Parere del Garante n. 440 del 21/12/2022

Parere sullo schema di decreto direttoriale relativo all’Elenco dei venditori di energia elettrica

Il Garante per la protezione dei dati personali è stato chiamato a esprimere parere sullo schema di decreto direttoriale del Ministero dell’ambiente e della sicurezza energetica che approva la circolare recante indicazioni operative in materia di Elenco dei soggetti abilitati alla vendita di energia elettrica a clienti finali, istituito nell’ambito della disciplina di settore. Il parere è reso ai sensi dell’art. 36, par. 4, e dell’art. 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Quadro normativo di riferimento

La decisione si innesta sulla legge 4 agosto 2017, n. 124, art. 1, commi 80-82, che ha istituito presso il Ministero l’Elenco dei soggetti abilitati alla vendita di energia elettrica a clienti finali, rendendo l’iscrizione condizione necessaria per svolgere tale attività. La stessa legge demanda a un decreto ministeriale la definizione di condizioni, criteri, modalità e requisiti tecnici, finanziari e di onorabilità, nonché la disciplina del procedimento speciale di esclusione degli iscritti.

In attuazione di tale quadro è stato adottato il d.m. 25 agosto 2022, n. 164, che regola criteri, modalità e requisiti per l’iscrizione, la permanenza e l’esclusione dall’Elenco venditori e prevede, all’art. 11, che con decreto direttoriale, previo parere del Garante, siano stabiliti i modelli per la domanda, le modalità tecniche di gestione e pubblicazione dell’Elenco, le modalità delle segnalazioni e i criteri tecnici per i controlli, nonché i dati e le informazioni resi pubblici.

Contenuti della circolare sottoposta al Garante

Lo schema di circolare allegato al decreto direttoriale disciplina in concreto:

• le modalità di presentazione delle domande di iscrizione tramite il portale "Elenco venditori energia elettrica", con l’indicazione delle categorie di dati personali trattati;
• le modalità tecniche di gestione e pubblicazione dell’Elenco, con riferimento alle comunicazioni sulla permanenza dei requisiti e agli aggiornamenti periodici dei dati;
• le comunicazioni previste dall’art. 8 del d.m. n. 164/2022 da parte dei soggetti pubblici tenuti a segnalare sanzioni irrogate per violazioni o condotte irregolari;
• i controlli del Ministero finalizzati a verificare il rispetto dei requisiti di iscrizione e permanenza nell’Elenco;
• i dati e le informazioni soggetti a pubblicità nell’Elenco.

Rilievi del Garante sui controlli e sui dati giudiziari

Il Garante richiama espressamente l’art. 9, comma 3, del d.m. n. 164/2022, sottolineando che i controlli relativi ai requisiti di onorabilità devono essere svolti nel rispetto del d.P.R. 14 novembre 2002, n. 313, in particolare degli artt. 28 e 39, e della relativa disciplina attuativa, tra cui il decreto del Ministero della giustizia 5 dicembre 2012 sulle modalità di consultazione diretta del Sistema Informativo del Casellario da parte delle pubbliche amministrazioni e dei gestori di pubblici servizi.

In tale ambito, viene valorizzato il ricorso al cosiddetto "certificato selettivo", ritenuto idoneo a garantire i principi di minimizzazione dei dati e di proporzionalità nel trattamento di dati relativi a condanne penali e reati, qualificati dal GDPR come dati particolarmente delicati. Vengono richiamati, a sostegno di tale impostazione, l’art. 5, par. 1, lett. c), l’art. 6, par. 3, ultimo periodo, e l’art. 10 del Regolamento, oltre all’art. 2-octies del Codice privacy.

Valutazione d’impatto, privacy by design e by default

Il Garante ricorda che, ai sensi dell’art. 35 GDPR, quando un trattamento, soprattutto se fondato su nuove tecnologie e tenuto conto della natura e delle finalità perseguite, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve effettuare una valutazione d’impatto prima di iniziare il trattamento. Il richiamo è particolarmente significativo proprio in ragione del coinvolgimento di dati giudiziari e delle modalità telematiche di gestione dell’Elenco.

Nella motivazione si osserva inoltre che la versione dello schema trasmessa tiene conto delle osservazioni formulate dall’Ufficio nel corso di interlocuzioni informali, allo scopo di rendere i trattamenti conformi ai principi del Regolamento, con specifico riferimento alla protezione dei dati fin dalla progettazione e per impostazione predefinita di cui all’art. 25 GDPR.

Esito del parere

All’esito dell’istruttoria, il Garante ritiene di poter esprimere parere favorevole sullo schema di decreto direttoriale, che approva l’allegata circolare con le relative istruzioni operative per la gestione dell’Elenco dei venditori di energia elettrica.