Parere del Garante n. 361 del 31/08/2023

Parere su proposta di legge regionale e schema di regolamento per il trattamento dati del Punto unico regionale (P.U.R.)

La Regione Autonoma Friuli Venezia Giulia ha richiesto il parere del Garante su una proposta di legge regionale e sul relativo schema di regolamento attuativo concernenti il trattamento dei dati personali svolto dalla Direzione centrale salute, politiche sociali e disabilità nell’ambito delle attività attribuite al Punto unico regionale (P.U.R.), istituito in attuazione dell’articolo 3 dell’Accordo Stato-Regioni del 30 novembre 2022 sulla sanità penitenziaria e sulla gestione dei pazienti con misura di sicurezza.

Il parere riguarda trattamenti che coinvolgono anche categorie particolari di dati ex art. 9 GDPR e dati relativi a condanne penali, reati e misure di sicurezza ex art. 10 GDPR. Il Garante esprime un parere favorevole sulla proposta di legge regionale e favorevole con condizioni sullo schema di regolamento, richiedendo però modifiche puntuali per assicurare conformità al GDPR e al Codice privacy.

Quadro normativo di riferimento

Il Garante richiama:

• l’art. 57, par. 1, lett. c), GDPR, quale base della funzione consultiva;
• l’art. 154, comma 5, del Codice privacy;
• gli artt. 2-sexies e 2-octies del Codice, per la disciplina dei trattamenti di dati particolari e dei dati relativi a condanne penali e reati;
• l’art. 28, par. 3, GDPR, per il ruolo del responsabile del trattamento;
• gli artt. 5, 6, 9, 10, 24, 25, 29, 32 e 89 GDPR, nonché le pertinenti disposizioni del Codice e delle regole deontologiche applicabili ai trattamenti statistici e di archiviazione.

La disciplina regionale si innesta inoltre sulle norme di attuazione dello statuto speciale della Regione Friuli Venezia Giulia in materia di sanità penitenziaria e superamento degli ospedali psichiatrici giudiziari.

Oggetto della disciplina regionale

Lo schema di regolamento è volto a disciplinare il trattamento dei dati personali svolto dalla Direzione centrale competente per lo svolgimento delle attività riconducibili al P.U.R., in particolare quelle funzionali alla gestione dei pazienti sottoposti a misura di sicurezza.

Tra le attività ricordate vi sono:

• il raccordo con i Dipartimenti di Salute Mentale e con le Aziende sanitarie;
• le interlocuzioni con l’autorità giudiziaria e l’amministrazione penitenziaria;
• l’indicazione della residenza per l’esecuzione delle misure di sicurezza (REMS);
• la gestione della lista di attesa regionale delle REMS;
• la ricerca e facilitazione di soluzioni assistenziali in contesti non detentivi.

Valutazione del Garante sui ruoli e sulla base di liceità

Lo schema individua l’Amministrazione regionale quale titolare del trattamento e la Società Insiel S.p.A. quale responsabile del trattamento. Il Garante ritiene necessario che l’articolo 2 sia integrato per specificare con precisione rispetto a quali trattamenti Insiel S.p.A. sia responsabile, senza rinvii generici o per relationem.

Quanto alla base di liceità, il regolamento richiama l’esecuzione di compiti di interesse pubblico o connessi all’esercizio di pubblici poteri e si coordina con l’art. 3 dell’Accordo Stato-Regioni, con l’art. 2, comma 2, del d.lgs. 23 dicembre 2010, n. 274, e con l’art. 1, comma 1, lett. b), del d.lgs. 23 maggio 2016, n. 102.

Dati trattati, accesso e comunicazioni

L’articolo 4 dello schema individua gli interessati nei soggetti indagati, imputati, internati e sottoposti a misure di sicurezza e ricomprende anche dati idonei a rivelare lo stato di salute, nonché dati relativi a condanne penali, reati e misure di sicurezza.

