[doc. web n. 4252526]

Parere su uno schema di decreto dirigenziale del responsabile per i sistemi informativi del Ministero della giustizia in materia di Albo degli amministratori giudiziari - 30 luglio 2015

Registro dei provvedimenti
n. 452 del 30 luglio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero della giustizia;

Visto l´articolo 154, comma 4 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), di seguito "Codice";

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´articolo 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

PREMESSO

1. Il Ministero della giustizia ha richiesto il parere del Garante su uno schema di decreto dirigenziale del responsabile per i sistemi informativi del Ministero volto a dare attuazione al decreto del Ministro della giustizia 19 settembre 2013, n. 160, recante il regolamento in materia di iscrizione nell´Albo degli amministratori giudiziari (istituito con il decreto legislativo 4 febbraio 2010, n. 14), sul cui schema il Garante ha espresso, a suo tempo, il parere di competenza (parere n. 314 del 27 giugno 2013).

RILEVATO

2. In base al regolamento, l´Albo degli amministratori è suddiviso in due parti, una parte pubblica e una parte riservata. Nella parte pubblica sono inseriti: i dati identificativi e la PEC dell´amministratore giudiziario, la sezione dell´Albo nella quale è iscritto e l´ordine professionale di appartenenza. Nella sezione riservata sono indicati gli incarichi ricevuti dall´amministratore giudiziario, con indicazione dell´autorità che ha attribuito l´incarico (autorità giudiziaria o Agenzia nazionale per l´amministrazione e la destinazione dei beni sequestrati e confiscati alla criminalità organizzata di cui all´articolo 110 del decreto legislativo 6 settembre 2011, n. 159) nonché della relativa data di conferimento e di cessazione, gli acconti e il compenso finale ricevuti.

L´Albo è inserito in uno spazio dedicato del sito internet del Ministero della giustizia, che si suddivide in un´area ad accesso libero e un´area ad accesso riservato. Nell´area ad accesso libero sono contenuti i dati presenti nella parte pubblica dell´Albo, nella sezione ad accesso riservato sono contenuti i dati presenti nella parte riservata (art. 3, commi 2 e 3).

Alla parte riservata dell´Albo possono accedere solo magistrati, dirigenti delle cancellerie e delle segreterie competenti nonché il direttore dell´Agenzia (art. 3, comma 4). Il regolamento precisa opportunamente che il trattamento dei dati personali è effettuato solo per finalità correlate alla tenuta dell´Albo (art. 3, comma 6) al quale gli interessati possono iscriversi previa sussistenza dei requisiti professionali e di onorabilità di cui agli articoli 3 e 4 del citato decreto legislativo n. 14 del 2010.

Lo schema di decreto dirigenziale completa, sotto il profilo tecnico, la disciplina sopra sommariamente descritta, relativamente alle modalità di tenuta e di accesso all´Albo, nonché di presentazione della domanda di iscrizione, al procedimento di iscrizione e alle modalità di pagamento del contributo e di comunicazione delle previste informazioni.

CONSIDERATO

3. Come già rilevato in occasione del parere reso sullo schema di regolamento, la materia è di particolare delicatezza sotto il profilo della protezione dei dati personali in quanto può comportare il trattamento di "dati giudiziari" (come definiti dall´articolo 4, comma 1, lett. e), del Codice), per il quale sono previste particolari garanzie (artt. 20, 21 e 22 del Codice e previsione regolamentare che, in conformità al medesimo articolo 21 del Codice, individui i tipi di dati e di operazioni che l´Amministrazione competente è autorizzata, rispettivamente, a trattare e ad effettuare).

In particolare tale trattamento può rendersi necessario, nel contesto in esame, in sede di accertamenti compiuti dal Ministero della giustizia sul possesso dei requisiti di onorabilità richiesti per l´iscrizione all´Albo, attraverso l´acquisizione, tra l´altro, del certificato del casellario giudiziale e dei carichi pendenti.

Per questi motivi, il Garante nel parere reso nel 2013 richiamava l´attenzione dell´Amministrazione competente in ordine alla verifica e all´eventuale integrazione della normativa regolamentare in materia, ovvero del decreto del Ministro della giustizia 12 dicembre 2006, n. 306 recante la disciplina del trattamento dei dati sensibili e giudiziari da parte del Ministero della giustizia.

Al riguardo, si rileva che con decreto del Ministro della giustizia 24 luglio 2014, n. 123, è stata integralmente sostituita la scheda n. 18 del predetto regolamento del 2006 concernente, appunto, il trattamento di dati giudiziari indispensabili, in relazione alla tenuta di registri, albi ed elenchi, per l´acquisizione di informazioni sui previsti requisiti di onorabilità, inserendo fra le fonti normative di riferimento anche il decreto n. 160 del 2013.

