Parere del Garante n. 487 del 12/10/2023

Parere sulle specifiche tecniche del Portale Albo CTU

Il Garante per la protezione dei dati personali si pronuncia, su richiesta del Ministero della giustizia, sul documento recante le specifiche tecniche del Portale Albo CTU, previsto dall’art. 16-novies, commi 4 e 5, del decreto-legge 18 ottobre 2012, n. 179, convertito con legge 17 dicembre 2012, n. 221, come modificato dal d.lgs. 10 ottobre 2022, n. 149. Il parere riguarda il sistema informativo destinato alla formazione e alla tenuta informatizzata degli albi dei consulenti tecnici d’ufficio e dei periti.

Quadro normativo di riferimento

Il Garante richiama il Regolamento (UE) 2016/679 e il d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101. Viene inoltre considerato il quadro specifico dell’art. 16-novies, commi 4 e 5, che stabilisce la tenuta informatica degli albi e il rinvio a specifiche tecniche da adottarsi dal responsabile dei sistemi informativi automatizzati del Ministero della giustizia e da pubblicarsi in Gazzetta Ufficiale e sul sito del Ministero.

Il provvedimento si colloca anche in continuità con il precedente parere del 17 maggio 2023 sullo schema di regolamento relativo all’albo dei consulenti tecnici d’ufficio e all’elenco nazionale, nel quale l’art. 8 prevedeva l’adozione delle specifiche tecniche per la formazione, tenuta e aggiornamento informatico degli albi e dell’elenco.

Contenuto e funzionamento del sistema

Il documento descrive in modo ritenuto chiaro e dettagliato base giuridica, obiettivi e funzionamento del portale. Il sistema sottende un trattamento articolato in tre componenti principali:

• raccolta online delle domande di iscrizione agli albi, con curricula e prova del pagamento delle tasse previste;
• gestione istruttoria delle domande presso i tribunali;
• amministrazione del sistema informativo, comprensiva della gestione delle utenze, con una componente ministeriale e componenti presso i tribunali.

Il Garante osserva che la progettazione del sistema appare a uno stadio maturo, con una rappresentazione complessiva sufficientemente definita delle funzionalità previste.

Sicurezza dei dati e misure tecniche e organizzative

La nuova versione delle modalità operative introduce o chiarisce diverse misure di sicurezza:

• accesso per i soggetti esterni al Dominio Giustizia solo tramite CNS e SPID;
• utilizzo del protocollo di sicurezza TLS;
• previsione di politiche di backup;
• ulteriori misure di sicurezza elencate sinteticamente nel documento.

Il Garante ritiene che tali misure, nel loro complesso, siano idonee ad assicurare un livello di sicurezza adeguato al rischio del trattamento, se correttamente realizzate. Restano però valide le raccomandazioni già formulate in istruttoria, in particolare:

• applicazione periodica e tempestiva delle patch di sicurezza, anche del software di base;
• vigilanza sulle minacce emergenti, come il ransomware;
• formazione adeguata del personale;
• controllo periodico dei bollettini di sicurezza pubblicati dallo CSIRT dell’Agenzia per la cybersicurezza nazionale.

Titolarità del trattamento e responsabilità del Ministero

Il punto critico del parere riguarda la mancata indicazione, nel documento, della titolarità del trattamento e delle responsabilità del Ministero della giustizia. Il Garante rileva che, nonostante una specifica richiesta istruttoria, il testo aggiornato non contiene un’adeguata integrazione sul punto e il relativo paragrafo 10 resta non compilato.

L’Autorità richiama il dato normativo secondo cui gli albi dei CTU e dei periti sono tenuti a cura del presidente del tribunale e l’accesso ai dati è consentito ai magistrati e al personale di cancelleria e segreteria. Richiama inoltre lo schema di regolamento già esaminato, nel quale si stabilisce che i tribunali sono titolari del trattamento dei dati personali utilizzati per la formazione e tenuta dell’albo.

Tuttavia, dalla descrizione dei "cicli di vita" e dei "workflow" emerge che il servizio di presentazione delle domande e di tenuta degli albi sarebbe unico e centralizzato, erogato dal Ministero direttamente o tramite fornitori esterni. Ciò implica che le scelte di progettazione e le misure di sicurezza adottate dal Ministero incidono comunque sul trattamento e sulla protezione dei dati, in particolare ai sensi degli artt. 25 e 32 GDPR e del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR.

Per questo il Garante ritiene plausibile che, fermo restando il ruolo dei tribunali come titolari per la tenuta dei rispettivi albi, il Ministero abbia comunque un ruolo rilevante nella protezione dei dati trattati tramite il portale, soprattutto sotto il profilo della sicurezza. Tale ruolo deve essere chiarito in modo espresso e documentato.

Esito del parere

A causa della carenza strutturale del documento, e in particolare per l’assenza di indicazioni sul ruolo e sulle responsabilità del Ministero nel trattamento dei dati, il Garante conclude che il parere non possa essere positivo. L’Autorità chiede quindi una revisione del testo con adeguata integrazione delle informazioni sulla governance del trattamento, sulla sicurezza e sull’integrità dei dati.