[doc. web n. 10010558]

Parere sullo schema di Regolamento per la disciplina dei criteri e delle modalità del trattamento dei dati personali di cui alla legge regionale 28 agosto 2001, n. 17 (Disciplina del funzionamento dell’ufficio del difensore civico. Abrogazione della legge regionale 2 marzo 1992, n. 5 (istituzione del difensore civico)) del Consiglio regionale della Valle d’Aosta - 21 marzo 2024

Registro dei provvedimenti
n. 175 del 21 marzo 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27/4/2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, Regolamento generale sulla protezione dei dati, (di seguito “RGPD”);

VISTO il d. lgs. 30/6/2003, n. 196, Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO in particolare l’art. 57, par. 1, lett. c), del RGPD che stabilisce fra i “compiti” dell’Autorità di protezione dei dati personali quello di «forni[r]e consulenza, a norma del diritto degli Stati membri, al parlamento nazionale, al governo e ad altri organismi e istituzioni in merito alle misure legislative e amministrative relative alla protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento»;

VISTO l’art. 58, par. 3, lett. b), del RGPD che attribuisce fra i poteri consultivi del Garante quello di «rilasciare, di propria iniziativa o su richiesta, pareri destinati al parlamento nazionale, al governo dello Stato membro, oppure, conformemente al diritto degli Stati membri, ad altri organismi e istituzioni e al pubblico su questioni riguardanti la protezione dei dati personali»;

VISTO l’art. 18-bis della l.r. Valle d’Aosta n. 17 del 28/8/2001 nella parte in cui prevede che l’«Ufficio di Presidenza del Consiglio regionale, acquisito il parere del Garante per la protezione dei dati personali, definisce, con propria deliberazione, i criteri e le modalità del trattamento dei dati personali di cui alla presente legge, con strumenti informatici e telematici, nel rispetto delle disposizioni del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE)»;

VISTE le note acquisite agli atti con le quali il Consiglio regionale della Valle d’Aosta ha sottoposto al Garante lo schema di «Regolamento per la disciplina dei criteri e delle modalità del trattamento dei dati personali di cui alla legge regionale 28 agosto 2001, n. 17 (Disciplina del funzionamento dell’ufficio del difensore civico. Abrogazione della legge regionale 2 marzo 1992, n. 5 (istituzione del difensore civico))», chiedendo il parere di questa Autorità;

CONSIDERATO che oggetto dello schema di Regolamento sottoposto all’attenzione del Garante è quello di disciplinare «i criteri e le modalità del trattamento dei dati personali di cui alla legge regionale» sopra richiamata (art. 1) e che, sotto tale profilo, il suddetto schema di regolamento disciplina finalità, natura dei dati, operazioni di comunicazione e diffusione, informativa, sicurezza e conservazione dei dati;

TENUTO CONTO, fra l’altro, che in sede istruttoria sono emerse diverse perplessità in ordine a una possibile contitolarità del trattamento fra Difensore civico e Consiglio regionale e che, sotto tale profilo – anche al fine di dare indicazioni uniformi utili ad altre omologhe esperienze regionali – risulta necessario ricostruire i passaggi che hanno invece fatto propendere, come risulta dall’ultima versione dello schema di regolamento trasmessa (art. 3), per la configurazione della esclusiva titolarità del trattamento in capo al Difensore civico, ancorché incardinato presso le strutture del Consiglio regionale;

RICORDATO, al riguardo, che secondo il RGPD «titolare del trattamento» è «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri» (art. 4, par. 1, n. 7);

RICHIAMATE le Linee guida n. 7/2020 dell’European Data Protection Board (EDPB) sui «concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR», del 7/7/2021, (in https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_it.pdf) nella parte in cui prevedono – alla luce dell’art. 26 del RGPD – che il criterio generale per la sussistenza della contitolarità del trattamento è la partecipazione congiunta di due o più soggetti nella definizione delle finalità e dei mezzi di un’operazione di trattamento;

RICORDATE le indicazioni contenute nelle citate Linee guida e, in particolare, che:

- «la partecipazione congiunta può assumere la forma di una decisione comune, presa da due o più soggetti, o può derivare dalle decisioni convergenti di due o più soggetti, qualora tali decisioni si integrino vicendevolmente e siano necessarie affinché il trattamento abbia luogo così da esplicare un effetto tangibile sulla definizione delle finalità e dei mezzi del trattamento» (p. 3);

