g-docweb-display Portlet

Parere sullo schema di decreto del Presidente del Consiglio dei Ministri, di concerto con il Ministro della giustizia, in tema di disciplina della piattaforma per la raccolta delle firme degli elettori necessarie per i referendum previsti dagli articoli 75 e 138 della Costituzione - 24 marzo 2022 [9760791]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

 

VEDI ANCHE Comunicato del 12 aprile 2022

 

[doc. web n. 9760791]

Parere sullo schema di decreto del Presidente del Consiglio dei Ministri, di concerto con il Ministro della giustizia, in tema di disciplina della piattaforma per la raccolta delle firme degli elettori necessarie per i referendum previsti dagli articoli 75 e 138 della Costituzione - 24 marzo 2022

Registro dei provvedimenti
n. 106 del 24 marzo 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO l’art. 1, commi 341, 343, e 344, della legge 30 dicembre 2020, n. 178 recante il Bilancio di previsione dello Stato per l’anno finanziario 2021 e bilancio pluriennale per il triennio 2021-2023”, come modificato dai decreti legge 31 marzo 2021, n. 77 e 6 novembre 2021, n. 152;

VISTA la legge 25 maggio 1970, n. 352, recante “Norme sui referendum previsti dalla Costituzione e sulla iniziativa legislativa del popolo”;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

Con nota del 18 febbraio 2022, il Ministro per l’innovazione tecnologica e la transizione digitale presso la Presidenza del Consiglio dei Ministri ha trasmesso al Garante, ai fini dell’acquisizione del prescritto parere, lo schema di decreto del Presidente del Consiglio dei Ministri, di concerto con il Ministro della giustizia, da adottare ai sensi dell’articolo 1, comma 343, della legge 30 dicembre 2020, n. 178, così come modificato dall' art. 38-quater, comma 1, lett. a), D.L. 31 maggio 2021, n. 77 , convertito, con modificazioni, dalla L. 29 luglio 2021, n. 108, e, successivamente, dall' art. 27, comma 2-octies, lett. a), D.L. 6 novembre 2021, n. 152, convertito, con modificazioni, dalla L. 29 dicembre 2021, n. 233 che disciplina  la piattaforma per la raccolta delle firme degli elettori necessarie per i referendum previsti dagli articoli 75 e 138 della Costituzione, nonché per i progetti di legge previsti dall’articolo 71, secondo comma, della Costituzione.

Appare opportuno premettere che sul piano dei principi e in relazione ai profili di competenza in materia di protezione dei dati personali, non vi sono ostacoli da parte di questa Autorità all’’introduzione di strumenti - come quello configurato di una piattaforma per la raccolta delle firme da remoto degli elettori a fini referendari, recanti modalità di trattamento volte a agevolare lo sviluppo equilibrato e sostenibile dei servizi offerti ai cittadini in una società democratica, la cui prospettiva sia un rafforzamento della tutela dei diritti fondamentali dell’individuo alla luce della evoluzione della società, del progresso sociale e degli sviluppi scientifici e tecnologici.

Le carenze che, tuttavia, il decreto in esame presenta nel disciplinare la piattaforma per la raccolta delle firme degli elettori necessarie per i referendum, sono assai significative e impongono, prima di entrare nell’esame di dettaglio, un inquadramento di carattere generale.

Il decreto incide, infatti, sullo svolgimento dei referendum e delle iniziative legislative popolari, ovvero su fondamentali istituti di democrazia diretta che costituiscono esercizio di funzioni pubbliche costituzionalmente rilevanti e garantite.

Non si rinviene, tuttavia, in tale documento una adeguata valutazione degli specifici rischi per i diritti e le libertà costituzionali degli interessati che i trattamenti di dati personali, effettuati mediante la piattaforma in questione, possono presentare. Più precisamente, l’Autorità ha rilevato che la titolarità della piattaforma è affidata in gestione ad un soggetto terzo, ancora da individuare, a cui è rimesso l’intero sviluppo tecnologico dell’infrastruttura stessa mediante la definizione dei profili tecnici che saranno contenuti in un manuale operativo, peraltro da redigersi da parte del futuro gestore e sottratti all’esame di questa Autorità, nonché del Ministero della giustizia quale amministrazione concertante.

È importante evidenziare, in proposito, che i dati dei sottoscrittori di una proposta di referendum o di progetto di legge vanno inquadrati nell’ambito delle particolari categorie di dati personali di cui all’art. 9, par. 1, del Regolamento in quanto rivelano - ancor più del dato relativo alla mera partecipazione alla consultazione referendaria - le opinioni o la posizione politica del sottoscrittore, ragion per cui lo schema di decreto in esame avrebbe dovuto tenere in adeguata considerazione i profili di protezione di tale categoria di dati.

Lo schema in esame avrebbe dovuto individuare puntualmente i ruoli dei vari soggetti coinvolti nei trattamenti di dati personali connessi ai processi disciplinati dal decreto stesso, tra i quali il citato gestore della piattaforma, nonché introdurre adeguate garanzie in termini di trasparenza nei confronti degli interessati, nel rispetto dei principi di liceità, correttezza e trasparenza e di limitazione della finalità.

Gli aspetti di sicurezza avrebbero dovuto essere focalizzati, al fine di una loro compiuta valutazione preliminare, non solo sui tradizionali rischi informatici relativi alle componenti infrastrutturali e ai servizi erogati, ma anche sulla potenziale lesività (rispetto a diritti e libertà delle persone fisiche) dei trattamenti che potranno essere realizzati, prevedendo idonee misure e accorgimenti per garantire la confidenzialità, l’integrità e la disponibilità dei dati e per prevenire violazioni dei dati personali trattati.

Per quanto riguarda la funzionalità, in concreto, della piattaforma, il decreto prevede al riguardo che essa “mediante una specifica funzionalità descritta nel manuale operativo […] acquisisce il nome, il cognome, il luogo e la data di nascita del sottoscrittore, il comune nelle cui liste elettorali è iscritto ovvero, per i cittadini italiani residenti all’estero, la loro iscrizione nelle liste elettorali dell’Anagrafe degli italiani residenti all’estero, nonché, ove disponibile, l’attributo elettore presente in ANPR”. Il rinvio ad una “funzionalità descritta nel manuale operativo” sottrae al Garante la possibilità di esprimere ogni valutazione connessa ai profili di protezione dei dati personali; tali elementi, come prevede la disposizione legislativa, dovevano essere contenuti nello schema di decreto in esame, eventualmente, anche nell’ambito di un allegato tecnico, parte integrante del decreto stesso. Né sembra potersi sostenere che il rinvio produce come unica conseguenza il differire a un momento successivo il vaglio del Garante sui predetti aspetti sia perché l’attuale schema di DPCM non prevede tale eventualità, sia perché qualora effettivamente le valutazioni del Garante dovessero intendersi rinviate a un momento successivo rispetto alla realizzazione della piattaforma, ogni difformità riscontrata, rilevante sotto il profilo privacy, si tradurrebbe nell’esigenza di modificare la piattaforma stessa con un aggravio di oneri e costi incompatibile con ogni regola di prudente gestione delle risorse pubbliche.

Alla luce delle considerazioni che precedono, lo schema di DPCM trasmesso al Garante non appare coerente con la legge istitutiva della piattaforma per la raccolta delle firme degli elettori necessarie per i referendum ed evidenzia profili di non conformità con la disciplina in materia di protezione dei dati personali che appaiono imporre una profonda rivisitazione dello schema medesimo al fine di scongiurare il rischio che si verifichino trattamenti di dati personali non conformi, in relazione ai quali il Garante si vedrebbe, successivamente, costretto a intervenire mediante l’esercizio dei poteri correttivi.

1. Il quadro normativo.

L’art. 1, comma 341, della legge 30 dicembre 2020, n. 178 citata, al fine di contribuire a rimuovere gli ostacoli che impediscono la piena inclusione sociale delle persone con disabilità e di garantire loro il diritto alla partecipazione democratica, ha “istituito un apposito fondo, da trasferire alla Presidenza del Consiglio dei ministri, destinato alla realizzazione di una piattaforma per la raccolta delle firme degli elettori necessarie per i referendum previsti dagli articoli 75 e 138 della Costituzione nonché per i progetti di legge previsti dall'articolo 71, secondo comma, della Costituzione, anche mediante la modalità prevista dall'articolo 65, comma 1, lettera b), del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82”.

Tale piattaforma “mette a disposizione del sottoscrittore, a seconda delle finalità della raccolta delle firme, le specifiche indicazioni prescritte, rispettivamente, dagli articoli 4, 27 e 49 della legge 25 maggio 1970, n. 352” - cioè l’indicazione della legge di revisione o costituzionale che si intende sottoporre alla votazione popolare (art. 4), i termini del quesito referendario che si intende sottoporre alla votazione popolare e la legge o l'atto avente forza di legge, l’articolo o il comma, dei quali si propone l'abrogazione (art. 27) il progetto di legge redatto in articoli, accompagnato da una relazione che ne illustri le finalità e le norme (art. 49) - e “acquisisce […] il nome, il cognome, il luogo e la data di nascita del sottoscrittore e il comune nelle cui liste elettorali è iscritto ovvero, per i cittadini italiani residenti all'estero, la loro iscrizione nelle liste elettorali dell'Anagrafe degli italiani residenti all'estero”.

La medesima disposizione prevede che gli obblighi previsti dall'art. 7, commi terzo e quarto, della legge n. 352 del 1970 – cioè predisposizione dei fogli per la raccolta delle firme e la presentazione alle segreterie comunali o alle cancellerie degli uffici giudiziari per l’apposizione sugli stessi del bollo dell'ufficio, la data e la firma del funzionario - “sono assolti mediante il caricamento nella piattaforma da parte dei promotori della raccolta […] della proposta recante, a seconda delle finalità della raccolta delle firme, le specifiche indicazioni previste, rispettivamente, dagli articoli 4, 27 e 49 della citata legge n. 352 del 1970”. Al riguardo, “La piattaforma, acquisita la proposta, le attribuisce data certa mediante uno strumento di validazione temporale elettronica qualificata di cui all' articolo 42 del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, e, entro due giorni, rende disponibile alla sottoscrizione la proposta di referendum anche ai fini del decorso del termine di cui all' articolo 28 della legge n. 352 del 1970”.

