Parere del Garante n. 129 del 22/02/2024

Schemi di convenzione per l’accesso alle banche dati nella crisi d’impresa e dell’insolvenza

Il Garante per la protezione dei dati personali esprime parere favorevole, ai sensi dell’art. 367, comma 5, del d.lgs. 12 gennaio 2019, n. 14, sugli schemi di convenzione del Ministero della giustizia con Agenzia delle entrate, INPS e Unioncamere. Le convenzioni disciplinano le modalità di accesso, da parte degli uffici giudiziari, alle banche dati pubbliche contenenti informazioni utili per le istruttorie relative alla gestione della crisi d’impresa e dell’insolvenza.

Quadro normativo di riferimento

Il parere è reso anche ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR. Il Garante richiama in particolare l’art. 367 del Codice della crisi d’impresa e dell’insolvenza, che prevede la trasmissione di dati e documenti dalle banche dati del Registro delle imprese, dell’Anagrafe tributaria e dell’INPS alla cancelleria, tramite cooperazione applicativa, e, in via transitoria o quando manchino i sistemi necessari, mediante convenzione a titolo gratuito e senza nuovi oneri, sentito il Garante.

Contenuto degli schemi di convenzione esaminati

Gli schemi disciplinano tre distinti flussi informativi:

• con Agenzia delle entrate, l’accesso da parte delle cancellerie alle dichiarazioni dei redditi relative ai tre esercizi precedenti, all’elenco degli atti soggetti a imposta di registro e ai debiti fiscali, con indicazione di interessi, sanzioni e anni di insorgenza del debito;
• con INPS, l’accesso alle informazioni sui debiti contributivi dell’impresa;
• con Unioncamere, l’accesso e l’estrazione dei dati dei Registri delle imprese previsti dall’art. 367, comma 2, del CCI, tramite le Camere di commercio e InfoCamere S.c.p.A., attraverso il servizio Telemaco.

Per Agenzia delle entrate sono previste sia modalità di accesso diretto ai dati presenti in SIATEL v2.0 PuntoFisco, sia richieste via PEC per i debiti fiscali. Per INPS la trasmissione avviene via PEC, con certificazioni in file protetto da password. Per il Registro delle imprese l’accesso avviene tramite il sistema telematico già utilizzato per la consultazione delle informazioni camerali.

Valutazioni del Garante sui flussi via PEC

Il Garante rileva che i flussi di dati personali veicolati via PEC richiedono specifiche cautele. In particolare, nello schema con Agenzia delle entrate occorre prevedere che messaggi, allegati, metadati e ricevute di accettazione e consegna siano conservati con modalità idonee a garantire integrità e riservatezza e per un periodo massimo proporzionato alle finalità del trattamento. Inoltre, la cifratura prevista deve applicarsi anche ai file contenuti nelle richieste provenienti dal personale autorizzato del Ministero della giustizia quando contengano dati personali, ad esempio nel caso delle ditte individuali.

Analoghe prescrizioni sono poste per la convenzione con INPS: gli allegati al messaggio PEC inviato dall’Istituto devono essere cifrati e anche qui i messaggi, unitamente a metadati e ricevute, devono essere conservati con modalità adeguate e per un tempo massimo proporzionato alle finalità. Il Garante richiama i principi di cui all’art. 5, par. 1, lett. e) e f), e par. 2, e gli artt. 24, 25 e 32 del GDPR.

Ruoli privacy e istruzioni agli incaricati/autorizzati

Nello schema con Agenzia delle entrate il Garante chiede espressamente che l’accesso alle informazioni avvenga da parte di responsabili del trattamento e di persone autorizzate specificamente designate e istruite, in coerenza con gli artt. 28 e 29 GDPR.

Per lo schema con Unioncamere non sono invece formulate osservazioni ulteriori: il Garante ritiene che siano state recepite le indicazioni fornite in fase interlocutoria sulla corretta individuazione dei ruoli privacy nel trattamento dei dati dei Registri delle imprese. In tale ambito, il Registro è qualificato come registro pubblico con finalità di pubblicità legale, con titolarità in capo alle Camere di commercio competenti e InfoCamere S.c.p.A. quale responsabile del trattamento.

Esito del parere e condizioni imposte

Il parere è favorevole, ma subordinato a precise condizioni relative ai trattamenti via PEC:

• nello schema Ministero della giustizia/Agenzia delle entrate, i messaggi con allegati, metadati e ricevute devono essere conservati in modo sicuro e per un tempo massimo proporzionato;
• nello stesso schema deve essere stabilito che l’accesso alle informazioni avvenga da parte di responsabili del trattamento e persone autorizzate specificamente designate;
• nello schema Ministero della giustizia/INPS, gli allegati PEC inviati dall’Istituto devono essere cifrati;
• nello stesso schema, messaggi, metadati e ricevute devono essere conservati con modalità idonee e per un periodo massimo proporzionato.

Osservazioni sulle future modalità di cooperazione applicativa

Il Garante segnala infine che, qualora in futuro Ministero della giustizia e soggetti convenzionati adottassero modalità di accesso basate su cooperazione applicativa tra sistemi informatici, in sostituzione degli scambi via PEC, dovranno essere previste misure tecniche e organizzative adeguate a garantire integrità e riservatezza e il rispetto degli obblighi di sicurezza. Tra gli esempi indicati figurano istruzioni al personale autorizzato, tracciamento delle operazioni, rilevazione e segnalazione di accessi anomali, controlli anche a campione e adeguate forme di comunicazione reciproca tra amministrazioni e gestori delle banche dati.