- pertanto un «criterio importante è che il trattamento non sarebbe possibile senza la partecipazione di entrambi i soggetti, nel senso che i trattamenti svolti da ciascun soggetto sono tra loro indissociabili, ovverosia indissolubilmente legati» (ibidem);

- in ogni caso, la «partecipazione congiunta comprende, da un lato, la determinazione delle finalità e, dall’altro, la determinazione dei mezzi» (ibidem) (cfr., anche le sentenze della CGUE citate nelle Linee guida: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contro Wirtschaftsakademie, C-210/16; Tietosuojavaltuutettu contro Jehovan todistajat – uskonnollinen yhdyskunta, C-25/17; Fashion ID GmbH & Co. KG contro Verbraucherzentrale NRW eV, C-40/17).

CONSIDERATO, inoltre, che nelle Linee guida è indicato che «Non tutti i trattamenti che coinvolgono più soggetti danno luogo a una contitolarità del trattamento» e che la «valutazione della contitolarità del trattamento dovrebbe […] fondarsi su di un’analisi fattuale, piuttosto che formale, dell’influenza effettivamente esercitata sulle finalità e sui mezzi del trattamento» (par. 3.2.1, punto n. 52);

CONSIDERATE ancora le indicazioni contenute nelle Linee guida con riferimento alle «Situazioni in cui non sussiste contitolarità del trattamento» e, in particolare, la circostanza che il «fatto che più soggetti siano coinvolti nello stesso trattamento non significa che essi agiscano necessariamente in qualità di contitolari del trattamento» e che «Non tutti i tipi di partenariato, cooperazione o collaborazione implicano la qualifica di contitolari del trattamento, in quanto è necessaria un’analisi caso per caso di ciascun trattamento in questione e del ruolo preciso svolto da ciascun soggetto in relazione a tale trattamento» (par. 3.2.3, punto n. 69). È, ad esempio, ricordato che la «contitolarità del trattamento può essere esclusa anche nel caso in cui più soggetti utilizzino una banca dati condivisa o un’infrastruttura comune, qualora ciascuna di esse determini autonomamente le proprie finalità» (ivi, punto n. 71);

TENUTO CONTO, con particolare riferimento al caso in esame, che – ai sensi della disciplina legislativa della Regione Valle d’Aosta – il Difensore civico ha sede presso la Presidenza del Consiglio regionale; ha una dotazione organica determinata dall’Ufficio di Presidenza nell’ambito dell’organico del Consiglio regionale che però «dipende gerarchicamente e funzionalmente dal Difensore civico» il quale, a sua volta, si avvale, per la gestione amministrativa del personale, della struttura del Consiglio regionale competente in materia di personale, utilizzando per lo svolgimento della relativa attività i locali determinati dall’Ufficio di Presidenza (artt. 16 e 17, commi 1, 2 e 4, della l.r. Valle d’Aosta n. 17/2001);

CONSIDERATO, tuttavia, che, alla luce dell’applicazione dei descritti criteri contenuti nelle Linee guida dell’EDPB n. 7/2020, le predette circostanza non risultano sufficienti ai fini della ricostruzione di una presunta contitolarità fra Consiglio regionale e Difensore civico dei trattamenti effettuati, in quanto qualsivoglia configurazione deve, in ogni caso, essere verificata alla luce delle circostanze concrete relative al rapporto tra le parti secondo un’analisi sostanziale (e non meramente formale), che tenga conto dell’influenza effettivamente esercitata sulle finalità e sui mezzi del trattamento;

CONSIDERATE, sotto tale profilo, le seguenti circostanze e, in particolare, che il Difensore civico, nello specifico e particolare caso della regione Valle d’Aosta, in relazione al trattamento di dati personali effettuato in adempimento dei fini istituzionali a esso attribuiti dalla disciplina di riferimento:

- quanto alla posizione all’interno della struttura del Consiglio regionale, «esercita le sue funzioni in piena libertà ed indipendenza e non è sottoposto ad alcuna forma di controllo gerarchico e funzionale», assicurando «nel rispetto e con le modalità previste dalla […] legge [di riferimento], una tutela non giurisdizionale dei diritti soggettivi, degli interessi legittimi, degli interessi collettivi o diffusi, al fine di garantire l’effettivo rispetto dei principi posti dalla normativa vigente in materia di buon andamento, imparzialità, legalità, trasparenza, efficienza ed efficacia dell’attività amministrativa», con funzioni di consulenza, mediazione e proposta (artt. 2 e 3);

