Parere del Garante n. 571 del 12/09/2024

Parere sullo schema di decreto legislativo di adeguamento al Regolamento (UE) 2022/868 sulla governance europea dei dati

Il Garante per la protezione dei dati personali ha reso parere, ai sensi dell’articolo 36, paragrafo 4, GDPR e dell’articolo 154, comma 5, del Codice privacy, sullo schema di decreto legislativo volto ad adeguare la normativa nazionale al Regolamento (UE) 2022/868 sulla governance europea dei dati. Il parere è favorevole con condizioni: l’Autorità ritiene infatti che la delega conferita dalla legge 21 febbraio 2024, n. 15, non sia stata compiutamente esercitata in alcuni profili essenziali per la protezione dei dati personali.

Quadro normativo e contenuto dello schema

Lo schema di decreto, approvato dal Consiglio dei ministri il 3 luglio 2024, consta di cinque articoli e disciplina:

• la designazione di AgID quale autorità competente per i servizi di intermediazione dei dati e per la registrazione delle organizzazioni per l’altruismo dei dati;
• l’assistenza agli enti pubblici che concedono o rifiutano l’accesso al riutilizzo di determinate categorie di dati;
• il ruolo di sportello unico per le funzioni previste dal Regolamento 2022/868;
• il regime sanzionatorio per violazioni relative a trasferimenti di dati non personali verso Paesi terzi, notifiche, condizioni per l’intermediazione dei dati e registrazione per l’altruismo dei dati;
• la clausola di invarianza finanziaria.

Il Garante ricorda che la delega di cui all’articolo 17 della legge n. 15/2024 richiede, tra l’altro, la designazione delle autorità competenti, il coordinamento tra amministrazioni, la definizione di misure organizzative e tecniche per l’altruismo dei dati, l’individuazione delle informazioni da fornire agli interessati, la designazione degli organismi competenti e l’adeguamento del sistema sanzionatorio e delle tutele.

Valutazioni del Garante sulla mancata compiutezza della delega

L’Autorità osserva che alcuni criteri direttivi non risultano sufficientemente sviluppati nello schema:

• il criterio di cui alla lettera b) non è adeguatamente attuato dalla mera facoltà di AgID di stipulare accordi di collaborazione con il Garante e le altre autorità;
• occorre disciplinare in modo più preciso le forme di coordinamento, anche endoprocedimentale, tra AgID, Garante e altre amministrazioni, nel rispetto del principio di leale collaborazione;
• devono essere previste specifiche consultazioni del Garante ogni volta che il procedimento di AgID abbia implicazioni sulla protezione dei dati.

Informativa agli interessati e riutilizzo dei dati

Un ulteriore rilievo riguarda il criterio di delega che impone di individuare le informazioni necessarie da fornire agli interessati circa il riutilizzo dei loro dati nell’interesse generale. Per il Garante, tale contenuto informativo non può essere rimesso in modo generico a future disposizioni tecniche e organizzative di AgID, perché occorre una disciplina legislativa più puntuale che definisca ciò di cui gli interessati devono essere effettivamente resi edotti.

Sempre in questa prospettiva, il Garante chiede di disciplinare espressamente, nel rispetto della normativa in materia di protezione dei dati personali e dell’articolo 1, paragrafo 3, del Regolamento 2022/868, i presupposti di liceità per la trasmissione a terzi di dati personali destinati al riutilizzo.

Tutele amministrative e giurisdizionali

L’Autorità rileva anche che lo schema non sviluppa il criterio direttivo relativo all’adeguamento del sistema delle tutele amministrativa e giurisdizionale alle fattispecie previste dagli articoli 9, paragrafo 2, 27 e 28 del Regolamento 2022/868. Ciò è ritenuto particolarmente rilevante per garantire strumenti effettivi di reclamo e ricorso giurisdizionale.

Il Garante precisa che, qualora si intendano attribuire all’Autorità specifiche competenze di tutela amministrativa nell’applicazione del regolamento europeo, devono essere individuati con chiarezza:

• presupposti;
• forme;
• termini;
• garanzie procedimentali;
• giudice competente, che dovrebbe essere l’autorità giudiziaria ordinaria in coerenza con il Codice privacy.

Clausola di salvaguardia della disciplina privacy e limiti ai poteri degli organismi competenti

Per assicurare il corretto coordinamento con la disciplina unionale e interna in materia di protezione dei dati, il Garante ritiene necessario introdurre nell’articolo 4 una clausola di salvaguardia espressa a favore della normativa privacy. In tal modo si evita che eventuali illeciti in materia di protezione dei dati vengano assorbiti da concorrenti fattispecie sanzionatorie previste dallo schema.

Inoltre, in coerenza con il considerando 26 del Regolamento 2022/868, il Garante chiede di escludere che agli organismi competenti di cui all’articolo 7 siano attribuite funzioni di controllo sul trattamento dei dati personali, poiché tali competenze restano riservate alle autorità di protezione dei dati.

Conclusioni

Il Garante esprime quindi parere sullo schema di decreto con condizioni, chiedendo una serie di integrazioni sostanziali per garantire il rispetto del GDPR, del Codice privacy e della ripartizione delle competenze tra le autorità coinvolte. Le condizioni riguardano in particolare il coordinamento istituzionale, l’informazione agli interessati, la liceità del riutilizzo dei dati personali, le tutele, la clausola di salvaguardia privacy e la delimitazione delle funzioni degli organismi competenti.