Parere del Garante n. 463 del 18/07/2024

Parere sul regolamento per la dichiarazione telematica di appartenenza o aggregazione ai gruppi linguistici

Il Garante per la protezione dei dati personali esamina lo schema di decreto del Presidente della Provincia autonoma di Bolzano recante il "Regolamento di esecuzione relativo alla dichiarazione individuale nominativa di appartenenza o aggregazione ad uno dei gruppi linguistici in forma telematica". Il parere è reso ai sensi dell’art. 20-ter, comma 3, del d.P.R. 26 luglio 1976, n. 752, nonché degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Quadro normativo di riferimento

Il provvedimento richiama il Regolamento (UE) 2016/679, il d.lgs. 30 giugno 2003, n. 196, e la disciplina speciale in materia di proporzione negli uffici statali della Provincia di Bolzano e conoscenza delle due lingue nel pubblico impiego, di cui al d.P.R. 26 luglio 1976, n. 752, come modificato dal d.lgs. 4 ottobre 2021, n. 150. In particolare, l’art. 20-ter consente la resa della dichiarazione individuale nominativa di appartenenza o aggregazione ai gruppi linguistici anche per via telematica e demanda a un decreto del Presidente della Provincia autonoma di Bolzano, sentiti Ministero della giustizia, Presidente della Regione e Garante, la definizione delle modalità attuative.

Contenuto dello schema esaminato

Lo schema disciplina le modalità telematiche di presentazione delle dichiarazioni e di rilascio della relativa certificazione. In sintesi, prevede:

• la facoltà di rendere in ogni momento, anche online, la dichiarazione di appartenenza o aggregazione a uno dei tre gruppi linguistici;
• l’individuazione dei motivi di interesse pubblico rilevante che sorreggono il trattamento, in analogia a quanto avviene in modalità cartacea;
• specifiche misure di sicurezza per i dati contenuti nelle dichiarazioni, nelle richieste di modifica o revoca e nelle certificazioni telematiche;
• il riversamento delle dichiarazioni rese online in forma analogica, con conservazione cartacea;
• la cancellazione del contenuto delle dichiarazioni telematiche dopo il riversamento, per evitare annotazioni o registrazioni informatiche;
• la limitazione della consultabilità del contenuto della certificazione telematica al solo momento della verifica dei requisiti per i benefici previsti;
• la necessità di inserire tali misure nella valutazione di impatto del trattamento da sottoporre al Garante.

Valutazioni del Garante sulla legittimità del trattamento

L’Autorità osserva che il trattamento riguarda dati particolari, cioè quelli relativi all’appartenenza o aggregazione a gruppi linguistici, ed è effettuato su larga scala, coinvolgendo anche minori. Per questa ragione presenta rischi elevati per i diritti e le libertà degli interessati.

Il Garante prende atto che la Provincia ha modificato lo schema per rispettare i limiti e l’ambito di applicazione delle misure di digitalizzazione previste dalla norma primaria e che tale versione recepisce le indicazioni emerse nel corso di interlocuzioni informali con l’Ufficio. In particolare, vengono ritenuti correttamente individuati:

• i motivi di interesse pubblico rilevante e le operazioni di trattamento necessarie, in coerenza con gli artt. 5, par. 1, lett. a), 6 e 9 GDPR e con gli artt. 2-ter e 2-sexies del Codice;
• le misure appropriate e specifiche da adottare in ogni fase del trattamento, in linea con gli artt. 5, par. 1, lett. f), 25 e 32 GDPR;
• la necessità di rispettare il principio di limitazione della conservazione, ex art. 5, par. 1, lett. e), GDPR, con riferimento ai dati riversati in forma analogica;
• la limitazione dell’accesso al contenuto delle certificazioni telematiche alle sole autorità competenti e solo al momento della verifica dei requisiti, in coerenza con i principi di liceità, limitazione della finalità, minimizzazione e privacy by design e by default.

Misure di sicurezza e garanzie richieste

Il parere valorizza l’uso di tecniche di pseudonimizzazione, codifica e crittografia per assicurare la riservatezza dei dati al momento del riversamento in forma analogica, l’integrità della dichiarazione telematica e delle operazioni di riversamento, nonché il tracciamento delle operazioni compiute. Viene inoltre ribadita la necessità della tempestiva cancellazione del contenuto delle dichiarazioni telematiche dopo il riversamento, così da impedire qualsiasi annotazione o registrazione informatica del loro contenuto, in linea con il regime speciale già previsto per la documentazione cartacea.

Inoltre, la certificazione resa in modalità telematica deve essere consultabile solo nel momento della verifica dei requisiti per i benefici previsti, da parte delle autorità competenti, senza accessi ulteriori o generalizzati.

Valutazione di impatto e controllo successivo

Lo schema prevede che il titolare del trattamento effettui una valutazione di impatto ai sensi dell’art. 35 GDPR e che tale valutazione sia sottoposta al Garante ai sensi dell’art. 36, par. 5, GDPR. Il Garante precisa espressamente che si riserva di verificare in quella sede l’adeguatezza concreta delle misure che saranno adottate in ogni fase del trattamento, soprattutto per garantire che le procedure telematiche offrano le medesime cautele previste per le dichiarazioni e certificazioni cartacee.

Esito del parere

Alla luce delle modifiche apportate allo schema e delle garanzie previste, il Garante ritiene che il regolamento non presenti profili di criticità in materia di protezione dei dati personali e formula dunque un parere favorevole sullo schema di decreto del Presidente della Provincia di Bolzano.