- quanto ai compiti, può intervenire «anche in pendenza di lite in sede amministrativa o giurisdizionale civile e amministrativa» (art. 2-bis, l.r. n. 17/2001) ed esercita le ulteriori funzioni di «Garante dei diritti delle persone sottoposte a misure restrittive della libertà personale attuate nel territorio regionale, secondo la disciplina stabilita dalla legge sull’ordinamento penitenziario», nonché quelle di «Garante per l’infanzia e l’adolescenza» e di «Garante dei diritti delle persone con disabilità» (artt. 2-ter, 2 quater, 2-quinquies, ivi);

- quanto ai poteri, può intervenire non solo nei confronti di «organi e strutture dell’amministrazione regionale»; di «enti, istituti, aziende, consorzi dipendenti dalla Regione concessionari e gestori di pubblici servizi»; di «enti locali territoriali, con riferimento alle funzioni delegate o subdelegate dalla Regione»; dell’«Azienda regionale sanitaria USL della Valle d’Aosta» (art. 11, comma 1, lett. a-d), ma anche di enti non regionali, quali gli «enti locali territoriali in relazione alle loro funzioni proprie, previa apposita convenzione stipulata tra gli enti stessi e il Consiglio regionale» e le «amministrazioni periferiche dello Stato, limitatamente agli ambiti di rispettiva competenza» (ivi, comma 2). Per l’esercizio dei predetti poteri di intervento è previsto che il Difensore civico possa «chiedere, verbalmente o per iscritto, notizie sullo stato delle pratiche e delle situazioni sottoposte alla sua attenzione»; «consultare ed ottenere copia di tutti gli atti e i documenti relativi all’oggetto del proprio intervento, nonché acquisire le necessarie informazioni»; «convocare il responsabile del procedimento per ottenere chiarimenti circa lo stato del medesimo e le cause delle eventuali disfunzioni, anche al fine di ricercare soluzioni che contemperino l’interesse generale con quello dell’istante»; «accedere agli uffici per gli accertamenti che si rendano necessari»; «prospettare agli amministratori situazioni di incertezza giuridica e di carenza normativa, sollecitando gli opportuni provvedimenti»; «formulare osservazioni, dandone tempestiva comunicazione alla amministrazione interessata» (art. 12).

- quanto alle ulteriori prerogative, può chiedere informazioni al responsabile del procedimento e può «segnalare all’amministratore competente eventuali ritardi o ostacoli allo svolgimento della propria azione, al fine dell’eventuale apertura di procedimento disciplinare a carico del responsabile del procedimento» (art. 13, commi 1-2). Dell’apertura e dell’esito del procedimento disciplinare oppure dell’eventuale archiviazione deve essere notiziato anche il Difensore civico (ivi, comma 3);

- quanto ai controlli, è sentito dalle Commissioni consiliari (a sua richiesta oppure su iniziativa delle Commissioni) ed è chiamato a relazionare annualmente al Consiglio regionale sull’attività svolta – come espressamente previsto dalla normativa regionale – «nel rispetto delle disposizioni vigenti in materia di tutela dei dati personali» (artt. 14-15);

RILEVATO che, alla luce di quanto descritto, nel caso della regione Valle d’Aosta non emergono elementi a supporto dell’esistenza di fattispecie in cui il Consiglio regionale – secondo quanto previsto dalla l.r. n. 17/2001 che disciplina il funzionamento dell’ufficio del difensore civico e dei trattamenti ivi indicati – potrebbe determinare congiuntamente con il Difensore civico regionale le finalità e i mezzi del trattamento ai sensi dell’art. 26 del RGPD. Ciò tenendo conto, in particolare, delle seguenti circostante e dei precedenti orientamenti del Garante in materia (cfr. i seguenti documenti: «Il ruolo del medico competente in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale» del 14/5/2021, in www.gpdp.it, doc web n. 9585367); «Risposta a un quesito relativo al ruolo del consulente del lavoro dopo la piena applicazione del Regolamento (UE) 679/2016», del 22/1/2019, ivi, doc. web n. 9080970):

1. Consiglio regionale e Difensore regionale hanno competenze e funzioni che rimangono ben distinte e sono determinate dalla disciplina di settore, per cui trattano dati personali ognuno separatamente per il perseguimento delle proprie e specifiche finalità istituzionali, senza alcuna decisione congiunta per la determinazione delle finalità e mezzi del trattamento;