Inoltre, l’art. 1, comma 343, della citata legge 30 dicembre 2020, n. 178, prevede che la Presidenza del Consiglio dei Ministri assicura l'entrata in funzione della piattaforma di cui al comma 341 e, “con proprio decreto adottato di concerto con il Ministro della giustizia, sentito il Garante per la protezione dei dati personali, definisce le caratteristiche tecniche, l'architettura generale, i requisiti di sicurezza, le modalità di funzionamento della stessa piattaforma, i casi di malfunzionamento nonché le modalità con le quali il gestore della piattaforma attesta il suo malfunzionamento e comunica il ripristino delle sue funzionalità. Con il medesimo decreto, inoltre, sono individuate le modalità di accesso alla piattaforma di cui al comma 341, le tipologie di dati oggetto di trattamento, le categorie di interessati e, in generale, le modalità e le procedure per assicurare il rispetto dell' articolo 5 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, nonché le modalità con cui i promotori mettono a disposizione dell'Ufficio centrale per il referendum presso la Corte di cassazione, nella stessa data in cui effettuano il deposito di eventuali firme autografe raccolte per il medesimo referendum, le firme raccolte elettronicamente. L'Ufficio centrale per il referendum presso la Corte di cassazione verifica la validità delle firme raccolte elettronicamente anche mediante l'accesso alla piattaforma”.

Infine, l’art. 1, comma 344, della citata legge 30 dicembre 2020, n. 178, prevede che dal “1° luglio 2021 e fino alla data di operatività della piattaforma di cui al comma 341, le firme degli elettori necessarie per i referendum previsti dagli articoli 75 e 138 della Costituzione nonché per i progetti di legge previsti dall' articolo 71, secondo comma, della Costituzione possono essere raccolte anche mediante documento informatico, sottoscritto con firma elettronica qualificata, a cui è associato un riferimento temporale validamente opponibile ai terzi. I promotori della raccolta predispongono un documento informatico [che] consente l'acquisizione del nome, del cognome, del luogo e della data di nascita del sottoscrittore e il comune nelle cui liste elettorali è iscritto […]. Le firme elettroniche qualificate raccolte non sono soggette all'autenticazione prevista dalla legge n. 352 del 1970. Gli obblighi previsti dall' articolo 7, commi terzo e quarto, della legge n. 352 del 1970 sono assolti mediante [il] del documento informatico di cui al secondo periodo, da sottoscrivere con firma elettronica qualificata. I promotori del referendum depositano le firme raccolte elettronicamente nella stessa data in cui effettuano il deposito di eventuali firme autografe raccolte per il medesimo referendum. […] Le firme raccolte elettronicamente possono essere depositate presso l'Ufficio centrale per il referendum presso la Corte di cassazione, come duplicato informatico ai sensi dell'articolo 1, comma 1, lettera i-quinquies), del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, ovvero come copia analogica di documento informatico se dotate del contrassegno a stampa di cui all' articolo 23, comma 2- bis, del medesimo codice”.

In tale contesto, la legge 25 maggio 1970, n. 352, recante “Norme sui referendum previsti dalla Costituzione e sulla iniziativa legislativa del popolo”, prevede che:

- con riferimento al referendum costituzionale previsto dall’art. 138 della Costituzione:

- la richiesta di referendum “deve contenere l'indicazione della legge di revisione della Costituzione o della legge costituzionale che si intende sottoporre alla votazione popolare, e deve altresì citare la data della sua approvazione finale da parte delle Camere, la data e il numero della Gazzetta Ufficiale nella quale è stata pubblicata. La predetta richiesta deve pervenire alla cancelleria della Corte di cassazione entro tre mesi dalla pubblicazione effettuata a norma dell'articolo 3” (art. 4);

- “Al fine di raccogliere le firme necessarie a promuovere da almeno 500.000 elettori la richiesta prevista dall'articolo 4, i promotori della raccolta, in numero non inferiore a dieci, devono presentarsi, muniti di certificati comprovanti la loro iscrizione nelle liste elettorali di un comune della Repubblica o nell'elenco dei cittadini italiani residenti all'estero […], alla cancelleria della Corte di cassazione, che ne dà atto con verbale, copia del quale viene rilasciata ai promotori.

Di ciascuna iniziativa è dato annuncio nella Gazzetta Ufficiale del giorno successivo a cura dell'Ufficio stesso; in esso vengono riportate le indicazioni prescritte dall'articolo 4 […].

Successivamente alla pubblicazione nella Gazzetta Ufficiale dell'annuncio di cui al primo comma, i fogli previsti dal comma precedente devono essere presentati a cura dei promotori, o di qualsiasi elettore, alle segreterie comunali o alle cancellerie degli uffici giudiziari. Il funzionario preposto agli uffici suddetti appone ai fogli il bollo dell'ufficio, la data e la propria firma e li restituisce ai presentatori entro due giorni dalla presentazione” (art. 7);

- con riguardo al referendum abrogativo di cui all’art. 75 della Costituzione:

- “Al fine di raccogliere le firme dei 500.000 elettori necessari per il referendum previsto dall'articolo 75 della Costituzione, nei fogli vidimati dal funzionario, di cui all'articolo 7, si devono indicare i termini del quesito che si intende sottoporre alla votazione popolare, e la legge o l'atto avente forza di legge dei quali si propone l'abrogazione, completando la formula volete che sia abrogata. . .» con la data, il numero e il titolo della legge o dell'atto avente valore di legge sul quale il referendum sia richiesto.

Qualora si richieda referendum per abrogazione parziale, nella formula indicata al precedente comma deve essere inserita anche l'indicazione del numero dell'articolo o degli articoli sui quali referendum sia richiesto.

Qualora si richieda referendum per la abrogazione di parte di uno o più articoli di legge, oltre all'indicazione della legge e dell'articolo di cui ai precedenti commi primo e secondo, deve essere inserita l'indicazione del comma, e dovrà essere altresì integralmente trascritto il testo letterale delle disposizioni di legge delle quali sia proposta l'abrogazione” (art. 27);

- con riguardo alla proposta di progetti di legge da parte di almeno cinquantamila elettori, presentata ai sensi dell’art. 71, comma 2, della Costituzione innanzi ad una delle due Camere:

- “La proposta deve contenere il progetto redatto in articoli, accompagnato da una relazione che ne illustri le finalità e le norme.

Si applicano, per ciò che riguarda le firme dei proponenti, la loro autenticazione e i certificati da allegare alla proposta, le disposizioni degli articoli 7 e 8 […]” (art. 49, commi 1 e 2).

In tal caso, “Spetta a tale Camera provvedere alla verifica ed al computo delle firme dei richiedenti al fine di accertare la regolarità della richiesta” (art. 48, comma 2).

In ultimo, si evidenzia che l'articolo 65, comma 1, lettera b), del codice dell'amministrazione digitale, espressamente richiamato dal sopra citato art. 1, comma 341, primo periodo, della legge n. 178/2020, prevede che:  

“Le istanze e le dichiarazioni presentate per via telematica alle pubbliche amministrazioni e ai gestori dei servizi pubblici ai sensi dell'articolo 38, commi 1 e 3, del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, sono valide:

a) se sottoscritte mediante una delle forme di cui all'articolo 20;

b) ovvero, quando l'istante o il dichiarante è identificato attraverso il sistema pubblico di identità digitale (SPID), la carta di identità elettronica o la carta nazionale dei servizi […]”.

2. Lo schema di d.P.C.M. in esame.

Lo schema di decreto in esame, da adottarsi ai sensi dell’art. 1, comma 343 della citata legge n. 178/2021, disciplina “le modalità di funzionamento della piattaforma, definendone le caratteristiche tecniche, l’architettura generale, i requisiti di sicurezza, le modalità di funzionamento, i casi di malfunzionamento, le modalità con cui il gestore della piattaforma attesta il malfunzionamento e comunica il ripristino delle funzionalità, le modalità di accesso, le tipologie di dati oggetto di trattamento, le categorie di interessati e, in generale, le modalità e le procedure per assicurare il rispetto dell’articolo 5 del GDPR. Definisce, inoltre, le modalità con cui i promotori della raccolta firme mettono a disposizione dell’Ufficio centrale per il referendum presso la Corte di cassazione le firme raccolte elettronicamente” (art. 2).

L’art. 1 reca alcune definizioni, tra cui, in particolare, le seguenti:

- “piattaforma”: “la piattaforma per la raccolta delle firme degli elettori necessarie per i referendum e le iniziative popolari, realizzata ai sensi dell’articolo 1, comma 341 della legge 30 dicembre 2020, n. 178, recante “Bilancio di previsione dello Stato per l’anno finanziario 2021 e bilancio pluriennale per il triennio 2021-2023”;

- “gestore della piattaforma”: “la persona giuridica a cui la Presidenza del Consiglio dei Ministri affida la realizzazione, la gestione e la manutenzione della piattaforma”;

- “portale”: “l’interfaccia web della piattaforma accessibile all’indirizzo www.firmereferendum.gov.it”.

Ai sensi dell’art. 3 dello schema di decreto, l’infrastruttura tecnologica della piattaforma è sviluppata dal gestore “applicando i criteri di accessibilità di cui alla legge 9 gennaio 2004, n. 4” recante "Disposizioni per favorire l’accesso dei soggetti disabili agli strumenti informatici” (comma 1). Prima della sua messa in funzione, il gestore della piattaforma verifica il “corretto funzionamento della stessa piattaforma tramite lo svolgimento di test sperimentali. Il piano dei test copre la totalità dei casi d’uso e delle funzionalità assegnate alla piattaforma dall’articolo 1, commi 341 e 343, della legge 30 dicembre 2020, n. 178” (comma 2). Costituiscono casi di malfunzionamento della piattaforma “tutti gli impedimenti tecnici, […] che rendono impossibile la raccolta delle firme degli elettori. Il malfunzionamento della piattaforma viene segnalato sul portale. Con le stesse modalità il gestore della piattaforma comunica il ripristino della funzionalità della stessa piattaforma in caso di malfunzionamento” (commi 4 e 5).

Inoltre, la stessa norma - nonché numerose norme dello schema di decreto – rinvia per la definizione dei profili tecnici, alla disciplina contenuta in un “manuale operativo” redatto dal gestore della piattaforma, d’intesa con il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri, e pubblicato sul sito web dello stesso gestore e sul portale. Tale manuale, per la cui adozione non è prevista l’acquisizione del parere del Garante, descrive “le caratteristiche tecniche, le regole tecniche e i requisiti di sicurezza della piattaforma” e individua “le metriche di successo e fallimento delle operazioni eseguite, unitamente a metriche prestazionali e di qualità, nonché di assistenza agli utenti” che “sono utilizzate per monitorare l’operatività della piattaforma” (comma 3).

È inoltre previsto che “Il gestore della piattaforma cura la manutenzione della stessa e provvede al suo aggiornamento tecnologico” (comma 6).

Con riferimento all’architettura e al funzionamento della piattaforma, accessibile tramite il portale, l’art. 4 dello schema di decreto prevede che la stessa sia composta da:

- un’area pubblica, che consente la “consultazione delle proposte referendarie e dei relativi quesiti, nonché delle proposte di legge popolare, in corso e scadute, con l’indicazione del numero di firme raccolte fino al momento della visualizzazione”;

- un’area privata “a cui è possibile accedere mediante un’identità digitale basata su credenziali di livello almeno significativo nell’ambito di un regime di identificazione elettronica oggetto di notifica, conclusa con esito positivo, ai sensi dell’articolo 9 del Regolamento (UE), n. 910/2[0]14” (comma 1).

L’accesso all’area privata è consentito a tre distinte categorie di utenti:

“Utenza Corte di cassazione”: dedicata al “personale dell’Ufficio centrale per il referendum presso la Corte di cassazione abilitato dal gestore mediante una specifica funzionalità della piattaforma descritta nel manuale operativo”, che provvede a:

1. “inserire in piattaforma i nominativi dei promotori della raccolta;

2.  abilitare almeno due promotori della raccolta ad operare sulla piattaforma;

3. consultare, estrarre e controllare le sottoscrizioni raccolte per le iniziative referendarie e di legge popolare;

4. abilitare e disabilitare ulteriori soggetti facenti parte dell’Ufficio centrale per il referendum presso la Corte di cassazione” (comma 3, lett. a);

“Utenza Soggetti promotori”: dedicata ai “soggetti promotori della proposta referendaria o di legge popolare abilitati”, che provvede:

1. “al caricamento in piattaforma, successivamente alla pubblicazione nella Gazzetta Ufficiale dell’annuncio di cui all’articolo 7, secondo comma, della legge 25 maggio 1970, n. 352, della proposta;

2. alla consultazione, estrazione e controllo delle sottoscrizioni raccolte per l’iniziativa;

3. all’abilitazione di ulteriori soggetti promotori i cui nominativi sono inseriti in piattaforma ai sensi della lettera a), numero 1” (comma 3, lett. b);

“Utenza Cittadino”: dedicata agli “aventi diritto che intendono sottoscrivere una proposta referendaria o di legge popolare” (comma 3, lett. c).

Il predetto manuale operativo dovrà descrivere, in particolare, alcune funzionalità specifiche della piattaforma volte a:

- abilitare il personale dell’Ufficio centrale per il referendum presso la Corte di cassazione (art. 4, 6 comma 3, lett. a), il quale a sua volta può poi abilitare almeno due dei soggetti promotori (art. 4, comma 4);

- consentire al promotore abilitato (dal personale dell’Ufficio centrale per il referendum) di abilitare altri promotori dell’iniziativa, i cui nominativi sono inseriti in piattaforma, nonché caricare in piattaforma la proposta recante, a seconda delle finalità della raccolta delle firme, le specifiche indicazioni prescritte, rispettivamente, dagli articoli 4, 27 e 49 della legge n. 352 del 1970, oltre agli ulteriori dati utili alla presentazione dell’iniziativa (art. 4, comma 5);

- una volta caricata dal promotore, acquisire “la proposta e, rendendola immodificabile nel rispetto delle previsioni del CAD e delle Linee guida AgID sulla formazione, gestione e conservazione dei documenti informatici, le attribuisce data certa mediante l’apposizione di uno strumento di validazione temporale elettronica qualificata di cui all’articolo 42 del regolamento eIDAS” (art. 4, comma 6);

- rendere “disponibile ai promotori un’attestazione di pubblicazione dell’iniziativa referendaria o di legge popolare munita di sigillo elettronico qualificato ai sensi del regolamento eIDAS” nonché rendere “disponibile la stessa iniziativa alla raccolta delle sottoscrizioni, per il periodo di tempo necessario a seconda delle finalità della raccolta nel rispetto di quanto previsto dagli articoli 4, 28 e 49 della legge n. 352 del 1970” (art. 4, comma 7);

- consentire ai promotori di terminare la raccolta delle firme in qualunque momento (art. 4, comma 8).

- a partire dalla data in cui è assicurata l’interoperabilità con la PDND ovvero con l’Anagrafe nazionale della popolazione residente (ANPR), “verifica[re] automaticamente, tramite una specifica funzionalità descritta nel manuale operativo di cui all’articolo 3, comma 3, la correttezza dei dati del personale abilitato dell’Ufficio centrale per il referendum presso della Corte di cassazione, dei promotori della raccolta e dei cittadini fruitori della stessa piattaforma nonché l’iscrizione nelle liste elettorali.” (art. 4, comma 9).

Per quanto riguarda le modalità previste per la raccolta delle sottoscrizioni, lo schema di decreto prevede che il cittadino, “dopo aver effettuato l’accesso alla piattaforma […] sceglie la proposta referendaria o di legge popolare che intende sottoscrivere” (art. 5, comma 1). La piattaforma, inoltre, “mediante una specifica funzionalità descritta nel manuale operativo […] acquisisce il nome, il cognome, il luogo e la data di nascita del sottoscrittore, il comune nelle cui liste elettorali è iscritto ovvero, per i cittadini italiani residenti all’estero, la loro iscrizione nelle liste elettorali dell’Anagrafe degli italiani residenti all’estero, nonché, ove disponibile, l’attributo elettore presente in ANPR” (art. 5, comma 2).

In relazione alla fase della raccolta della sottoscrizione, la piattaforma acquisisce, altresì, “l’identificativo univoco della sessione di autenticazione fornito dal gestore di identità digitale” e “nel caso in cui tale identificativo non è disponibile, lo stesso è generato e associato alla sessione direttamente dalla piattaforma”. Tali informazioni “sono esposte al sottoscrittore, in relazione all’iniziativa prescelta, al momento della raccolta della firma espressa, con le modalità descritte nel manuale operativo […], mediante la pressione di un tasto negoziale dedicato alla sottoscrizione“ (art. 5, comma 4). Tutte le informazioni e le evidenze informatiche delle attività di cui ai commi 1, 2, 3 e 4 sono registrate e rese immodificabili nel rispetto delle disposizioni del GDPR e del CAD” (art. 4, comma 5); inoltre, il gestore della piattaforma “garantisce la riconducibilità della sottoscrizione all’avente diritto mediante certificazione di processo delle attività di cui ai commi 1, 2, 3 e 4 e apposizione al relativo documento del proprio sigillo elettronico qualificato, ai sensi del regolamento eIDAS” (art. 5, comma 6).

Lo schema di decreto disciplina la conservazione dei dati relativi alle sottoscrizioni e l’accesso dei diversi utenti ai dati. In particolare è previsto che “Il gestore della piattaforma conserva le informazioni e le evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4, per un periodo di cinque anni, tramite memorizzazione nel rispetto delle disposizioni del GDPR e del CAD” (art. 6, comma 1).

L’accesso, mediante specifiche funzionalità descritte nel manuale operativo, durante il periodo di conservazione, è consentito:

- al “personale dell’Ufficio centrale per il referendum presso la Corte di cassazione abilitato dal gestore”, relativamente “alle informazioni e alle evidenze informatiche conservate nella piattaforma” (art. 6, comma 2);

- ai “soggetti promotori della proposta referendaria o di legge abilitati”, esclusivamente in relazione “alle informazioni e alle evidenze informatiche conservate, relative alle proprie proposte referendarie e di iniziativa popolare” (art. 6, comma 3);

- agli “aventi diritto che intendono sottoscrivere una proposta referendaria o di legge popolare”, esclusivamente con riguardo “alle informazioni e alle evidenze informatiche relative alle proprie sottoscrizioni” (art. 6, comma 4).

