Parere del Garante n. 46 del 23/02/2023

Parere sul disegno di legge provinciale sugli interventi a sostegno del sistema economico trentino

La Provincia autonoma di Trento ha richiesto il parere del Garante su un disegno di legge volto a razionalizzare la legge provinciale n. 6 del 13 dicembre 1999 sugli incentivi alle imprese, con l’obiettivo di semplificare e omogeneizzare il quadro degli interventi di sostegno al sistema economico provinciale. Il parere è reso ai sensi dell’articolo 57, paragrafo 1, lettera c), GDPR e dell’articolo 154, comma 5, del Codice privacy.

Contenuto generale del disegno di legge

Il provvedimento disciplina una pluralità di misure di sostegno alle attività produttive, con finalità di accrescimento e diversificazione della base produttiva, incremento dell’occupazione, promozione della nuova imprenditorialità e sostegno alla ricerca e all’innovazione tecnologica e digitale. Tra le misure richiamate figurano agevolazioni fiscali, voucher, interventi per la localizzazione produttiva, per eventi e progetti di internazionalizzazione, per la connettività, per ristrutturazioni e per investimenti volti al consolidamento e alla crescita del sistema economico.

Procedimenti amministrativi e soggetti coinvolti

Il Garante rileva che il testo prevede molteplici procedimenti amministrativi, alcuni dei quali implicano trattamenti di dati personali. La gestione degli interventi può essere diretta dalla Provincia oppure affidata a enti strumentali, come Trentino Sviluppo S.p.a., o ad altri soggetti terzi. Anche l’istruttoria e l’erogazione dei contributi possono essere svolte da soggetti esterni, secondo le modalità definite da una deliberazione della Giunta provinciale.

Quadro normativo e ruolo dell’articolo 29

L’articolo 29 reca disposizioni specifiche in materia di protezione dei dati personali. Esso autorizza la Provincia, anche tramite i propri enti strumentali e mediante piattaforme o applicazioni informatiche, a trattare i dati dei soggetti coinvolti dagli interventi, compresi quelli relativi a condanne penali e reati di cui all’articolo 10 GDPR. Il trattamento è dichiarato limitato alle attività relative alle procedure di concessione ed erogazione degli interventi previsti dalla legge. La norma attribuisce alla Provincia il ruolo di titolare del trattamento e ai soggetti di cui all’articolo 7, comma 1, lettere b) e c), quello di responsabili del trattamento.

Valutazioni del Garante sulla disciplina dei trattamenti

Il Garante ritiene che la legge legittimi il trattamento di dati personali, compresi quelli soggetti a tutela rafforzata, per finalità connesse ai procedimenti amministrativi di sostegno alle imprese. Tuttavia, la disciplina primaria risulta troppo generica, poiché rimette alla fonte regolamentare l’individuazione di tipologie di dati, operazioni eseguibili e garanzie. Secondo il Garante, tali aspetti essenziali devono emergere dalla legge, non potendo il regolamento assorbire integralmente la disciplina dei trattamenti, soprattutto in presenza di dati particolari o giudiziari.

Dati particolari ex articolo 9 GDPR

Il testo non menziona espressamente i dati appartenenti alle categorie particolari di cui all’articolo 9 GDPR. Il Garante osserva però che tali dati potrebbero essere necessari per alcune misure rivolte a soggetti "svantaggiati" previste dall’articolo 22, comma 2, lettera b), ad esempio laddove lo svantaggio sia collegato a disabilità, patologie o altre condizioni sanitarie. Per questo motivo, la legge dovrebbe individuare puntualmente i dati personali da acquisire ai fini della verifica dei requisiti soggettivi per l’accesso ai benefici.

Dati relativi a condanne penali e reati ex articolo 10 GDPR

Quanto ai dati di cui all’articolo 10 GDPR, il Garante ritiene insufficiente la formulazione dell’articolo 29, comma 2, ultimo periodo, perché si limita ad autorizzare il trattamento dei dati relativi a condanne penali e reati per le "attività relative alle procedure di concessione ed erogazione" senza specificare quali siano tali attività né per quali finalità concrete i dati siano utilizzati. Non è chiaro, in particolare, se il trattamento serva per verificare requisiti di onorabilità e quali reati o condanne costituiscano causa ostativa al beneficio.

Il Garante richiede quindi di:

• definire con precisione ambito e finalità del trattamento dei dati giudiziari;
• limitare la raccolta alle sole fattispecie di reato ostative al riconoscimento dei benefici;
• valutare il ricorso al certificato "selettivo" di cui all’articolo 28 del d.P.R. 313/2002;
• chiarire se debbano essere esclusi i dati relativi all’applicazione di misure di prevenzione.

Necessità di un adeguato fondamento e di una DPIA

Il Garante sottolinea che la necessità di maggiore dettaglio nella legge è ancora più rilevante per le categorie di dati soggette a tutela rafforzata. L’esigenza di definire con precisione finalità, dati trattati e garanzie comporta anche, ove ne ricorrano i presupposti, la valutazione d’impatto ai sensi dell’articolo 35 GDPR.

Esito del parere

Il Garante esprime parere favorevole sul disegno di legge, ma con condizioni da recepire nel testo normativo. In particolare, chiede di:

• indicare nell’articolato, anche con eventuale rinvio integrativo al regolamento, la tipologia di trattamenti realizzabili nei diversi procedimenti amministrativi, le caratteristiche essenziali e le garanzie per gli interessati;
• individuare le tipologie di dati personali da acquisire per verificare i requisiti soggettivi richiesti dall’articolo 22, comma 2, lettera b);
• definire l’ambito e le finalità del trattamento dei dati ex articolo 10 GDPR, limitandolo alle fattispecie di reato ostative e chiarendo il rilievo delle misure di prevenzione.

Il parere è quindi favorevole con condizioni, nel segno della conformità ai principi di necessità, minimizzazione e proporzionalità del trattamento.