RITENUTO

4. Esaminato il testo dell´articolato, in ragione dell´importanza della materia e al fine di conformarne pienamente il contenuto ai principi e alle garanzie in materia di protezione dei dati personali, il Garante svolge le seguenti osservazioni e indica di seguito alcune integrazioni e perfezionamenti ritenuti necessari o comunque opportuni.

4.1. Lo schema di decreto trasmesso cita nell´intestazione  – quali disposizioni del predetto decreto n. 160 del 2013 (di seguito "regolamento") oggetto di attuazione - gli articoli 3, comma 5, e 4, comma 5, ai sensi dei quali con il presente schema devono essere fissate, rispettivamente, "le specifiche tecniche per l´inserimento dei dati" nell´Albo e "per l´accesso alla parte riservata" dell´Albo stesso, e quelle secondo cui la domanda di iscrizione all´Albo, sottoscritta con firma digitale, è presentata in modalità telematica. Nel preambolo dello schema di decreto, peraltro, è citato il solo articolo 3, comma 5, del regolamento.

Al riguardo si rileva che lo schema in esame sembra attuare, invece, anche altre disposizioni del regolamento e in particolare gli articoli 5, comma 6, 7, comma 3, e 9 (per quanto all´articolo 7, comma 3, si preveda una procedura di adozione del decreto specifica e diversa da quella stabilita negli altri casi), a norma dei quali sempre con decreto del responsabile per i sistemi informativi del Ministero della giustizia sono individuate le specifiche tecniche delle comunicazioni cui gli amministratori giudiziari sono tenuti verso il responsabile dell´Albo, anche a fini di integrazione della documentazione necessaria per l´iscrizione,  delle modalità di pagamento del contributo e relativa ricevuta, nonché delle comunicazioni dell´autorità giudiziaria al responsabile dell´Albo.

Infatti, gli aspetti sopra evidenziati sembrano trovare specifica disciplina negli articoli 4, comma 2, 5 e 6, dello schema; si richiama, pertanto, l´attenzione dell´Amministrazione sulla opportunità di integrare il preambolo dello schema con tutte le disposizioni del regolamento oggetto di attuazione.

4.2. L´articolo 2 (Modalità di tenuta e accesso all´albo), al comma 5, stabilisce che la "parte riservata" dell´Albo –accessibile solo ad alcune categorie di soggetti, in conformità a quanto previsto dall´articolo 3, comma 4, del regolamento- è tenuta presso i servizi informatici del Ministero "con modalità idonee a garantire la riservatezza". La locuzione, alquanto generica, va perfezionata sotto il profilo delle garanzie per la protezione dei dati personali, sostituendola con la seguente o altra di analogo tenore: "con modalità idonee a garantire la riservatezza e la sicurezza dei dati, in conformità a quanto previsto dal decreto legislativo 30 giugno 2003, n. 196".

Inoltre, si ritiene necessario prevedere che l´accesso alla parte riservata dell´Albo e l´invio della domanda e dei relativi allegati debbano avvenire per mezzo di canale sicuro.

4.3. Il comma 6 del medesimo articolo 2, nel disciplinare le modalità di accesso degli amministratori giudiziari alla parte riservata dell´Albo, precisa che tale accesso è limitato ai "dati di competenza". La locuzione deve essere dettagliata chiarendo che l´amministratore ha diritto di accedere ai soli dati che lo riguardano.

4.4. Il comma 8 dell´articolo 2 prevede che per l´accesso alla parte riservata dell´Albo siano resi disponibili strumenti informatici per la ricerca di informazioni e di dati relativi al fascicolo informatico dell´amministratore.

La norma va perfezionata nel rispetto del principio di proporzionalità nel trattamento dei dati personali, specificando i dati e i soggetti cui si riferisce l´accesso (il solo amministratore o anche gli altri soggetti che possono accedere all´area riservata), tenendo conto che nel fascicolo informatico dell´amministratore (che si forma nel corso della procedura di iscrizione all´albo ai sensi dell´articolo 4) sono probabilmente inclusi atti e documenti che non sono invece resi disponibili nell´area riservata dell´Albo (cfr. art. 3, comma 2, del regolamento).

4.5. Per garantire la sicurezza e l´integrità dei dati personali registrati nell´Albo ai fini della verifica della liceità del trattamento dei dati, in conformità agli standard richiesti dal Codice (art. 31) si ritiene necessario integrare lo schema con una disposizione che preveda la registrazione delle operazioni di accesso ai sistemi mediante file di log.