Con riferimento alla messa a disposizione delle firme raccolte elettronicamente all’Ufficio centrale per il referendum presso la Corte di cassazione, il manuale operativo dovrà disciplinare specifiche funzionalità necessarie per:

- consentire ai soggetti promotori, al termine del periodo di raccolta delle sottoscrizioni e, comunque, nella stessa data in cui effettuano il deposito di eventuali firme autografe raccolte per la medesima proposta referendaria, di mettere a disposizione dell’Ufficio centrale per il referendum presso la Corte di cassazione le firme raccolte elettronicamente, comprensive delle informazioni e delle evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4 (art. 7, comma 1). In alternativa, consentire ai predetti soggetti di estrarre il duplicato informatico o la copia analogica delle firme acquisite elettronicamente, onde effettuare il deposito delle stesse (art. 7, comma 4);

- consentire alla piattaforma, contestualmente alla messa a disposizione delle firme e delle evidenze ai sensi del comma 1, di rendere disponibile ai promotori un’attestazione di messa a disposizione munita di sigillo elettronico qualificato e riferimento temporale qualificato, ai sensi del regolamento eIDAS (art. 7, comma 2);

- consentire al personale abilitato dell’Ufficio centrale per il referendum presso la Corte di cassazione di verificare la validità delle firme raccolte elettronicamente, successivamente alla messa a disposizione delle firme e delle evidenze di cui al comma 1 (art. 7, comma 3).

Inoltre, l’art. 8, recante le “Tipologie di dati oggetto di trattamento, le categorie di interessati e le procedure per assicurare il rispetto dell’articolo 5 del Regolamento UE 2016/679” individua i seguenti dati personali oggetto del trattamento:

“a. il nome, il cognome, il luogo, la data di nascita, il codice fiscale del personale dell’Ufficio centrale per il referendum presso la Corte di cassazione abilitato ai sensi dell’articolo 4, comma 3, lettera a) e, ove disponibile, l’ID ANPR dello stesso personale;

b. il nome, il cognome, il luogo di nascita, la data di nascita, il codice fiscale, il comune di iscrizione nelle liste elettorali ovvero l’iscrizione nelle liste elettorali dell’Anagrafe degli italiani residenti all’estero dei promotori della raccolta e, ove disponibile, ID ANPR degli stessi;

c. il nome, il cognome, il luogo, la data di nascita, il codice fiscale, il comune di iscrizione nelle liste elettorali ovvero l’iscrizione nelle liste elettorali dell’Anagrafe degli italiani residenti all’estero dei soggetti sottoscrittori la proposta di referendum o di legge popolare e, ove disponibili, l’ID ANPR degli stessi e l’attributo elettore presente in ANPR;

d. l’identificativo univoco della sessione di autenticazione fornito dal gestore dell’identità digitale ovvero generato direttamente dalla piattaforma;

e. l’evidenza della sottoscrizione della proposta referendaria o di legge popolare” (art. 8, comma 1).

La predetta disposizione precisa che tali dati sono trattati dai soggetti abilitati (ossia dal personale dell’Ufficio centrale per il referendum e dai promotori) “esclusivamente per lo svolgimento delle attività di rispettiva competenza nonché dal gestore per garantire il corretto funzionamento del sistema” (art. 8, comma 2), specificando che “tutti i dati afferenti l’utilizzo e la gestione del sistema sono conservati dal gestore con modalità atte a garantirne la protezione mediante misure tecniche e organizzative idonee ad evitare trattamenti non autorizzati o illeciti, la perdita e la distruzione” (art. 8, comma 3).

Il successivo art. 9 reca disposizioni in materia di trattamento dei dati personali, chiarendo i ruoli dei diversi soggetti nell’ambito del trattamento in esame e prevedendo, in particolare, che:

- “I dati personali di cui all’articolo 8 sono trattati esclusivamente per le finalità inerenti la raccolta delle firme degli elettori necessarie per i referendum previsti dagli articoli 75 e 138 della Costituzione nonché per i progetti di legge previsti dall’articolo 71, secondo comma, della Costituzione” (comma 1);

- il “gestore della piattaforma” (che, allo stato, non è individuato) è il “titolare del trattamento dei dati raccolti attraverso la piattaforma e, in generale, di ogni altro dato inerente alla gestione di ogni attività strumentale all’utilizzo della stessa piattaforma” (comma 2);

- il personale dell’Ufficio centrale per il referendum presso la Corte di Cassazione abilitato dal gestore e i soggetti promotori della proposta referendaria o di legge popolare abilitati trattano i dati di cui all’articolo 8 “quali titolari autonomi del trattamento ai sensi della legge n. 352 del 1970 e del presente decreto” (comma 3).

Lo stesso articolo 9 prevede, poi, che il gestore della piattaforma “previa aggregazione, può utilizzare i dati acquisiti per finalità di miglioramento del servizio erogato, nonché per lo sviluppo della piattaforma” (comma 7). A tale soggetto, qualificato come titolare del trattamento ai sensi delle sopra citate disposizioni, spetta anche il compito di implementare misure di sicurezza appropriate e specifiche per tutelare i diritti fondamentali e gli interessi delle persone fisiche (comma 5), nonché effettuare, prima dell’inizio dell’attività di trattamento, la valutazione d’impatto ai sensi dell’articolo 35 del GDPR (comma 6).

Lo schema di decreto, infine, con una disposizione transitoria, prevede che “Fino alla data di attivazione delle utenze del personale dell’Ufficio centrale per il referendum della Corte di cassazione, le attività previste all’articolo 4, comma 3, lettera a), numeri 1 e 2) [ossia: inserire in piattaforma i nominativi dei promotori della raccolta; abilitare almeno due promotori della raccolta ad operare sulla piattaforma] sono effettuate dal personale della Presidenza del Consiglio dei Ministri, o da questa delegato, preventivamente autorizzato ed opportunamente formato”. A tal fine, con le modalità che saranno indicate in un’apposita sezione dell’area pubblica del portale, “uno dei soggetti promotori […] trasmette alla stessa Presidenza, […] il verbale rilasciato dalla cancelleria della Corte di cassazione ai sensi dell’articolo 7, comma 1, della legge n. 352 del 1970”, che entro due giorni inserisce nella piattaforma i dati dei promotori e abilita almeno due di essi “utilizzando una specifica funzionalità descritta nel manuale operativo”.

OSSERVA

3. Considerazioni preliminari.

L’art. 1, commi 341, 343 e 344, della legge 30 dicembre 2020, n. 178, come già anticipato, ha previsto l’istituzione di un fondo presso la Presidenza del Consiglio dei Ministri, destinato alla realizzazione di una piattaforma per la raccolta delle firme per i referendum e i progetti di legge di cui agli artt. 75, 138 e 71 della Costituzione. Tale piattaforma consente ai promotori della raccolta di caricare le proposte di referendum o di legge, attribuendo loro data certa mediante uno strumento di validazione temporale elettronica qualificata, e ai sottoscrittori di firmare le proposte mediante la piattaforma, acquisendone i dati anagrafici e quelli relativi al comune di iscrizione nelle liste elettorali.

Sono demandate, al d.P.C.M. in esame, la definizione delle caratteristiche tecniche, dell'architettura generale, dei requisiti di sicurezza, delle modalità di funzionamento e di accesso alla piattaforma. Con lo stesso decreto, devono essere definite le modalità con le quali i promotori mettono a disposizione dell'Ufficio centrale per il referendum presso la Corte di Cassazione le firme così raccolte, nonché le modalità con cui il predetto Ufficio ne verifica la validità, anche mediante l'accesso alla piattaforma.

Il comma 344 della stessa legge ha previsto che fino alla data di operatività della piattaforma, i promotori possano raccogliere le firme degli elettori anche mediante documento informatico, sottoscritto con firma elettronica qualificata, a cui è associato un riferimento temporale validamente opponibile ai terzi. Tale possibilità è prevista dalla legge solo in via transitoria, in quanto dal momento in cui la piattaforma sarà operativa, gli elettori potranno sottoscrivere le proposte con modalità elettroniche, unicamente attraverso la piattaforma di cui al comma 341, oppure con le modalità tradizionali previste dalla legge n. 352/70.

3.1. Il trattamento di categorie particolari di dati personali.

Deve, inoltre, osservarsi, nel silenzio del d.P.C.M., che i dati dei sottoscrittori di una proposta di referendum o di progetto di legge, vanno inquadrati nell’ambito delle particolari categorie di dati di cui all’art. 9, par. 1, del Regolamento in quanto rivelano - ancor più del dato relativo alla mera partecipazione alla consultazione referendaria - le opinioni o la posizione politica del sottoscrittore.

Il Regolamento prevede che il trattamento di tali dati è consentito solo nella misura in cui sia “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato” (art. 9, par. 2, lett. g).

Nel margine di flessibilità concesso al legislatore nazionale, la rilevanza dell'interesse pubblico è stata ulteriormente declinata nell’ambito dell'art. 2-sexies, che ha specificato le condizioni, richieste dall'art. 9, par. 1, lett. g), del Regolamento, quando il trattamento sia necessario per motivi di interesse pubblico rilevante – tra i quali rientrano le finalità di “elettorato attivo e passivo ed esercizio di altri diritti politici […]” l’art. 2-sexies, comma 2, lett. f)) - delimitandone i presupposti di legittimità alla sussistenza di una previsione normativa che deve specificare, oltre al motivo di interesse pubblico rilevante, alle tipologie di dati e alle operazioni eseguibili, soprattutto le misure appropriate per tutelare i diritti degli interessati. In tale quadro, è necessario che tali disposizioni normative abbiano, in modo ancora più stringente, le caratteristiche richieste dalla disciplina di protezione dei dati in termini di qualità della fonte, contenuti necessari e rispetto del principio di proporzionalità (art. 6, par. 3, del Regolamento).

Ciò premesso, si osserva che le disposizioni di cui all’art. 1, commi 341, 343 e 344, sopra citate, nel testo derivante dalle modifiche apportate dai decreti legge 31 marzo 2021, n. 77 e 6 novembre 2021, n. 152, risultano essere state approvate, sia in sede decretazione che di successiva legge di conversione, in assenza del prescritto parere del Garante.

