Parere del Garante n. 283 del 21/05/2025

Parere favorevole sullo schema aggiornato delle Linee guida PDND

Il Garante per la protezione dei dati personali si esprime sullo schema aggiornato delle Linee guida sull’infrastruttura tecnologica della Piattaforma Digitale Nazionale Dati (PDND), da adottarsi da parte di AgID ai sensi dell’art. 50-ter, comma 2, del d.lgs. 7 marzo 2005, n. 82 (CAD), e dell’art. 71 CAD. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Quadro normativo e funzione della PDND

L’art. 50-ter CAD attribuisce alla PDND la funzione di rendere possibile l’interoperabilità tra i sistemi informativi e le basi di dati delle pubbliche amministrazioni e dei gestori di servizi pubblici, mediante accreditamento, gestione dei livelli di autorizzazione, catalogo API e tracciamento degli accessi e delle transazioni. La norma prevede che AgID adotti linee guida sugli standard tecnologici, sui criteri di sicurezza, accessibilità, disponibilità, interoperabilità e sul processo di accreditamento e fruizione del catalogo API, sentito il Garante.

Contenuto dello schema aggiornato

Il Garante rileva che la PDND è già operativa secondo le linee guida del 2021, rispetto alle quali lo schema aggiornato introduce chiarimenti e nuove funzionalità. Tra queste, assumono rilievo:

• l’apertura ai soggetti privati che, nello svolgimento di attività connesse a finalità di interesse pubblico, abbiano esigenza di condividere i propri dati con i soggetti fruitori, alle condizioni fissate dall’ordinamento;
• la figura del "Delegato", cioè una pubblica amministrazione aderente che opera per conto di un’altra PA per la gestione di e-service e richieste di fruizione;
• l’"Erogazione inversa", che consente all’Erogatore di ricevere dati/informazioni di cui il Fruitore è titolare;
• le funzionalità di "Richiesta Massiva" e di richiesta in "Modalità Asincrona";
• il "Segnale di Variazione", cioè la distribuzione di eventi relativi a variazioni di stati o fatti, tramite identificatori pseudonimizzati;
• la possibilità per il Gestore di rendere disponibili modelli precompilati per facilitare l’analisi del rischio.

Trattamenti, ruoli e responsabilità

Lo schema viene valutato positivamente anche perché precisa l’assetto dei ruoli privacy. Per le funzionalità di Erogazione, sia ordinaria sia inversa, il Gestore non è coinvolto nel trattamento dei dati personali trasmessi tra Erogatore e Fruitore: i dati non sono trattati sulla infrastruttura, ma scambiati direttamente tra i soggetti aderenti. Ne consegue che ciascun Aderente resta titolare autonomo del trattamento dei dati che mette a disposizione o che acquisisce.

Diversamente, per i trattamenti finalizzati alla distribuzione dei Segnali di Variazione, il Gestore assume il ruolo di responsabile del trattamento del Produttore ai sensi dell’art. 28 GDPR. In questo ambito lo schema disciplina anche la pseudonimizzazione degli identificatori e la necessità di modificare periodicamente almeno uno dei parametri di pseudonimizzazione, così da limitare il rischio di reidentificazione e garantire che i segnali siano interpretabili solo dai Consumatori con un procedimento in essere sul medesimo soggetto.

Sicurezza, minimizzazione e privacy by design

Il Garante valorizza le modifiche introdotte per assicurare la conformità ai principi di privacy by design e privacy by default ex art. 25 GDPR. In particolare, viene considerata positiva la previsione che, nelle ipotesi in cui la fruizione di un e-service comporti un trattamento di dati personali, l’Erogatore debba adottare misure tecniche e organizzative adeguate alle caratteristiche del servizio, tra cui, se necessario, tracciamento delle operazioni svolte dai singoli operatori del Fruitore e meccanismi di alerting.

Lo schema rafforza anche i controlli sugli accessi alle banche dati dell’Erogatore, prevedendo monitoraggio costante delle chiamate ricevute e verifiche a campione sulla validità delle analisi del rischio compilate dal Fruitore. Quest’ultimo è tenuto a collaborare, a rispettare i requisiti di fruizione e ad adottare misure adeguate una volta acquisiti i dati, in qualità di titolare del trattamento.

Per le richieste massive in modalità asincrona, il Garante prende atto del chiarimento fornito da AgID secondo cui tali richieste sono attivabili unicamente tramite la modalità asincrona con callback, con l’intenzione di esplicitarlo anche nel testo della definizione del paragrafo 4.22. Inoltre, è ritenuta coerente con il principio di minimizzazione la previsione dell’obbligo di indicare la numerosità massima di entità dati e informazioni fornite in risposta alla richiesta.

Valutazione finale e esito

Alla luce delle modifiche e dei chiarimenti apportati, il Garante ritiene che non vi siano osservazioni da formulare. Il testo, infatti, chiarisce che l’uso della PDND non altera gli obblighi posti dal GDPR e dal Codice privacy in capo ai soggetti coinvolti, in particolare quanto ai principi di liceità, integrità e riservatezza e agli obblighi di sicurezza ex art. 32 GDPR.

Il parere è quindi favorevole sullo schema aggiornato delle Linee guida PDND, da adottarsi da AgID.