Parere del Garante n. 80 del 23/03/2023

Parere sui decreti direttoriali per l’elenco dei manager dell’innovazione e il voucher in innovazione

Il Garante per la protezione dei dati personali esamina due schemi di decreto direttoriale del Ministero delle imprese e del made in Italy, trasmessi il 7 marzo 2023, relativi alla riapertura dello sportello della misura agevolativa "Voucher per consulenza in innovazione". Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Contesto normativo e oggetto dei due schemi

La misura trova fondamento nell’art. 1, comma 228, della legge 30 dicembre 2018, n. 145, che prevede un contributo a fondo perduto, sotto forma di voucher, per micro, piccole e medie imprese e reti d’impresa, per l’acquisto di prestazioni consulenziali finalizzate alla trasformazione tecnologica e digitale e all’ammodernamento degli assetti gestionali e organizzativi.

Il decreto ministeriale 7 maggio 2019, attuativo della misura, rinvia a successivi decreti direttoriali per:

• definire modalità e termini di iscrizione all’elenco dei manager qualificati e delle società di consulenza abilitati;
• approvare il modello di domanda di ammissione al contributo, stabilire i termini di presentazione e i criteri di valutazione delle domande;
• disciplinare la gestione tramite apposito sistema informatico affidato a Invitalia.

Contenuto dello schema relativo all’elenco dei manager

Lo schema dedicato all’elenco dei manager qualificati e delle società di consulenza disciplina, in particolare:

• i termini e le modalità di presentazione delle istanze di iscrizione mediante procedura informatica;
• le informazioni acquisite, anche ai sensi del d.P.R. 28 dicembre 2000, n. 445, e le modalità di controllo delle dichiarazioni;
• la messa a disposizione dell’elenco ai soli soggetti che intendono presentare domanda di accesso ai voucher e che accedono allo sportello informatizzato;
• i ruoli dei soggetti coinvolti nel trattamento e i tempi di conservazione dei dati personali;
• le regole tecniche di funzionamento della piattaforma e le misure tecniche e organizzative adottate da Invitalia come responsabile del trattamento.

Valutazioni del Garante sui profili privacy

Il Garante rileva che le versioni finali degli schemi recepiscono le osservazioni fornite in interlocuzioni informali, con l’obiettivo di conformare i trattamenti al principio di privacy by design e by default di cui all’art. 25 GDPR.

In particolare, l’Autorità considera positivamente:

• la puntuale individuazione dei ruoli: Ministero quale titolare, Invitalia quale responsabile ex art. 28 GDPR, soggetti gestori degli elenchi quali titolari autonomi;
• la previsione delle modalità di autenticazione tramite CIE e CNS, in linea con l’art. 64, commi 2-quater e 2-nonies, del d.lgs. n. 82/2005;
• la definizione più precisa delle categorie di dati personali trattati, con distinzione tra dati obbligatori e facoltativi;
• la disciplina dei tempi di conservazione, specialmente in relazione alla consultazione degli elenchi nella fase di richiesta e di fruizione del voucher;
• la descrizione delle misure di sicurezza e organizzative, in coerenza con gli artt. 24 e 32 GDPR.

Principi GDPR richiamati

Il provvedimento richiama espressamente i principi di:

• liceità, correttezza e trasparenza, nonché limitazione della finalità, di cui all’art. 5, par. 1, lett. a) e b), GDPR;
• minimizzazione dei dati e esattezza, di cui all’art. 5, par. 1, lett. c) e d), GDPR;
• limitazione della conservazione, di cui all’art. 5, par. 1, lett. e), GDPR;
• integrità e riservatezza e responsabilizzazione, di cui all’art. 5, par. 1, lett. f), e par. 2, GDPR.

Viene inoltre sottolineato che i soggetti che formano e detengono gli elenchi devono assicurare una base giuridica adeguata ai sensi dell’art. 6 GDPR.

Uso della piattaforma cloud e osservazione dell’EDPB

Nella documentazione tecnica viene indicato che la piattaforma è ospitata su "Cloud Pubblico Oracle" di Invitalia e che i dati risiedono fisicamente nel data-center europeo di Francoforte. Pur senza formulare rilievi, il Garante richiama l’attenzione del titolare sull’esigenza di tenere conto del report dell’EDPB del 17 gennaio 2023, dedicato all’uso dei servizi cloud nel settore pubblico, al fine di assicurare la piena conformità al Regolamento quando una pubblica amministrazione utilizza servizi cloud nell’esercizio delle proprie funzioni.

Esito del parere

Alla luce delle modifiche apportate e delle garanzie introdotte nei due schemi di decreto, il Garante conclude di non formulare rilievi in materia di protezione dei dati personali ed esprime parere favorevole sui due schemi di decreto direttoriale del Ministero delle imprese e del made in Italy.