[doc. web n. 10057148]

Parere sullo schema di decreto della Direzione generale della motorizzazione del Ministero  delle infrastrutture e dei trasporti concernente la disciplina del trattamento dei dati personali nell’ambito della nuova versione informatica del Registro Unico degli Ispettori, istituito ai sensi dell’articolo 4, comma 1, del decreto ministeriale 11 dicembre 2019, recante «Modifica del decreto 19 maggio 2017, e istituzione del registro unico degli ispettori di revisione» - 18 luglio 2024

Registro dei provvedimenti
n. 462 del 18 luglio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);
VISTO il decreto legislativo 30 aprile 1992, n. 285, avente ad oggetto “Nuovo codice della strada” e, in particolare, l’art. 80;

VISTO il decreto del Presidente della Repubblica 16 dicembre 1992, n. 495, recante il “Regolamento di esecuzione e di attuazione del nuovo codice della strada” e, in particolare, gli artt. 239, 240, 241 e 242;

VISTO il decreto legislativo 31 marzo 1998, n. 112, e, in particolare, l’art. 104, comma 1, lett. nn), che mantiene in capo allo Stato le funzioni relative “alle revisioni generali e parziali sui veicoli a motore e i loro rimorchi, anche tramite officine autorizzate ai sensi della lettera d) del comma 3 dell’articolo 105, del presente decreto legislativo, nonché alle visite e prove di veicoli in circolazione per trasporti nazionali e internazionali, anche con riferimento ai veicoli adibiti al trasporto di merci pericolose e deperibili; al controllo tecnico sulle imprese autorizzate”, e l’art. 105, comma 3, lett. d), che demanda alle province “le funzioni relative al rilascio di autorizzazione alle imprese di autoriparazione per l’esecuzione delle revisioni e al controllo amministrativo sulle imprese autorizzate”;

VISTO il decreto del Ministro delle infrastrutture e dei trasporti 19 maggio 2017, con cui è stata recepita la Direttiva 2014/45/UE del Parlamento europeo e del Consiglio del 3 aprile 2014, relativa ai controlli tecnici su strada dei veicoli commerciali circolanti nell’Unione, come modificato dal decreto del Ministro delle infrastrutture e dei trasporti dell’11 dicembre 2019;

VISTO, in particolare, l’art. 4 del citato decreto dell’11 dicembre 2019, che ha istituito il registro unico degli ispettori di revisione (di seguito, “RUI”) che assolve la funzione di elenco informatico di registrazione degli ispettori e delle informazioni ad essi associati, che permette l’identificazione dell'ispettore anche in forma digitale, il controllo della rispondenza dei veicoli controllati all’autorizzazione ricevuta, il monitoraggio delle attività di formazione obbligatorie e l’archivio delle annotazioni disciplinari e delle sanzioni;

VISTO il decreto del Ministero delle infrastrutture e della mobilità sostenibili del 15 novembre 2021, recante l’“Aggiornamento della disciplina relativa alla revisione dei veicoli pesanti”, (di seguito “DM 15 novembre 2021”), e in particolare l’articolo 2, comma 2, lett. h-ter), ai sensi del quale, con successivi decreti dirigenziali dell’autorità competente sono disciplinate  “le modalità di implementazione, aggiornamento e funzionamento del RCC e del RUI, anche con riferimento agli ispettori abilitati o autorizzati di modulo B di cui all'articolo 15, comma 3”;

VISTO il decreto del Direttore generale della Direzione generale per la motorizzazione, per i servizi ai cittadini e alle imprese in materia di trasporti e navigazione del 16 febbraio 2022, concernente il “Regime di autorizzazione degli ispettori autorizzati dei centri di controllo privati, relativi requisiti e regime sanzionatorio”;

VISTE le note del 14 maggio, 14 giugno e, da ultimo, del 5 luglio 2024 , con le quali il Ministero delle infrastrutture e dei trasporti (di seguito, Ministero), ha sottoposto all’Autorità, al fine di acquisire il prescritto parere, lo schema di decreto della Direzione generale della motorizzazione recante la disciplina delle modalità di funzionamento del RUI, istituito ai sensi del citato art. 4, comma 1, del decreto ministeriale dell’11 dicembre 2019, e quelle di iscrizione e aggiornamento degli ispettori autorizzati, corredato dal relativo allegato tecnico, che ne costituisce parte integrante;

