Parere del Garante n. 397 del 14/09/2023

Parere favorevole sullo schema di Addendum consultazione al disciplinare tecnico sulla titolarità effettiva

Il Garante per la protezione dei dati personali esprime, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, parere favorevole sullo schema di "Addendum consultazione" al disciplinare tecnico sulla sicurezza del trattamento dei dati sulla titolarità effettiva predisposto da InfoCamere S.C.p.A. ai sensi dell’art. 11, comma 3, del d.m. 11 marzo 2022, n. 55. L’intervento si colloca nel quadro della disciplina antiriciclaggio sulla comunicazione, accesso e consultazione dei dati relativi ai titolari effettivi.

Quadro normativo di riferimento

Il parere richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003 e la normativa antiriciclaggio di cui al d.lgs. 231/2007, in particolare l’art. 21, comma 5, che demanda a un decreto ministeriale la disciplina della comunicazione e dell’accesso ai dati dei titolari effettivi. Viene altresì richiamato il d.m. 11 marzo 2022, n. 55, che disciplina la materia e prevede, all’art. 11, comma 3, che InfoCamere predisponga un disciplinare tecnico sottoposto a verifica preventiva del Garante. È richiamato anche l’art. 7, comma 1, del medesimo regolamento, nella sua originaria formulazione, che consentiva l’accesso pubblico ai dati della titolarità effettiva.

Incidenza della sentenza della Corte di giustizia dell’Unione europea

Il Garante evidenzia che la disciplina è stata influenzata dalla sentenza della Corte di giustizia del 22 novembre 2022 nelle cause riunite C-37/20 e C-601/20, con la quale è stata dichiarata invalida la previsione che rendeva in ogni caso accessibili al pubblico le informazioni sulla titolarità effettiva delle società e delle altre entità giuridiche. Alla luce di tale pronuncia, la consultazione dei dati è stata rimodulata dai decreti del Ministero delle imprese e del made in Italy del 16 marzo 2023 e del 20 aprile 2023, che nelle premesse danno atto della disapplicazione dell’art. 7, comma 1, del d.m. n. 55/2022 e limitano l’accesso ai soggetti previsti dagli artt. 5 e 6 del decreto, nonché ai soggetti riconosciuti titolari di un interesse giuridico rilevante e differenziato ai sensi dell’art. 7, comma 2.

Oggetto dell’Addendum consultazione

Lo schema esaminato intende integrare il disciplinare tecnico con le misure di sicurezza applicate ai processi e alle applicazioni software relativi alla consultazione dei dati sulla titolarità effettiva, in relazione ai soggetti che vi hanno titolo ai sensi degli artt. 6 e 7 del regolamento. Il testo tiene conto dei nuovi contenuti informativi e delle modalità di estrazione degli output resi possibili dai decreti ministeriali del 2023.

Distinzione tra output completi e output ridotti

L’Addendum distingue due categorie di informazioni consultabili:

• gli "Output TE Completi", accessibili ai soggetti obbligati;
• gli "Output TE Ridotti", accessibili ai soggetti legittimati, cioè a coloro che siano riconosciuti dalla Camera di commercio territorialmente competente come titolari di un interesse giuridico rilevante e differenziato.

Per ciascuna categoria sono individuate le tipologie di dati personali comprese e sono disciplinate le modalità di accesso. Questa distinzione viene valorizzata dal Garante in quanto coerente con i limiti di accesso imposti dalla sentenza della Corte di giustizia e con l’esigenza di ridurre l’esposizione dei dati personali ai soli soggetti legittimati.

Misure di sicurezza, logging e conservazione

Lo schema prevede misure tecniche e organizzative specifiche per la consultazione, tra cui il tracciamento delle attività finalizzate all’erogazione dei contenuti informativi e la conservazione dei file di log per 24 mesi. I log riguardano le operazioni rilevanti ai fini dell’accesso e dell’estrazione degli output. Sono inoltre richiamate misure di tutela quali il formato non elaborabile degli Output TE e l’accesso consentito solo a operatori appositamente istruiti e autorizzati.

Valutazione di conformità al GDPR

Il Garante osserva che lo schema tiene conto delle osservazioni formulate informalmente dall’Ufficio e risulta costruito in conformità al principio di privacy by design e by default di cui all’art. 25 GDPR. In particolare, sono stati considerati:

• il coordinamento delle previsioni sull’accesso da parte dei soggetti legittimati, con limitazione dell’ambito ai titolari di un interesse giuridico rilevante e differenziato;
• la più puntuale individuazione delle tipologie di dati consultabili;
• la definizione proporzionata dei tempi di conservazione dei log, in linea con l’art. 5, par. 1, lett. e), GDPR;
• la precisazione di misure tecniche e organizzative idonee a garantire integrità e riservatezza, ai sensi dell’art. 5, par. 1, lett. f), nonché degli artt. 29 e 32 GDPR.

Conclusione

Alla luce di tali elementi, il Garante ritiene che lo schema di Addendum consultazione non presenti criticità sotto il profilo della protezione dei dati personali ed esprime parere favorevole sul testo trasmesso da InfoCamere S.C.p.A.