Parere del Garante n. 637 del 29/12/2023

Parere sullo schema di decreto relativo ai requisiti tecnici per le infrastrutture digitali interdistrettuali per le intercettazioni

Il Garante per la protezione dei dati personali esprime il proprio parere sullo schema di decreto ministeriale recante i requisiti tecnici specifici per la gestione dei dati presso le infrastrutture digitali interdistrettuali per le intercettazioni. Il parere è reso su richiesta del Ministero della giustizia, ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5, del Codice privacy, nel quadro dell’attuazione dell’art. 2 del d.l. 10 agosto 2023, n. 105, convertito con modificazioni dalla l. n. 137/2023.

Quadro normativo e finalità dell’intervento

Il decreto-legge n. 105/2023 ha avviato un percorso graduale di istituzione di infrastrutture digitali centralizzate per le intercettazioni, da disciplinare con decreti attuativi sottoposti al parere del Garante. La finalità dichiarata è quella di assicurare autenticità, integrità, riservatezza e massimo livello di sicurezza nella gestione dei dati e nel collegamento telematico tra le infrastrutture digitali e i luoghi di ascolto presso le Procure della Repubblica, pur mantenendo ferma l’autonoma direzione e responsabilità del Procuratore nelle operazioni captative.

Lo schema in esame è il secondo passaggio attuativo dopo il d.M. 6 ottobre 2023, già oggetto di parere favorevole del Garante il 28 settembre 2023. Mentre il primo decreto ha individuato le infrastrutture e definito i requisiti tecnici essenziali del sistema, il provvedimento odierno disciplina in modo più puntuale i requisiti tecnici specifici per la gestione dei dati correlati al funzionamento delle infrastrutture e alle modalità di collegamento con le procure.

Principali contenuti dello schema di decreto

Lo schema introduce definizioni tecniche rilevanti, tra cui autenticità, integrità, riservatezza, conferimento, trasferimento logico, hash crittografico, meccanismo di autenticazione del dato e sistema IAM (Identity Access Management).

Quanto all’oggetto, il decreto mira a disciplinare:

• i requisiti tecnici per garantire autenticità, integrità e riservatezza dei dati trattati dai sistemi informativi funzionali alle attività di intercettazione;
• il collegamento telematico sicuro tra infrastrutture digitali interdistrettuali e impianti installati presso le procure;
• la memorizzazione delle conversazioni e comunicazioni intercettate;
• l’integrazione nativa dei sistemi di ripristino dei dati nella piattaforma tecnologica di memorizzazione.

L’art. 3 prevede che le attività di conferimento siano gestite mediante meccanismi di autenticazione e/o firma digitale e impone la tracciabilità e l’immediata conoscibilità, da parte del Procuratore della Repubblica, di ogni accesso o intervento sulle infrastrutture, sui software e sulle attività di acquisizione, trattamento e recupero dei dati.

L’art. 4 disciplina la cifratura dei file contenenti gli eventi/intercettazioni mediante algoritmo simmetrico, la trasmissione segreta della chiave alla Procura tramite ulteriore cifratura, la gestione delle chiavi e l’accesso ai dati solo da parte dei soggetti preposti alla decifratura. Il comma 5 richiama una piattaforma IAM come modalità di accesso coerente con l’art. 64 CAD, il Regolamento (UE) 910/2014, la direttiva (UE) 2016/680 e il d.lgs. n. 51/2018. L’art. 5 prevede il collegamento telematico tra le infrastrutture tramite canali cifrati e firewall per il monitoraggio del traffico.

Valutazioni del Garante su sicurezza, tracciabilità e resilienza

Il Garante considera la disciplina suscettibile di integrazioni, in ragione della rilevanza quantitativa e qualitativa dei dati trattati, e richiama la necessità di misure tecniche e organizzative da riesaminare e aggiornare periodicamente, in linea con il principio di sicurezza del trattamento e con l’art. 25 del d.lgs. n. 51/2018.

In particolare, indica come necessari:

• tecniche crittografiche allo stato dell’arte per i dati "a riposo" e "in transito", con protocolli di rete sicuri e cipher suite robuste, anche in raccordo con eventuali indicazioni dell’Agenzia per la cybersicurezza nazionale e con le raccomandazioni AgID sul TLS;
• autenticazione informatica a più fattori, con credenziali e dispositivi assegnati all’utente e, auspicabilmente, gestiti direttamente dal Ministero della giustizia;
• misure di continuità operativa e disaster recovery, oltre a sistemi di alert per rilevare anomalie o situazioni di rischio;
• audit almeno annuali per verificare l’adeguatezza delle misure e controlli a campione o successivi ad alert sulla legittimità delle operazioni;
• registrazioni di log idonee a identificare univocamente ogni operazione, includendo almeno riferimenti temporali, codice identificativo dell’autore e postazione di lavoro utilizzata;
• un obbligo di mutua informazione tra Ministero e uffici giudiziari in caso di violazione di dati personali con effetti sui trattamenti di rispettiva competenza, per verificare gli adempimenti previsti dagli artt. 26 e 27 del d.lgs. n. 51/2018.

Trasparenza e chiarimento dell’assetto di responsabilità

Oltre ai profili di sicurezza, il Garante sottolinea l’esigenza di rispettare pienamente il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR. Chiede quindi di specificare meglio le implicazioni del ruolo assunto dal Ministero della giustizia nella gestione e manutenzione dei sistemi delle infrastrutture digitali interdistrettuali, nei flussi informativi e nella definizione dei profili autorizzatori di accesso ai dati conservati.

Il chiarimento richiesto deve essere coordinato con l’assetto di responsabilità già delineato dal d.M. 20 aprile 2018 e dal d.M. 6 ottobre 2023, richiamati dal Garante come quadro di riferimento per evitare ambiguità sul riparto di compiti e responsabilità tra Ministero, uffici giudiziari e soggetti autorizzati.

Esito del parere

Il Garante esprime parere favorevole sullo schema di decreto ministeriale, ma con condizioni. In particolare, il parere favorevole è subordinato:

• alla previsione delle misure tecniche e organizzative indicate, previa trasmissione al Garante della valutazione di impatto sulla protezione dei dati ai sensi dell’art. 23 del d.lgs. n. 51/2018;
• alla specificazione delle implicazioni del ruolo del Ministero della giustizia rispetto all’assetto di responsabilità e ai profili di sicurezza del trattamento.

Il parere, dunque, non è negativo, ma condizionato all’integrazione dello schema con garanzie ulteriori in materia di sicurezza, tracciabilità, resilienza, trasparenza e definizione dei ruoli.