2. fra le funzioni del Difensore civico vi sono, peraltro, quelle esercitate autonomamente in qualità di “Garante dei diritti delle persone sottoposte a misure restrittive della libertà personale”, di “Garante per l’infanzia e l’adolescenza” e di “Garante dei diritti delle persone con disabilità”;

3. fra le competenze del Difensore civico è compresa la tutela non giurisdizionale dei diritti soggettivi, degli interessi legittimi, degli interessi collettivi o diffusi dei cittadini che è esercitata proprio nei confronti, fra l’altro, degli organi della stessa struttura regionale, dell’USL e, inoltre, di enti di natura non regionale (es.: enti locali territoriali anche se previa convenzione con il Consiglio regionale);

4. le descritte competenze e funzioni sono esercitate dal Difensore civico – secondo quanto previsto dalla legge regionale – in piena libertà e indipendenza, senza sottoposizione ad alcuna forma di controllo gerarchico e funzionale da parte del Consiglio regionale che non può dunque influire sul trattamento dei dati personali;

RILEVATO in ogni caso che, anche alla luce delle predette considerazioni, l’ultima versione dello schema di Regolamento, è stata modificata tenendo conto delle osservazioni fornite dall’Ufficio, relative all’opportunità di rivalutare la disposizione contenuta nell’art. 3 dello schema di regolamento configurando il Difensore civico come titolare del trattamento dei dati di cui alla l.r. 17/2001 ed eliminando il riferimento al Consiglio regionale quale contitolare;

CONSIDERATO, quanto alle altre disposizioni dello schema di regolamento, che sono state, altresì, recepite le osservazioni fornite dall’Ufficio in ordine, fra l’altro, all’opportunità di:

- modificare l’art. 5 in senso coerente rispetto a quanto previsto dall’art. 2-ter del Codice in ordine alla comunicazione di dati;

- modificare l’art. 8 con riferimento all’informativa, eliminando i riferimenti agli artt. 78 e 79 del Codice che hanno un ambito di applicazione diverso da quello in esame;

- prevedere che con successivo atto il Difensore civico, in qualità di titolare del trattamento, definisca le misure tecniche, organizzative e di sicurezza adottate per tutelare i diritti e gli interessi dei soggetti interessati (art. 7).

CONSIDERATO, alla luce di una rinnovata lettura complessiva e sistematica del nuovo schema di Regolamento, che il testo così modificato, contiene ancora alcune criticità. In particolare:

1. l’art. 4 – anche se già parzialmente modificato alla luce delle osservazioni dell’Ufficio – dovrebbe essere ulteriormente adattato al fine di aderire in maniera più puntuale alle specifiche garanzie richieste in materia di protezione dei dati personali per le «categorie particolari di dati personali» e i «dati personali relativi a condanne penali e reati» (artt. 9 e 10 del RGPD), secondo quanto previsto dagli artt. 2-sexies e 2-octies del Codice. Al riguardo, si ritiene necessario:

a) specificare a livello regolamentare i «motivi di interesse pubblico rilevante» e fornire una descrizione del trattamento e del flusso informativo (anche tramite l’indicazione delle fonti normative), utilizzando ad esempio la parte di dettaglio contenuta nella scheda n. 6 sulla «Difesa civica e regionale e provinciale» del Regolamento regionale n. 1 del 24/7/2006, recante il «Trattamento dei dati personali sensibili e giudiziari effettuato dalle strutture organizzative del Consiglio regionale, dal Difensore civico e dal Co.Re.Com», adottato in base allo schema tipo di Regolamento su cui il Garante ha fornito parere favorevole (provv. del 29/12/2005, in www.gpdp.it, doc. web n. 1210939) e attualmente ancora applicabile (cfr. nota del Presidente del Garante del 27/11/2028, doc. web n. 9065601). Ciò provvedendo ad apportare gli opportuni aggiornamenti e integrazioni in considerazione delle ulteriori funzioni affidate al Difensore civico, indicate nello schema di regolamento, quali quelle di «Garante dei diritti delle persone sottoposte a misure restrittive della libertà personale attuate nel territorio regionale», «Garante per l’infanzia e l’adolescenza» e «Garante dei diritti delle persone con disabilità»;

b) aggiornare il lessico al nuovo regolamento europeo, sostituendo la perifrasi «dati giudiziari» con «dati personali relativi a condanne penali e reati», come previsto dall’art. 10 del RGPD;