RILEVATO che lo schema di decreto si compone di diciotto articoli e disciplina, in particolare, il trattamento dei dati personali effettuato dal Ministero nell’ambito della nuova versione informatica del RUI, con particolare riferimento alle modalità di implementazione, funzionamento e aggiornamento dello stesso, prevedendo, in particolare, che:

- nell’ambito del RUI siano acquisiti, in relazione a ciascun ispettore autorizzato, oltre al fascicolo dell’ispettore, anche i seguenti dati personali:

a) l’anagrafica, le informazioni relative ai corsi di formazione iniziale o di integrazione dell’abilitazione, al superamento del relativo esame, nonché le informazioni relative alla formazione di aggiornamento (art. 3, comma 2);

b) il numero dell’eventuale provvedimento sanzionatorio adottato nei confronti di un ispettore autorizzato, la data di adozione, l’esito sanzionatorio disposto dal provvedimento, in termini di effetto sospensivo o di revoca (art. 3, comma 3);

- il RUI sia accessibile in tempo reale in modalità telematica esclusivamente tramite l’utilizzo della piattaforma istituita presso il CED (di seguito, “piattaforma”); in particolare, l’accesso alle informazioni e ai dati personali contenuti all’interno del RUI è consentito agli ispettori autorizzati, a terzi delegati, ai competenti uffici degli organismi di supervisione e degli enti territoriali (art. 4);

- ai fini dell’istanza di iscrizione al RUI, siano acquisiti i dati relativi agli ispettori – in base ai differenti livelli di abilitazione posseduta – tra cui, in particolare, nome, cognome, data e luogo di nascita, residenza (tramite collegamento con ANPR), codice fiscale, recapito di posta elettronica ordinaria e certificata, firma digitale. L’ispettore è tenuto altresì a dichiarare, ai sensi del d.P.R. n. 445/2000, la sussistenza dei requisiti personali e professionali di cui all’art. 240, comma 1, del citato d.P.R. n. 495/1992 e la sussistenza o meno di eventuali condizioni di incompatibilità o conflitto di interessi (artt. 5, 6, 7 e 8, e par. 3.3 dell’allegato tecnico);

- nel caso in cui l’istanza di iscrizione al RUI venga formalizzata da parte di terzi delegati dall’ispettore, siano allegati, in particolare, la delega e l’informativa sul trattamento dei dati personali, entrambi firmati digitalmente dall’ispettore delegante (art. 9);

- nel corso del periodo di iscrizione al RUI, ogni ispettore debba provvedere ad aggiornare, in particolare, il certificato di firma digitale, le informazioni relative agli obblighi di formazione e aggiornamento, nonché le dichiarazioni relative alla sussistenza o meno di situazioni di conflitto di interessi (artt. 12 e 13);

- l’accertamento della permanenza dei requisiti e delle condizioni per l’esercizio dell’attività di ispettore autorizzato sia eseguito d’ufficio da parte dell’organismo di supervisione competente, anche mediante controlli periodici a campione. A tal fine, la piattaforma effettua controlli automatici, in particolare, sulla validità del certificato di firma digitale e delle polizze assicurative (art. 14);

- il Ministero, in qualità di titolare del trattamento dei dati personali effettuato nell’ambito del RUI, assicuri che lo stesso sia effettuato nel rispetto delle disposizioni vigenti in materia di protezione dei dati personali, con particolare riferimento ai principi di cui agli articoli 5, 24 e 25 del Regolamento (art. 15, comma 1);

- il Ministero implementi misure di sicurezza appropriate e specifiche, finalizzate a tutelare i diritti fondamentali e gli interessi delle persone fisiche i cui dati sono trattati nell’ambito del RUI, ai sensi di quanto prescritto dall’articolo 32 del Regolamento. Sono in ogni caso garantite l’integrità e la riservatezza dei dati, la sicurezza del sistema e degli accessi, e il tracciamento delle operazioni effettuate (art. 15, comma 3, e parr. 4 e 5 dell’allegato tecnico);

