Parere del Garante n. 215 del 23/05/2023

Parere sullo schema di decreto sui trattamenti dei Centri per la giustizia riparativa

Il Garante per la protezione dei dati personali, su richiesta del Ministero della giustizia, ha reso parere ai sensi dell’art. 36, par. 4, del Regolamento (UE) 2016/679 sullo schema di decreto ministeriale di natura regolamentare attuativo dell’art. 65 del d.lgs. 10 ottobre 2022, n. 150. Il provvedimento disciplina il trattamento dei dati personali svolto dai Centri per la giustizia riparativa, istituiti dall’art. 63 del medesimo decreto legislativo.

Contesto normativo e ruolo dei Centri

Lo schema si colloca nel quadro della giustizia riparativa delineato dal d.lgs. n. 150 del 2022. I Centri per la giustizia riparativa, istituiti presso gli enti locali, svolgono i programmi riparativi e ne comunicano l’esito all’autorità giudiziaria. L’art. 65 del decreto legislativo demanda a un regolamento ministeriale la definizione delle tipologie di dati trattabili, delle categorie di interessati, dei soggetti destinatari delle comunicazioni, delle operazioni di trattamento e delle misure appropriate e specifiche per tutelare i diritti degli interessati.

Il Garante richiama, quale cornice generale, il GDPR e il Codice privacy, evidenziando che i Centri sono qualificati come titolari del trattamento dei dati personali funzionali allo svolgimento del programma. Nel contesto della giustizia riparativa risultano particolarmente rilevanti anche i profili di riservatezza e confidenzialità, richiesti dalla disciplina primaria e dai principi internazionali richiamati nel decreto legislativo.

Contenuto dello schema di regolamento

Lo schema definisce l’oggetto del trattamento, le categorie di dati e le finalità perseguite.

L’art. 3 individua i dati trattabili, comprendendo dati identificativi e ulteriori dati contenuti in documenti analogici o digitali, anche in forma di riprese audiovisive. L’art. 4 elenca in modo tassativo le finalità:

• organizzazione, conduzione e gestione degli esiti del programma;
• riscontro alle richieste dell’autorità giudiziaria, del Ministero della giustizia e delle Autorità garanti interessate;
• rilascio di certificazioni e documentazione agli interessati;
• attività statistiche, di analisi e di monitoraggio;
• formazione dei mediatori esperti e dei mediatori formatori;
• certificazioni relative all’attività prestata nei servizi di giustizia riparativa;
• adempimenti amministrativi, contabili e fiscali.

L’art. 5 individua le categorie di interessati nelle persone fisiche partecipanti al programma e negli altri soggetti contemplati dalla disciplina primaria. L’art. 6 distingue il titolare del trattamento dai responsabili, individuati tra i soggetti cui il Centro affida lo svolgimento dei programmi. L’art. 7 regola le comunicazioni, ammettendole solo nei casi e per le finalità già previste. L’art. 8 disciplina la conservazione dei dati, fissando un termine ordinario di cinque anni, con ipotesi di conservazione ulteriore. L’art. 9 richiama la disciplina generale del GDPR e del Codice, vieta la raccolta di dati manifestamente inutili e riconosce l’esercizio dei diritti degli interessati nei limiti previsti dall’art. 2-undecies del Codice.

Valutazione generale del Garante

Il Garante ritiene che lo schema si collochi correttamente entro l’ambito tracciato dalla norma attributiva del potere e non presenti, sul piano generale, criticità tali da ostare al rilascio del parere. Tuttavia, segnala la necessità di alcune modifiche puntuali, finalizzate a rafforzare il livello di garanzia per gli interessati e a rendere più precisa la disciplina regolamentare.

Minimizzazione, dati particolari e raccolta di ulteriori elementi identificativi

Con riferimento all’art. 3, il Garante suggerisce di inserire un richiamo espresso al principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR, così da evidenziare che la raccolta e il trattamento devono essere limitati ai dati effettivamente necessari per il buon esito del programma.

Ritiene inoltre opportuno che la previsione relativa ai dati di cui agli artt. 9 e 10 GDPR sia circoscritta ai soli dati necessari allo svolgimento del programma. Tale precisazione sarebbe coerente con l’esigenza, prevista dal Codice, di tipizzare i dati trattabili con un criterio teleologico compatibile con la specificità della giustizia riparativa.

Quanto alla raccolta di dati non univocamente identificativi, come nickname e accountname, il Garante propone di subordinare tale possibilità alla loro effettiva necessità per il programma. Esprime invece perplessità sul riferimento all’"identità digitale" del soggetto, ritenuto poco compatibile con il servizio di giustizia riparativa e con la nozione vigente nel Codice dell’amministrazione digitale.

Riprese audiovisive

Lo schema prevede che, per esigenze legate allo svolgimento del programma, i dati possano essere contenuti anche in forma di riprese audiovisive. Il Garante considera giustificata la possibilità di videoregistrazione, in quanto utile a documentare gestualità ed espressioni emotive che la sola verbalizzazione potrebbe non cogliere. Tuttavia, chiede che il ricorso alla videoregistrazione sia espressamente limitato ai casi in cui la verbalizzazione non sia sufficiente.

