Parere del Garante n. 461 del 18/07/2024

Anagrafe nazionale delle patenti nautiche: parere sullo schema di decreto attuativo dell’art. 39-bis d.lgs. 171/2005

Il Garante per la protezione dei dati personali ha espresso parere sullo schema di decreto regolamentare proposto dal Ministero delle infrastrutture e dei trasporti per disciplinare organizzazione, funzionamento, dati trattati, accessi e misure di sicurezza dell’anagrafe nazionale delle patenti nautiche, istituita presso il Ministero ai sensi dell’art. 39-bis del d.lgs. 18 luglio 2005, n. 171. Il parere è adottato ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5, del Codice privacy.

Quadro normativo di riferimento

L’Autorità richiama il contesto normativo della nautica da diporto e le precedenti interlocuzioni sul tema, ricordando che l’anagrafe è prevista per finalità di sicurezza della navigazione, salvaguardia della vita umana in mare, prevenzione e repressione dei reati commessi tramite unità da diporto, ottimizzazione dell’azione amministrativa e raccolta di dati completi e aggiornati sull’utenza diportistica. Il decreto attuativo deve definire, tra l’altro, organizzazione dell’anagrafe, tipologie di dati, operazioni eseguibili, motivo di interesse pubblico rilevante, forme di tutela degli interessati, misure di sicurezza e modalità di accesso e trasmissione dei dati.

Contenuto dello schema di regolamento

Lo schema prevede che l’archivio sia gestito dal CED della Direzione generale per la motorizzazione e per i servizi ai cittadini e alle imprese in materia di trasporti e navigazione. L’anagrafe è articolata in cinque sezioni:

• anagrafica;
• patenti;
• prescrizioni e limitazioni;
• violazioni;
• sinistri marittimi.

Le prime due sezioni raccolgono dati anagrafici e informazioni sui procedimenti amministrativi relativi alla patente nautica, inclusi rilascio, rinnovo, sospensione, revoca, revisione e duplicato. La sezione prescrizioni e limitazioni contiene limitazioni e prescrizioni mediche, abilitative o tecniche connesse alle condizioni psico-fisiche del titolare. Le sezioni violazioni e sinistri marittimi riguardano, rispettivamente, infrazioni con sanzioni amministrative accessorie e sinistri nei quali sia coinvolto il titolare della patente.

Gli articoli 2 e 3 individuano i soggetti tenuti a trasmettere i dati al CED, tra cui Capitanerie di porto, Uffici circondariali marittimi, Uffici della motorizzazione civile e organi accertatori, disciplinando il popolamento dinamico dell’archivio. L’art. 4 regola le operazioni di trattamento, distinguendo l’inserimento di dati relativi a rinnovi, duplicati, sospensioni, revoche o revisioni delle patenti già migrate dall’inserimento dei dati su violazioni e sinistri, e prevede la messa a disposizione dei dati alle pubbliche amministrazioni e ai soggetti autorizzati tramite PDND. L’art. 5 elenca i dati personali trattati e consente la verifica con i dati dell’ANPR tramite PDND. L’art. 6 attribuisce la titolarità del trattamento al Ministero, con il concorso delle strutture periferiche, degli organi accertatori e del CED, individuando finalità, presupposti di liceità e motivi di interesse pubblico rilevante ai sensi dell’art. 2-sexies, comma 2, lett. l), del Codice. L’art. 7 disciplina misure di garanzia, sicurezza tecnica e modalità di accesso rinviando al Piano di sicurezza del sistema informativo del Dipartimento per la mobilità sostenibile. L’art. 8 prevede attività di monitoraggio e l’obbligo del CED di segnalare tempestivamente al Ministero gli incidenti di sicurezza che possano comportare violazioni di dati personali, ferma la notifica al Garante e gli ulteriori obblighi dell’art. 34 GDPR.

Valutazioni del Garante

Il Garante osserva che lo schema, nel complesso, non presenta particolari criticità sotto il profilo della protezione dei dati personali, ma necessita di un adeguamento puntuale per assicurare la piena conformità alla disciplina di settore.

Il rilievo centrale riguarda l’art. 4, comma 3. L’art. 39-bis, comma 4, del d.lgs. 171/2005 consente l’accesso ai dati dell’anagrafe solo ai soggetti ivi elencati: autorità pubbliche di cui agli artt. 1 e 3, comma 1, lett. a), del d.P.R. 28 settembre 1994, n. 634; ufficiali e agenti di polizia giudiziaria appartenenti alle Forze di polizia di cui all’art. 16 della legge 1° aprile 1981, n. 121, nonché ufficiali di pubblica sicurezza tramite il CED di cui all’art. 8 della medesima legge; ufficiali e agenti di polizia giudiziaria appartenenti al Corpo delle Capitanerie di porto.

Lo schema, invece, estende la disponibilità dei dati anche agli “altri soggetti autorizzati ai sensi del d.P.R. 634/1994”, formula che rischia di includere anche soggetti estranei al perimetro della norma primaria, come le persone fisiche e giuridiche, associazioni ed enti non compresi nella categoria A di cui all’art. 3, comma 1, lett. b), del d.P.R. 634/1994. Tale ampliamento non è ritenuto compatibile con le finalità pubblicistiche dell’archivio e con i limiti alla conoscibilità dei dati derivanti anche dagli artt. 50-ter e 50 del d.lgs. 82/2005, richiamati nello schema.

Condizione posta per il parere favorevole

Il Garante esprime quindi parere favorevole, ma con una condizione: l’art. 4, comma 3, deve essere modificato in modo da:

• limitare l’accesso ai soli soggetti previsti dall’art. 39-bis, comma 4, d.lgs. 171/2005, richiamandoli direttamente oppure specificando il rinvio agli artt. 1 e 3, comma 1, lett. a), del d.P.R. 634/1994;
• precisare che la consultazione riguarda solo i dati indispensabili al perseguimento delle rispettive finalità istituzionali.

La modifica è richiesta per dare attuazione ai principi di liceità, minimizzazione e limitazione della finalità sanciti dall’art. 5, par. 1, lett. a), b) e c), GDPR.

Esito

Il parere finale è quindi favorevole con condizione. Il Garante non solleva obiezioni generali alla struttura dell’anagrafe o alle misure di sicurezza previste, ma impone una correzione normativa puntuale sull’accesso ai dati, per riallineare lo schema alla disciplina primaria e ai principi del GDPR.