Parere del Garante n. 254 del 17/05/2023

Modalità di pagamento telematico delle pene pecuniarie

Il Garante per la protezione dei dati personali ha reso parere sullo schema di decreto ministeriale volto a definire le modalità di pagamento, anche per via telematica, delle pene pecuniarie applicate dal giudice con sentenza o decreto di condanna. Il parere è richiesto dal Ministero della giustizia nell’ambito dell’art. 181-bis delle disposizioni di attuazione del codice di procedura penale, introdotto dal d.lgs. 10 ottobre 2022, n. 150.

Quadro normativo di riferimento

Lo schema si inserisce nel nuovo assetto dell’esecuzione e conversione delle pene pecuniarie e mira ad agevolare il pagamento tempestivo e la conseguente riscossione. Il comma 1 dell’art. 181-bis prevede in ogni caso il pagamento tramite modello precompilato allegato all’ordine di esecuzione; il comma 2 demanda a un decreto del Ministro della giustizia, sentito il Garante, l’individuazione e l’aggiornamento periodico delle modalità tecniche di pagamento, anche telematico. Il Garante richiama inoltre il Regolamento (UE) 2016/679, il d.lgs. 196/2003 e il d.lgs. 18 maggio 2018, n. 51.

Trattamenti previsti e flusso operativo

Lo schema prevede che il pagamento avvenga tramite la piattaforma tecnologica di cui all’art. 5, comma 2, del CAD, ossia la Piattaforma pagoPA, gestita da PagoPA S.p.A. Il personale degli uffici del pubblico ministero e del giudice per le indagini preliminari sarebbe abilitato a operare sui sistemi informatici del Ministero della giustizia per generare l’avviso unico di pagamento e il relativo identificativo univoco di versamento, associato al condannato o al civilmente obbligato.

Nella relazione illustrativa il Ministero segnala che l’avviso conterrà l’indicazione del Ministero, il nominativo dell’interessato e l’identificativo unico di versamento, evitando elementi che rendano percepibile all’esterno il collegamento con una condanna penale.

Ruoli privacy di Ministero, uffici giudiziari e PagoPA S.p.A.

Il Garante osserva che né la normativa primaria né lo schema di decreto individuano espressamente i ruoli dei soggetti coinvolti nel trattamento. Questa lacuna non garantisce adeguata trasparenza verso gli interessati e non consente una chiara ripartizione di obblighi e responsabilità.

Il decreto dovrebbe quindi specificare il ruolo del Ministero della giustizia, degli uffici giudiziari e di PagoPA S.p.A. con riguardo a:

• generazione dell’avviso di pagamento tramite i sistemi informatici del Ministero;
• pagamento della pena pecuniaria da parte dell’interessato tramite la Piattaforma pagoPA;
• rendicontazione dei pagamenti al Ministero;
• associazione del pagamento alla pena pecuniaria in esecuzione mediante l’identificativo univoco di versamento.

Il Garante ritiene opportuno richiamare nel preambolo del decreto anche le pertinenti disposizioni del d.lgs. n. 51/2018, in particolare gli artt. 3, comma 1, lett. a), 10, 15 e 18.

Sicurezza del trattamento e garanzie per gli interessati

Lo schema si limita a prevedere una forma di minimizzazione informativa nell’avviso di pagamento, ma non disciplina ulteriori misure tecniche o organizzative. Il Garante rileva che i trattamenti presentano elevati rischi per i diritti e le libertà degli interessati, poiché riguardano dati relativi a condanne penali, sono effettuati su larga scala e possono incidere in modo significativo sugli interessati, ad esempio in caso di mancato pagamento.

Per tale ragione è ritenuta necessaria, nel caso di specie, una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 23 del d.lgs. n. 51/2018. Il decreto dovrebbe quindi individuare puntualmente le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi, nel rispetto dei principi di integrità, riservatezza, minimizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita, richiamando gli artt. 3, comma 1, lett. f), 15, 16, 18, 23 e 25 del d.lgs. n. 51/2018.

Piattaforma pagoPA, cloud e trasferimenti verso paesi terzi

Poiché il pagamento avviene tramite la Piattaforma pagoPA, il Garante richiama anche i profili relativi all’uso di servizi cloud da parte di PagoPA S.p.A. In tale contesto segnala la necessità di rispettare il GDPR tenendo conto delle indicazioni europee contenute nel report del Comitato europeo per la protezione dei dati del 17 gennaio 2023 sulla "Coordinated Enforcement Action" relativa all’uso di servizi cloud nel settore pubblico.

In particolare, occorre disciplinare con attenzione:

• i rapporti tra titolare del trattamento, eventuali responsabili e cloud service providers ai sensi dell’art. 28 GDPR;
• gli eventuali trasferimenti di dati personali verso paesi terzi ai sensi degli artt. 44 e seguenti GDPR, ove i fornitori siano stabiliti fuori dallo SEE.

Conclusioni

Il parere è favorevole con condizioni e con una osservazione. Il Garante chiede che lo schema di decreto sia integrato per chiarire i ruoli e le responsabilità privacy dei soggetti coinvolti, per introdurre garanzie tecniche e organizzative adeguate alla natura sensibile e ai rischi dei trattamenti, e per considerare i vincoli europei in materia di servizi cloud e trasferimenti internazionali connessi alla Piattaforma pagoPA.