Parere del Garante n. 462 del 18/07/2024

Parere favorevole sullo schema di decreto MIT relativo al Registro Unico degli Ispettori

Il Garante per la protezione dei dati personali si pronuncia sullo schema di decreto della Direzione generale della motorizzazione del Ministero delle infrastrutture e dei trasporti concernente la disciplina del trattamento dei dati personali nella nuova versione informatica del Registro Unico degli Ispettori (RUI), istituito ai sensi dell’art. 4, comma 1, del decreto ministeriale 11 dicembre 2019. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR ed è favorevole.

Quadro normativo di riferimento

Nel valutare lo schema, il Garante richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003, il d.lgs. 285/1992 (in particolare l’art. 80), il d.P.R. 495/1992 (artt. 239, 240, 241 e 242), il d.lgs. 112/1998, il decreto ministeriale 19 maggio 2017, il decreto ministeriale 11 dicembre 2019 e il decreto ministeriale 15 novembre 2021. Quest’ultimo, all’art. 2, comma 2, lett. h-ter), demanda a successivi decreti dirigenziali la disciplina delle modalità di implementazione, aggiornamento e funzionamento del RCC e del RUI.

Oggetto del trattamento disciplinato dallo schema

Lo schema di decreto, composto da diciotto articoli e da un allegato tecnico, disciplina il trattamento dei dati personali effettuato dal Ministero nell’ambito della nuova piattaforma informatica del RUI. Il registro svolge funzioni di elenco informatico degli ispettori e delle informazioni a essi associate, consentendo l’identificazione digitale dell’ispettore, il controllo della rispondenza dei veicoli controllati all’autorizzazione ricevuta, il monitoraggio della formazione obbligatoria e la gestione delle annotazioni disciplinari e delle sanzioni.

Tipologie di dati acquisiti e finalità

Per ciascun ispettore autorizzato il RUI acquisisce il fascicolo dell’ispettore e diversi dati personali. Tra questi vi sono:

• i dati anagrafici e le informazioni sui corsi di formazione iniziale o di integrazione dell’abilitazione, sul superamento del relativo esame e sulla formazione di aggiornamento;
• il numero dell’eventuale provvedimento sanzionatorio, la data di adozione e l’esito sanzionatorio, limitato all’effetto sospensivo o alla revoca.

Ai fini dell’istanza di iscrizione sono inoltre trattati i dati dell’ispettore, in relazione ai diversi livelli di abilitazione, tra cui nome, cognome, data e luogo di nascita, residenza tramite collegamento con ANPR, codice fiscale, recapiti di posta elettronica ordinaria e certificata e firma digitale. L’interessato deve dichiarare, ai sensi del d.P.R. 445/2000, la sussistenza dei requisiti personali e professionali previsti dall’art. 240, comma 1, del d.P.R. 495/1992 e l’eventuale assenza di condizioni di incompatibilità o conflitto di interessi.

Accesso al RUI e gestione delle istanze

Il RUI è accessibile in tempo reale esclusivamente in via telematica tramite la piattaforma istituita presso il CED. L’accesso ai dati e alle informazioni contenuti nel registro è consentito agli ispettori autorizzati, ai terzi delegati, agli uffici competenti degli organismi di supervisione e agli enti territoriali.

Lo schema disciplina anche il caso in cui l’istanza di iscrizione sia presentata da un terzo delegato: in tale ipotesi devono essere allegati la delega e l’informativa sul trattamento dei dati personali, entrambi firmati digitalmente dall’ispettore delegante. Durante il periodo di iscrizione, l’ispettore è tenuto ad aggiornare, tra l’altro, il certificato di firma digitale, gli obblighi di formazione e aggiornamento e le dichiarazioni relative a eventuali situazioni di conflitto di interessi.

Valutazioni del Garante su minimizzazione, ruoli e sicurezza

Nel corso dell’istruttoria il Garante evidenzia di aver formulato osservazioni poi recepite dal Ministero. In particolare, l’Autorità richiama:

• la necessità di descrivere in modo puntuale i dati acquisiti nel RUI in relazione agli esiti dei procedimenti sanzionatori, ai sensi dell’art. 18 del decreto 15 novembre 2021;
• l’esigenza che il RUI non acquisisca il contenuto integrale dei provvedimenti sanzionatori, in applicazione del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR;
• l’individuazione delle modalità di identificazione e autenticazione degli utenti abilitati, delle finalità di accesso e delle operazioni eseguibili sui dati;
• la necessità che l’eventuale affidamento a soggetti terzi di specifiche operazioni di trattamento sia regolato da un accordo ai sensi dell’art. 28 GDPR;
• l’adozione di garanzie e misure di sicurezza appropriate e specifiche, in ossequio agli artt. 5, par. 1, lett. f), e 32 GDPR.

Lo schema prevede infatti misure tecniche e organizzative dirette a garantire integrità e riservatezza dei dati, sicurezza del sistema e degli accessi, nonché tracciamento delle operazioni effettuate.

Informativa, diritti degli interessati e conservazione dei dati

Il Ministero, in qualità di titolare del trattamento, è tenuto a fornire agli interessati l’informativa prevista dagli artt. 13 e 14 GDPR e ad agevolare l’esercizio dei diritti di cui agli artt. 15 e seguenti del Regolamento.

Lo schema disciplina anche i tempi di conservazione dei dati, nel rispetto del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR. In particolare:

• i dati degli ispettori sono conservati per quattro anni dalla cancellazione dal RUI, per consentire gli accertamenti di legge sulle attività di revisione svolte;
• i dati dei terzi delegati, del personale amministrativo degli organismi di supervisione, degli enti territoriali e della Direzione generale della motorizzazione sono conservati fino alla cessazione del ruolo che legittima l’accesso e cancellati entro un anno da tale cessazione;
• la documentazione relativa alle polizze assicurative è conservata in piattaforma in modalità criptata per due anni dalla scadenza, per gli accertamenti di legge, e successivamente restano conservati solo i dati indicati nel par. 3.3 dell’allegato tecnico, secondo le tempistiche previste per i dati degli ispettori;
• in caso di rigetto dell’istanza di iscrizione, i dati dell’ispettore e le informazioni sull’istanza sono cancellati decorso inutilmente il termine per l’eventuale ricorso.

Esito finale

Alla luce dell’istruttoria svolta, il Garante rileva che lo schema tiene conto delle osservazioni formulate nel corso delle interlocuzioni con il Ministero e risulta conforme ai principi del GDPR, con particolare riferimento a liceità, minimizzazione, integrità, riservatezza, sicurezza e limitazione della conservazione. Per tali ragioni esprime parere favorevole sullo schema di decreto.