Parere del Garante n. 156 del 12/03/2026

Servizi di conciliazione estiva e trattamento dei dati personali nella Provincia Autonoma di Trento

Il Garante per la protezione dei dati personali esamina lo schema di regolamento attuativo dell'articolo 4 della legge provinciale 2 marzo 2011, n. 1, come modificata dalla legge provinciale 29 dicembre 2025, n. 11, relativo ai "servizi di conciliazione con finalità educative e di socializzazione per i periodi di chiusura estiva delle scuole". Il parere è reso ai sensi dell'articolo 57, par. 1, lettera c), del GDPR e dell'articolo 154, comma 5, del Codice privacy.

Contesto normativo e finalità del provvedimento

La disciplina provinciale attribuisce alla Provincia il compito di promuovere servizi rivolti a bambini e ragazzi iscritti alle scuole del primo ciclo d'istruzione durante la pausa estiva delle attività didattiche. Le finalità dichiarate sono la coesione territoriale, il rafforzamento dei servizi educativi e la conciliazione tra tempi di cura familiare e tempi di lavoro.

La disposizione provinciale qualifica tali finalità come di rilevante interesse pubblico ai sensi dell'articolo 2-sexies, comma 2, lettera s), del Codice, autorizzando la Provincia, quale titolare del trattamento, a trattare i dati personali dei soggetti coinvolti, anche tramite enti strumentali e mediante piattaforme o applicazioni informatiche, nel rispetto dei principi di proporzionalità e minimizzazione.

Struttura dello schema di regolamento esaminato

Lo schema disciplina diversi profili del trattamento:

• l'articolo 1 definisce l'oggetto;
• l'articolo 2 individua le finalità e le fasi del trattamento, dalla individuazione degli incaricati del servizio alla verifica dei presupposti dei beneficiari, fino alle attività tecniche, amministrative, contabili, di controllo, monitoraggio e valutazione;
• l'articolo 3 elenca le tipologie di dati trattati, includendo categorie particolari di dati e dati relativi a condanne penali, reati e misure di sicurezza;
• l'articolo 4 indica le fonti dei dati, tra cui SIATEL, BDNA e registro delle imprese;
• l'articolo 5 disciplina modalità e operazioni del trattamento e prevede anche la diffusione dei dati per finalità di trasparenza;
• l'articolo 6 individua titolare e responsabili del trattamento;
• l'articolo 7 rinvia al massimario di conservazione e scarto o ad atti organizzativi per i tempi di conservazione;
• l'articolo 8 esclude trasferimenti verso Paesi extraeuropei;
• l'articolo 9 regola l'accesso ai dati da parte di soggetti previamente identificati e autorizzati;
• l'articolo 10 disciplina le misure di sicurezza richiamando misure tecniche e organizzative ritenute necessarie e la privacy policy dell'Amministrazione.

Valutazione complessiva del Garante

Il Garante esprime un parere favorevole, ma con condizioni. Rileva infatti che lo schema non è pienamente coerente con la norma provinciale di riferimento, poiché presenta un contenuto più ampio rispetto alla sola disciplina dei dati particolari e dei dati relativi a condanne penali e reati. Inoltre, osserva che il testo demanda a rinvii generici o a fonti esterne elementi che dovrebbero essere disciplinati direttamente nel regolamento, al fine di garantire chiarezza, trasparenza e conformità al GDPR.

Integrazioni richieste all'articolo 3: dati particolari e dati penali

Il principale rilievo riguarda l'articolo 3, che non chiarisce in modo sufficiente i presupposti di liceità del trattamento dei dati particolari e dei dati relativi a condanne penali, reati e misure di sicurezza o prevenzione. Manca, secondo il Garante, una puntuale individuazione delle garanzie appropriate a tutela dei diritti e delle libertà fondamentali degli interessati.

La disposizione deve quindi essere integrata, in coerenza con gli articoli 9, par. 2, lettera g), e 10 del GDPR, nonché con gli articoli 2-sexies e 2-octies del Codice, indicando:

• le previsioni normative che legittimano l'acquisizione e l'utilizzo dei dati;
• le categorie di fattispecie penali rilevanti;
• la tipologia delle misure di sicurezza e prevenzione ritenute ostative, sulla base della normativa di settore;
• l'individuazione delle misure cautelari interdittive;
• le misure appropriate e specifiche e le garanzie per diritti, interessi e dati personali degli interessati.

Integrazioni richieste all'articolo 4: fonti dei dati

L'articolo 4, relativo alle fonti dei dati personali, è ritenuto incompleto perché individua solo parzialmente le banche dati pubbliche da cui i dati possono essere tratti. Il Garante chiede, per ragioni di uniformità e coerenza del testo, il richiamo espresso di tutti gli archivi dei soggetti pubblici coinvolti nel trattamento, insieme alla normativa di settore che ne legittima l'accesso, in ossequio anche al principio di trasparenza di cui all'articolo 5, par. 1, lettera a), del GDPR.

Integrazioni richieste all'articolo 5: modalità, operazioni e diffusione

Anche l'articolo 5 richiede un completamento. Il regolamento deve specificare in modo concreto:

• le modalità del trattamento;
• le operazioni eseguibili;
• le norme statali e dell'Unione europea che legittimano la diffusione dei dati;
• i soggetti destinatari dei dati.

Il Garante sottolinea che la disciplina della diffusione deve restare entro il perimetro normativo consentito, nel rispetto delle limitazioni e dei divieti vigenti.

Integrazioni richieste all'articolo 7: conservazione dei dati

Per quanto riguarda l'articolo 7, il rinvio generico al massimario di conservazione e di scarto o ad atti organizzativi della Provincia non è ritenuto sufficiente. Devono essere indicati in modo puntuale i tempi di conservazione dei dati, differenziandoli in funzione delle singole finalità perseguite, in conformità all'articolo 5, par. 1, lettera e), del GDPR.

Integrazioni richieste all'articolo 10: misure di sicurezza

L'articolo 10, infine, non può limitarsi a richiamare in via generale misure "ritenute necessarie" né rinviare alla deliberazione della Giunta provinciale n. 2220 del 16 dicembre 2021. Il testo deve indicare direttamente, e non solo per relationem, le misure tecniche e organizzative da adottare, secondo criteri di adeguatezza rispetto alle caratteristiche del trattamento e in coerenza con il principio di integrità e riservatezza di cui all'articolo 5, par. 1, lettera f), del GDPR.

Esito del parere

Il Garante conclude esprimendo parere favorevole sullo schema di regolamento, subordinatamente all'integrazione delle disposizioni indicate:

• articolo 3, per basi giuridiche, categorie di dati penali, misure ostative e garanzie;
• articolo 4, per l'indicazione completa degli archivi pubblici e della normativa di accesso;
• articolo 5, per modalità, operazioni, diffusione e destinatari;
• articolo 7, per la fissazione puntuale dei tempi di conservazione;
• articolo 10, per la specificazione delle misure di sicurezza.

Il parere è quindi favorevole con condizioni, finalizzate ad allineare il testo al quadro del GDPR e del Codice privacy.