Sul punto, il Garante osserva che:

• l’elenco delle categorie di dati trattati deve essere reso tassativo e non esemplificativo, per ragioni di certezza normativa e trasparenza;
• l’articolo 7 deve distinguere i diversi livelli di accesso dei soggetti autorizzati, in base alle rispettive attribuzioni;
• deve essere meglio circoscritta la platea dei possibili destinatari delle comunicazioni, così da limitare l’accesso alle sole informazioni necessarie;
• al comma 4 va inserita, dopo le parole "essere comunicati", la locuzione ", ove previsto dalla legge, ", per raccordare correttamente legge regionale, regolamento e Accordo Stato-Regioni.

Divieto di diffusione e clausole di salvaguardia

Il comma 5 dell’articolo 7 vieta la diffusione dei dati, salvo diversa previsione legislativa o regolamentare. Il Garante chiede di integrare tale previsione con una clausola di salvaguardia riferita espressamente all’art. 2-septies, comma 8, del Codice, al fine di evitare incertezze interpretative, in particolare con riguardo ai dati appartenenti alle categorie di cui agli artt. 9 e 10 GDPR.

Misure di sicurezza e trasmissione dei dati

L’articolo 8 disciplina le misure di sicurezza del trattamento, ma il Garante lo ritiene insufficiente e sollecita un rafforzamento delle garanzie, in particolare per:

• la trasmissione dei dati mediante l’applicativo informatico Gifra-Visura/Iteratti;
• l’uso di Sharepoint, che non deve determinare una duplicazione delle informazioni già presenti nel sistema di protocollo e conservazione documentale.

Più in generale, il Garante auspica una disciplina più dettagliata dei profili di sicurezza, comprensiva di:

• limitazione del trattamento, per impostazione predefinita, ai soli dati necessari per ciascuna finalità;
• pseudonimizzazione e cifratura;
• autenticazione informatica a più fattori;
• registrazione degli accessi e delle operazioni compiute dal personale autorizzato.

Con specifico riferimento alla PEC, il Garante osserva che essa non garantisce la riservatezza end-to-end della trasmissione e richiede che il provvedimento chiarisca che:

• i dati siano trasmessi come allegati protetti;
• la password sia comunicata tramite canale diverso;
• l’oggetto del messaggio non contenga dati personali;
• il testo della PEC sia il più possibile generico.

Conservazione dei dati, statistiche e archiviazione

L’articolo 9 prevede una conservazione massima di trenta anni dalla raccolta, coerente con la durata massima della misura di sicurezza detentiva, e consente l’uso dei dati per archiviazione e per statistiche in forma aggregata.

Il Garante chiede però di:

• differenziare i tempi di conservazione in relazione alla tipologia di dati e alle finalità perseguite, in applicazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR;
• precisare che l’aggregazione finalizzata alla conservazione per scopi statistici deve rendere i dati non più identificativi;
• richiamare espressamente, per il trattamento statistico svolto da soggetti del SISTAN, gli artt. 5, 89 GDPR, gli artt. 104 e seguenti del Codice, le Regole deontologiche dell’Allegato A4 al Codice e il d.lgs. 322/1989;
• richiamare, per l’archiviazione nel pubblico interesse, gli artt. 6, par. 1, lett. e), 9, par. 2, lett. g), e 89 GDPR, l’art. 2-sexies, comma 2, lett. cc), del Codice e le Regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica.

Conclusioni

Il Garante esprime parere favorevole:

• sulla proposta di legge regionale;
• sullo schema di regolamento, ma soltanto a condizione che siano recepite le integrazioni e precisazioni indicate nel motivato parere.

Le condizioni riguardano principalmente la definizione dei ruoli, la tassatività delle categorie di dati, la disciplina degli accessi e delle comunicazioni, la protezione della diffusione, il rafforzamento delle misure di sicurezza, la corretta gestione della PEC, la differenziazione dei tempi di conservazione e la conformità dei trattamenti statistici e archivistici alla disciplina applicabile.