Comunicazione, pubblicazione e trasmissione dei dati

L’art. 7 disciplina la comunicazione dei dati e prevede, al comma 2, la pubblicazione delle dichiarazioni e delle informazioni acquisite ai sensi dell’art. 50, comma 3, del d.lgs. n. 150 del 2022, subordinandola al consenso dell’interessato dopo la conclusione del programma e la definizione del procedimento penale. Il Garante osserva che tale previsione riguarda verosimilmente una pubblicazione effettuata dalle parti, nell’esercizio del diritto di manifestazione del pensiero di cui all’art. 21 Cost., e non dai Centri per fini pubblicistici.

Per tale ipotesi, richiama l’applicazione della disciplina del Titolo XII del Codice e delle Regole deontologiche. In ragione della delicatezza degli effetti connessi alla pubblicazione, ritiene necessario che l’informativa resa ai sensi dell’art. 13 GDPR includa espressamente anche questa possibilità.

Il comma 3 dell’art. 7 consente la trasmissione dei dati anonimizzati al Ministero per le finalità di monitoraggio. Il Garante chiede di precisare che la trasmissione deve essere funzionale alle attività di cui all’art. 4, comma 1, lett. d), e deve riguardare dati privi di elementi, anche indirettamente, idonei a reidentificare il soggetto, ovvero dati non personali.

Quanto al comma 4, che subordina alla volontà dell’interessato la comunicazione alle Autorità garanti, il Garante ritiene improprio il riferimento al consenso come base di liceità, evidenziando il disequilibrio tra cittadino e autorità pubblica. Suggerisce quindi di sostituire il riferimento al consenso con quello all’ipotesi in cui l’interessato attivi l’intervento delle Autorità garanti nei casi previsti dalla legge, con trattamento fondato sull’art. 6, par. 1, lett. e), GDPR.

Segreto del mediatore e limiti di rivelazione

L’art. 7 richiama anche la deroga al dovere di riservatezza del mediatore esperto nei casi in cui le dichiarazioni integrino reato o sia necessaria la rivelazione per evitare la commissione di imminenti o gravi reati. Il Garante osserva che tale formulazione riproduce testualmente la norma primaria e non richiede ulteriori specificazioni regolamentari, in assenza di espressa delega a dettagliare la fattispecie.

Conservazione dei dati

Il termine ordinario di cinque anni dalla definitività della sentenza o da altra conclusione del procedimento penale è considerato congruo, anche in relazione a eventuali contestazioni sull’esito del programma. Il Garante, però, chiede alcuni correttivi.

In primo luogo, ritiene opportuno sostituire il richiamo al consenso per l’ulteriore conservazione con quello a una specifica istanza dell’interessato, formulata per ragioni legittime e in casi determinati, con possibile oscuramento dei dati riferibili a terzi.

In secondo luogo, con riferimento alla conservazione decennale dei soli dati necessari agli adempimenti fiscali o amministrativi, precisa che essa deve riguardare esclusivamente i dati espressamente imposti da norme legislative o regolamentari e nei limiti strettamente necessari.

Inoltre, per la conservazione ulteriore prevista al comma 3, il Garante chiede di chiarire che essa è ammessa solo nei casi normativamente previsti e che i dati conservati devono essere privi di elementi reidentificativi o comunque anonimizzati, ove compatibile con la finalità.

Diritti degli interessati

L’art. 9, comma 3, richiama l’esercizio dei diritti di cui agli artt. 15-22 GDPR nei limiti dell’art. 2-undecies del Codice. Il Garante ritiene opportuno espungere il riferimento alla portabilità, che non appare compatibile con il regime del trattamento, e inserire invece un richiamo espresso al diritto di chiedere l’integrazione dei dati e al diritto di non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato.

Misure di sicurezza, valutazione d’impatto e informativa

Tra le misure appropriate e specifiche da prevedere nel regolamento, il Garante richiede l’inserimento di un espresso richiamo all’adozione, da parte dei Centri, di misure tecniche e organizzative idonee a garantire la sicurezza dei dati lungo l’intero percorso del trattamento, inclusi conservazione, trasmissione e comunicazione.

Richiede inoltre di prevedere la valutazione d’impatto ai sensi dell’art. 35 GDPR quando ne ricorrano i presupposti. Infine, chiede che l’informativa ex art. 13 GDPR menzioni espressamente la possibilità di pubblicazione delle dichiarazioni e delle informazioni acquisite ai sensi dell’art. 50, comma 3, del d.lgs. n. 150 del 2022.

Esito del parere

Il parere è favorevole, ma condizionato a una serie di integrazioni e precisazioni indicate nel "Ritenuto" e sintetizzate nel dispositivo finale. Le condizioni riguardano in particolare minimizzazione, delimitazione dei dati trattabili, videoregistrazioni, trasmissione e conservazione di dati non reidentificabili, limiti alla conservazione decennale, misure di sicurezza e informativa. Le osservazioni riguardano invece la sostituzione del richiamo al consenso in alcuni casi con formule più coerenti con la disciplina del GDPR e l’esplicito richiamo ad alcuni diritti degli interessati.