Parere del Garante n. 656 del 17/10/2024

Parere sullo schema di decreto direttoriale MIT sul registro unico telematico dei veicoli fuori uso

Il Garante per la protezione dei dati personali esprime, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, parere favorevole sullo schema di decreto direttoriale del Ministero delle infrastrutture e dei trasporti - Direzione generale per la motorizzazione, adottato in attuazione dell’art. 5, comma 3, del d.P.R. 23 settembre 2022, n. 177. Il provvedimento disciplina ruoli, compiti, tempi di conservazione e misure tecniche e organizzative relativi al trattamento dei dati personali connessi al registro unico telematico dei veicoli fuori uso.

Contesto e ambito del trattamento

Lo schema si applica ai trattamenti effettuati per l’alimentazione, la tenuta, l’aggiornamento e il mantenimento del registro, nonché per la produzione del certificato di rottamazione. Il Garante ricostruisce l’assetto dei soggetti coinvolti: il Ministero è titolare del trattamento; l’ACI, previo accordo ai sensi dell’art. 28 GDPR, è responsabile del trattamento per la gestione delle infrastrutture informatiche, delle utenze di accesso, del funzionamento del sistema e della produzione/rilascio del certificato; gli operatori professionali trattano i dati come autonomi titolari quando acquisiscono i dati necessari al conferimento e alla gestione del veicolo fuori uso.

Finalità del registro e dati trattati

Il registro è finalizzato sia a esigenze di ordine pubblico e certezza dei veicoli circolanti, sia alla tracciabilità ai fini di tutela ambientale del veicolo destinato alla rottamazione. Attraverso il certificato di rottamazione si attesta il venir meno delle responsabilità giuridiche e amministrative in capo all’intestatario o all’eventuale delegato al conferimento, con trasferimento delle responsabilità al titolare del centro di raccolta. I dati trattati comprendono, in particolare, dati tecnici del veicolo, dati anagrafici dell’intestatario e, se del caso, del detentore o del soggetto delegato, nonché i dati necessari alla verifica di congruità con ANV e PRA.

Rilievi del Garante sul principio di minimizzazione

Il Garante rileva che lo schema, pur prevedendo che il Ministero abbia chiarito nel corso delle interlocuzioni che sarebbero acquisiti solo gli estremi dei documenti di identità o di riconoscimento, contiene disposizioni che consentono la conservazione della copia del documento del detentore o dell’avente titolo. L’Autorità ritiene necessario che il trattamento sia limitato alle sole informazioni strettamente necessarie, senza registrare la copia integrale dei documenti, in applicazione dell’art. 5, par. 1, lett. c), GDPR.

Accessi delle autorità e delimitazione dei soggetti autorizzati

Lo schema prevede che le autorità preposte ai controlli in materia di tutela ambientale e di ordine pubblico accedano al registro in qualità di autonomi titolari del trattamento. Tuttavia, il Garante osserva che non è individuato in modo puntuale un elenco tassativo dei soggetti legittimati all’accesso. Per questo richiede di definire con precisione le categorie di soggetti autorizzati a visionare i dati per tali finalità, anche in coerenza con il principio di minimizzazione.

Misure di sicurezza, autenticazione e tracciamento

Il Garante valorizza l’impianto del decreto in materia di sicurezza, che prevede l’uso esclusivo della modalità elettronica, l’assegnazione di credenziali ai soggetti autorizzati, la protezione contro intrusioni e accessi abusivi e il tracciamento delle operazioni. Tuttavia formula due prescrizioni importanti:

• introdurre un doppio fattore di autenticazione per l’accesso alla VPN del Ministero da parte degli operatori professionali, invece del solo fattore previsto;
• integrare l’allegato con l’indicazione puntuale delle operazioni di trattamento e delle informazioni oggetto di registrazione e tracciamento, così da consentire l’identificazione del soggetto che ha operato e la verifica della pertinenza delle attività svolte.

Conservazione dei dati

Lo schema fissa in quindici anni il periodo massimo di conservazione dei dati tecnici e anagrafici, decorrente dalla presa in carico del veicolo e dalla contestuale produzione del certificato di rottamazione, in ragione delle finalità di certezza del diritto, tutela ambientale e ordine pubblico. Il Garante non contesta in sé il termine, ma osserva che sarebbe opportuno articolare i tempi di conservazione in relazione alle singole fattispecie di reato, in conformità al principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR.

Valutazione d’impatto e responsabilizzazione

Richiamando le linee guida EDPB sulla DPIA, il Garante ritiene opportuno che il Ministero valuti se il trattamento richieda una valutazione d’impatto sulla protezione dei dati. L’osservazione è formulata in chiave di accountability, ai sensi degli artt. 5, par. 2, e 24 GDPR, considerata la natura e l’ampiezza del trattamento disciplinato dal decreto.

Esito del parere

Il parere è favorevole, ma subordinato a quattro condizioni principali:

• limitare ai soli dati strettamente necessari il trattamento dei documenti di identità o di riconoscimento, senza conservarne la copia integrale;
• individuare un novero tassativo e specifico di soggetti legittimati ad accedere al registro per finalità di ordine pubblico e indagine giudiziaria;
• introdurre un doppio fattore di autenticazione per l’accesso alla VPN ministeriale da parte degli operatori professionali;
• dettagliare le operazioni di trattamento e le informazioni soggette a registrazione e tracciamento.

Formulate inoltre due osservazioni:

• definire i tempi di conservazione dei dati tecnici e anagrafici in relazione alle singole fattispecie di reato;
• valutare l’opportunità di effettuare una DPIA sul trattamento in esame.