Consultazione preventiva per adozione della DPIA n. 455 del 04/08/2025

Parere favorevole sulla DPIA del sistema CEREBRO per le indagini patrimoniali

Il Garante ha esaminato, in sede di consultazione preventiva ex art. 24 del d.lgs. 51/2018, la valutazione di impatto presentata dal Dipartimento della pubblica sicurezza del Ministero dell'interno per il sistema CEREBRO, piattaforma di analisi ed elaborazione dati a supporto delle indagini patrimoniali. Il provvedimento ricostruisce il funzionamento del sistema, le fonti informative utilizzate, i profili di rischio e le garanzie introdotte a tutela degli interessati, con esito finale favorevole.

Origine del procedimento e descrizione del sistema

Il Ministero ha trasmesso l'istanza il 17 giugno 2024, rappresentando un trattamento finalizzato alle attività di prevenzione, indagine, accertamento e perseguimento di reati, nonché all'esecuzione di sanzioni penali. CEREBRO è qualificato come una piattaforma centralizzata che consente il supporto alle indagini patrimoniali svolte dalla Direzione centrale anticrimine della Polizia di Stato e dalle Questure, mediante acquisizione di dati da fonti istituzionali esterne e successiva elaborazione automatizzata.

Il sistema opera attraverso due macro-funzioni:

• acquisizione dei dati da registri e banche dati istituzionali, oltre all'inserimento di dati strutturati da parte di operatori autorizzati;
• elaborazione dei dati per evidenziare eventuali disponibilità finanziarie e patrimoniali sproporzionate rispetto ai redditi dichiarati, con produzione di report di indagine.

Basi giuridiche richiamate

Nella DPIA vengono richiamate come fonti legittimanti:

• la legge 1° aprile 1981, n. 121;
• il R.D. 18 giugno 1931, n. 773;
• il d.lgs. 6 settembre 2011, n. 159 (Codice antimafia);
• l'art. 321 c.p.p. sul sequestro preventivo.

Il Garante ha ritenuto tali fonti idonee a sorreggere il trattamento oggetto della consultazione, escludendo rilievi sulla base normativa.

Conservazione dei dati e ciclo di vita del trattamento

La DPIA descrive il trattamento come temporaneo e scandito da un ciclo di vita legato all'indagine: apertura del fascicolo digitale, acquisizione, elaborazione e conservazione fino alla cancellazione o anonimizzazione. La chiusura del fascicolo corrisponde alla cessazione dell'esigenza ai sensi dell'art. 8, comma 3, del d.P.R. n. 15/2018; da tale momento decorre un termine massimo di conservazione di dieci anni, al termine del quale i dati sono automaticamente cancellati.

Istruzione, richieste dell'Ufficio e chiarimenti del titolare

L'Ufficio del Garante, con osservazioni preliminari del 27 settembre 2024, ha chiesto chiarimenti su:

• convenzioni e modalità di accesso alle banche dati esterne;
• tipologie di dati e modalità di imputazione;
• compatibilità del web scraping con i divieti previsti dalle convenzioni;
• misure per garantire l'esattezza dei dati;
• effetti sui diritti degli interessati e ruolo dell'intervento umano.

A seguito della riunione di lavoro del 13 febbraio 2025 e degli ulteriori scambi documentali, il Dipartimento ha fornito chiarimenti sulle logiche di calcolo sperequativo, sull'uso dei servizi ISTAT per determinare soglie di povertà, spese minime o spese medie mensili, e sulla verifica da parte degli operatori delle eventuali difformità dei dati estratti.

Profili di rischio e criticità iniziali

Nella nota del 21 luglio 2025, il Garante ha rilevato che il sistema comporta un rischio elevato per i diritti e le libertà degli interessati, anche per l'uso di tecnologie e algoritmi nuovi. In particolare, sono stati evidenziati:

• l'ambiguità del termine web scraping nella DPIA, che non escludeva in modo sufficientemente chiaro raccolte massiva e indiscriminata di dati dal web;
• la carenza di misure specifiche per assicurare l'esercizio dei diritti di accesso, rettifica e cancellazione.

L'Ufficio ha quindi chiesto una nuova versione della DPIA che escludesse esplicitamente attività di raccolta massiva dalla rete e introducesse garanzie puntuali per i diritti degli interessati.

Adeguamenti introdotti nella DPIA finale

La versione aggiornata, trasmessa il 22 luglio 2025, è stata ritenuta conforme. In particolare, il documento finale precisa che l'estrazione automatica riguarda solo banche dati che non offrono servizi di cooperazione applicativa e che ciò non configura web scraping inteso come raccolta massiva e indiscriminata di dati personali dalla rete.

Quanto alle garanzie per gli interessati, la DPIA prevede che:

• l'informativa ex art. 10, comma 1, d.lgs. 51/2018 sia pubblicata sul sito istituzionale della Polizia di Stato, nella sezione privacy dedicata al sistema CEREBRO;
• l'informativa indichi i diritti di accesso, rettifica, cancellazione e limitazione;
• le istanze siano rivolte a un punto di contatto presso l'Ufficio affari generali della Direzione centrale anticrimine, anche tramite PEC;
• siano adottate specifiche misure tecniche e organizzative per rispondere nei tempi previsti.

Valutazione finale del Garante

Il Garante ha preso atto che la DPIA aggiornata esclude ogni attività di web scraping massiva e indiscriminata e introduce misure idonee a garantire i diritti degli interessati. Alla luce di ciò, ha espresso parere favorevole sulla valutazione di impatto relativa al sistema CEREBRO, ritenendola conforme ai principi e alle regole applicabili ai trattamenti per finalità di polizia ai sensi del d.lgs. 51/2018.