Parere del Garante n. 579 del 07/12/2023

Parere sullo schema di regolamento di funzionamento dell’infrastruttura nazionale del Single digital gateway (SDG)

Il Garante per la protezione dei dati personali esprime parere sullo schema di regolamento di funzionamento delle componenti nazionali italiane del Single digital gateway (SDG), destinato a essere adottato con determina del Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri. Il parere si colloca nel quadro del regolamento (UE) 2018/1724 e del regolamento di esecuzione (UE) 2022/1463, che definiscono a livello europeo l’architettura e le regole di funzionamento del sistema tecnico per lo scambio transfrontaliero automatizzato di prove.

Quadro normativo e perimetro dell’intervento nazionale

Il Garante richiama la disciplina europea che governa il SDG e il principio once-only, sottolineando che le principali scelte regolatorie e tecniche sono già state definite dall’Unione europea. Le interlocuzioni tra Commissione e Stati membri risultano ancora in corso per l’ulteriore affinamento delle tematiche di protezione dei dati personali, con conseguenti margini limitati di autonomia per la regolazione nazionale.

In questo contesto, il parere è circoscritto agli aspetti non già regolati a livello unionale e rimessi alla disciplina nazionale. Il Garante evidenzia inoltre che la realizzazione e la gestione delle componenti europee del sistema sono sottoposte al controllo del Garante europeo per la protezione dei dati ai sensi del regolamento (UE) 2018/1725.

Architettura nazionale del SDG e ruolo dei soggetti coinvolti

Lo schema di regolamento descrive l’infrastruttura nazionale del SDG come un insieme di componenti logiche e applicative, tra cui il Catalogo dei servizi, l’eDelivery Access Point, l’eID per l’autenticazione degli utenti transfrontalieri, il Preview Space e il Backbone Servizi SDG. Viene inoltre indicato che, nel confine logico ITALIA�d, rientrano la Piattaforma Digitale Nazionale Dati (PDND), il Procedure Portal IT e il Data Service IT.

AgID assume il ruolo di attuatore del SDG per l’Italia e, per le amministrazioni aderenti, è prevista la sua qualificazione quale responsabile del trattamento. Le pubbliche amministrazioni titolari dei procedimenti amministrativi e/o responsabili dell’erogazione delle prove restano invece titolari del trattamento, ai sensi dell’art. 4, punto 7, GDPR e dell’art. 33 del regolamento di esecuzione (UE) 2022/1463.

Dati trattati e misure di minimizzazione

Nel corso dell’istruttoria AgID ha rappresentato alcune modifiche rilevanti ai fini privacy. In particolare:

• per l’accesso al backoffice dei referenti delle autorità competenti tramite SPID o altro strumento di identificazione, sono espunti l’indirizzo e-mail personale e ulteriori dati non necessari, come genere, data e nazione di nascita;
• per l’identificazione univoca dell’utente nel Preview Space, verranno richiesti solo gli attributi obbligatori eIDAS, e non quelli opzionali;
• anche l’indirizzo e-mail personale dell’utente nazionale viene espunto dal set di dati acquisiti tramite lo strumento di identificazione.

Il Garante valorizza tali interventi come misure coerenti con i principi di minimizzazione dei dati e di privacy by design e by default di cui agli artt. 5, par. 1, lett. c), e 25 GDPR.

Verifica del codice fiscale tramite PDND

Un profilo espressamente esaminato riguarda la possibilità di utilizzare il codice fiscale come attributo aggiuntivo rispetto ai dati acquisiti tramite autenticazione eIDAS, poiché le amministrazioni italiane utilizzano quasi sempre tale codice come chiave primaria di accesso ai propri servizi. A tal fine, l’Agenzia delle entrate mette a disposizione un servizio di “verifica CF” esposto tramite API sulla PDND.

Il Garante ricorda che la PDND è già stata oggetto di valutazione favorevole con il provvedimento n. 433 del 16 dicembre 2021. Nel caso del servizio di verifica del codice fiscale, l’Agenzia delle entrate si limita a verificare la corrispondenza tra i dati dell’utente e quelli presenti nell’Anagrafe Tributaria al momento dell’interrogazione, mentre l’identificazione resta in capo agli Identity Provider del Paese di origine che dialogano con il nodo eIDAS.

Valutazione del Garante e conclusione del parere

L’Autorità rileva che i trattamenti di dati personali nell’ambito del SDG sono già dettagliatamente disciplinati dal diritto dell’Unione, mentre la regolazione nazionale interviene solo su aspetti residuali. Considerati i limitati margini di intervento e le misure di protezione descritte da AgID, il Garante conclude che, per i profili di propria competenza e limitatamente agli aspetti non regolati a livello europeo, non vi sono osservazioni da formulare sullo schema.

Il parere è quindi favorevole, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, sullo schema di regolamento di funzionamento dell’infrastruttura nazionale del Single digital gateway.

Effetti per le amministrazioni aderenti

Il Garante precisa che le amministrazioni titolari dei trattamenti relativi ai servizi resi disponibili tramite il SDG possono aderire all’infrastruttura nazionale senza dover acquisire un ulteriore parere dell’Autorità sui propri atti regolatori, salvo il caso in cui, all’esito della valutazione d’impatto ex art. 35 GDPR, emerga un rischio elevato residuo che imponga una consultazione preventiva ai sensi dell’art. 36, par. 2, GDPR.

Il parere viene reso anche in considerazione delle scadenze del Regolamento e del PNRR, che impongono la disponibilità delle procedure a decorrere dal 12 dicembre 2023.