In particolare, devono essere individuate le informazioni contenute nei file di log (a titolo esemplificativo e non esaustivo: il soggetto che ha effettuato l´accesso e l´oggetto della consultazione, mediante codice identificativo, la data e l´ora dell´accesso e l´operazione effettuata) e i tempi di conservazione dei file di log, al termine dei quali questi sono cancellati. Inoltre i file di log devono possedere caratteristiche di integrità e inalterabilità, devono essere protetti con idonee misure contro ogni uso improprio e devono essere accessibili a personale opportunamente incaricato e autorizzato. I dati in essi contenuti devono essere, di norma, trattati in forma aggregata, salvi i casi specifici ove risulti necessario l´utilizzo del dato individuale a fini di verifica della liceità del trattamento dei dati.

4.6. Si rileva inoltre quanto segue, anche ai fini di mirati perfezionamenti del testo:

a) nel preambolo, tra le fonti normative tenute in considerazione, è opportuno richiamare il decreto legislativo 30 giugno 2003, n. 196;

b) l´articolo 1 reca, fra le altre, anche la definizione di sistema "Active Directory Nazionale" (ADN) (art. 1, lett. j)) che però non è mai utilizzata nell´articolato (se ne fa cenno solo nella relazione illustrativa);

c) il comma 6 dell´articolo 2 individua, seppure per relationem, le modalità di accesso all´Albo degli amministratori giudiziari, rinviando all´articolo 6 delle Specifiche Tecniche. E´ opportuno che una analoga individuazione vi sia anche in relazione agli accessi degli altri soggetti indicati al comma 7 del medesimo articolo 2.

4.7. L´articolo 2, comma 4, che disciplina la consultazione della "parte pubblica" dell´Albo, ad accesso libero, nel precisare che le informazioni in essa contenute  sono pubblicate come dati di tipo aperto, fa riferimento, correttamente, ai "dati identificativi" dell´amministratore e all´indirizzo PEC, in linea con quanto previsto dal regolamento (art. 3, comma 2).

Dalla relazione illustrativa si evince che fra tali "dati identificativi" (non ulteriormente specificati nel regolamento) si intenderebbe ricomprendere, sul piano applicativo, oltre al cognome, nome e data di nascita, anche il codice fiscale dell´interessato.

In proposito – nel rispetto dei principi di finalità del trattamento dei dati personali e di pertinenza e non eccedenza dei dati trattati (art. 11, comma 1, lett. b) e d), del Codice) - si osserva che il codice fiscale, com´è noto, fornisce anche informazioni diverse da quelle direttamente identificative dell´individuo come il luogo di nascita ad esempio, che, nello specifico contesto, appaiono eccedenti.

Pertanto, nel rispetto del richiamato principio di proporzionalità nel trattamento dei dati personali, tra i "dati identificativi" dell´amministratore di cui all´articolo 2, comma 4, non deve essere ricompreso il codice fiscale.

IL GARANTE

esprime parere nei termini di cui in motivazione sullo schema di decreto dirigenziale del responsabile per i sistemi informativi del Ministero della giustizia volto a dare attuazione al decreto del Ministro della giustizia 19 settembre 2013, n. 160, in materia di Albo degli amministratori giudiziari,
con le seguenti condizioni:

a) il preambolo dello schema sia integrato con tutte le disposizioni del regolamento oggetto di attuazione (punto 4.1.);

b) all´articolo 2, comma 5, dello schema la locuzione: "con modalità idonee a garantire la riservatezza" sia sostituita con la seguente: "con modalità idonee a garantire la riservatezza e la sicurezza dei dati, in conformità a quanto previsto dal decreto legislativo 30 giugno 2003, n. 196"; inoltre, si preveda che l´accesso all´area riservata e l´invio della domanda e dei relativi allegati debbano avvenire per mezzo di canale sicuro (punto 4.2.);

c) all´articolo 2, comma 6, la locuzione "dati di competenza" sia dettagliata chiarendo che l´amministratore ha diritto di accedere ai soli dati che lo riguardano (punto 4.3.);

d) l´articolo 2, comma 8, sia perfezionato nei termini di cui in motivazione, specificando i dati e i soggetti cui si riferisce l´accesso (punto 4.4);

e) lo schema sia integrato con una disposizione che preveda la registrazione delle operazioni di accesso ai sistemi mediante file di log, nei termini di cui in motivazione (punto 4.5.);

e con le seguenti osservazioni:

f) valuti l´Amministrazione di apportare al testo i perfezionamenti suggeriti (punto 4.6.);

g) valuti l´Amministrazione il rischio di illiceità del trattamento del codice fiscale dell´amministratore giudiziario, nei termini di cui in motivazione (punto 4.7.).

Roma, 30 luglio 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia