Parere del Garante n. 364 del 10/11/2022

Parere sullo schema di decreto legislativo per la mappatura e la trasparenza dei regimi concessori di beni pubblici

Il Garante per la protezione dei dati personali, ai sensi dell’articolo 36, paragrafo 4, del GDPR e dell’articolo 154, comma 5, del Codice privacy, esprime parere sullo schema di decreto legislativo attuativo della delega di cui all’articolo 2 della legge 5 agosto 2022, n. 118. Il provvedimento è finalizzato alla costituzione di un sistema informativo per la rilevazione delle concessioni di beni pubblici, con obiettivi di pubblicità e trasparenza, nel rispetto delle esigenze di difesa e sicurezza.

Quadro normativo e finalità dell’intervento

La delega legislativa, richiamata nel parere, prevede la costituzione e il coordinamento di un sistema informativo per la rilevazione delle concessioni di beni pubblici, con la possibilità di rendere conoscibili, anche in forma sintetica, i principali dati relativi ai rapporti concessori. Tra i criteri direttivi figurano la piena conoscibilità di elementi come durata, rinnovi, canone, beneficiari, natura della concessione, ente proprietario e gestore, nonché di ogni altro dato utile a verificare la proficuità economica dell’utilizzo del bene. La delega richiede inoltre che la trasmissione e la gestione dei dati avvengano esclusivamente in modalità telematica e nel rispetto della normativa in materia di protezione dei dati personali.

Il sistema informativo SICONBEP e le informazioni trattate

Lo schema di decreto, all’articolo 1, istituisce il sistema informativo SICONBEP, realizzato e gestito dal Ministero dell’economia e delle finanze con il supporto di SOGEI. Il sistema è alimentato dalle informazioni detenute dalle amministrazioni pubbliche proprietarie o gestori del bene oggetto di concessione e deve essere coordinato con gli altri sistemi informativi esistenti, anche attraverso l’interoperabilità.

L’articolo 3 individua le informazioni soggette a comunicazione con riferimento ai beni appartenenti al demanio e al patrimonio indisponibile, oggetto di atti, contratti o convenzioni che attribuiscano l’utilizzo esclusivo del bene a soggetti pubblici o privati. Tra i dati minimi indicati vi sono:

• l’ente proprietario;
• le generalità del concessionario;
• l’identificativo dell’atto, del contratto o della convenzione;
• la durata della concessione e gli eventuali rinnovi;
• ogni altro dato utile a verificare la proficuità dell’utilizzo economico del bene.

Modalità di trasmissione, ruoli e disciplina tecnica

L’articolo 4 disciplina l’invio dei dati al sistema informativo e demanda al Ministero dell’economia e delle finanze, mediante linee guida, la definizione delle specifiche tecniche, delle modalità e della tempistica di trasmissione. Il comma 3 individua quale responsabile delle comunicazioni il responsabile per la trasparenza, prevedendo che l’omessa comunicazione integri illecito disciplinare.

L’articolo 5 consente, se necessario, la costituzione di banche dati settoriali o locali per alimentare il sistema. Il Garante osserva, tuttavia, che il provvedimento non chiarisce in modo adeguato il ruolo dei diversi soggetti coinvolti nel trattamento dei dati personali connesso al funzionamento del sistema e agli obblighi di pubblicità.

Valutazioni del Garante e condizioni richieste

L’Autorità rileva che l’intervento normativo deve meglio bilanciare trasparenza e protezione dei dati personali, poiché il flusso informativo può includere anche dati personali relativi a persone fisiche beneficiarie delle concessioni.

Il Garante ritiene necessario:

• definire in modo tassativo, all’articolo 2, l’intero novero delle informazioni oggetto di comunicazione al sistema, non limitandosi all’indicazione del contenuto minimo;
• esplicitare il ruolo dei soggetti coinvolti, a vario titolo, nel trattamento dei dati personali e nei correlati obblighi di pubblicità;
• introdurre, all’articolo 6, una espressa esclusione dalla pubblicazione dei dati identificativi delle persone fisiche beneficiarie di concessioni dai quali possa evincersi, anche indirettamente, lo stato di salute o la situazione di disagio economico-sociale degli interessati.

A fondamento di tale ultima richiesta, il Garante richiama la logica dell’articolo 26, comma 4, del d.lgs. 33/2013, che già prevede un’esclusione analoga in materia di trasparenza amministrativa per evitare la divulgazione indiretta di dati particolarmente sensibili o comunque meritevoli di tutela rafforzata.

Specifiche tecniche e garanzie di sicurezza

Con riguardo alla disciplina tecnica dell’invio dei dati, il Garante osserva che il rinvio a mere linee guida potrebbe non essere sufficiente a garantire uniformità e adeguati standard di sicurezza. Per questo suggerisce di valutare l’opportunità di rinviare la definizione delle specifiche tecniche, delle modalità e della tempistica a un decreto, anche non regolamentare, su cui acquisire il parere dell’Autorità.

Tale scelta consentirebbe di rafforzare le garanzie di integrità e riservatezza richieste dall’articolo 5, paragrafo 1, lettera f), del GDPR, assicurando una disciplina più stabile e vincolante per i soggetti tenuti alla comunicazione dei dati.

Conclusioni

Il Garante esprime parere favorevole sullo schema di decreto legislativo, ma con condizioni puntuali e con un’osservazione. Il parere è quindi favorevole condizionato:

• alle modifiche richieste in ordine alla tassatività dei dati comunicati;
• alla chiara individuazione dei ruoli privacy;
• all’esclusione dalla pubblicità di dati idonei a rivelare stato di salute o disagio economico-sociale;
• e all’opportunità di disciplinare con un atto più vincolante delle linee guida gli aspetti tecnici e di sicurezza del sistema.