Parere del Garante n. 537 del 12/09/2024

Parere sulla novella dell’art. 15 della legge provinciale Trento n. 13/2007 sul sistema informativo delle politiche sociali

Il Garante per la protezione dei dati personali rende parere, ai sensi dell’art. 57, par. 1, lett. c), GDPR e dell’art. 154, comma 5, del Codice privacy, su una proposta di modifica della legge provinciale 27 luglio 2007, n. 13, con particolare riferimento all’art. 15, relativo al sistema informativo delle politiche sociali. L’intervento è finalizzato a supportare, mediante strumenti digitali, le funzioni socio-assistenziali della Provincia autonoma di Trento e degli altri soggetti del sistema.

Contesto normativo e finalità dell’intervento

La disciplina in esame si colloca nel quadro delle politiche sociali provinciali e del sistema integrato di servizi sociali. Il Garante richiama il ruolo di più soggetti nella realizzazione degli obiettivi della legge provinciale, tra cui Provincia, enti locali, aziende pubbliche di servizi alla persona, enti del terzo settore e altri soggetti privati non a scopo di lucro.

In particolare:

• l’art. 3 della legge provinciale n. 13/2007 prevede la partecipazione di una pluralità di soggetti al sistema integrato dei servizi sociali;
• l’art. 8 attribuisce ai comuni le funzioni di assistenza e beneficenza pubblica, mentre alla Provincia spettano programmazione, indirizzo, coordinamento e organizzazione del sistema informativo delle politiche sociali;
• l’art. 16 affida la presa in carico degli utenti agli enti locali e ai rispettivi servizi sociali.

La novella intende superare l’attuale impostazione, che demanda a una deliberazione della Giunta provinciale la definizione di vari profili organizzativi del sistema, e spostare la regolazione di dettaglio su una fonte regolamentare, più idonea a disciplinare i trattamenti di dati personali coinvolti.

Contenuto della proposta di modifica

La proposta interviene sul funzionamento, sull’alimentazione e sulla consultazione del sistema informativo delle politiche sociali, prevedendo che esso sia utilizzato per lo svolgimento delle attività di competenza della Provincia e degli enti locali. Viene inoltre demandato a un regolamento di esecuzione:

• il raccordo con il sistema informativo dell’Azienda provinciale per i servizi sanitari e con quelli di altri enti pubblici;
• l’individuazione dei dati personali trattabili, inclusi quelli appartenenti a categorie particolari e quelli relativi a condanne penali e reati, nei limiti di quanto indispensabile per le finalità perseguite;
• le modalità di trattamento, le operazioni eseguibili e le misure di sicurezza ai sensi dell’art. 32 GDPR;
• ogni altro elemento necessario al funzionamento del sistema.

Il comma 3 consente inoltre a aziende pubbliche di servizi alla persona, enti del terzo settore e altri soggetti privati non lucrativi, coerenti con gli obiettivi della legge, di comunicare dati alla Provincia e agli enti locali e di consultare il sistema informativo, anche in cooperazione applicativa, quando necessario per l’erogazione del servizio svolto per conto della Provincia o dell’ente locale.

Valutazione del Garante

Il Garante ritiene l’iniziativa in linea di principio condivisibile, poiché mira a definire meglio i profili di protezione dei dati nel sistema informativo delle politiche sociali. Tuttavia, la disciplina proposta richiede ulteriori precisazioni per garantire una regolazione completa e conforme al GDPR e al Codice privacy.

In particolare, il regolamento di esecuzione dovrà:

• indicare il titolare del trattamento e i ruoli assunti dai diversi soggetti abilitati al sistema (Provincia, enti locali, aziende pubbliche di servizi alla persona, enti del terzo settore, altri soggetti privati non lucrativi, nonché i titolari di eventuali banche dati interconnesse);
• disciplinare l’accesso selettivo ai dati in base alle diverse finalità perseguite dagli utenti;
• specificare le categorie di dati personali accessibili in relazione alle competenze dei diversi soggetti;
• individuare le misure a tutela dei diritti e degli interessi degli interessati, con riferimento ai dati di cui agli artt. 9 e 10 GDPR;
• stabilire i tempi di conservazione dei dati secondo il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR;
• regolare l’informazione agli interessati nel rispetto degli artt. 5, par. 1, lett. a), 12, 13 e 14 GDPR.

Dati particolari e dati giudiziari

Il parere segnala un ulteriore profilo di criticità: la novella richiama soltanto l’art. 2-sexies del Codice privacy per il trattamento di dati appartenenti a categorie particolari e di dati relativi a condanne penali e reati. Tale richiamo è ritenuto non sufficiente.

Il Garante precisa infatti che:

• per i dati appartenenti a categorie particolari occorre richiamare anche l’art. 2-septies del Codice privacy;
• per i dati relativi a condanne penali e reati occorre richiamare l’art. 2-octies del Codice privacy.

Tali disposizioni devono essere considerate come parametri di conformità, anche ai fini dell’art. 117, comma 1, lett. l), Cost., in quanto rilevanti nella distribuzione delle competenze legislative in materia di ordinamento civile e tutela della privacy.

Conclusioni

Il Garante esprime parere favorevole sulla norma proposta, ma con condizioni. In particolare, chiede:

• che sullo schema di regolamento di esecuzione previsto dal comma 2 sia acquisito il parere del Garante, con ampliamento del suo ambito di intervento secondo le indicazioni contenute nel parere;
• che nel primo periodo del comma 2 siano richiamati espressamente gli artt. 2-septies e 2-octies del Codice privacy, rispettivamente per i dati particolari e per i dati relativi a condanne penali e reati.

Il parere è quindi favorevole condizionato, e mira a garantire che l’evoluzione digitale del sistema informativo delle politiche sociali avvenga nel rispetto dei principi di liceità, minimizzazione, trasparenza, limitazione della conservazione e adeguata ripartizione dei ruoli privacy.