sulle sanzioni pecuniarie civili

Il Garante per la protezione dei dati personali esamina lo schema di decreto ministeriale recante disposizioni per la tenuta, in forma automatizzata, del registro dei provvedimenti di applicazione delle sanzioni pecuniarie civili previsto dall’art. 11 del d.lgs. 15 gennaio 2016, n. 7. Il parere è reso ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5-bis, del Codice privacy.

Quadro normativo e finalità del registro

Il decreto legislativo n. 7 del 2016 disciplina l’abrogazione di reati e l’introduzione di illeciti con sanzioni pecuniarie civili. L’art. 6 prevede la reiterazione dell’illecito quando una nuova violazione della stessa indole sia commessa entro quattro anni da un’altra violazione già accertata con provvedimento esecutivo. Su questa base l’art. 11 prevede un registro informatizzato dei provvedimenti, istituito con decreto del Ministro della giustizia.

Lo schema sottoposto al Garante prevede:

• istituzione del registro su base nazionale presso la Direzione generale degli affari interni del Dipartimento per gli affari di giustizia;
• gestione informatizzata delle operazioni di iscrizione, eliminazione, trasmissione, conservazione e servizi certificativi;
• individuazione di funzionari abilitati e di un referente per la gestione degli accessi;
• iscrizione dei provvedimenti passati in giudicato tramite estratto contenente dati specifici;
• eliminazione delle iscrizioni dopo dieci anni o in caso di morte del soggetto, revocazione o iscrizione erronea;
• rilascio dei certificati agli uffici giudiziari e all’interessato.

Valutazioni del Garante sul termine di conservazione

Il primo rilievo riguarda il termine decennale di conservazione previsto per le iscrizioni. Il Garante osserva che tale durata non appare proporzionata rispetto alla finalità del trattamento, poiché il dato è utilizzato per verificare la reiterazione entro il termine di quattro anni previsto dall’art. 6 del d.lgs. n. 7/2016.

Richiama quindi il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR e osserva che la relazione illustrativa non fornisce una giustificazione della scelta del termine decennale. Per questo chiede che lo schema sia modificato prevedendo un termine coerente con la finalità perseguita.

Cancellazione dei dati e protezione dei dati per impostazione predefinita

L’art. 5, comma 3, dello schema affida al soggetto abilitato della cancelleria la cancellazione delle iscrizioni scadute. Il Garante ritiene preferibile una soluzione automatizzata, in modo da evitare cancellazioni manuali di dati divenuti obsoleti e ridurre il rischio di errori o ritardi.

La raccomandazione è formulata alla luce del principio di protezione dei dati fin dalla progettazione e per impostazione predefinita, richiamato dall’art. 25, par. 2, GDPR.

Diritti degli interessati, esattezza e procedure di gestione

Un ulteriore profilo critico riguarda l’esercizio dei diritti degli interessati. Il Garante evidenzia la necessità di inserire nello schema garanzie specifiche per agevolare l’esercizio dei diritti di cui agli artt. 15-22 GDPR, con particolare attenzione al principio di esattezza dei dati previsto dall’art. 5, par. 1, lett. d), GDPR.

Suggerisce in particolare di:

• individuare con chiarezza il soggetto competente a fornire riscontro alle richieste degli interessati, sia esso l’ufficio giudiziario competente o il Ministero della giustizia;
• prevedere procedure interne specifiche per la gestione delle istanze;
• assicurare che gli interessati siano informati dell’esistenza dei diritti e delle modalità per esercitarli;
• tenere conto delle esigenze di tutela connesse anche all’art. 14, par. 5, lett. c), GDPR, oltre che agli artt. 12 e 24 GDPR e all’art. 2-octies del Codice.

Regole tecniche, riservatezza e parere sul decreto direttoriale

Il sistema informativo del registro è descritto solo in termini generali, poiché le regole tecniche sono rinviate a un successivo decreto del Direttore generale per i sistemi informativi automatizzati del Ministero della giustizia. Il Garante evidenzia che tali profili sono decisivi per la legittimità e la correttezza del trattamento, inclusa la riservatezza dei dati.

Per questo chiede che lo schema di decreto ministeriale preveda espressamente che il futuro provvedimento direttoriale sia sottoposto al parere dell’Autorità.

Valutazione di impatto e dati relativi a reati o illeciti

Il Garante richiama infine la giurisprudenza della Corte di giustizia UE sulla possibile qualificazione come "reati" di illeciti nazionali con sanzioni di natura repressiva. Alla luce di tali principi, ritiene che il trattamento possa rientrare nell’art. 10 GDPR e che, essendo svolto su larga scala, richieda una valutazione di impatto preventiva ai sensi dell’art. 35, par. 3, lett. b), GDPR.

Il Ministero della giustizia è quindi invitato a svolgere la DPIA prima dell’avvio del trattamento.

Esito del parere

Il Garante esprime parere favorevole sullo schema di decreto, ma subordinandolo a precise condizioni e formulando ulteriori osservazioni.

Le condizioni sono:

• adeguare il termine di conservazione delle iscrizioni al principio di limitazione della conservazione;
• prevedere specifiche garanzie per l’esercizio dei diritti degli interessati.

Le osservazioni sono:

• valutare l’adozione di un sistema automatico di cancellazione dei dati alla scadenza;
• prevedere che il decreto direttoriale sulle regole tecniche sia sottoposto al parere del Garante.

Il parere è quindi favorevole con condizioni e osservazioni, in un quadro in cui il trattamento è considerato legittimabile solo se corredato da adeguate garanzie di conservazione, esattezza, sicurezza, trasparenza e controllo tecnico-giuridico.