Parere del Garante n. 470 del 12/10/2023

Parere sullo schema di regolamento provinciale in materia di protezione dei dati per gli interventi a favore dell’economia

La Provincia autonoma di Trento ha chiesto il parere del Garante sullo schema di regolamento di attuazione dell’articolo 29 della legge provinciale sugli interventi a favore dell’economia. Il parere è reso ai sensi dell’articolo 57, paragrafo 1, lettera c), del GDPR e dell’articolo 154, comma 5, del Codice privacy.

Quadro normativo e finalità del regolamento

La disciplina provinciale richiamata dal Garante prevede che, per la realizzazione di finalità di rilevante interesse pubblico riconducibili all’articolo 2-sexies, comma 2, lettere l) ed m), del Codice, la Provincia possa trattare i dati dei soggetti coinvolti negli interventi, anche tramite enti strumentali e piattaforme o applicazioni informatiche. Il regolamento di attuazione è chiamato a definire criteri, modalità e misure di sicurezza del trattamento, nel rispetto dell’articolo 2-sexies del Codice, nonché a individuare per ciascun procedimento i dati trattati, le operazioni eseguibili e le misure di sicurezza ai sensi dell’articolo 32 del GDPR.

Contenuto dello schema esaminato

Lo schema disciplina i trattamenti connessi alla concessione ed erogazione di aiuti alle imprese trentine. Le linee di intervento comprendono, tra le altre, localizzazione produttiva, ricerca, sviluppo e innovazione, qualificazione e internazionalizzazione delle imprese, investimenti in tecnologie digitali, collaborazione scuola-impresa per alternanza e apprendistato, sostegno a brevetti europei e internazionali, costituzione di imprese femminili o giovanili e supporto a soggetti svantaggiati.

Per i procedimenti amministrativi sono previste varie fasi: raccolta delle domande, istruttoria, adozione del provvedimento finale di concessione, nulla osta o autorizzazione, eventuale monitoraggio e verifica dei requisiti soggettivi del richiedente.

Tipologie di dati, fonti di raccolta e categorie di interessati

Il regolamento individua dati comuni, dati relativi a condanne penali e reati, nonché dati relativi alla salute. Tra i dati di cui all’articolo 10 del GDPR sono richiamati quelli relativi alla qualità di imputato o indagato, a provvedimenti di condanna definitivi, a misure di sicurezza e prevenzione. Quanto ai dati sanitari, sono menzionati quelli relativi alla prestazione di assistenza sanitaria e all’accesso ad essa.

Le categorie di interessati comprendono, tra gli altri, legali rappresentanti, amministratori e direttore tecnico della società beneficiaria, componenti dell’organo di amministrazione, familiari e conviventi maggiorenni dei soggetti richiamati, nonché tutori, curatori e amministratori di sostegno.

Le fonti di raccolta indicate sono molteplici: enti pubblici provinciali, nazionali o europei, enti previdenziali e assistenziali come INPS e INAIL, Agenzia delle Entrate, Ministero dell’interno tramite la Banca dati nazionale antimafia, e fonti accessibili al pubblico come i registri delle imprese, il PRA e il sistema informativo del Libro fondiario. È previsto anche il reperimento diretto presso l’interessato, anche mediante piattaforme informatiche.

Modalità di trattamento, trasparenza e accesso

L’articolo 5 dello schema prevede misure per garantire riservatezza, integrità e disponibilità dei dati. La diffusione è ammessa solo per finalità di trasparenza amministrativa, nel rispetto del d.lgs. 33/2013 e della legge provinciale n. 4/2014. La comunicazione mediante trasmissione, raffronto e interconnessione è consentita solo per obbligo di legge o su ordine dell’autorità giudiziaria. È inoltre escluso il ricorso a processi decisionali automatizzati, compresa la profilazione.

L’accesso è limitato ai soggetti preventivamente identificati e autorizzati, per attività di concessione ed erogazione degli aiuti, attività ausiliarie, controlli e ispezioni, nonché operazioni tecniche di backup, conservazione, download e upload. Per garantire l’accesso selettivo, il testo richiede l’associazione esplicita del dipendente a una struttura organizzativa e a un procedimento.

Titolare, responsabili, conservazione e trasferimenti

La Provincia autonoma di Trento è individuata come titolare del trattamento; gli enti strumentali, nell’esercizio delle loro funzioni amministrative, sono qualificati come responsabili del trattamento ai sensi dell’articolo 28 del GDPR.

La conservazione dei dati è rinviata al massimario di conservazione e scarto o ad atti organizzativi che ne stabiliscano i termini. È espressamente vietato il trasferimento dei dati in paesi non appartenenti all’Unione europea.

Valutazione del Garante e condizioni richieste

Il Garante ritiene lo schema sostanzialmente conforme all’ambito di intervento previsto dalla legge attributiva del potere, poiché individua le caratteristiche essenziali dei trattamenti connessi agli aiuti economici. Tuttavia, chiede un perfezionamento del testo per renderlo più determinato e coerente con i rilievi già espressi nel precedente parere del 23 febbraio 2023.

Le condizioni poste sono tre:

• riformulare gli articoli 3, 5 e 10 riferendo tipologia di dati, operazioni e misure di sicurezza allo specifico procedimento amministrativo;
• integrare l’articolo 5, comma 4, con il richiamo al certificato selettivo di cui all’articolo 28 del d.P.R. 313/2002 per i dati di cui all’articolo 10 del GDPR;
• integrare l’articolo 5, comma 5, primo periodo, con una clausola di salvaguardia che richiami i limiti e i divieti di diffusione previsti, tra l’altro, dagli articoli 7-bis e 26, comma 4, del d.lgs. 33/2013 e dall’articolo 2-septies, comma 8, del Codice.

Esito

Il parere è favorevole, ma con condizioni. Il Garante approva dunque lo schema di regolamento solo subordinatamente alle integrazioni richieste, finalizzate a rafforzare determinatezza, proporzionalità e conformità della disciplina provinciale in materia di protezione dei dati personali.