Parere del Garante n. 434 del 06/06/2024

Specifiche tecniche del processo telematico civile e penale

Il Garante per la protezione dei dati personali esprime parere sullo schema di decreto del Direttore generale dei sistemi informativi automatizzati del Ministero della giustizia, che definisce le specifiche tecniche del processo telematico civile e penale in attuazione dell’art. 34 del d.m. 21 febbraio 2011, n. 44, come modificato dal d.m. 29 dicembre 2023, n. 217.

Il parere è reso nell’ambito delle competenze di cui all’art. 57, par. 1, lett. c), GDPR e all’art. 24, comma 2, del Codice/Decreto privacy, su richiesta del Ministero della giustizia.

Contesto istruttorio e evoluzione del testo

Lo schema sottoposto al Garante è il risultato di una istruttoria complessa, sviluppata tramite più trasmissioni ministeriali e interlocuzioni tecniche. L’Autorità aveva già formulato indicazioni preliminari per adeguare il testo ai principi di protezione dei dati, richiamando in particolare la necessità di:

• precisare i ruoli dei soggetti coinvolti nei trattamenti;
• rafforzare le misure tecniche e organizzative di sicurezza;
• disciplinare correttamente conservazione, autenticazione, tracciamento, deleghe e gestione delle violazioni di dati personali;
• verificare l’eventuale coinvolgimento di soggetti terzi che trattano dati al di fuori del territorio nazionale o dell’Unione europea.

Quadro normativo richiamato

Nel provvedimento sono richiamati, tra gli altri:

• il Regolamento (UE) 2016/679, in particolare gli artt. 5, 24, 25, 32, 33, 34, 35, 46, 57 e 58;
• il d.lgs. 196/2003;
• il d.lgs. 18 maggio 2018, n. 51;
• il d.m. 21 febbraio 2011, n. 44, come novellato;
• il CAD, in particolare gli artt. 6-bis e 6-quater per gli indici dei domicili digitali.

Ruoli dei soggetti e trasparenza del trattamento

Una parte centrale del parere riguarda la corretta individuazione dei ruoli privacy nel funzionamento del processo telematico civile e penale.

Lo schema recepisce l’impostazione secondo cui:

• gli organi giudiziari sono titolari del trattamento nell’esercizio delle funzioni giurisdizionali;
• il Ministero della giustizia agisce come responsabile del trattamento per la gestione e organizzazione strumentale dei servizi telematici a livello centrale;
• i gestori dei punti di accesso sono responsabili quando operano per conto di soggetti abilitati esterni, e titolari quando accedono per proprio conto ai servizi telematici.

Tale chiarimento è ritenuto coerente con gli artt. 24 e 28 GDPR e con gli artt. 15 e 18 del Decreto, oltre che funzionale alla trasparenza verso gli interessati ex art. 5, par. 1, lett. a), GDPR.

Misure di sicurezza recepite nello schema

Il Garante rileva che il testo recepisce varie indicazioni formulate in istruttoria, tra cui:

• la definizione delle procedure di autenticazione per i soggetti abilitati esterni e gli utenti privati;
• la verifica periodica dei presupposti per mantenere i profili di autorizzazione al portale delle notizie di reato;
• l’individuazione corretta degli indici nazionali da consultare per i domicili digitali;
• la disciplina dei tempi di conservazione dei documenti, delle deleghe e dei log;
• una disciplina specifica per il data breach, comprensiva dell’obbligo di informazione reciproca tra soggetti coinvolti nei trattamenti e della gestione delle violazioni note al Ministero nell’ambito dei trattamenti da esso svolti come responsabile.

Criticità sull’area pubblica del portale e sull’anonimizzazione

Il Garante segnala una criticità rilevante all’art. 5, comma 2, lett. c), dello schema, che consente la pubblicazione nell’area pubblica del portale di “informazioni essenziali sullo stato dei procedimenti pendenti, rese disponibili in forma anonima”.

L’Autorità osserva che:

• la sola rimozione dei nomi non garantisce sempre l’anonimato reale, perché possono residuare elementi idonei alla re-identificazione, come riferimenti spaziali, temporali o al contesto del caso;
• lo schema prevede anche il numero di ruolo, che è un dato pseudonimico e non compatibile con una vera anonimizzazione;
• la formulazione finale della norma è troppo indeterminata, poiché richiama anche “numero di sentenze, ecc.” senza precisare in modo puntuale quali informazioni siano effettivamente ostese.

Per questo il Garante impone che la disposizione sia riformulata in senso conforme ai principi di protezione dei dati personali, chiarendo espressamente e dettagliatamente quali dati possano essere resi disponibili.

Misure indicate ma non ancora operative

Il Garante evidenzia che alcune previsioni, pur inserite nello schema, non risultano ancora concretamente operative secondo quanto dichiarato dal Ministero, perché subordinano l’attuazione a studi di fattibilità o a tempi tecnici non immediati.

Tra queste figurano:

• la minimizzazione degli attributi SPID e CNS raccolti in fase di autenticazione;
• l’adozione di tecniche crittografiche avanzate per il file CSV contenente il log dei messaggi PEC;
• l’indicazione obbligatoria dell’ufficio del pubblico ministero destinatario nel salvataggio in bozza di una notizia di reato;
• l’introduzione di alert per rilevare comportamenti anomali o a rischio;
• attività di audit interno periodiche o a campione, da disciplinare meglio nella periodicità e nelle finalità.

Ulteriori profili applicativi da presidiare

L’Autorità richiama poi una serie di ulteriori misure tecniche e organizzative necessarie per rafforzare il livello di sicurezza del sistema, tra cui:

• l’uso esclusivo di protocolli di rete sicuri e cipher suite robuste, in linea con le raccomandazioni AgID sul TLS;
• l’adozione di algoritmi crittografici aggiornati per la trasmissione di atti civili;
• l’autenticazione a due o più fattori per diversi accessi sensibili, inclusi quelli dei soggetti interni, dei referenti del portale delle notizie di reato e degli amministratori di sistema;
• misure contro l’uso fraudolento di identità digitali;
• l’estensione del portale deposito atti penali alla trasmissione di documenti da parte di esperti e ausiliari del giudice;
• la rimozione degli atti e documenti dal portale deposito atti penali dopo accettazione o rigetto;
• procedure di delega robuste presso i punti di accesso;
• un sistema di tracciamento dettagliato di accessi e operazioni, comprensivo di dati essenziali sul soggetto, sull’eventuale delegante, sulla postazione di lavoro, sul procedimento e, ove possibile, sulla motivazione dell’operazione;
• l’uso dei log per le sole finalità di verifica della liceità, controllo interno e tutela dell’integrità e riservatezza.

Trasferimenti internazionali e fornitori terzi

Il Garante ritiene necessaria una ricognizione specifica per verificare se il sistema coinvolga soggetti terzi o fornitori che effettuino trattamenti fuori dal territorio nazionale o anche al di fuori dell’Unione europea.

L’Autorità richiama il principio secondo cui anche l’accesso da remoto da un Paese terzo a dati conservati in server situati nell’UE può costituire trasferimento di dati personali. In assenza di una decisione di adeguatezza della Commissione europea, devono essere adottate le garanzie previste dall’art. 46 GDPR e dall’art. 33 del Decreto, nonché, se necessario, misure supplementari.

Esito del parere e condizioni imposte

Il parere è sostanzialmente favorevole, ma con una condizione e con specifiche ingiunzioni rivolte al Ministero della giustizia.

Il Garante condiziona il proprio parere alla riformulazione dell’art. 5, comma 2, lett. c), sul punto della pubblicazione anonima delle informazioni sui procedimenti pendenti.

Inoltre, ai sensi degli artt. 58, par. 2, lett. d), GDPR e 37, comma 3, lett. d), del Decreto, ingiunge al Ministero di attuare entro i termini indicati le misure già previste nello schema o ulteriori misure tecniche e organizzative, tra cui:

• protocolli di rete sicuri e cipher suite robuste entro 6 mesi;
• crittografia avanzata per gli atti civili entro 6 mesi;
• autenticazione a due o più fattori entro 12 mesi;
• misure contro l’uso fraudolento delle identità digitali entro 6 mesi;
• uso del portale deposito atti penali per documenti di esperti e ausiliari del giudice e rimozione degli atti dopo accettazione o rigetto entro 6 mesi;
• procedure di delega robuste entro 6 mesi;
• tracciamento completo degli accessi e delle operazioni entro 12 mesi.

Infine, il Ministero deve fornire al Garante un riscontro sulle iniziative assunte o da assumere entro tre mesi dalla notifica del provvedimento.