g-docweb-display Portlet

Parere sullo schema di provvedimento del Capo del Dipartimento per le politiche giovanili e il servizio civile universale della Presidenza del Consiglio dei Ministri, recante il disciplinare tecnico per il trattamento dei dati nell’ambito dell’iniziativa “Carta Giovani Nazionale” - 22 luglio 2021 [9689751]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9689751]

Parere sullo schema di provvedimento del Capo del Dipartimento per le politiche giovanili e il servizio civile universale della Presidenza del Consiglio dei Ministri, recante il disciplinare tecnico per il trattamento dei dati nell’ambito dell’iniziativa “Carta Giovani Nazionale” - 22 luglio 2021

Registro dei provvedimenti
n. 276 del 22 luglio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);
VISTO l’art. 1, commi 413 e 414, della legge 27 dicembre 2019, n. 160, che prevede che:

- “Al fine di promuovere l'accesso ai beni e ai servizi ai cittadini italiani ed europei residenti in Italia, di età compresa tra 18 e 35 anni, è istituito presso la Presidenza del Consiglio dei ministri un fondo denominato «Fondo per la Carta giovani nazionale (CGN)» con una dotazione di 5 milioni di euro per ciascuno degli anni 2020, 2021 e 2022” (comma 413);

- “Con decreto del Ministro per le politiche giovanili e lo sport, da adottare entro sessanta giorni dalla data di entrata in vigore della presente legge, sono definiti i criteri, le funzionalità e le modalità per la realizzazione e la distribuzione della Carta giovani nazionale (CGN)” (comma 414);

VISTO il decreto del Ministro per le politiche giovanili e lo sport 27 febbraio 2020, concernente l’istituzione della Carta giovani nazionale (di seguito, CGN) prevista dal richiamato art. 1, comma 413, della l. 160/2019, recante le finalità, i criteri, le funzionalità e le modalità per la realizzazione e la distribuzione della stessa, il quale stabilisce che:

- la CGN è “uno strumento virtuale, cui è possibile accedere attraverso l’APP IO, dedicata ai giovani italiani e europei residenti in Italia, a partire dal compimento del diciottesimo anno e fino al compimento del trentaseiesimo anno di età”, che “consente ai beneficiari di ottenere agevolazioni per accedere a veni e servizi” (art. 2);

- responsabile dell’attuazione della citata iniziativa è il Dipartimento per le politiche giovanili e il servizio civile universale della Presidenza del Consiglio dei Ministri (di seguito, Dipartimento), che si avvale di PagoPA S.p.A., per quanto concerne in particolare gli aspetti relativi all’attuazione della stessa mediante l’App IO, e di uno o più soggetti esterni, per quanto concerne l’individuazione degli operatori che intendono partecipare al programma nonché la gestione delle relative convenzioni (art. 4). Tali ultimi soggetti si occupano, altresì, di “[monitorare] il corretto utilizzo della Carta e l’effettivo riconoscimento delle agevolazioni consentite” e “In caso di eventuali usi difformi o di violazioni delle norme del presente decreto, […] [devono] richiedere a PagoPA S.p.A. la disattivazione della Carta concessa al beneficiario o la cancellazione dall’elenco dell’operatore aderente all’iniziativa” (art. 7);

- le agevolazioni – di cui viene fornita una elencazione esemplificativa (come, ad esempio, l’acquisto di biglietti per rappresentazioni teatrali e cinematografiche e spettacoli dal vivo o l’acquisto di titoli di viaggio) – “hanno carattere individuale e nominativo, in quanto possono essere utilizzate, presso gli operatori accreditati, esclusivamente dal beneficiario registrato” mediante “le credenziali richieste dall’APP IO” (art. 5);

- “È assicurato il trattamento dei dati personali ai sensi della normativa vigente, limitandolo alla sola realizzazione dei compiti attinenti all’attribuzione e all’utilizzo della Carta e provvedendo alla designazione del responsabile del trattamento dei dati personali” (art. 8);

VISTA la richiesta di parere del 12 luglio 2021, con la quale il Dipartimento ha sottoposto all’Autorità lo schema di provvedimento del Capo del Dipartimento, recante il “Disciplinare tecnico per il trattamento dei dati nell’ambito dell’iniziativa “Carta Giovani Nazionale”, disciplinata dal decreto del Ministro per le politiche giovanili e lo sport 27 febbraio 2020”, precisando altresì che procederà con il “successivo invio della Valutazione d’Impatto sulla protezione dei dati (D.P.I.A., Data Protection Impact Assessment) dell’iniziativa”;

RILEVATO che il suddetto schema di provvedimento, nell’individuare “in termini generali le condizioni, i criteri e le modalità del trattamento dei dati nell’ambito del Programma “Carta Giovani Nazionale”” (art. 2), stabilisce, in particolare, che:

- il titolare si avvale di PagoPA S.p.A. e di Studiare Sviluppo S.r.l., per lo svolgimento delle attività previste dall’art. 4, rispettivamente commi 2-3 e 4-5, a tal fine designandoli responsabili del trattamento ai sensi dell’art. 28 del Regolamento. PagoPA S.p.A. rimane titolare del trattamento con riferimento ai trattamenti di dati personali connessi “all'autenticazione tramite SPID/CIE [per la] registrazione dei beneficiari tramite l’App IO e […] alla gestione del punto di accesso telematico”, mentre “Gli Operatori, nell’ambito del Programma, sono titolari autonomi del trattamento dei dati personali a loro spontaneamente forniti dai Beneficiari in sede di transazione e sono tenuti a trattare le informazioni acquisite nel rispetto della normativa vigente in materia di protezione dei dati personali, con divieto di creare banche dati che consentano un’associazione diretta fra il codice sconto generato dalla sezione CGN dell’App IO e il nominativo o il codice fiscale del Beneficiario che lo ha utilizzato” (art. 3);

- la definizione delle misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, nonché a tutela dei diritti e delle libertà degli interessati, nonché delle modalità e delle tempistiche circa la conservazione e successiva cancellazione dei dati, è rimessa ad una valutazione di impatto sulla protezione dei dati, ai sensi dell’art. 35 del Regolamento, che il titolare sottoporrà alla verifica preventiva del Garante (artt. 4 e 6, comma 2);

- “L’adesione al Programma da parte dei Beneficiari avviene esclusivamente su base volontaria […] previa autenticazione tramite SPID o CIE e visione dell’informativa sul trattamento dei dati personali e dei termini e condizioni della CGN”, durante la quale “verranno raccolti i dati anagrafici dei Beneficiari (nome e cognome, età anagrafica, codice fiscale)”. Anche “L’adesione al Programma da parte degli Operatori avviene esclusivamente su base volontaria” e “non implicherà l’acquisto di beni o servizi, né l’erogazione o la ricezione di denaro od altre utilità da parte del Dipartimento medesimo […]. I dati richiesti all’Operatore in sede di adesione al Programma, oltre a quelli pubblici o commerciali inerenti le agevolazioni proposte e gli estremi dell’Operatore medesimo, includeranno quelli relativi alle persone fisiche indicate come referenti (nome e cognome, codice fiscale, ruolo ricoperto, email, numero telefonico) e all’identità del legale rappresentante persona fisica dell’Operatore stesso” (art. 5);

- gli interessati (sia beneficiari che operatori) vengono previamente informati e viene assicurato loro l’esercizio dei diritti (art. 6, comma 1);

- la fruizione delle agevolazioni può avvenire in due modi (art. 7):

• presso “Operatori esercenti fisici”, mediante l’esibizione dell’“immagine digitale della CGN “animata””, “presente nella sezione dedicata alla CGN all’interno dell’App IO”, “recante anche l’indicazione dei dati anagrafici del titolare. Resta facoltà dell’Operatore di richiedere la esibizione (senza attività di raccolta e conservazione) di un documento di riconoscimento in corso di validità che attesti l'identità del Beneficiario”;

• o presso “Operatori attivi on line mediante e-commerce”, mediante l’inserimento in un campo “dedicato ai codici sconto impostato dall’Operatore sulla propria piattaforma di e-commerce”, da parte del beneficiario, di un “codice numerico temporaneo (OTP)” appositamente generato, ovvero, di un “codice statico” assegnato allo specifico operatore.

“I codici generati attraverso l’App IO hanno validità temporanea […]. Al termine della scadenza, l’informazione viene eliminata automaticamente, con la conseguenza che non vi saranno dati presenti nella piattaforma IO dai quali sarà possibile risalire alla lista degli OTP utilizzati da un determinato Beneficiario presso un determinato Operatore”;

- per quanto concerne le verifiche di eventuali abusi “sul corretto utilizzo della CGN da parte dei Beneficiari e sull’effettivo riconoscimento delle Agevolazioni consentite da parte degli Operatori”, è previsto che il monitoraggio di cui all’art. 7 del d.m. 27 febbraio 2020 sia effettuato “da Studiare Sviluppo S.r.l. nei limiti strettamente necessari alla verifica di regolarità dello svolgimento del Programma”, con esclusione di “una attività di verifica delle transazioni intercorse tra Beneficiari e Operatori, rispetto alle quali il Dipartimento e PagoPA rimangono estranei” (art. 8);

- infine, si rileva che “Sono escluse in ogni caso attività di profilazione dei Beneficiari quanto al contenuto delle agevolazioni richieste. E’ escluso il trattamento con finalità di tracciamento, anche tramite incrocio con altri dati, delle abitudini di spesa/acquisto dei Beneficiari”, e che “L’eventuale trattamento dei dati relativi alla posizione geografica del Beneficiario, ove volontariamente autorizzato da quest’ultimo, tramite apposito consenso, può essere svolto esclusivamente per le finalità statistiche di cui al successivo articolo 9.4, di assistenza al Beneficiario e di geolocalizzazione di eventuali Operatori presenti in prossimità della posizione dell’interessato” (art. 9);

CONSIDERATO che lo schema di provvedimento in esame costituisce il necessario completamento della base giuridica su cui si fonda, ai sensi dell’art. 6, parr. 1, lett. e), e 3, del Regolamento e dell’art. 2-ter del Codice, il trattamento dei dati personali effettuato nell’ambito del programma “Carta giovani nazionale”, tenuto conto delle lacune presenti nel quadro normativo rilevante (art. 1, commi 413 e 414, della l. 160/2019 e d.m. 27 febbraio 2020), su cui il Garante non era stato previamente consultato (come richiesto, invece, in base agli artt. 36, par. 4, e 57, par. 1, lett. c), del Regolamento);

CONSIDERATO, pertanto, che il Dipartimento, ha redatto lo schema di provvedimento in esame al fine di fornire quegli elementi essenziali per ricondurre il trattamento di dati personali finalizzato al programma CGN in un quadro di piena liceità e trasparenza ai sensi dell’art. 5, par. 1, lett. a), del Regolamento, tenendo altresì conto delle indicazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intrattenute;

CONSIDERATO, altresì, che la definizione delle misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, anche a tutela dei diritti e delle libertà degli interessati, nonché delle modalità e delle tempistiche circa la conservazione e successiva cancellazione dei dati, è rimessa ad una valutazione di impatto sulla protezione dei dati di cui si prevede la sottoposizione alla verifica preventiva del Garante, tenuto conto che si tratta di un trattamento che può presentare rischi elevati per i diritti e le libertà degli interessati in quanto coinvolge potenzialmente i dati personali di milioni di interessati, peraltro classificati in base ad una specifica fascia di età, finalizzato a consentire a costoro la fruizione di agevolazioni nell’acquisto di beni o servizi;

RITENUTO, alla luce di quanto osservato, che lo schema di provvedimento in esame non presenta criticità in ordine ai profili di protezione dei dati personali;

FERME RESTANDO, in ogni caso, le risultanze dell’istruttoria attualmente in corso sull’App IO – che, in base allo schema di provvedimento in esame, rappresenta l’unico canale utilizzabile per la fruizione delle agevolazioni riconosciute grazie alla CGN – anche a seguito dei provvedimenti n. 230 del 9 giugno 2021 e n. 242 del 16 giugno 2021 (reperibili su www.garanteprivacy.it, rispettivamente doc. web nn. 9668051 e 9670061), tenendo altresì presente che la base giuridica su cui si fondano i trattamenti di dati personali effettuati mediante il punto di accesso telematico di cui all’art. 64-bis, comma 1, del CAD deve essere completata da apposite Linee guida predisposte dall’AGID e che, al momento, sono all’esame dell’Autorità;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore l’avv. Guido Scorza;

TUTTO CIO’ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 57, par. 1, lett. c), del Regolamento, esprime parere favorevole sullo schema di provvedimento del Capo del Dipartimento per le politiche giovanili e il servizio civile universale della Presidenza del Consiglio dei Ministri, recante il “Disciplinare tecnico per il trattamento dei dati nell’ambito dell’iniziativa “Carta Giovani Nazionale”, disciplinata dal decreto del Ministro per le politiche giovanili e lo sport 27 febbraio 2020”.

Roma, 22 luglio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei