IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell'interno;

Visti gli articoli 20, commi 2 e 4, 21, comma 2, e 154, comma 1, lett. g), del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

PREMESSO

Il Ministero dell'interno ha richiesto il parere del Garante su uno schema di regolamento recante disposizioni concernenti l'aggiornamento e l'integrazione dei tipi di dati sensibili e giudiziari trattati e delle relative operazioni effettuate dal Ministero, già identificati con il decreto ministeriale 21 giugno 2006, n. 244, ai sensi degli articoli 20, comma 2, e 21, comma 2, del decreto legislativo 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice").

Lo schema corrisponde all'esigenza di aggiornare l'identificazione dei tipi di dati oggetto di trattamento e di operazioni eseguibili -secondo quanto previsto dall'articolo 20, comma 4, del Codice, richiamato dall'articolo 21, comma 2, in relazione ai dati giudiziari- a seguito di talune modifiche del quadro normativo concernente la disciplina delle funzioni attribuite al Ministero dell'interno o, comunque, ad organismi ad esso riconducibili (cfr. il preambolo dello schema).
Com'è noto, l'identificazione e il relativo aggiornamento dei tipi di dati e di operazioni deve essere effettuata con atto di natura regolamentare adottato "in conformità al parere espresso dal Garante" (art. 20, comma 2, del Codice, richiamato dall'articolo 21, comma 2, in relazione ai dati giudiziari).

RILEVATO

Lo schema di regolamento sostituisce l'articolo 2, comma 1, del decreto n. 244 del 2006, precisando che le schede allegate, riferite, ciascuna, a una specifica tipologia di trattamento, sono ora trenta e non più ventotto (art. 2, comma 1, lett. a), dello schema).

Inoltre, sono apportate modifiche alle schede n. 1 e n. 9 allegate al d.m. del 2006, e sono introdotte due nuove schede (la n. 29 e la n. 30).
In particolare, lo schema:

a) sostituisce, con l'allegato A, la scheda n. 1 allegata al d. m. n. 244 del 2006, prevedendo il trattamento dei dati relativi alla gestione delle procedure di reclutamento del personale permanente e volontario del Corpo nazionale dei Vigili del fuoco (art. 2, comma 1, lett. b)); il trattamento è finalizzato ad acquisire i dati necessari ad accertare il possesso delle qualità morali e di condotta del personale previste dalla legge;

b) sostituisce, con l'allegato B, la scheda n. 9 integrandola con il procedimento di verifica dell'adempimento dell'accordo di integrazione tra lo straniero e lo Stato (art. 2, comma 1, lett. c), dello schema; art. 4-bis d.lgs. n. 286 del 1998, recante il testo unico in materia di immigrazione e condizione dello straniero, introdotto dalla legge 15 luglio 2009, n.94; d.P.R. 14 settembre 2011, n. 179); nella sezione della scheda riservata ad una sintetica descrizione del trattamento si precisa che i dati giudiziari sono necessari, nel corso della verifica dell'adempimento dell'accordo, per poter procedere alla eventuale "decurtazione dei crediti" (cfr. art. 5, comma 2, d.P.R. n. 179/2011);

c) aggiunge alle ventotto schede già esistenti la n. 29 e la n. 30 (art. 2, comma 1, lett. d)): la prima riguarda i trattamenti afferenti ai procedimenti amministrativi per l'emissione del passaporto elettronico; la nuova scheda n. 30 riguarda, invece, quelli effettuati nell'ambito del Sistema d'informazione visti (VIS) che contiene i dati relativi al rilascio dei visti Schengen di breve durata.

RITENUTO

Il contenuto delle predette schede del regolamento risponde, in via generale, alle indicazioni rese dall'Ufficio del Garante all'esito di riunioni e contatti informali avuti con l'amministrazione interessata. Nondimeno il Garante, al fine di conformarne pienamente il contenuto alla disciplina in materia di protezione dei dati personali, osserva quanto segue.

1. In relazione alla scheda n. 9, sezione "Tipi di dati trattati", appare necessaria una ulteriore riflessione sulla pertinenza e indispensabilità dei dati relativi alle "convinzioni politiche e sindacali", all'"anamnesi familiare" e alla "vita sessuale" (non presenti nella scheda n. 9 allegata al decreto vigente), in quanto informazioni che non appaiono indispensabili al perseguimento delle finalità del trattamento oggetto della scheda (procedimento di verifica dell'adempimento dell'accordo di integrazione tra lo straniero e lo Stato). Pertanto, i predetti dati dovranno essere espunti dalla scheda n. 9, in quanto informazioni che non appaiono indispensabili al perseguimento delle finalità del trattamento oggetto della scheda, a meno che l'amministrazione individui (e riporti nella scheda) specifiche basi normative che ne prevedano il trattamento, e provveda a descrivere sinteticamente i trattamenti stessi nell'apposita sezione.

Inoltre si richiede di riportare i riferimenti all'origine razziale e all'origine etnica delle persone in un'unica casella (anziché in due come è previsto nello schema), denominandola "origine razziale ed etnica", in linea con la pertinente definizione di dato sensibile prevista dal Codice (art. 4, comma 1, lett. d), del Codice), il quale fa riferimento congiuntamente alle due definizioni. Ciò in considerazione della inappropriatezza dell'utilizzo della sola locuzione "origine razziale" nell'ordinamento attuale.

Analogo perfezionamento deve essere apportato in tutte le altre schede del d.m. del 2006, ogniqualvolta ricorrano le predette due caselle (v. ad esempio, scheda n. 11).

2. Per quanto riguarda la scheda n. 29, nella apposita sezione occorre indicare le finalità di rilevante interesse pubblico cui il trattamento è preordinato, fra quelle indicate nel Codice o eventualmente in altra normativa vigente. In relazione a quanto previsto dal Codice, si ritiene che il riferimento debba essere alla finalità di cui all'articolo 64, in relazione, in particolare, al trattamento di dati indispensabili al "rilascio e al rinnovo ….di autorizzazioni e documenti" (art. 64, comma 1, lett. a), Codice).

Inoltre, nella pertinente sezione deve essere fornita una sintetica descrizione del trattamento dei soli dati oggetto della scheda (dati giudiziari), con indicazione degli specifici presupposti, delle finalità e delle modalità del trattamento, nonché dei soggetti presso cui i dati vengono raccolti (ad esempio: valutazione dei requisiti di onorabilità dei richiedenti il passaporto, mediante acquisizione del certificato del casellario giudiziale) o a cui vengono, eventualmente, comunicati in base a norme di legge. Indicazioni concernenti il trattamento di altri tipi di dati (anagrafici, fotografia, firma digitale, eventuali altri dati biometrici) non sono necessarie.

Conseguentemente deve essere aggiornato il quadro relativo alle "Operazioni eseguite", barrando (anche) la casella "presso terzi": il certificato del casellario può essere, infatti, acquisito direttamente dall'Amministrazione presso il competente ufficio del Ministero della giustizia, anche in via telematica (art. 8 d.m. n. 303/014 del 23 giugno 2009; art. 39, d.P.R. 14 novembre 2002, n. 313).

Quanto infine, alla sezione "Particolari forme di elaborazione", da essa deve essere espunto il riferimento all'"istruttoria per il rilascio del passaporto" (oggetto, più propriamente, della sezione dedicata alla descrizione del trattamento, come specificato sopra), nonché quello ai dati inseriti nel Chip presente sul libretto di passaporto, in quanto in tale dispositivo elettronico non possono essere memorizzati dati giudiziari dell'interessato.

3. Analoghe indicazioni si rendono necessarie in relazione alla scheda n. 30.

Innanzitutto, si richiama l'attenzione dell'Amministrazione sulla necessità di provvedere ad una ricognizione della normativa in materia di visti, al fine di integrare la sezione "Fonte normativa". Al riguardo si segnala, ad esempio, il Regolamento (CE) 810/2009 del 13 luglio 2009 che istituisce un codice comunitario dei visti (c.d. codice visti).

