Parere del Garante n. 90 del 22/02/2024

Parere sullo schema di decreto ministeriale per l’attivazione dell’archivio digitale delle intercettazioni

Il Garante per la protezione dei dati personali si è espresso, su richiesta del Ministero della giustizia, sullo schema di decreto ministeriale non regolamentare relativo all’attivazione dell’archivio digitale delle intercettazioni (ADI). Il parere è reso ai sensi dell’art. 36, par. 4, GDPR, dell’art. 154, comma 5, del Codice privacy e, per il settore penale, dell’art. 24, comma 2, del d.lgs. 51/2018.

Quadro normativo e collocazione del provvedimento

Lo schema si colloca nel percorso di attuazione dell’art. 2 del d.l. 105/2023, convertito dalla l. 137/2023. Tale disposizione ha previsto un sistema graduale per le infrastrutture digitali delle intercettazioni: prima l’istituzione delle infrastrutture digitali centralizzate, poi la definizione dei requisiti tecnici, e infine l’attivazione dell’archivio digitale delle intercettazioni presso le infrastrutture interdistrettuali.

Il decreto oggetto di parere dà attuazione ai commi 5 e 6 dell’art. 2 del d.l. 105/2023 e disciplina i tempi, le modalità e i requisiti di sicurezza della migrazione dei dati dalle singole procure della Repubblica verso l’ADI, nonché il conferimento dei nuovi dati. Il sistema resta sotto la direzione e sorveglianza del Procuratore della Repubblica, in coerenza con l’art. 269, comma 1, c.p.p. e con l’art. 89-bis disp. att. c.p.p.

Contenuto dello schema: definizioni, migrazione e conferimento

Lo schema contiene un apparato di definizioni tecniche rilevanti per l’applicazione del decreto, tra cui:

• storage, inteso come tecnologia di conservazione e accessibilità delle informazioni;
• crittografia dei dati at-rest, riferita alla cifratura dei dati memorizzati su supporti non volatili;
• riservatezza, come limitazione dell’accesso ai soli utenti e processi legittimati;
• SSD, come supporti di memoria di massa privi di parti meccaniche.

L’art. 4 disciplina la migrazione dei dati esistenti, affidandola alla Direzione generale per i sistemi informativi automatizzati del Ministero della giustizia, d’intesa con i procuratori della Repubblica, nel periodo compreso tra il 1° marzo 2024 e il 28 febbraio 2025. La migrazione riguarda verbali, atti, registrazioni e metadati gestiti dall’istanza locale dell’ADI presso la procura di riferimento.

È prevista la creazione di un’area intermedia di staging presso la sala server di riferimento dell’infrastruttura digitale, sulla quale viene prodotta una copia temporanea dei dati prima del trasferimento verso l’infrastruttura interdistrettuale. Dopo la copia e il trasferimento, le fonti informative originali e i corrispondenti supporti fisici devono essere cancellati, secondo le misure tecnico-organizzative previste dal decreto.

L’art. 5 stabilisce che il trasferimento debba garantire, per tutta la durata delle operazioni, riservatezza, integrità e autenticità dei dati. Se la migrazione avviene con modalità non telematiche, il trasferimento deve essere effettuato mediante dispositivi di memorizzazione SSD idonei a garantire integrità e completezza dei dati durante lo spostamento.

L’art. 6 regola le operazioni di conferimento dei dati verso le infrastrutture digitali interdistrettuali, definendone tempi, modalità e requisiti di sicurezza.

Misure tecnico-organizzative di sicurezza

L’art. 7 contiene le principali misure organizzative e tecniche del sistema. L’ADI deve essere strutturato in modo da garantire la segmentazione logica dei dati riferiti a ciascuna procura della Repubblica.

Gli accessi amministrativi ai componenti del sistema devono essere regolati e protetti mediante autenticazione a due fattori. Inoltre, deve essere presente un sistema di log idoneo a ricostruire tutte le operazioni effettuate, così da tracciare in modo non modificabile le attività di tipo sistemistico e manutentivo.

Il comma 3 chiarisce che le infrastrutture digitali interdistrettuali non accedono ai dati in chiaro delle intercettazioni, poiché li ricevono già cifrati e non dispongono della chiave di decifratura. In chiaro restano soltanto i metadati necessari al corretto funzionamento del sistema, che non contengono informazioni sensibili.

Ruoli privacy e responsabilità del trattamento

L’art. 8 disciplina il trattamento dei dati personali connesso al funzionamento dell’ADI e ne definisce le finalità, riferite alle attività del giudice, delle parti e del Pubblico Ministero previste dal codice di procedura penale, dall’art. 89-bis disp. att. c.p.p. e dall’art. 2 del d.l. 105/2023.

Il provvedimento ascrive, sia pure implicitamente, la titolarità agli Uffici del Pubblico Ministero e la responsabilità al Ministero della giustizia, che può avvalersi di fornitori quali subresponsabili, ai sensi dell’art. 18, commi 2 e 3, del d.lgs. 51/2018.

Valutazioni del Garante e condizione posta

Il Garante osserva che lo schema recepisce le indicazioni fornite in istruttoria, anche per adeguarsi ai rilievi espressi nel parere del 29 dicembre 2023. Ritiene inoltre che siano state delineate in modo adeguato le linee di responsabilità e che le misure tecnico-organizzative risultino sufficientemente dettagliate e idonee a garantire un livello di sicurezza adeguato al rischio.

L’Autorità afferma che il provvedimento è, nel complesso, privo di criticità. Tuttavia, ritiene opportuno che sia esplicitato con una previsione espressa il ruolo di titolare del trattamento svolto dalle Procure della Repubblica, oggi ricavabile solo in via interpretativa. Tale precisazione è ritenuta utile per evitare dubbi interpretativi e per agevolare l’eventuale esercizio dei diritti da parte degli interessati.

Esito

Sulla base di tali considerazioni, il Garante esprime parere favorevole sullo schema di decreto ministeriale, con la condizione di inserire una formulazione espressa che riconosca alle Procure della Repubblica il ruolo di titolare del trattamento dei dati personali trattati nell’ADI.