Parere del Garante n. 387 del 31/08/2023

Parere sullo schema di decreto legislativo in materia di semplificazione dei controlli sulle attività economiche

Il Garante per la protezione dei dati personali ha reso parere, ai sensi dell'articolo 36, paragrafo 4, del Regolamento (UE) 2016/679 e dell'articolo 154, comma 5, del Codice privacy, sullo schema di decreto legislativo volto a semplificare e razionalizzare i controlli pubblici sulle attività economiche, in attuazione dell'articolo 27 della legge n. 118/2022. Il parere è favorevole, ma subordinato a specifiche condizioni e integrazioni a tutela dei dati personali.

Quadro normativo e impianto dello schema

Lo schema si inserisce in una delega finalizzata a ridurre duplicazioni e interferenze tra controlli, nel rispetto dei principi di semplificazione, proporzionalità, trasparenza, valutazione del rischio, fiducia e interoperabilità tra banche dati. Il decreto è articolato in una prima parte dedicata a finalità e principi e in una seconda parte dedicata agli strumenti operativi del ciclo dei controlli, dalla programmazione alla fase esecutiva.

Valutazione generale sulla protezione dei dati personali

Il Garante osserva che la disciplina proposta non presenta particolari criticità sul piano della protezione dei dati, ma è suscettibile di perfezionamento per rafforzare le garanzie per i dati trattati dalle amministrazioni procedenti. Le richieste di modifica non mirano a ostacolare la razionalizzazione dei controlli, bensì a renderla coerente con il quadro del GDPR e del Codice, senza estendere il perimetro applicativo della delega.

Uso di soluzioni tecnologiche e intelligenza artificiale

L'articolo 6 disciplina l'impiego di soluzioni tecnologiche, incluse quelle basate su intelligenza artificiale, per le decisioni e le attività di controllo. Il Garante ritiene necessario integrare la disposizione con un espresso vincolo di conformità al GDPR e al Codice per ogni trattamento di dati personali svolto tramite tali strumenti.

In particolare, per i processi decisionali automatizzati, la norma dovrebbe richiamare espressamente l'articolo 22 GDPR. Inoltre, il diritto del soggetto controllato a essere informato deve includere informazioni dal contenuto significativo sulla logica utilizzata, e deve essere riconosciuto il diritto di esprimere la propria opinione e contestare la decisione automatizzata.

Il Garante chiede anche garanzie ulteriori nella fase di acquisizione o sviluppo delle tecnologie, affinché le amministrazioni dispongano degli elementi necessari a comprendere il funzionamento dei sistemi, con particolare riferimento al codice sorgente e alla documentazione tecnica. Deve inoltre essere assicurata la minimizzazione del rischio di errori e distorsioni nei dati e nei modelli di analisi, la rettificazione dei fattori che causano inesattezze o malfunzionamenti e il contrasto degli effetti discriminatori, anche in relazione a nazionalità, origine etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, caratteri somatici, status genetico, condizione di salute, genere e orientamento sessuale.

Coordinamento territoriale, accesso ai dati e interoperabilità

Con riferimento all'articolo 7, comma 6, relativo al coordinamento territoriale delle attività di controllo e allo scambio di dati tra amministrazioni, il Garante ritiene opportuno inserire un vincolo espresso di conformità al Regolamento (UE) 2016/679 e al Codice privacy. Tale integrazione è volta a garantire che l'interoperabilità dei sistemi informativi e lo scambio di informazioni avvengano nel rispetto della disciplina sulla protezione dei dati.

Fascicolo informatico d'impresa e limiti all'utilizzo dei dati

L'articolo 8 attribuisce rilievo al fascicolo informatico d'impresa quale strumento di coordinamento e semplificazione dei controlli, consentendo l'accesso ai dati e l'elaborazione di indicatori sintetici di rischio. Il Garante chiede che l'utilizzo dei dati personali contenuti nel fascicolo avvenga solo nella misura in cui sia previsto dalla disciplina del relativo procedimento amministrativo e nel rispetto dei principi dell'articolo 5 GDPR. La precisazione è necessaria anche per evitare un ampliamento surrettizio dell'ambito dei controlli rispetto alla delega legislativa.

Il comma 2 impone ai soggetti titolari di funzioni di controllo di consultare il fascicolo prima di avviare l'attività ispettiva; il comma 3 vieta di richiedere documenti già disponibili nel fascicolo o in possesso dell'amministrazione, prevedendo sanzioni in caso di violazione.

Segnalazione delle infrazioni e minimizzazione dei dati pubblicati

Sempre nell'articolo 8, il comma 4 prevede la segnalazione delle infrazioni all'AGID e la pubblicazione delle stesse nell'area dedicata del sito istituzionale. Il Garante richiede una clausola di garanzia dei dati pubblicati, con l'espunzione dei dati personali del segnalante e, più in generale, di tutti i dati personali eccedenti rispetto alle finalità perseguite, in applicazione del principio di minimizzazione di cui all'articolo 5, paragrafo 1, lettera c), GDPR.

Conclusioni

Il Garante esprime parere favorevole sullo schema di decreto legislativo, subordinandolo alle modifiche indicate: richiamo espresso dell'articolo 22 GDPR e rafforzamento delle garanzie sui sistemi automatizzati; conformità al GDPR e al Codice per il coordinamento tra amministrazioni; delimitazione dell'uso dei dati del fascicolo d'impresa; tutela rafforzata dei dati nelle pubblicazioni dell'AGID.