Parere del Garante n. 464 del 18/07/2024

Parere su tre schemi di specifiche tecniche per aste giudiziarie telematiche

Il Garante per la protezione dei dati personali si pronuncia su tre schemi di provvedimenti del Direttore generale dei sistemi informativi automatizzati del Ministero della giustizia, relativi alla banca dati delle aste giudiziarie (BDAG), al Portale delle vendite pubbliche (PVP) e all’aggiornamento di specifiche tecniche sulle vendite telematiche. Il parere è reso ai sensi dell’art. 36, par. 4, GDPR, dell’art. 154, comma 5, del Codice privacy e delle norme settoriali richiamate dagli schemi.

Primo schema: banca dati delle aste giudiziarie

Il primo schema disciplina le modalità operative della BDAG, istituita presso il Ministero della giustizia dal d.m. 11 luglio 2023, n. 99, in attuazione dell’art. 26 del d.lgs. 10 ottobre 2022, n. 149. La banca dati raccoglie informazioni sulle aste giudiziarie e sulle offerte, articolandosi in tre sezioni: esecuzioni immobiliari, esecuzioni mobiliari e vendite nelle procedure concorsuali.

I dati sono acquisiti automaticamente tramite il PVP e possono essere integrati da professionisti delegati e cancellieri. L’accesso è previsto sia per utenti esterni sia per utenti interni al dominio giustizia, con autenticazione tramite SPID, CIE, CNS o, per gli interni, tramite Active Directory Nazionale. Lo schema stabilisce anche tempi di conservazione pari a 5 anni per dati, documenti e log.

Il Garante esprime parere favorevole con condizioni, ritenendo necessario rafforzare la sicurezza del sistema in ragione della complessità dei flussi informativi. In particolare, richiede:

• meccanismi per ridurre il rischio di attivazione fraudolenta di identità digitali SPID o certificati CNS di utenti esterni;
• autenticazione a due o più fattori per gli utenti interni che accedono da rete internet, ovvero limitazione dell’accesso alle sole reti del dominio giustizia;
• definizione di profili di autorizzazione che limitino la consultazione ai soli dati necessari, con attenzione ai dati degli offerenti.

Il Garante richiama la necessità di una valutazione d’impatto ai sensi dell’art. 35 GDPR e di misure tecniche e organizzative adeguate ai sensi degli artt. 5, par. 1, lett. f), 25 e 32 GDPR.

Secondo schema: Portale delle vendite pubbliche

Il secondo schema aggiorna le specifiche tecniche del PVP, sostituendo quelle adottate nel 2018, e disciplina sia la pubblicazione degli avvisi di vendita sia il monitoraggio da parte del Portale delle informazioni pubblicate su altri siti. Il Portale consente la ricerca delle vendite forzate, l’iscrizione a servizi informativi e la richiesta di visita dei beni immobili.

Lo schema prevede che i dati inseriti dal cittadino per l’uso dei servizi non siano trasmessi a terzi e che i dati memorizzati siano criptati con chiave disponibile solo all’Amministratore di sistema. Sono inoltre previste regole per i siti di pubblicità e per le informazioni minime da pubblicare.

Quanto alle responsabilità, il Ministero è titolare del trattamento per la tenuta e l’aggiornamento del Portale; gli organi giudiziari sono titolari per i dati trattati nel procedimento giudiziario; i responsabili e sub-responsabili sono quelli incaricati della gestione tecnologica. Il testo disciplina anche la gestione dei data breach, con coinvolgimento del DPO e adozione di protocolli operativi.

Il Garante esprime parere favorevole con condizioni e segnala diversi profili da integrare:

• va chiarito il ruolo del soggetto legittimato alla pubblicazione rispetto alle figure organizzative del Regolamento;
• va individuato il soggetto responsabile in caso di pubblicazioni in violazione della normativa privacy sui siti di pubblicità, chiarendone il ruolo;
• va previsto un disclaimer che inviti a rimuovere dalla documentazione allegata generalità e altri dati identificativi delle persone fisiche interessate, incluse quelle a cui appartenevano i beni e i terzi;
• vanno adottati meccanismi contro l’attivazione fraudolenta di identità SPID o certificati CNS intestati a utenti esterni, quali soggetti legittimati alla pubblicazione, soggetti per la visita del bene e operatori del gestore della vendita telematica.

Sul piano della conservazione, il Garante osserva che i dati e i documenti sono conservati per 5 anni e che, poiché tali dati transitano nella BDAG, il Ministero dovrebbe valutare se sia necessario mantenerli nel PVP per lo stesso periodo. Viene inoltre segnalato un refuso nel testo delle specifiche tecniche.

Terzo schema: aggiornamento delle specifiche sulle vendite telematiche

Il terzo schema riguarda l’aggiornamento delle specifiche tecniche previste dall’art. 26 del d.m. 26 febbraio 2015, n. 32, relative alla vendita di beni mobili e immobili con modalità telematiche. Il Garante rileva che lo schema non introduce elementi di novità sostanziale, limitandosi ad aggiornare alcune immagini e a perfezionare il testo.

Per tale ragione non formula osservazioni e il parere è favorevole.

Esito complessivo

L’esito complessivo del parere è dunque articolato:

• favorevole con condizioni per il primo schema sulla BDAG;
• favorevole con condizioni per il secondo schema sul PVP;
• favorevole senza osservazioni per il terzo schema.

Le principali aree di attenzione individuate dal Garante sono la sicurezza dell’accesso, la prevenzione di accessi abusivi tramite identità digitali, la minimizzazione dei dati consultabili, la chiara attribuzione dei ruoli privacy e la corretta gestione della conservazione e dei data breach.