Parere del Garante n. 216 del 17/05/2023

Regolamento sul funzionamento della banca dati delle aste giudiziarie

Il Garante per la protezione dei dati personali si pronuncia sullo schema di decreto del Ministro della giustizia, di concerto con il Ministro dell’economia e delle finanze, destinato a disciplinare il funzionamento della banca dati relativa alle aste giudiziarie, istituita dall’art. 26, comma 6, del d.lgs. 149/2022. Il parere è reso ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5, del Codice privacy.

Contesto e contenuto del trattamento

Lo schema regola una banca dati tenuta presso il Ministero della giustizia e gestita in forma automatizzata, nel rispetto di criteri di completezza, aggiornamento, esattezza e sicurezza. Nella banca dati confluiscono, oltre ai dati identificativi degli offerenti, il codice e il conto corrente, nonché il prezzo di stima, il prezzo base, il prezzo di aggiudicazione del bene e il compenso liquidato al professionista delegato.

Modalità di acquisizione dei dati

L’articolo 3 prevede che i dati siano acquisiti dal portale delle vendite pubbliche, di cui all’art. 490 c.p.c., mediante procedure automatizzate. Se il sistema non funziona o i dati presenti nel portale sono incompleti, l’inserimento delle informazioni mancanti è affidato al professionista delegato; se questi non è nominato, provvede la cancelleria del tribunale presso cui pende la procedura.

Accesso alla banca dati, vigilanza e tracciamento

L’accesso alla banca dati da parte dell’autorità giudiziaria è disciplinato dall’art. 4, che prevede la creazione di utenze dedicate per i soggetti abilitati, tra cui il giudice dell’esecuzione, il giudice delegato e il personale amministrativo espressamente individuato dal capo dell’ufficio giudiziario. La vigilanza sul funzionamento della banca dati e sugli accessi è attribuita alla Direzione generale dei sistemi informativi automatizzati del Ministero della giustizia. È inoltre previsto un file di log delle informazioni relative agli accessi, conservato per cinque anni.

Titolare del trattamento e limitazione delle finalità

L’articolo 6 indica il Ministero della giustizia quale titolare del trattamento dei dati personali inseriti nella banca dati e prevede la designazione di un responsabile. È altresì stabilito che il trattamento sia limitato alle sole finalità connesse alla tenuta della banca dati.

Valutazione del Garante

Il Garante ritiene che lo schema non presenti criticità dirimenti sotto il profilo della protezione dei dati personali, ma richieda alcune puntualizzazioni per evitare incertezze applicative e rafforzare le garanzie per gli interessati.

In particolare, il Garante evidenzia che la tracciabilità deve riguardare non solo gli accessi, ma anche le operazioni svolte sui dati, così da consentire una ricostruzione più completa delle consultazioni effettuate.

Quanto all’art. 6, la previsione relativa alla possibile designazione di un responsabile non è ritenuta sufficientemente chiara. Il riferimento deve essere espunto oppure meglio definito in coerenza con la figura del responsabile del trattamento prevista dagli artt. 28 e 29 GDPR, con conseguente regolazione dei rapporti mediante accordo ai sensi dell’art. 28.

Specifiche tecniche e garanzie ulteriori

L’articolo 7 demanda al responsabile dei sistemi informativi e automatizzati del Ministero l’adozione delle specifiche tecniche per l’inserimento dei dati e per l’accesso alla banca dati da parte dell’autorità giudiziaria. Il Garante attribuisce a tale atto un rilievo particolare, poiché esso introduce la disciplina di dettaglio del trattamento e delle misure di sicurezza.

Per questo motivo, il Garante ritiene opportuno che nelle specifiche tecniche siano individuati anche:

• i tempi di conservazione dei dati trattati nella banca dati, in applicazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR;
• le modalità di attribuzione delle utenze;
• le modalità di accesso al sistema informativo da parte di tutti i soggetti abilitati, con particolare riguardo al professionista delegato.

Il Garante afferma inoltre che le specifiche tecniche di cui all’art. 7, comma 1, e quelle relative alla pubblicazione sul portale delle vendite pubbliche ex art. 161-quater disp. att. c.p.c. dovrebbero essere sottoposte al suo parere.

Esito del parere e condizioni richieste

Il Garante esprime un parere favorevole sullo schema di decreto, ma subordinato alle seguenti condizioni:

• inserire all’art. 5, comma 2, dopo le parole “agli accessi alla banca dati”, anche le parole “e alle operazioni svolte”;
• espungere dall’art. 6 il riferimento alla nomina di un responsabile, oppure articolare meglio la disposizione secondo la disciplina del responsabile del trattamento;
• estendere l’oggetto delle specifiche tecniche di cui all’art. 7, comma 1, anche ai tempi di conservazione dei dati e alle modalità di attribuzione delle utenze e di accesso per tutti i soggetti abilitati;
• prevedere l’acquisizione del parere del Garante sulle specifiche tecniche di cui al medesimo art. 7, comma 1.