Parere del Garante n. 663 del 13/11/2024

Sistema informativo nazionale dei minori stranieri non accompagnati (SIM)

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto direttoriale adottato ai sensi dell’art. 12 del d.P.R. 27 dicembre 2023, n. 231, relativo al Sistema informativo nazionale dei minori stranieri non accompagnati (SIM). Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR.

Quadro normativo e finalità del sistema

Il SIM è istituito presso il Ministero del lavoro e delle politiche sociali dall’art. 9, comma 1, della l. 7 aprile 2017, n. 47, in attuazione delle previsioni dell’art. 19, comma 5, del d.lgs. 18 agosto 2015, n. 142, che impone la comunicazione della presenza del minore non accompagnato al Ministero al fine di assicurare il censimento e il monitoraggio della presenza sul territorio nazionale.

Lo schema di decreto direttoriale esaminato dal Garante disciplina gli aspetti tecnico-organizzativi del sistema, i diversi livelli di accesso ai dati, le tipologie di dati trattabili, le operazioni eseguibili dai soggetti abilitati e le misure di sicurezza inerenti al SIM e alla comunicazione dei dati.

Struttura del SIM e dati trattati

Lo schema prevede che il sistema sia articolato in due archivi principali, denominati "Minori" ed "Enti e strutture", oltre a un separato catalogo "Utenti" destinato a raccogliere i dati degli utenti abilitati a operare nel SIM.

Il trattamento è finalizzato al censimento e al monitoraggio della presenza dei minori stranieri non accompagnati sul territorio nazionale e, più nello specifico, alla registrazione degli eventi più rilevanti del percorso del minore, quali:

• il ritrovamento sul territorio;
• il collocamento presso strutture di accoglienza;
• lo svolgimento delle pratiche connesse;
• eventuali percorsi di integrazione.

Soggetti legittimati all’accesso e livelli di utenza

Lo schema individua i soggetti pubblici legittimati ad accedere al SIM, con differenti livelli di accesso in relazione alle rispettive competenze:

• il personale preposto della Direzione generale Immigrazione del Ministero;
• l’autorità giudiziaria;
• l’autorità di pubblica sicurezza;
• le regioni e le province autonome;
• gli enti locali;
• il Dipartimento per le libertà civili e l’immigrazione del Ministero dell’interno;
• le prefetture - Uffici territoriali del Governo;
• il Dipartimento per le politiche della famiglia della Presidenza del Consiglio dei ministri.

Il Garante evidenzia che l’individuazione dei soggetti legittimati e la graduazione delle utenze avvengono in conformità alle disposizioni dell’ordinamento, a partire dal d.P.R. n. 231/2023.

Comunicazione dei dati ad altre amministrazioni e organismi internazionali

Lo schema prevede la possibilità di comunicare i dati contenuti nel SIM ad altre amministrazioni pubbliche e a organismi internazionali competenti in materia di minori stranieri non accompagnati, quando ciò sia necessario per il miglior perseguimento dell’interesse del minore.

Tali ulteriori flussi devono comunque:

• essere fondati su apposite basi giuridiche di interesse pubblico;
• riguardare solo i dati personali necessari;
• essere effettuati secondo le modalità e le misure già previste nello schema di decreto;
• rispettare il GDPR e il d.lgs. 196/2003.

È inoltre consentita la pubblicazione di dati in modalità aggregata e anonima, con modalità che non consentano nemmeno indirettamente la re-identificazione degli interessati.

Ruoli del trattamento, conservazione e sicurezza

Lo schema attribuisce la titolarità del trattamento svolto tramite il SIM al Ministero del lavoro e delle politiche sociali. I soggetti che accedono al sistema sono qualificati come titolari autonomi per i trattamenti svolti nell’ambito dei propri compiti istituzionali.

È prevista anche la possibilità di affidare a soggetti terzi, quali responsabili del trattamento ai sensi dell’art. 28 GDPR, le attività di manutenzione applicativa e la gestione della piattaforma SIM e dei dati ivi contenuti.

Quanto alla conservazione, i dati personali trattati nel SIM sono conservati, dopo il compimento della maggiore età, esclusivamente per il periodo necessario agli adempimenti amministrativi, contabili o fiscali e allo svolgimento delle politiche di integrazione rivolte agli interessati, comunque per un periodo non superiore a cinque anni.

Lo schema disciplina inoltre:

• le modalità di esercizio dei diritti degli interessati;
• le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio;
• le procedure di accreditamento e autenticazione degli utenti, funzionali a ridurre il rischio di accessi abusivi.

Valutazione del Garante

Il Garante osserva che lo schema tiene conto delle interlocuzioni informali intercorse con l’Ufficio e risulta impostato in modo conforme al principio di privacy by design e by default di cui all’art. 25 GDPR.

In particolare, l’Autorità considera coerenti con i principi del Regolamento:

• la definizione dei compiti del Ministero e delle relative basi giuridiche, nel rispetto dei principi di liceità, correttezza, trasparenza, limitazione della finalità e proporzionalità;
• l’individuazione dei soggetti legittimati ad accedere al SIM;
• la selezione delle tipologie di dati accessibili a ciascun soggetto e delle relative operazioni, in ossequio al principio di minimizzazione;
• l’individuazione dei ruoli degli utenti e delle procedure di accreditamento e autenticazione, al fine di mitigare i rischi di accessi non autorizzati e assicurare integrità e riservatezza, anche ai sensi dell’art. 32 GDPR.

Il parere è quindi favorevole, senza prescrizioni ulteriori nel testo esaminato.