Il tempestivo e necessario coinvolgimento dell’Autorità, previsto anche “durante l’elaborazione di una proposta di atto legislativo”, oltre a evitare il vizio procedurale, avrebbe consentito all’Autorità di indicare tempestivamente modalità e garanzie per i diritti degli interessati, fin dalla progettazione della norma primaria, evitando con ciò alcune delle criticità anche in relazione allo schema di decreto in esame, con riguardo soprattutto alla mancata individuazione delle misure appropriate richieste dal Regolamento nel caso del trattamento delle categorie particolari di dati.

I citati princìpi e le caratteristiche delle norme che prevedono il trattamento di particolari categorie di dati, allo stato, non risultano, infatti, soddisfatti dal quadro normativo complessivamente derivante dall’art. 1 della legge n. 178/2020 e dallo schema di decreto in esame, in ragione delle criticità che saranno di seguito evidenziate e della conseguente necessità di prevedere adeguate misure per tutelare i diritti degli interessati.

3.2. Criticità connesse all’introduzione di una piattaforma nazionale.

3.2.1. Secondo il quadro delineato dalla Costituzione e dalla legge 25 maggio 1970, n. 352, il trattamento dei dati dei sottoscrittori dei referendum e delle proposte di progetti di legge compete ad alcuni soggetti, ai quali l'ordinamento conferisce la titolarità e l'esercizio di funzioni pubbliche costituzionalmente rilevanti e garantite, quali la presentazione della proposta di referendum o di legge, la raccolta dei dati personali dei sottoscrittori, la verifica dell’iscrizione degli stessi nelle liste elettorali, il deposito dei fogli contenenti le sottoscrizioni con le firme autenticate e la verifica della validità delle stesse. In particolare, tali attività sono demandate ai seguenti soggetti:

- promotori, partiti e gruppi politici (cfr. artt. 7, 9, 19, 21, 28, 32 e 52 della legge n. 352/70);

- l’Ufficio centrale per il referendum presso la Corte di Cassazione (art. 12, comma 1, della citata legge n. 352/70);

- la Camera alla quale viene presentata la proposta di progetto di legge (art. 48 della citata legge n. 352/70).

Lo schema di decreto, nello svolgimento delle predette attività – che, si ricorda, costituiscono esercizio di funzioni pubbliche costituzionalmente rilevanti e garantite (cfr. Corte Cost., sentenza n. 69/1978) – contempla, invece, l’intervento di ulteriori soggetti, quali:

- il gestore della piattaforma, ossia una persona giuridica individuata dalla Presidenza del Consiglio, allo stato del tutto indeterminata (soggetto pubblico, società partecipata, soggetto privato, etc.; cfr. art. 1, comma 1, lett. e) e art. 9, comma 2, dello schema di decreto);

- la Presidenza del Consiglio, chiamata a realizzare la piattaforma e, seppure solo fino all’attivazione delle utenze dell’Ufficio centrale per il referendum, ad inserire i dati e ad abilitare l’accesso dei promotori alla piattaforma (art. 10, comma 1, dello schema).

La frammentazione e l’alterazione di ruoli e responsabilità risultante dall’introduzione della piattaforma e dalla previsione di ulteriori soggetti legittimati a trattare i dati personali dei sottoscrittori delle proposte solleva notevoli perplessità sulla compatibilità rispetto al sistema di garanzie posto a presidio dei diritti di partecipazione alla vita democratica del paese, potendo incidere negativamente sui diritti e sulle libertà costituzionalmente riconosciuti sia ai promotori sia ai sottoscrittori delle proposte di referendum e di legge, ma anche, più in generale, a tutti i cittadini, in relazione al corretto funzionamento di tali istituti, per le seguenti ragioni. In primo luogo, vengono attribuiti a una società, scelta dalla Presidenza del Consiglio e da questa designata gestore della piattaforma, compiti che incidono sull’autonomia costituzionale di soggetti non collegati al potere esecutivo: da una parte, i promotori di referendum e proposte di legge, quali titolari di funzioni pubbliche costituzionalmente rilevanti e garantite; dall’altra, l’Ufficio centrale per il referendum presso la Corte di Cassazione, organo che esercita funzioni giurisdizionali e, in quanto tale, espressione massima di terzietà e indipendenza. In secondo luogo, perché vengono affidate alla Presidenza del Consiglio dei Ministri, seppur temporaneamente (cfr. art. 10 dello schema di decreto), funzioni proprie del medesimo Ufficio centrale (cfr. Corte Cost., sentenza n. 69/1978).

3.2.2. Sotto il profilo della protezione dei dati personali, tali criticità riguardano la mancata definizione, nello schema di decreto in esame, dei ruoli dei soggetti coinvolti nel trattamento dei dati in questione e, segnatamente, del ruolo che assume il gestore della piattaforma. Si rileva, anche, che né la legge né lo schema di decreto in esame chiariscono il ruolo o la posizione della Presidenza del Consiglio cui la legge, con l’attribuzione dei fondi, assegna la responsabilità di attuare la piattaforma, affidandone la realizzazione al gestore.

Al riguardo, ai sensi dell’art. 9, comma 2, dello schema di decreto, il gestore della piattaforma – ossia la “persona giuridica a cui la Presidenza del Consiglio dei Ministri affida la realizzazione, la gestione e la manutenzione della piattaforma” (art. 1, comma 1, lett. e) – è individuato quale “titolare del trattamento dei dati raccolti attraverso la piattaforma e, in generale, di ogni altro dato inerente alla gestione di ogni attività strumentale all’utilizzo della stessa piattaforma”.

Il titolare del trattamento è il soggetto che “determina le finalità e i mezzi del trattamento di dati personali” (art. 4, par. 7 del Regolamento).

L’inquadramento del gestore quale titolare del trattamento non risulta conforme all’impianto normativo dettato, nell’ambito del quadro costituzionale, dalla citata legge 25 maggio 1970, n. 352 che individua, invece, nei soggetti promotori, nell’Ufficio centrale del referendum e in una delle Camere, i soggetti competenti a porre in essere le attività ivi disciplinate e i relativi trattamenti di dati.

L’iniziativa sulla proposta di legge o di referendum è riconosciuta ai promotori nel rispetto degli adempimenti disciplinati dalla legge. A tali soggetti è attribuito il compito di provvedere all’acquisizione dei dati, alla raccolta e all’autenticazione delle firme dei sottoscrittori nonché alla verifica, presso i comuni, dell’iscrizione degli stessi nelle liste elettorali. I promotori, devono, inoltre, in rappresentanza dei sottoscrittori, provvedere alla presentazione delle firme presso l’Ufficio centrale del referendum per la verifica della validità delle stesse.

Si evidenzia, peraltro, che tali soggetti sono correttamente individuati dall’art. 9, comma 3, del decreto in esame, quali titolari autonomi del trattamento nell’ambito della piattaforma.

Alla luce di quanto sin qui osservato, appare pertanto necessario qualificare il gestore della piattaforma non quale titolare del trattamento (come previsto dall’art. 9 dello schema di decreto), bensì quale responsabile del trattamento (art. 28 del Regolamento) cui sono affidate, ai sensi dell’art. 1, comma 343, della legge n. 178/2020, la realizzazione, la gestione e la manutenzione della stessa.

Il responsabile del trattamento, infatti, è il soggetto ”che tratta dati personali per conto del titolare del trattamento” (art. 4, par. 8 del Regolamento). Esso deve presentare garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse (art. 28, par. 1, e cons. 81 del Regolamento). In tale quadro, lo stesso comma 343 prevede che il gestore attesti il malfunzionamento della piattaforma e comunichi il rispristino delle sue funzionalità, senza con ciò attribuirgli alcun potere in merito alla definizione delle finalità e delle modalità del trattamento.

3.2.3. Oltre al mancato inquadramento del gestore della piattaforma quale responsabile del trattamento, lo schema di decreto non sembra riconoscere prerogative adeguate, in linea con il quadro normativo in materia di protezione dei dati personali, in capo ai promotori, qualificati quali titolari autonomi del trattamento, prima fra tutte la decisione se avvalersi o meno della piattaforma, che attiene alla definizione delle finalità e delle modalità del trattamento. Si rileva, infatti, che sia legge n. 178/2020 che lo schema di decreto prevedono che solo l’Ufficio centrale per il referendum possa scegliere se utilizzare o meno la piattaforma per la verifica della validità delle firme raccolte elettronicamente (cfr. art. 1, comma 343, della legge n. 178/2020 e art. 7, commi 1 e 4 dello schema in esame), sebbene, anche in questo caso, la piattaforma resti il nodo tecnologico centrale attraverso cui avviene la raccolta delle firme e attraverso cui, in ultima analisi, viene attestata la validità della sottoscrizione.

Con riguardo alle prerogative adeguate al ruolo di titolare riconosciuto in capo ai promotori, si ritiene necessario integrare lo schema di decreto introducendo misure tecniche e organizzative che assicurino il rispetto dei principi di liceità, limitazione della finalità e riservatezza (come, ad esempio, la segregazione dei dati), e la disponibilità dei dati personali in relazione ai compiti loro demandati dalla normativa di settore nonché l’alternatività dell’uso della piattaforma, rispetto alle modalità già previste dall’ordinamento per la sottoscrizione di documenti.

Inoltre, a seconda che la raccolta delle sottoscrizioni degli elettori si realizzi con le modalità tradizionali previste dalla legge n. 352/1970 oppure sia effettuata attraverso la piattaforma - modalità destinate a coesistere a regime - la previsione da parte del decreto in esame di ulteriori soggetti che intervengono nel trattamento dei dati, soprattutto, dei sottoscrittori, si traduce in una ingiustificata diversificazione delle garanzie poste a presidio del corretto funzionamento degli istituti di partecipazione democratica.

3.2.4. Analoghe considerazioni, in termini di garanzie previste, possono essere svolte in relazione alle modalità di sottoscrizione delle proposte sulla piattaforma, che rendono necessarie alcune integrazioni allo schema di decreto.

Più precisamente, posto che l’art. 1, comma 343 della legge n. 178/2020 prevede che la raccolta delle firme degli elettori possa realizzarsi “anche mediante la modalità prevista dall'articolo 65, comma 1, lettera b), del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82”, occorre rilevare che, in base a tale disposizione legislativa, l’identificazione del sottoscrittore del referendum viene equiparata alla stregua di colui che viene identificato mediante Spid, Cie e Cns nei casi in cui presenta, da remoto, “le istanze e le dichiarazioni presentate per via telematica alle pubbliche amministrazioni […] ai sensi dell’art. 38, commi 1 e 3, del d.P.R. 28.12.2000, n. 445”. Le garanzie previste per l’identificazione e la sottoscrizione dovrebbero, invece, essere equivalenti a quelle ordinariamente previste nella procedura analogica disciplinata dall’art. 8 della legge 352/1970, con l’autenticazione da parte di un pubblico ufficiale. Al fine di scongiurare una ingiustificata compressione di garanzie rispetto agli elettori che sottoscrivono le proposte con le modalità tradizionali, occorre individuare compiutamente nello schema in esame le misure tecniche e organizzative atte a garantire la sicurezza, l’integrità, l’immodificabilità della sottoscrizione e la sua riconducibilità all’autore. Occorre altresì prevedere nello schema che, nella procedura di sottoscrizione siano adottate misure per assicurare la chiara ed inequivocabile volontà del cittadino di effettuare la sottoscrizione in relazione a ciascun quesito referendario o proposta di legge.

3.3. Conservazione dei dati nella piattaforma.

In base al principio di limitazione della conservazione, i dati devono essere conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati (artt. 5, par. 1, lett. e) e 6, par. 3, lett. b) del Regolamento).

Con riferimento alla conservazione dei dati all’interno della piattaforma, l’art. 6 dello schema di decreto in esame prevede che “Il gestore della piattaforma conserva le informazioni e le evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4, per un periodo di cinque anni, tramite memorizzazione nel rispetto delle disposizioni del GDPR e del CAD”.

Pertanto, in ossequio al principio sopra richiamato, nonché in linea con le finalità sottese alla raccolta delle sottoscrizioni degli elettori, non risulta documentata alcuna valutazione in ordine alla necessità e alla proporzionalità del termine di conservazione individuato dal decreto, risultando invece necessario prevedere che l’accesso ai dati dei sottoscrittori, fino al deposito delle firme all’Ufficio centrale del referendum, sia consentito solo ai promotori, adottando misure di segregazione (per esempio, utilizzando tecniche di crittografia), nonché limitare temporalmente il trattamento dei dati dei sottoscrittori nell’ambito della piattaforma non oltre la verifica della validità delle sottoscrizioni da parte dell’organo a ciò preposto.

3.4. Il rinvio al manuale operativo.

L’art. 1, comma 3243, della legge 178/2020, prevede che siano definite con decreto “le caratteristiche tecniche, l'architettura generale, i requisiti di sicurezza, le modalità di funzionamento della stessa piattaforma, i casi di malfunzionamento nonché le modalità con le quali il gestore della piattaforma attesta il suo malfunzionamento e comunica il ripristino delle sue funzionalità […] le modalità di accesso alla piattaforma di cui al comma 341, le tipologie di dati oggetto di trattamento, le categorie di interessati e, in generale, le modalità e le procedure per assicurare il rispetto dell' articolo 5 del regolamento (UE) 2016/679”.

Come anticipato, l’art. 3 dello schema di d.P.C.M. demanda a un “manuale operativo”, “redatto dal gestore della piattaforma, d’intesa con il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri, e pubblicato sul sito web dello stesso gestore e sul portale”, la descrizione di alcune specifiche funzionalità della piattaforma. In particolare, è demandato al manuale la definizione delle “caratteristiche tecniche, le regole tecniche e i requisiti di sicurezza della piattaforma” e l’individuazione delle “metriche di successo e fallimento delle operazioni eseguite, unitamente a metriche prestazionali e di qualità, nonché di assistenza agli utenti” (art. 3, comma 3). Nei successivi articoli dello schema di decreto sono continui i richiami al predetto manuale per la definizione di ulteriori aspetti rilevanti del trattamento.

Al riguardo, in presenza di un trattamento che coinvolge categorie particolari di dati, si osserva che il rinvio dell’individuazione di misure adeguate ad assicurare il rispetto dei requisiti previsti dalla normativa in materia di protezione dei dati personali, non risulta in primo luogo conforme né al Regolamento (spec. art. 9, par. 2, lett. g)), né al Codice (spec. art. 2-sexies), né tantomeno all’art. 1, comma 343, della legge n. 178/2020, sopra richiamato, alla luce del quale tali elementi devono essere definiti da una base giuridica idonea. La mancanza di tali elementi costitutivi del trattamento che lo schema di decreto sarebbe tenuto a disciplinare, non rende possibile al Garante, né al Ministro della giustizia concertante, una piena valutazione della conformità dello stesso al quadro normativo in materia di protezione dei dati personali, in violazione dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), del Regolamento. In relazione a tale criticità, si rende necessario integrare il testo del decreto.

* * *

Alla luce di tali considerazioni, si osserva che lo schema di d.P.C.M. in esame, oltre a non risultare coerente con il quadro normativo complessivo, reca profili di violazione della disciplina in materia di protezione dei dati personali che impongono la necessità di operare una profonda revisione del testo. In tale quadro, si evidenziano nei successivi paragrafi ulteriori profili di criticità.

4. Ulteriori osservazioni.

4.1. Tipologia delle utenze della piattaforma.

L’art. 4 comma 3, prevede funzionalità della piattaforma diversificate in relazione a tre distinte “tipologie di utenti”. Tuttavia tale disposizione non disciplina, in alcuna maniera, le utenze di “amministratore” riconducibili al ruolo del gestore della piattaforma, cui sono affidate, ai sensi dell’art. 1, comma 343, della legge n. 178/2020, la realizzazione, la gestione e la manutenzione della stessa.

Con riferimento all’”Utenza Corte di Cassazione”, genericamente previsto per il “personale” dell’Ufficio centrale per il referendum, si osserva preliminarmente che tale Ufficio – competente a ricevere le richieste di referendum e a decidere sulla legittimità delle stesse, nonché a verificare la validità delle firme raccolte – costituito “dai tre presidenti di sezione della Corte di cassazione più anziani nonché dai tre consiglieri più anziani di ciascuna sezione” (art. 12, comma 1, della citata legge n. 352/70), è qualificato come “struttura giurisdizionale, di tipo speciale, organo della Corte di cassazione” le cui competenze sono riconducibili all’esercizio del potere giudiziario (cfr. Corte Cost. 69/1978).

Per tale motivo, si ritiene che le Utenze Corte di Cassazione debbano essere opportunamente differenziate, in relazione alla natura delle attività (inserimento dei dati dei promotori, abilitazione delle utenze, consultazione, estrazione e controllo delle sottoscrizioni, etc.) e ai soggetti deputati dall’ordinamento a svolgerle (magistrati, personale amministrativo o tecnico). A tal proposito è necessario adottare misure organizzative e tecniche per assicurare il rispetto dei principi di liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione, esattezza, integrità e riservatezza di cui all’art. 5, lett. a), b) c), e), f), del Regolamento prevedendo, in particolare, che:

- i profili di accesso siano differenziati in base al profilo e alle specifiche mansioni dell’utente;

- siano previste delle limitazioni temporali per gli accessi, in relazione alle fasi della procedura disciplinate dalla legge n. 352/1970 (per es. l’accesso per la consultazione, estrazione, verifica delle sottoscrizioni, dovrebbe essere consentito solo a partire dal momento del deposito delle sottoscrizioni da parte dei promotori, considerato che gli stessi possono interrompere la raccolta in qualunque momento);

- sia limitata la funzione relativa ad “abilitare e disabilitare ulteriori soggetti facenti parte dell’Ufficio centrale per il referendum” ad uno specifico profilo (es. utente amministratore) al fine di evitare la potenziale proliferazione di utenze senza controllo e il rischio di accessi abusivi o non autorizzati, pregiudicando con ciò l’integrità e la riservatezza dei medesimi dati (art. 5, par. 1, lett. f), del Regolamento).

4.2. La verifica “automatica” dei dati in ANPR e nelle liste elettorali.

Con riguardo ai dati dei sottoscrittori, l’art. 1, comma 341, della legge n. 178/2020 prevede che la piattaforma acquisisca “il nome, il cognome, il luogo e la data di nascita del sottoscrittore e il comune nelle cui liste elettorali è iscritto”.

L’art. 4, comma 9, dello schema dispone, invece, che “la piattaforma, a partire dalla data in cui è assicurata l’interoperabilità con […] l’Anagrafe nazionale della popolazione residente (ANPR), verifica automaticamente […] la correttezza dei dati del personale abilitato dell’Ufficio centrale per il referendum presso della Corte di cassazione, dei promotori della raccolta e dei cittadini fruitori della stessa piattaforma nonché l’iscrizione nelle liste elettorali”.

Ciò posto, deve rilevarsi che tale verifica non è contemplata dalla citata norma primaria, la quale prevede che la piattaforma “acquisisce” – e non “verifica” – i dati dei sottoscrittori, in linea con quanto disposto dalla legge n. 352/1970, ai sensi della quale sono i sottoscrittori a fornire i dati personali e il dato relativo al comune nelle cui liste elettorali sono iscritti. Del resto, l’unica “verifica” demandata alla piattaforma dalla legge n. 178/2020 concerne la validità delle firme (art. 1, comma 343, ultimo periodo), di competenza dell’Ufficio centrale per il referendum presso la Corte di cassazione.

Peraltro, con riferimento a tale verifica, l’art. 8, ultimo comma, della legge 352/70 prevede che “Alla richiesta di referendum debbono essere allegati i certificati, anche collettivi, dei sindaci dei singoli comuni, ai quali appartengono i sottoscrittori, che ne attestano la iscrizione nelle liste elettorali dei comuni medesimi […]. I sindaci debbono rilasciare tali certificati entro 48 ore dalla relativa richiesta. I certificati elettorali rilasciati mediante posta elettronica certificata o un servizio elettronico di recapito certificato qualificato, possono essere depositati, unitamente alla richiesta di referendum e al messaggio a cui sono acclusi, come duplicato informatico ai sensi dell'articolo 1, comma 1, lettera i-quinquies), del [CAD], ovvero come copia analogica di documento informatico se dotati del contrassegno a stampa di cui all' articolo 23, comma 2-bis, del medesimo codice”.

Tale norma prevede, quindi, che la verifica dei certificati elettorali sia richiesta dai promotori ai comuni nelle cui liste sono iscritti. Si rileva, inoltre, che lo schema di decreto in esame non chiarisce se la verifica, effettuata mediante l’interoperabilità con la PDND e ANPR, sia effettuata su “richiesta” dei promotori “automaticamente” - cioè mediante una specifica funzionalità che attiva tali controlli, in modo massivo al termine della raccolta ai fini del deposito delle sottoscrizioni presso l’Ufficio centrale del referendum - oppure se tale verifica sia fatta all’atto della sottoscrizione, con funzioni (sostanzialmente) di validazione della stessa a seguito della conferma dell’iscrizione nelle liste elettorali. Considerato che di tali accessi della piattaforma resta traccia anche nelle banche dati consultate (ANPR/liste elettorali) e che i promotori possono, per legge, interrompere la raccolta dei delle firme in ogni momento, nell’ultimo dei casi sopra indicati si realizzerebbe un trattamento non necessario, in violazione dei principi di liceità, correttezza e minimizzazione dei dati (art. 5, par. 1, lett. a) e c), del Regolamento), consistente nel tracciamento delle operazioni di sottoscrizione nelle piattaforme utilizzate, antecedentemente e a prescindere dal deposito delle firme in Cassazione, da parte di soggetti a ciò non autorizzati.

Anche con riguardo ai dati dei promotori, la verifica da parte della piattaforma non è contemplata dalla norma primaria. La loro iscrizione nelle liste elettorali è verificata dall’Ufficio centrale per il referendum della Corte di Cassazione, all’atto della presentazione della proposta. Al riguardo, l’art. 7, comma 1, della legge 352/70 prevede che “i promotori della raccolta, in numero non inferiore a dieci, devono presentarsi, muniti di certificati comprovanti la loro iscrizione nelle liste elettorali di un comune della Repubblica o nell'elenco dei cittadini italiani residenti all'estero [...] alla cancelleria della Corte di cassazione, che ne dà atto con verbale, copia del quale viene rilasciata ai promotori”. La verifica del requisito dell’elettorato attivo è quindi prodromica all’inserimento dei dati in piattaforma, e tale inserimento può essere effettuato solo a valle della verifica da parte della Cassazione che ne dà atto nel verbale. Ne consegue che la verifica automatica dei dati dei promotori prevista dallo schema di decreto, oltre a non essere prevista dalla norma primaria, non risulta in alcun modo necessaria, traducendosi con ciò in un trattamento di dati eccedente rispetto alle finalità, in violazione dell’art. 5, paragrafo 1, lett. a) e c) del Regolamento. Analoga osservazione riguarda le verifiche automatiche sui dati del personale operante presso la Cassazione.

Alla luce di tali osservazioni, si ritiene necessario prevedere che la verifica della correttezza dei dati personali dei sottoscrittori con quelli presenti in ANPR nonché la loro iscrizione nelle liste elettorali, possa essere effettuata solo su “richiesta” dei promotori, mediante una specifica funzionalità che attivi tali controlli ai fini del deposito delle firme presso l’Ufficio centrale del referendum, ed espungere la previsione di tali controlli con riguardo ai sottoscrittori e al personale abilitato presso la Corte di Cassazione.

4.3. Il trattamento dell’ID ANPR.

L’art. 8 dello schema di decreto include, tra i dati personali oggetto di trattamento, anche l’ID ANPR in relazione a tutti i soggetti per i quali sono previsti i controlli in automatico su tale banca dati (promotori, sottoscrittori, personale dell’Ufficio centrale per il referendum).

Premesso che l’utilizzo dell’ID ANPR non è ancora stato disciplinato dal decreto previsto dall’art. 62, comma 6-bis del CAD, si rileva, preliminarmente che l’art. 8 dello schema non specifica la finalità e la necessità del trattamento di tale dato.

Occorre, infatti, evidenziare che l'ANPR attribuisce a ciascun cittadino un codice identificativo univoco   per   garantire   la “circolarità dei dati anagrafici e l'interoperabilità con  le  altre banche dati delle pubbliche amministrazioni e dei gestori di  servizi pubblici di cui all'articolo 2, comma 2, lettere a) e b).” (art. 62, comma 3, ultimo periodo del CAD). Pertanto, nel rilevare che le finalità previste dal Codice dell’amministrazione digitale non sembrano potersi riferire alla fattispecie in esame; in ossequio ai principi di minimizzazione dei dati e di privacy by design e by default (artt. 5, par. 1, lett. c), e 25 del Regolamento), si ritiene necessario limitare il trattamento ai soli dati necessari alle finalità indicate dalla norma primaria, espungendo, quindi, il riferimento a tale dato.

4.4. Valutazione di impatto.

La previsione di una piattaforma nazionale per la raccolta delle sottoscrizioni, determinando un trattamento sistematico, su larga scala, di particolari categorie di dati personali di cui all’art. 9 del Regolamento - idonei a rivelare anche le opinioni e le posizioni politiche dei promotori e dei sottoscrittori – e presentando un rischio elevato per i diritti e le libertà degli interessati, deve essere preceduta da una valutazione di impatto ai sensi dell’art. 35, par. 10 del Regolamento.

Considerati i significativi effetti che i trattamenti disciplinati dallo schema di decreto in esame possono avere sulla sfera giuridica degli interessati, si ritiene che tale valutazione d’impatto debba essere effettuata, in relazione all’insieme dei trattamenti che saranno effettuati sulla piattaforma da una pluralità di titolari, e che presentano rischi analoghi, ai sensi dell’art. 35, par. 10. Solo all’esito di tale valutazione e alla luce delle misure individuate per affrontare i rischi, anche a seguito dell’eventuale consultazione preventiva del Garante, ai sensi dell’art. 36 del Regolamento, potrà essere redatto il manuale operativo.

4.5. Finalità ulteriori.

Con riferimento alla definizione delle finalità del trattamento si osserva che, in conformità alla disciplina di rango primario e alla normativa sulla protezione dei dati personali, la previsione contenuta nell’art. 9, comma 7 (ai sensi del quale “Il gestore, previa aggregazione, può utilizzare i dati acquisiti per finalità di miglioramento del servizio erogato, nonché per lo sviluppo della piattaforma”), in considerazione della delicatezza delle informazioni trattate (categorie particolari di dati personali) e del ruolo assunto dal gestore, dovrà essere espunta dallo schema di decreto, atteso che il trattamento in relazione a tali ulteriori finalità non risultano previste dalla legge n. 178/2020 che ha istituito la piattaforma in esame per motivi di interesse pubblico rilevante in relazione alle finalità elettorali e di esercizio dei diritti politici (cfr. art. 2-sexies, commi 1 e 2, lett. f) del Codice).

4.6. Profili tecnici e di sicurezza dei dati e dei sistemi.

Le disposizioni del decreto non forniscono adeguate garanzie rispetto al principio di integrità e riservatezza, atteso che non sono indicate le misure che si intendono adottare per garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali.

Al fine di assicurare il rispetto degli artt. 5, par. 1, lett. f), 25 e 32 del Regolamento, anche nel disciplinare più ampiamente gli obblighi in materia di sicurezza gravanti sul gestore della piattaforma, si ritiene necessario segnalare le seguenti criticità e indicare i possibili ulteriori interventi sullo schema di decreto:

- lo schema di decreto demanda la definizione delle misure tecniche e di sicurezza ad un successivo manuale operativo, sul quale non è, peraltro, previsto il parere del Garante. Contrariamente a quanto previsto dall’art. 1, comma 343, della legge 178/2020, non sono individuate, quindi, nello schema in esame le misure di sicurezza; il testo del decreto necessita, pertanto, di essere integrato in relazione al predetto aspetto;

- l’art. 5, comma 6, prevede che “Il gestore della piattaforma garantisce la riconducibilità della sottoscrizione all’avente diritto mediante certificazione di processo delle attività di cui ai commi 1, 2, 3 e 4 e apposizione al relativo documento del proprio sigillo elettronico qualificato, ai sensi del regolamento eIDAS”. Al riguardo, si osserva che le caratteristiche e i controlli della certificazione indicata debbano essere descritti nel testo del decreto in esame, vista la delicatezza di tale operazione nei confronti dell’intero processo;

- con riferimento all’art. 6, comma 1 – ai sensi del quale “il gestore della piattaforma conserva le informazioni e le evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4, per un periodo di cinque anni, tramite memorizzazione nel rispetto delle disposizioni del GDPR e del CAD” - fatto salvo quanto già osservato in ordine alla conservazione dei dati, si rileva la necessità di garantire che le informazioni e le evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4, analogamente a quanto previsto nel caso di raccolta delle firme con le modalità tradizionali, siano nella disponibilità esclusiva dei promotori, adottando adeguate misure di segregazione rispetto agli altri utenti e alla piattaforma stessa;

- l’art. 6, comma 2, prevede che “Gli utenti di cui all’articolo 4, comma 3, lettera a), durante il periodo di conservazione, possono accedere, mediante una specifica funzionalità descritta nel manuale operativo di cui all’articolo 3, comma 3, alle informazioni e alle evidenze informatiche conservate”. Fatto salvo quanto già osservato in ordine alla necessità che gli accessi siano effettuati in base al profilo e alle competenze dell’utente, risulta, necessario espungere dall’art. 6, comma 2, dello schema la locuzione “durante il periodo di conservazione”, e introdurre un perimetro temporale agli accessi, nel rispetto delle fasi della procedura disciplinate dalla legge n. 352/1970 (per es. l’accesso per la verifica della validità delle firme per l’Utenza Cassazione, dovrebbe essere consentito solo a partire dal momento del deposito delle sottoscrizioni presso la Cassazione);

- l’art. 7, comma 3, prevede che “I soggetti abilitati di cui all’articolo 4, comma 3, lettera a), successivamente alla messa a disposizione delle firme e delle evidenze di cui al comma 1, mediante una specifica funzionalità descritta nel manuale operativo di cui all’articolo 3, comma 3, verificano la validità delle firme raccolte elettronicamente e comprensive delle informazioni e delle evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4”. Sul punto, occorre precisare se si tratti di verifica o di presa d’atto; sembra infatti che una verifica non possa essere eseguita, in senso stretto, da soggetti privi di competenze tecniche sulla piattaforma, in quanto la veridicità delle firme è insita nel processo stesso e nelle tecnologie utilizzate;

- con riferimento all’art. 10, comma 1, nel richiamare le osservazioni preliminari sull’opportunità di prevedere un ruolo nel trattamento per la Presidenza del Consiglio dei Ministri (cfr. par. 3.2.1), si osserva che, in ogni caso, risulta poco chiaro il senso di questa disposizione transitoria, in quanto l’attivazione delle utenze dovrebbe essere possibile tecnicamente nello stesso momento per entrambi i soggetti (Presidenza del Consiglio e Corte di Cassazione). Tale considerazione, pertanto, non giustifica l’introduzione della norma in questione che deve essere pertanto espunta dal decreto;

- infine, si segnala l’esigenza di implementare meccanismi di informazione tempestiva reciproca tra il gestore e gli altri titolari del trattamento coinvolti, in caso di violazioni di sicurezza o di qualsiasi minaccia che, nell’ambito del complessivo utilizzo della piattaforma, comporti un rischio per la sicurezza e per i diritti e le libertà degli interessati, anche al fine di agevolare l’adempimento degli obblighi di cui agli artt. 33 e 34 del Regolamento.

4.7. Modifica del riferimento normativo

- l’articolo 2 dello schema di decreto, nel disciplinare le modalità di funzionamento della piattaforma, definisce le caratteristiche tecniche, l’architettura generale, i requisiti di sicurezza, le modalità di funzionamento, i casi di malfunzionamento, le modalità con cui il gestore della piattaforma attesta il malfunzionamento e comunica il ripristino delle funzionalità, le modalità di accesso, le tipologie di dati oggetto di trattamento, le categorie di interessati e, in generale, le modalità e le procedure per assicurare il rispetto dell’articolo 5 del GDPR. Al riguardo, si rileva l’esigenza che l’intera disciplina di funzionamento della piattaforma assicuri il rispetto dell’intero Regolamento e non soltanto del citato art. 5. A tal fine, pertanto, si ritiene opportuno che il riferimento all’art. 5 sia espunto.

TUTTO CIÒ PREMESSO

in considerazione delle carenze strutturali descritte in premessa riguardanti la mancanza di garanzie per il pieno rispetto dei diritti e delle libertà fondamentali degli interessati, in assenza dell’osservanza delle condizioni, descritte e motivate nei paragrafi da 3.1 a 4.6, riguardanti l’esigenza di:

1. definire correttamente il ruolo e le responsabilità dei soggetti legittimati a trattare i dati personali nell’ambito della piattaforma, ivi compreso il ruolo del gestore della piattaforma, in conformità alla disciplina in materia di protezione dei dati personali e nel rispetto del sistema di garanzie posto a presidio dei diritti di partecipazione alla vita democratica (par. 3.2.1 e 3.2.2);

2. con riferimento alle modalità di sottoscrizione delle proposte, individuare garanzie equivalenti a quelle di cui all’art. 8 della legge 352/1970, prevedendo misure tecniche e organizzative atte a garantire la sicurezza, l’integrità, l’immodificabilità della sottoscrizione e la sua riconducibilità all’autore; prevedendo altresì che, nella procedura di sottoscrizione, siano adottate misure per assicurare la chiara ed inequivocabile volontà del cittadino di effettuare la sottoscrizione in relazione a ciascun quesito referendario o proposta di legge (par. 3.2.4);

3. con riferimento al ruolo dei promotori, definire adeguate misure tecniche e organizzative (quali, ad esempio, la segregazione dei dati) al fine di assicurare la disponibilità esclusiva dei dati personali dei sottoscrittori in capo ai promotori fino al deposito delle sottoscrizioni presso l’Ufficio centrale per il referendum (par. 3.2.3);

4. assicurare l’alternatività dell’uso della piattaforma, rispetto alle modalità già previste dall’ordinamento per la sottoscrizione anche con modalità informatiche delle proposte (par. 3.2.3);

5. con riferimento alla durata del trattamento dei dati sulla piattaforma, limitare il trattamento non oltre la verifica della validità delle sottoscrizioni ad opera dell’Ufficio centrale del referendum (par. 3.3);

6. disciplinare nello schema di decreto tutti gli elementi indicati dall’art. 1, comma 343, della legge n. 178/2020, senza prevedere un rinvio al manuale operativo, ivi incluse le misure appropriate e specifiche a tutela dei diritti fondamentali e degli interessi degli interessati, anche con riguardo al trattamento di particolari categorie di dati, nel rispetto dei principi previsti dalla normativa in materia di protezione dei dati personali, in conformità a quanto previsto dall’art. 9, par. 2, lett. g), Regolamento e dall’art. 2-sexies del Codice (par. 3.1 e 3.4);

7. con riferimento alle Utenze Corte di Cassazione, prevedere che i profili di accesso siano differenziati in base al profilo e alle specifiche mansioni dell’utente, che siano previste delle limitazioni temporali per gli accessi, in relazione alle fasi della procedura disciplinate dalla legge n. 352/1970 e sia limitata la funzione relativa ad “abilitare e disabilitare ulteriori soggetti facenti parte dell’Ufficio centrale per il referendum” ad uno specifico profilo (par. 4.1);

8. prevedere che la verifica della correttezza dei dati personali dei sottoscrittori con quelli presenti in ANPR, nonché la loro iscrizione nelle liste elettorali, possa essere effettuata solo su “richiesta” dei promotori, mediante una specifica funzionalità che attivi tali controlli ai fini del deposito delle firme presso l’Ufficio centrale del referendum, ed espungere la previsione di tali controlli con riguardo ai sottoscrittori e al personale abilitato presso la Corte di Cassazione (par. 4.2);

9. eliminare il trattamento del dato relativo all’ID di ANPR riferito ai soggetti per i quali è previsto il controllo automatico della correttezza dei dati in tale banca dati (par. 4.3);

10. definire la valutazione d’impatto in relazione all’insieme dei trattamenti che saranno effettuati sulla piattaforma dalla pluralità di titolari e che presentano rischi analoghi (par. 4.4);

11. espungere la previsione contenuta nell’art. 9, comma 7, relativa alle ulteriori finalità del trattamento; (par. 4.5);

12. integrare lo schema di decreto con la definizione delle misure tecniche e di sicurezza, in conformità a quanto previsto dall’art. 1, comma 343, della legge 178/2020 (par. 4.6.);

13. con riferimento agli accessi alla piattaforma previsti per gli Utenti introdurre un perimetro temporale agli accessi, nel rispetto delle fasi della procedura disciplinate dalla legge n. 352/1970, espungendo all’art. 6, comma 2, la locuzione “durante il periodo di conservazione” (par. 4.6);

14. con riferimento alle modalità di attivazione delle utenze dei promotori poste in capo alla Presidenza del Consiglio, espungere la disposizione transitoria di cui all’art. 10 (par. 4.6);

15. definire adeguate misure tecniche e organizzative (quali, ad esempio, la segregazione dei dati) affinché le informazioni e le evidenze informatiche di cui all’articolo 5, commi 1, 2, 3 e 4, restino nella disponibilità esclusiva dei promotori (par. 4.6);

16. descrivere nel decreto le caratteristiche e i controlli della certificazione di processo prevista dall’art. 5, comma 6, attraverso la quale il gestore della piattaforma garantisce la riconducibilità della sottoscrizione all’avente diritto (par. 4.6);

17. con riferimento alla verifica della validità delle firme raccolte elettronicamente (art. 7, comma 3), precisare se si tratti di verifica (eseguibile solo da soggetti dotati di competenze tecniche sulla piattaforma) o di presa d’atto (par. 4.6);

18. implementare meccanismi di informazione tempestiva e reciproca tra il gestore e gli altri titolari del trattamento coinvolti, in caso di violazioni di sicurezza o di qualsiasi minaccia che, nell’ambito del complessivo utilizzo della piattaforma comporti un rischio per la sicurezza e per i diritti e le libertà degli interessati (par. 4.6);

e con l’osservazione che:

19. sia espunto il riferimento all’art. 5 del GDPR contenuto nell’art. 2 dello schema di decreto affinché la disciplina di funzionamento della piattaforma assicuri il rispetto dell’intero Regolamento e non soltanto del citato art. 5 (par. 4.7).

il parere reso dal Garante, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, sullo schema di decreto del Presidente del Consiglio dei Ministri da adottare ai sensi dell’articolo 1, comma 343, della legge 30 dicembre 2020, n. 178, non può essere positivo.

Roma, 24 marzo 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei