Prescrizioni del Garante n. 237 del 10/04/2025

Dipartimento della Pubblica Sicurezza - conservazione illecita di dati nel CED e cancellazione di una sentenza di estinzione del reato

Il provvedimento riguarda il reclamo di un interessato nei confronti del Ministero dell’Interno - Dipartimento della Pubblica Sicurezza, in relazione ai dati personali contenuti nel CED interforze. L’Autorità ha esaminato sia il ritardo nel riscontro all’istanza di aggiornamento/cancellazione sia, soprattutto, la permanenza nel sistema di dati giudiziari risalenti, ritenendo applicabile la disciplina speciale in materia di trattamenti per finalità di polizia.

Origine del reclamo e oggetto della controversia

L’interessato aveva chiesto la cancellazione dei dati riferiti a processi definiti da molti anni e lamentava:

• il ritardo nel riscontro dell’amministrazione alla richiesta presentata il 23 settembre 2022;
• la presenza nel CED di informazioni relative a procedimenti giudiziari risalenti;
• la conseguente illiceità del trattamento.

Il reclamo ha indotto l’Autorità ad aprire il procedimento, anche alla luce delle verifiche preliminari svolte sui dati presenti nel CED e sulla gestione dell’istanza ex art. 10, comma 3, della legge n. 121/1981.

Istruttoria svolta dal Garante

Con nota del 20 giugno 2024 il Garante ha chiesto chiarimenti alla Direzione Centrale della Polizia Criminale, soprattutto sui termini di conservazione dei dati registrati nel CED. L’amministrazione ha risposto sostenendo che:

• l’interessato aveva presentato l’istanza di accesso/comunicazione in forma intelligibile il 23 settembre 2022;
• i dati erano stati comunicati con nota del 13 gennaio 2023;
• per alcune informazioni erano stati avviati accertamenti presso diversi uffici territoriali di polizia che le avevano originariamente inserite;
• il ritardo era dovuto alla necessità di ottenere aggiornamenti da più uffici periferici;
• i dati del reclamante erano stati collocati nell’archivio storico, accessibile solo con profili autorizzativi specifici.

In sede di audizione, il Dipartimento ha ribadito che il CED contiene un archivio "in linea" e un archivio "storico", e che i dati del reclamante erano stati trasferiti nel secondo, con accesso riservato a operatori autorizzati ai soli fini investigativi.

Valutazione del Garante sul ritardo nel riscontro

L’Autorità ha rilevato che il riscontro formale all’istanza del 23 settembre 2022 è pervenuto oltre i trenta giorni previsti dall’art. 10, comma 4, della legge n. 121/1981. Pur prendendo atto del fatto che l’aggiornamento dei dati richiedeva interlocuzioni con gli uffici territoriali competenti, il Garante ha osservato che il procedimento si è sviluppato nell’arco di circa due anni, con reiterati solleciti della Direzione centrale.

L’Autorità ha inoltre ritenuto che le comunicazioni inviate all’interessato risultassero spesso generiche, limitandosi a formule come l’avvenuto aggiornamento in banca dati, senza indicazioni sufficientemente puntuali sul contenuto delle modifiche apportate.

Quadro normativo applicato alla conservazione dei dati del CED

Il punto centrale del provvedimento è la ricostruzione del quadro giuridico applicabile al CED interforze.

Il Garante ha respinto la tesi del Ministero secondo cui mancherebbe una disciplina specifica per la cancellazione dei dati contenuti nel CED. In particolare, ha affermato che:

• l’art. 3, comma 1, lett. e), del d.lgs. 51/2018 impone che i dati siano conservati solo per il tempo necessario al perseguimento delle finalità di polizia, con verifica periodica della necessità di conservazione e successiva cancellazione o anonimizzazione;
• l’art. 49, comma 3, del d.lgs. 51/2018 stabilisce che i decreti adottati in attuazione degli artt. 53 e 57 del Codice continuano ad applicarsi fino all’adozione di una diversa disciplina;
• ne consegue l’applicabilità del d.P.R. 15/2018 anche ai trattamenti effettuati per finalità di polizia nel CED.

L’Autorità ha inoltre richiamato il precedente percorso normativo, osservando che non è sostenibile l’idea di un obbligo di distinguere in due regolamenti separati la disciplina generale e quella del CED come condizione necessaria imposta dalla legge.

Violazione accertata sulla conservazione della sentenza di estinzione del reato

Per i dati relativi alla sentenza della Corte di Cassazione del 12 dicembre 2014 che ha dichiarato l’estinzione del reato per prescrizione, il Garante ha ritenuto applicabile l’art. 10, comma 3, lett. d), del d.P.R. 15/2018, che prevede un termine massimo di conservazione di 8 anni dall’inoppugnabilità del provvedimento.

Secondo l’Autorità, la permanenza di tali dati nel CED oltre quel termine integra una violazione:

• del principio di limitazione della conservazione, di cui all’art. 3, comma 1, lett. e), del d.lgs. 51/2018;
• dell’obbligo di cancellazione previsto dall’art. 12, comma 2, del medesimo decreto;
• del termine di conservazione fissato dall’art. 10, comma 3, lett. d), del d.P.R. 15/2018.

Il Garante ha ritenuto non sufficiente la soluzione dell’inserimento nell’archivio storico, considerando tale misura inidonea a evitare effetti pregiudizievoli e a supplire alla cancellazione dovuta una volta decorso il termine massimo di conservazione.

Misure adottate: ammonimento e ingiunzione di cancellazione

Concluso l’esame, l’Autorità ha dichiarato l’illiceità del trattamento effettuato dal Dipartimento della Pubblica Sicurezza per violazione degli artt. 3, comma 1, lett. e), e 12, comma 2, del d.lgs. 51/2018.

Ha quindi adottato le seguenti misure:

• ammonimento del Dipartimento della Pubblica Sicurezza per la violazione delle norme richiamate;
• ingiunzione di cancellare in via definitiva dal CED i dati relativi alla sentenza di estinzione del reato per prescrizione emessa dalla Corte di Cassazione in data 12 dicembre 2014;
• richiesta di riscontro entro 30 giorni dalla comunicazione del provvedimento circa l’avvenuto adempimento dell’ingiunzione;
• annotazione delle violazioni e delle misure nel registro interno dell’Autorità.

Considerazioni conclusive e indicazioni per l’amministrazione

Il provvedimento segnala anche la necessità che l’amministrazione acceleri l’adeguamento della disciplina dei trattamenti di polizia riferiti al CED, mediante atti normativi coerenti e sistematici, idonei a garantire un quadro certo sulla conservazione e cancellazione dei dati. Il Garante ha inoltre espresso disponibilità a collaborare in un eventuale tavolo tecnico per gli approfondimenti necessari.

Impugnazione

È stata infine richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni se il ricorrente risiede all’estero.