Dalla scheda deve essere espunto, invece, ogni riferimento alla Decisione 2008/633/GAI, relativa all'accesso al sistema di informazione visti (VIS) da parte delle autorità designate degli Stati membri e di Europol ai fini della prevenzione, dell'individuazione e dell'investigazione di reati di terrorismo e altri reati gravi. Tale Decisione, infatti, riguarda trattamenti di dati effettuati per finalità "di polizia", riconducibili a quelle cui fa riferimento l'articolo 53 del Codice, per i quali non sussiste l'obbligo per le amministrazioni di individuare i tipi di dati e di operazioni sensibili o giudiziari a norma degli articoli 20 e 21 del medesimo Codice.

Nella sezione dedicata alle finalità di rilevante interesse pubblico, occorre fare riferimento alle finalità di cui all'articolo 64 in relazione, in particolare, al trattamento di dati indispensabili al "rilascio e al rinnovo di visti" (art. 64, comma 1, lett. a), del Codice).

Le sezioni della scheda dedicate alle "Operazioni eseguite" e alle "Particolari forme di elaborazione" devono essere integrate con il riferimento a flussi informativi (e relativi destinatari) eventualmente previsti (e nei limiti in cui lo siano) dalla normativa di settore, richiamando, ove tali flussi comportino operazioni di trasferimento di dati all'estero (artt. 43 ss. del Codice) le cautele di cui all'articolo 31 del Regolamento (CE) 9 luglio 2008, n. 767/2008. Nel quadro relativo alle "Operazioni eseguite" deve essere barrata (anche) la casella "presso terzi".

Occorre, poi, integrare la sezione dedicata ad una sintetica descrizione dei trattamenti, evidenziando gli specifici compiti attribuiti al Ministero dell'interno in tale materia e a quali articolazioni organizzative sono attribuiti. Ciò con riferimento a tutti i tipi di dati trattati. Dovrà, quindi, essere aggiornata la sezione dedicata ai tipi di dati oggetto di trattamento con riferimento –è da ritenere- anche a dati sensibili (al momento è barrata la sola casella relativa ai dati giudiziari). Sotto quest'ultimo profilo si segnalano all'attenzione gli articoli 32 e 35 del predetto regolamento 810/2009, in base ai quali, rispettivamente, il visto può essere rifiutato quando il richiedente sia considerato una minaccia per la salute pubblica e si può derogare alla disciplina sui visti per motivi umanitari.

Anche in questo caso –come per la scheda 29- si segnala che non sono, invece, necessarie a indicazioni circa il trattamento di dati biometrici, che non appartengono alla categoria dei dati sensibili, né tanto meno a quella dei dati giudiziari.

IL GARANTE

esprime parere favorevole sullo schema di regolamento recante "disposizioni concernenti l'aggiornamento e l'integrazione dei dati sensibili e giudiziari trattati e delle relative operazioni effettuate dal Ministero dell'interno individuati con decreto ministeriale 21 giugno 2006, n. 244, in attuazione degli articoli 20 comma 4 e 21 comma 2 del decreto legislativo 30 giugno 2003 n. 196", con le seguenti condizioni:

a) alla scheda n. 9 di cui all'articolo 2, comma 1, lett. c), dello schema siano apportate le modifiche indicate al punto 1, nei termini di cui in motivazione;

b) alla scheda n. 29 di cui all'articolo 2, comma 1, lett. d), dello schema siano apportate le modifiche indicate al punto 2, nei termini di cui in motivazione;

c) alla scheda n. 30 di cui all'articolo 2, comma 1, lett. d), dello schema siano apportate le modifiche indicate al punto 3, nei termini di cui in motivazione;

d) in tutte le schede allegate al d.m. n. 244 del 2006, ogniqualvolta vi ricorrano, le caselle che riportano, separatamente, i riferimenti all'origine razziale e all'origine etnica delle persone siano unificate in un'unica casella denominata "origine razziale ed etnica" (punto 1).

Roma, 11 dicembre 2014


FONTE GARANTE PRIVACY