- il Ministero fornisca, in sede di iscrizione al RUI, apposita informativa agli interessati, in conformità agli artt. 13 e 14 del Regolamento, circa il trattamento dei dati personali effettuato in tale ambito, e agevoli l’esercizio dei diritti ai sensi degli articoli 15 e ss. del Regolamento (art. 16, commi 3 e 4);

- il Ministero stabilisca i tempi di conservazione dei dati personali, nel rispetto del principio di “limitazione della conservazione”, di cui all’art. 5, par. 1, lett. e), del Regolamento (art. 17 e par. 3.5 dell’allegato tecnico). Al riguardo, è previsto, in particolare, che:

a) i dati degli ispettori siano conservati per quattro anni dalla data di cancellazione degli stessi dal RUI, per consentire gli accertamenti di legge relativamente alle attività di revisione svolte nel rispetto delle tempistiche massime previste di cui all’art. 5 del citato decreto del 19 maggio 2017;

b) i dati dei terzi delegati, del personale amministrativo dell’organismo di supervisione, degli enti territoriali e della Direzione generale della motorizzazione siano conservati fino alla cessazione del ruolo in funzione del quale è garantito l’accesso al RUI e siano cancellati entro un anno dalla data di relativa cessazione;

c) la documentazione relativa alle polizze assicurative, in seguito all’approvazione dell’istanza, sia conservata in piattaforma in modalità criptata per due anni dopo la data di relativa scadenza al fine di consentire gli accertamenti previsti dalla legge, decorsi i quali vengono conservati solo i dati riportati al par. 3.3 dell’allegato tecnico, secondo le tempistiche di cui alla precedente lettera a);

d) in caso di rigetto dell’istanza di iscrizione al RUI, i dati dell’ispettore e le informazioni relative all’istanza presentata, siano oggetto di cancellazione decorsi inutilmente i termini per un eventuale ricorso.

CONSIDERATO che lo schema di decreto in esame tiene conto delle osservazioni rese dall’Ufficio nel corso delle interlocuzioni intercorse con il Ministero, al fine di rendere conformi i trattamenti ivi disciplinati alla normativa in materia di protezione dei dati personali, con particolare riferimento ai seguenti profili:

- la descrizione dettagliata dei dati acquisiti nel RUI, relativi agli esiti degli eventuali procedimenti sanzionatori riguardanti gli ispettori autorizzati, ai sensi dell’articolo 18 del citato decreto 15 novembre 2021;

- la necessità che il RUI non acquisisca il contenuto degli eventuali provvedimenti sanzionatori adottati in capo agli ispettori, nel rispetto del principio di minimizzazione (art. 5, par. 1, lett. c), del Regolamento);

- l’individuazione delle modalità di identificazione e autenticazione informatica degli utenti abilitati ad accedere al RUI, nonché delle finalità per le quali è consentito l’accesso e delle operazioni eseguibili sui dati personali trattati in tale contesto;

- la necessità che il rapporto tra il Ministero, quale titolare del trattamento, ed eventuali soggetti terzi cui vengano affidate, in qualità di responsabili, specifiche operazioni di trattamento, sia disciplinato previo accordo ai sensi dell’articolo 28 del Regolamento;

- l’adozione e l’implementazione di garanzie e misure di sicurezza, appropriate e specifiche, finalizzate a tutelare i diritti fondamentali e gli interessi delle persone fisiche i cui dati sono trattati nel RUI, in ossequio al principio di “integrità e riservatezza” e agli obblighi di sicurezza (artt. 5, par. 1, lett. f), e 32 del Regolamento);

- la specificazione dei diversi tempi di conservazione dei dati personali trattati e delle relative finalità, nel rispetto del principio di “limitazione della conservazione” di cui all’art. 5, par. 1, lett. e), del Regolamento;

RITENUTO, pertanto, alla luce di quanto sopra, di esprimere parere favorevole sullo schema di decreto in esame;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto della Direzione generale della motorizzazione del Ministero  delle infrastrutture e dei trasporti concernente la disciplina del trattamento dei dati personali nell’ambito della nuova versione informatica del Registro Unico degli Ispettori, istituito ai sensi dell’articolo 4, comma 1, del decreto ministeriale 11 dicembre 2019, recante «Modifica del decreto 19 maggio 2017, e istituzione del registro unico degli ispettori di revisione».

Roma, 18 luglio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei