Parere del Garante n. 493 del 26/10/2023

Parere sullo schema di decreto per l’erogazione dei certificati ANPR presso gli uffici postali nell’ambito del Progetto Polis

Il Garante per la protezione dei dati personali esprime, ai sensi dell’art. 36, par. 4, e dell’art. 58, par. 3, lett. b), del Regolamento (UE) 2016/679, parere favorevole sullo schema di decreto del Ministro dell’interno che disciplina l’erogazione dei certificati disponibili in ANPR da parte degli sportelli degli uffici postali, nel quadro del Progetto Polis – Case dei servizi di cittadinanza digitale.

Quadro normativo e oggetto dell’intervento

Lo schema si colloca nel perimetro dell’art. 62, comma 6-bis, del d.lgs. n. 82/2005 (Codice dell’amministrazione digitale), in relazione al progetto Polis richiamato dall’art. 38 del d.l. n. 50/2022, convertito dalla l. n. 91/2022. Il provvedimento riguarda l’accesso, tramite sportello postale, al servizio di richiesta e rilascio dei certificati anagrafici relativi al richiedente e ai componenti della sua famiglia anagrafica, mediante interoperabilità con ANPR e con la Piattaforma Digitale Nazionale Dati (PDND).

Ruoli privacy e soggetti coinvolti

Nel testo esaminato il Ministero dell’interno è qualificato come titolare del trattamento con riferimento ai dati contenuti in ANPR, sotto i profili della conservazione, della comunicazione e dell’adozione delle misure di sicurezza. Poste Italiane S.p.A. è nominata responsabile del trattamento per la fornitura del servizio ai cittadini; Sogei S.p.A. è anch’essa designata responsabile per la realizzazione delle funzionalità di ANPR e per la gestione dell’infrastruttura.

Modalità di erogazione del servizio

Il disciplinare tecnico prevede che la Piattaforma Polis di Poste Italiane richiami i servizi di ANPR tramite PDND, consentendo all’operatore di sportello di richiedere e stampare i certificati da consegnare al cittadino. L’accesso avviene secondo le modalità di autenticazione e autorizzazione applicativa previste dalla PDND e dalle Linee guida AgID sull’interoperabilità tecnica delle pubbliche amministrazioni.

Il cittadino viene identificato allo sportello mediante codice fiscale e documento di riconoscimento in corso di validità; ai fini della tracciabilità sono registrati il codice fiscale e gli estremi del documento utilizzato per l’identificazione. Prima dell’emissione del certificato, il personale Poste verifica l’esistenza del codice fiscale nel sistema ANPR: se la verifica è positiva, il cittadino può richiedere i certificati per sé o per un componente della famiglia anagrafica; se è negativa, il sistema restituisce un messaggio da comunicare all’interessato.

Misure di sicurezza, tracciamento e contenimento del rischio

Il Garante prende atto di un insieme articolato di misure tecniche e organizzative, tra cui:

• gestione temporanea delle informazioni sulla Piattaforma Polis fino alla chiusura della sessione;
• registrazione di un sottoinsieme di informazioni nei log di tracciatura;
• gestione dei profili autorizzativi del personale mediante una piattaforma di Identity & Access Management;
• uso di smart card crittografiche e doppio fattore di autenticazione;
• tracciabilità delle identità del personale e delle operazioni effettuate;
• firma dei messaggi scambiati tra Piattaforma Polis e ANPR per garantire integrità e non ripudio;
• controllo e tracciabilità degli accessi applicativi tramite PDND;
• cifratura del canale di comunicazione;
• disponibilità, nell’area riservata di ANPR, dello storico dei certificati emessi nell’ultimo anno tramite il servizio Polis, per ridurre il rischio di abuso dei documenti di identità;
• controlli e gestione dei rischi su più livelli da parte di Poste Italiane;
• misure costantemente aggiornate di protezione dai cyberattacchi;
• uso di meccanismi equivalenti di autenticazione forte anche in caso di eccezione o emergenza;
• divieto di accesso da remoto al servizio, considerata la presenza fisica del cittadino allo sportello.

Log, audit e conservazione

Lo schema prevede una tracciatura dettagliata delle operazioni sia nella piattaforma Polis sia in ANPR, con indicazione di dati identificativi dell’utente, estremi del documento di identità, data e ora della richiesta, identificativi dell’ufficio e della postazione, token di autenticazione, operazione richiesta ed esito. ANPR registra gli accessi alle applicazioni e l’esito delle operazioni, conservandoli per 36 mesi; Poste Italiane conserva i log delle operazioni di rilascio dei certificati per 36 mesi dalla prestazione del servizio, con criteri di confidenzialità e integrità.

È inoltre prevista la conservazione aggiornata della lista degli amministratori di sistema e un sistema di log analysis su entrambe le piattaforme per individuare eventi anomali potenzialmente riconducibili a trattamenti illeciti. Ai lavoratori preposti deve essere fornita un’informativa circa il monitoraggio e l’audit delle attività svolte sulla Piattaforma Polis.

Valutazione del Garante e conclusioni

Il Garante osserva che la versione dello schema è stata elaborata anche tenendo conto delle indicazioni fornite nel corso dell’istruttoria, in particolare in merito ai requisiti di individuazione del personale e alle misure tecniche e organizzative, in coerenza con i principi di accountability, minimizzazione e sicurezza di cui agli artt. 5, parr. 1, lett. f), e 2, 24, 25 e 32 del GDPR. Considera inoltre che, nella valutazione di impatto trasmessa, le misure di contenimento dei rischi siano state giudicate accettabili.

Ritenendo che il complesso delle garanzie previste sia conforme al Regolamento e al Codice privacy, il Garante dichiara di non avere rilievi da formulare e rende parere favorevole sullo schema di decreto. Resta espressamente fermo il rispetto della disciplina lavoristica, in particolare dell’art. 4 della l. n. 300/1970, per gli aspetti connessi ai controlli sui lavoratori.