2. introdurre una specifica disposizione, nell’art. 7 sulla «Sicurezza dei dati personali», che preveda – considerando che l’Ufficio del Difensore civico si avvale del personale assegnato nell’ambito dell’organico del Consiglio regionale, per la cui gestione rimane competente la struttura del Consiglio regionale competente in materia di personale, e che utilizza locali messi a disposizione dall’Ufficio di Presidenza – in aderenza all’art. 3 del regolamento in esame, la distinzione dei ruoli dei vari soggetti coinvolti, la corretta gestione del protocollo e dei flussi documentali, la conseguente corretta adozione (by design) di misure di segregazione dei dati in modo da garantire che i dati personali di cui il Difensore civico è titolare siano trattati solo da soggetti a ciò specificamente autorizzati e istruiti. Ciò soprattutto laddove il Consiglio regionale metta a disposizione del Difensore civico, per lo svolgimento delle proprie attività, anche risorse informatiche o tecnologiche, piattaforme o altri strumenti di lavoro che implichino il trattamento di dati personali;

RITENUTO, pertanto, necessario che lo schema di Regolamento in esame venga integrato con gli elementi sopra descritti, al fine di assicurare la conformità al RGPD e al Codice dei trattamenti dei dati personali effettuati;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. c) e 58, par. 3, lett. b), del RGPD, esprime parere favorevole sullo schema di «Regolamento per la disciplina dei criteri e delle modalità del trattamento dei dati personali di cui alla legge regionale 28 agosto 2001, n. 17 (Disciplina del funzionamento dell’ufficio del difensore civico. Abrogazione della legge regionale 2 marzo 1992, n. 5 (istituzione del difensore civico))» del Consiglio regionale della Valle d’Aosta a condizione che siano apportate le seguenti modifiche:

1. con riferimento all’art. 4, secondo quanto previsto dagli artt. 2-sexies e 2-octies del Codice, per le «categorie particolari di dati personali» e i «dati personali relativi a condanne penali e reati», si ritiene necessario:

a) specificare a livello regolamentare i «motivi di interesse pubblico rilevante» e fornire una descrizione del trattamento e del flusso informativo (anche tramite l’indicazione delle fonti normative), utilizzando ad esempio la parte di dettaglio contenuta nella scheda n. 6 sulla «Difesa civica e regionale e provinciale» del Regolamento regionale n. 1 del 24/7/2006, recante il «Trattamento dei dati personali sensibili e giudiziari effettuato dalle strutture organizzative del Consiglio regionale, dal Difensore civico e dal Co.Re.Com», adottato in base allo schema tipo di Regolamento su cui il Garante ha fornito parere favorevole (provv. del 29/12/2005, in www.gpdp.it, doc. web n. 1210939) e attualmente ancora applicabile (cfr. nota del Presidente del Garante del 27/11/2028, doc. web n. 9065601). Ciò provvedendo ad apportare gli opportuni aggiornamenti e integrazioni in considerazione delle ulteriori funzioni affidate al Difensore civico, indicate nello schema di regolamento, quali quelle di «Garante dei diritti delle persone sottoposte a misure restrittive della libertà personale attuate nel territorio regionale», «Garante per l’infanzia e l’adolescenza» e «Garante dei diritti delle persone con disabilità»;

b) aggiornare il lessico al nuovo regolamento europeo, sostituendo la perifrasi «dati giudiziari» con «dati personali relativi a condanne penali e reati», come previsto dall’art. 10 del RGPD;

2. nell’art. 7 sulla «Sicurezza dei dati personali» o in altra sede ritenuta più idonea, si ritiene necessario introdurre una specifica disposizione, che preveda – considerando che l’Ufficio del Difensore civico si avvale del personale assegnato nell’ambito dell’organico del Consiglio regionale, per la cui gestione rimane competente la struttura del Consiglio regionale competente in materia di personale, e che utilizza locali messi a disposizione dall’Ufficio di Presidenza – in aderenza all’art. 3 del regolamento in esame, la distinzione dei ruoli dei vari soggetti coinvolti, la corretta gestione del protocollo e dei flussi documentali, la conseguente corretta adozione (by design) di misure di segregazione dei dati in modo da garantire che i dati personali di cui il Difensore civico è titolare siano trattati solo da soggetti a ciò specificamente autorizzati e istruiti. Ciò soprattutto laddove il Consiglio regionale metta a disposizione del Difensore civico, per lo svolgimento delle proprie attività, anche risorse informatiche o tecnologiche, piattaforme o altri strumenti di lavoro che implichino il trattamento di dati personali.

Roma, 21 marzo 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei