g-docweb-display Portlet

Parere sullo schema di decreto ministeriale recante Disposizioni relative alla tenuta, in forma automatizzata, di un registro dei provvedimenti di applicazione delle sanzioni pecuniarie civili ai sensi dell'articolo 11 del decreto legislativo 15 gennaio 2016, n. 7 - 6 ottobre 2022 [9821538]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9821538]

Parere sullo schema di decreto ministeriale recante Disposizioni relative alla tenuta, in forma automatizzata, di un registro dei provvedimenti di applicazione delle sanzioni pecuniarie civili ai sensi dell'articolo 11 del decreto legislativo 15 gennaio 2016, n. 7 - 6 ottobre 2022

Registro dei provvedimenti
n. 315 del 6 ottobre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “Regolamento”);

VISTO in particolare l’art. 36, paragrafo 4, del Regolamento, ai sensi del quale gli Stati membri consultano l'autorità di controllo durante l'elaborazione di una proposta di atto legislativo che deve essere adottato dai parlamenti nazionali o di misura regolamentare basata su detto atto legislativo relativamente al trattamento.

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, come modificato dal decreto legislativo 10 agosto 2018, n. 101 (di seguito: “Codice”);

VISTO in particolare l’art. 154, comma 5-bis, del Codice, ai sensi del quale il parere di cui all'articolo 36, paragrafo 4, del Regolamento è reso dal Garante nei soli casi in cui la legge o il regolamento in corso di adozione disciplina espressamente le modalità del trattamento descrivendo una o più operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione, nonché nei casi in cui la norma di legge o di regolamento autorizza espressamente un trattamento di dati personali da parte di soggetti privati senza rinviare la disciplina delle modalità del trattamento a fonti sotto ordinate.

VISTA la richiesta di parere del Ministero della Giustizia;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell´ufficio del Garante per la protezione dei dati personali;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

Il Ministero della Giustizia ha richiesto il parere di questa Autorità in merito ad uno schema di decreto ministeriale recante Disposizioni relative alla tenuta, in forma automatizzata, di un registro dei provvedimenti di applicazione delle sanzioni pecuniarie civili ai sensi dell'articolo 11 del decreto legislativo 15 gennaio 2016, n. 7.

Il decreto legislativo 2016 n. 7 reca Disposizioni in materia di abrogazione di reati e introduzione di illeciti con sanzioni pecuniarie civili, a norma dell'articolo 2, comma 3, della legge 28 aprile 2014, n. 67.

L’art. 6 del decreto legislativo, rubricato Reiterazione dell'illecito, stabilisce che si ha reiterazione nel caso in cui l'illecito sottoposto a sanzione pecuniaria civile sia compiuto entro quattro anni dalla commissione, da parte dello stesso soggetto, di un'altra violazione sottoposta a sanzione pecuniaria civile, che sia della stessa indole e che sia stata accertata con provvedimento esecutivo.

L’art. 11 del decreto legislativo, rubricato Registro informatizzato dei provvedimenti in materia di sanzioni pecuniarie, stabilisce che con apposito decreto del Ministro della giustizia sono adottate le disposizioni relative alla tenuta di un registro, in forma automatizzata, in cui sono iscritti i provvedimenti di applicazione delle sanzioni pecuniarie civili, per gli effetti di cui all'articolo 6.

Lo schema di decreto si compone di 6 articoli.

L'articolo 1 enuncia l'oggetto del decreto e prevede che il registro dei provvedimenti di applicazione delle sanzioni pecuniarie civili (di seguito, «il registro») sia istituito, per le finalità di cui all'articolo 6 del decreto legislativo e quindi ai fini dell'applicazione delle disposizioni in materia di reiterazione dell'illecito, su base nazionale e presso la Direzione generale degli affari interni del Dipartimento per gli affari di giustizia.

L'articolo 2 detta le caratteristiche del sistema informativo del registro, prevedendo che questo debba consentire lo svolgimento con tecnologie informatiche delle attività degli uffici concernenti l'iscrizione, l'eliminazione, la trasmissione e la conservazione dei dati, e delle attività concernenti i servizi certificativi, anche nei rapporti con l'utenza, nel rispetto di criteri di completezza, aggiornamento, esattezza e sicurezza delle notizie e delle informazioni raccolte, e rimandando ad un successivo decreto del direttore della Direzione generale per i sistemi informativi automatizzati  per l'adozione delle necessarie regole tecniche.

L'articolo 3 prevede che il capo di ciascun ufficio giudiziario debba individuare uno o più funzionari abilitati ad operare sul registro e tra questi un referente, che assume la responsabilità della gestione degli accessi al sistema, con riferimento a tutte le utenze assegnate all'ufficio, nonché a rilasciare le certificazioni circa le iscrizioni nel registro. Si prevede inoltre che le operazioni compiute sul registro siano registrate in appositi file di log conservati per cinque anni.

L'articolo 4 individua i provvedimenti che devono essere iscritti nel registro ai fini dell'applicazione della disposizione di cui all'articolo 6 del decreto legislativo sulla reiterazione dell'illecito, e le modalità con cui ciò deve avvenire. In particolare, si prevede che debbano essere iscritti, per estratto contenente i dati specificamente indicati nel comma 2, i provvedimenti di applicazione delle sanzioni pecuniarie che siano passati in giudicato ai sensi dell'articolo 324 del codice di procedura civile, e cioè quelli avverso i quali non è più possibile proporre appello, ricorso per cassazione e revocazione ordinaria. Per garantire la correttezza e completezza dei dati inseriti nel registro si è infine previsto che il soggetto abilitato debba verificare che il provvedimento contenga i dati utili ai fini dell'estratto, e se riscontra dati mancanti o incompleti debba segnalare la circostanza al giudice che lo ha pronunciato, il quale procede alle relative integrazioni o correzioni ai sensi dell'articolo 288, secondo comma, del codice di procedura civile, il quale disciplina le modalità di correzione degli errori materiali.

L'articolo 5 prevede che le iscrizioni debbano essere eliminate dal registro quando sono decorsi dieci anni dalla commissione della violazione o per morte della persona alla quale si riferiscono, nonché nel caso in cui il provvedimento iscritto sia stato oggetto di revocazione e nel caso in cui l'iscrizione sia stata eseguita nonostante il provvedimento non fosse passato in giudicato (cosa che potrebbe verificarsi, ad esempio, nel caso in cui l'impugnazione sia stata proposta ma l'ufficiale giudiziario abbia omesso di rendere l'avviso di cui si è detto, o questo sia andato smarrito).

L'articolo 6 disciplina i servizi certificativi, prevedendo che per ragioni di giustizia - e dunque, essenzialmente, ai fini di cui all'articolo 6 del decreto legislativo - gli uffici che esercitano la giurisdizione civile acquisiscono dal registro il certificato di tutte le iscrizioni esistenti riferite ad un determinato soggetto e lo inseriscono nel fascicolo informatico del processo avente ad oggetto l’irrogazione della sanzione pecuniaria. Si prevede inoltre che l'interessato abbia diritto di ottenere il certificato relativo alle iscrizioni che lo riguardano, e che a tal fine possa rivolgersi a qualunque ufficio giudiziario di primo grado, considerato che il registro è istituito su base nazionale.

RITENUTO

1. L’art. 5 dello schema (“Eliminazione delle iscrizioni”) prevede che le iscrizioni nel registro sono eliminate decorsi dieci anni dal compimento della violazione sottoposta a sanzione pecuniaria civile, o per morte della persona alla quale si riferiscono. Tuttavia, l’art. 6 del d.lgs. 15 gennaio 2016, n. 7, stabilisce che si ha reiterazione nel caso in cui l'illecito sottoposto a sanzione pecuniaria civile sia compiuto entro quattro anni dalla commissione, da parte dello stesso soggetto, di un'altra violazione sottoposta a sanzione pecuniaria civile, che sia della stessa indole e che sia stata accertata con provvedimento esecutivo. Pertanto, il termine decennale di conservazione delle iscrizioni nel registro appare non in linea con il principio della limitazione della conservazione rispetto alla finalità del trattamento perseguita (art. 5, par. 1, lett. e), del Regolamento, che è opportuno citare nel preambolo dello schema di decreto), né la relazione allo schema di decreto reca alcuna indicazione del motivo della determinazione di tale termine.

2. Il medesimo art. 5 dello schema, al comma 3 prevede che il soggetto abilitato della cancelleria del giudice che ha emesso il provvedimento cura l'eliminazione delle iscrizioni con le modalità di cui all'articolo 4, comma 5. In base al principio della  “protezione dei dati per impostazione predefinita” (art. 25, par. 2, del Regolamento), sarebbe preferibile, in luogo di una operazione manuale di cancellazione dei dati divenuti obsoleti, un meccanismo automatizzato di cancellazione dei dati allo scadere del termine di conservazione previsto.

3. Lo schema di decreto dovrebbe individuare specifiche garanzie al fine di agevolare l’esercizio dei diritti di cui agli artt. 15-22 del Regolamento da parte degli interessati, specialmente allo scopo di assicurare il rispetto del principio di “esattezza” dei dati (cfr. artt. 5, par. 1, lett. d), 6, par.3, e 10 del Regolamento, nonché. 2-octies del Codice). Ciò, in particolare, individuando il soggetto (ufficio giudiziario competente e/o Ministero della giustizia) competente a fornire riscontro alle richieste di esercizio dei diritti degli interessati, prevedendo l’obbligo per tale soggetto di disciplinare con apposite procedure (cfr. artt. 12, par. 1 e 12, e 24, par. 2, del Regolamento) la gestione delle istanze di esercizio dei diritti, nonché assicurando che gli interessati siano quantomeno informati di tali diritti e delle modalità di esercizio degli stessi (cfr. art. 14, par. 5, lett. c), del Regolamento, ai sensi del quale l’informativa sul trattamento dei dati personali può essere omessa ove il trattamento sia necessario per adempiere ad obblighi di legge, a condizione che il diritto europeo o nazionale preveda “misure appropriate per tutelare gli interessi legittimi dell'interessati”).

4. Per quanto riguarda gli aspetti più squisitamente tecnici, il sistema informativo del registro è descritto nello schema di decreto solo sommariamente, in quanto l’indicazione delle regole tecniche di funzionamento, che dovranno comprendere anche i criteri volti a garantire la riservatezza dei dati personali trattati, è demandata ad un successivo decreto del Direttore dei Sistemi Informativi Automatizzati del Ministero della Giustizia. Per tale motivo, data l’importanza di tali profili ai fini della legittimità e correttezza del trattamento, si segnala l’esigenza che il decreto ministeriale venga modificato, prevedendo espressamente che il provvedimento direttoriale sia sottoposto al parere dell’Autorità, la quale, in tale sede, esprimerà le valutazioni di competenza.

5. La giurisprudenza della Corte di Giustizia dell’Unione Europea ha precisato che anche per gli illeciti che non sono qualificati come “penali” dal diritto nazionale, una simile qualificazione può nondimeno derivare della natura stessa dell’illecito in questione e dal grado di severità delle sanzioni che quest’ultimo può comportare (v., in tal senso, sentenza del 20 marzo 2018, Garlsson Real Estate e a., C 537/16, EU:C:2018:193, punti 28 e 32), nonché dalla natura repressiva della sanzione. Sulla base di tali principi, la Corte ha stabilito che le infrazioni stradali che possono comportare l’attribuzione di punti di penalità rientrano nella nozione di «reati» di cui all’articolo 10 del Regolamento (UE) 2016/679. Alla luce di tali arresti giurisprudenziali, il trattamento in questione pare richiedere l’effettuazione di una valutazione di impatto preventiva, trattandosi di un trattamento su larga scala di dati relativi a “reati” di cui all'articolo 10 (art. 35, par. 3, lettera b, del Regolamento (UE) 2016/679); pertanto, il Ministero della Giustizia dovrà effettuare una valutazione di impatto del trattamento sulla protezione dei dati personali prima di dare inizio al trattamento stesso.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli articoli 36, paragrafo 4, del Regolamento e 154, comma 5-bis, del Codice, esprime parere favorevole sullo schema di decreto ministeriale recante Disposizioni relative alla tenuta, in forma automatizzata, di un registro dei provvedimenti di applicazione delle sanzioni pecuniarie civili ai sensi dell'articolo 11 del decreto legislativo 15 gennaio 2016, n. 7, con le seguenti condizioni:

A) lo schema preveda un termine di conservazione delle iscrizioni nel registro che sia conforme al principio della limitazione della conservazione rispetto alla finalità del trattamento perseguita (art. 5, par. 1, lett. e), del Regolamento (UE) 2016/679) (punto 1);

B) nello schema siano individuate specifiche garanzie al fine di agevolare l’esercizio dei diritti da parte degli interessati (punto 3);

e con le seguenti osservazioni:

C) valuti l’Amministrazione l’adozione di un sistema automatico di cancellazione dei dati allo scadere del termine di conservazione previsto (punto 2);

D) lo schema preveda che il provvedimento del direttore della Direzione generale per i sistemi informativi automatizzati del Ministero della giustizia, di cui all’art. 2, comma 2, dello schema, sia sottoposto al parere del Garante (punto 4).

Roma, 6 ottobre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei