[doc. web n. 3616088]

Parere su uno schema di regolamento in materia di banca dati nazionale del DNA e laboratorio centrale per la banca dati nazionale del DNA - 31 luglio 2014

Registro dei provvedimenti
n. 389 del 31 luglio 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell´interno;

Visto l´articolo 154, comma 4, del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

PREMESSO

Il Ministero dell´interno ha richiesto il parere del Garante su uno schema di regolamento recante "disposizioni di attuazione della legge 30 giugno 2009, n. 85, concernente l´istituzione della banca dati nazionale del DNA e del laboratorio centrale per la banca dati nazionale del DNA, ai sensi dell´articolo 16 della legge n. 85 del 2009".

La predetta legge n. 85 del 2009 reca disposizioni per l´adesione della Repubblica italiana al "Trattato di Prum" concluso il 27 maggio 2005 fra Belgio, Germania, Spagna, Francia, Lussemburgo, Paesi Bassi ed Austria, e relativo all´approfondimento della cooperazione transfrontaliera, in particolare allo scopo di contrastare il terrorismo, la criminalità transfrontaliera e la migrazione illegale.
La legge istituisce presso il Ministero dell´interno-Dipartimento della pubblica sicurezza la Banca dati nazionale del DNA (di seguito Banca dati) (art. 5, comma 1, l. n. 85/2009) e presso il Ministero della giustizia-Dipartimento dell´amministrazione penitenziaria il Laboratorio centrale per la Banca dati nazionale del DNA (di seguito Laboratorio centrale) (art. 5, comma 2, l. n. 85/2009).

La Banca dati è istituita "al fine di facilitare l´identificazione degli autori dei delitti" (art. 5, comma 1, l. n. 85/2009) e provvede alle seguenti attività:

a) raccolta del profilo del DNA di determinati soggetti, tassativamente indicati all´articolo 9, commi 1 e 2, della stessa legge (soggetti arrestati in flagranza o sottoposti a fermo di indiziato di delitto, dopo la convalida da parte del giudice, sottoposti a custodia cautelare in carcere o agli arresti domiciliari, a detenzione o a una misura alternativa alla detenzione a seguito di sentenza irrevocabile, o a misura di sicurezza detentiva, per delitti, non colposi, per i quali sia consentito l´arresto facoltativo in flagranza, con esclusione di alcune fattispecie di reato);

b) raccolta dei profili del DNA relativi a reperti biologici acquisiti nel corso di procedimenti penali;

c) raccolta dei profili del DNA di persone scomparse o loro consanguinei, di cadaveri e resti cadaverici non identificati;

d) raffronto dei profili del DNA a fini di identificazione.

Il Laboratorio centrale provvede, a sua volta, alle seguenti attività: a) tipizzazione del profilo del DNA dei soggetti di cui all´articolo 9 della legge; b) conservazione dei campioni biologici dai quali sono tipizzati i profili del DNA.

La legge n. 85 del 2009 reca poi disposizioni per la disciplina dell´alimentazione della banca dati (art. 10), della metodologia di analisi dei reperti e dei campioni biologici ai fini della tipizzazione dei profili da inserire nella Banca dati (art. 11), sull´accesso ai dati (art. 12), sulla conservazione dei dati e sulla cancellazione degli stessi dalla Banca dati e sulla distruzione dei campioni biologici (art. 13).

Ai sensi dell´articolo 15, il controllo sulla Banca dati è esercitato dal Garante, nei modi previsti dalla legge.

Lo schema è adottato ai sensi dell´articolo 16 della predetta legge n. 85 del 2009, il quale stabilisce che siano disciplinati con regolamento:

a) il funzionamento e l´organizzazione della Banca dati e del Laboratorio centrale, le modalità di trattamento e di accesso per via informatica e telematica ai dati in essi raccolti, nonché le modalità di comunicazione dei dati e delle informazioni richieste;

b) le tecniche e le modalità di analisi e conservazione dei campioni biologici, nonché, nel rispetto delle disposizioni di cui all´articolo 13, comma 4, i tempi di conservazione dei campioni biologici e dei profili del DNA;

c) le attribuzioni del responsabile della Banca dati e del responsabile del Laboratorio centrale, nonché le competenze tecnico-professionali del personale ad essa addetto;

d) le modalità e i termini di esercizio dei poteri conferiti al Comitato nazionale per la biosicurezza, le biotecnologie e le scienze della vita;

e) le modalità di cancellazione dei profili del DNA e di distruzione dei relativi campioni biologici nei casi previsti dall´ articolo 13;

f) i criteri e le procedure da seguire per la cancellazione dei profili del DNA e la distruzione dei relativi campioni biologici, anche a seguito di riscontro positivo tra i profili del DNA oggetto di verifica, al fine di evitare la conservazione, nella Banca dati e nel Laboratorio centrale, di più profili del DNA e più campioni biologici relativi al medesimo soggetto.

L´articolo 13, comma 4, della legge, nel disciplinare la conservazione e la cancellazione dei dati, stabilisce che con il medesimo regolamento di cui all´articolo 16, d´intesa con il Garante, debbano essere individuati i tempi per i quali i profili del DNA restano inseriti nella Banca dati, che non possono essere comunque superiori a 40 anni dall´ultima circostanza che ne ha determinato l´inserimento, e quelli di conservazione dei campioni biologici, che non possono superare i 20 anni.

RILEVATO

1. L´ambito di applicazione del regolamento.

1.1. Lo schema di regolamento in esame disciplina le modalità di funzionamento ed organizzazione della Banca dati e del Laboratorio centrale, nei loro diversi aspetti applicativi (art. 1, comma 1).

1.2. Lo schema disciplina altresì lo scambio di dati sul DNA per le finalità di cui alle Decisioni 2008/615/GAI e 2008/616/GAI del 23 giugno 2008 del Consiglio dell´Unione Europea, concernenti il potenziamento della cooperazione transfrontaliera soprattutto nella lotta al terrorismo e alla criminalità transfrontaliera (di seguito, rispettivamente: "Decisione 615" e "Decisione 616"; art. 1, comma 2, dello schema).

Come anticipato sopra, la Banca dati è stata istituita con la legge n. 85 del 2009, recante disposizioni per l´adesione della Repubblica italiana al Trattato di Prum.

Il Trattato non è però entrato in vigore per l´Italia ed è stato successivamente "comunitarizzato" per le parti rilevanti ai fini del potenziamento della cooperazione transfrontaliera, soprattutto nella lotta al terrorismo e alla criminalità organizzata, con l´adozione delle predette Decisioni 615 e 616. Essendo strumenti basati sull´Acquis di Schengen, le Decisioni intendono disciplinare forme e modi attraverso le quali può aver luogo lo scambio di dati ed informazioni ivi menzionati, che sono oltre ai profili del DNA, anche dati dattiloscopici e dati di immatricolazione dei veicoli.

Con il presente schema di regolamento si intende, opportunamente, dare attuazione a tali Decisioni, anche se –necessariamente- l´intervento normativo non può che essere limitato allo scambio di dati sul DNA. Ne consegue che le predette Decisioni restano ancora inattuate in relazione alle altre categorie di dati sopra indicate.

1.3. Oltre a ciò, lo schema di regolamento intende disciplinare lo scambio di dati sul DNA "ai fini dell´attuazione degli accordi internazionali resi esecutivi" (art. 1, comma 2).

Il successivo articolo 3, comma 4, nel descrivere le finalità del secondo livello della Banca dati, precisa che tale livello è impiegato anche per le finalità di collaborazione internazionale di polizia "in base ad accordi internazionali resi esecutivi" secondo le modalità di cui all´articolo 10 e al capo III. Negli articoli 12 e 13, infine, si prevede che gli scambi informativi fra l´Italia e i diversi Paesi interessati possano effettuarsi anche "in base ad accordi internazionali resi esecutivi"  e "secondo i protocolli e i canali di comunicazione codificati a livello internazionale" (art. 12, commi 1 e 2) o "in base ai protocolli e ai canali di comunicazione internazionali" (art. 13, comma 1).

Al riguardo si osserva quanto segue.

Eventuali scambi anche con Paesi terzi non erano disciplinati nel Trattato di Prum, né lo sono, oggi, nelle Decisioni 615 e 616. Pertanto, non sembra che tali scambi possano essere disciplinati dal presente regolamento, il quale nel Trattato e nelle Decisioni trova, invece, la sua fonte normativa.

Si rileva, quindi, l´opportunità di espungere dallo schema ogni riferimento ad "accordi internazionali resi esecutivi", riservandosi di disciplinare gli scambi informativi previsti da strumenti internazionali bi/multilaterali di cui l´Italia sia parte nelle disposizioni attuative dei suddetti accordi o con altri strumenti normativi.

Analoga valutazione si richiede in ordine ai riferimenti, contenuti negli articoli 12 e 13, a non meglio precisati "protocolli e .. canali di comunicazione codificati a livello internazionale" secondo i quali si consentirebbe la consultazione, rispettivamente, della banca dati DNA nazionale e delle banche dati DNA di Stati Membri dell´Unione europea. Per tale consultazione, infatti, è da escludersi l´utilizzo di modalità diverse da quelle fissate nella Decisione 616 e richiamate negli stessi articoli 12 e 13 (v. anche infra: par. 12.1) e, del resto, la genericità e indeterminatezza del riferimento a tali canali e protocolli non consente di valutarne la compatibilità con le garanzie, anche in termini di sicurezza, previste in materia di protezione dei dati personali. 

A tal riguardo si rammenta, per quanto possa essere utile ai fini della regolamentazione degli aspetti sopra indicati, che la recentissima legge 3 luglio 2014, n. 99, di ratifica e esecuzione dell´Accordo fra Italia e Stati Uniti d´America sul rafforzamento delle cooperazione nella prevenzione e lotta di forme gravi di criminalità, ha stabilito che, al fine di assicurare la migliore operatività di quell´Accordo, entro centocinquanta giorni dall´entrata in vigore della legge, devono essere adottati i decreti di cui agli articoli 46, 49, 53 e 57 del Codice in materia in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196, di seguito "Codice"), la cui approvazione è stata in più occasioni sollecitata dal Garante.

2. Modalità di funzionamento ed organizzazione della Banca dati e del Laboratorio centrale.

2.1. La Banca dati.

Lo schema di regolamento precisa cha la Banca dati è collocata presso il Servizio per il sistema informativo interforze, nell´ambito  della Direzione centrale della polizia criminale del Dipartimento della pubblica sicurezza (art. 3, comma 1).

Premesso che la Banca dati è organizzata secondo criteri di separazione logica e fisica dagli altri sistemi informatici gestiti dal Centro elaborazione dati del Dipartimento della pubblica sicurezza (c.d. Ced interforze, di cui all´articolo 8 della legge 1° aprile 1981, n. 121), essa è predisposta per la raccolta e il raffronto dei "profili del DNA" (sequenze alfa numeriche ricavate dal DNA e caratterizzanti ogni singolo individuo).

Per la gestione dei predetti profili è dotata di un apposito software organizzato su due livelli: il primo livello è impiegato ai fini investigativi in ambito nazionale, mentre il secondo livello è utilizzato anche per le finalità di collaborazione internazionale di polizia in conformità alle decisioni 615 e 616 (art. 3, commi 3 e 4). Al riguardo, lo schema stabilisce che il personale autorizzato alimenta la Banca dati solo con profili ottenuti con metodi accreditati a norma ISO/IEC 17025 (che è lo standard richiesto a livello internazionale: cfr. art. 11, comma 2, l. n. 85/2009; art. 7, par. 4, Decisione 616), inserendo nel primo livello i profili del DNA a partire da un numero di loci pari a sette e, nel secondo livello, quelli che hanno un numero di loci uguale o superiore a dieci (art. 10, comma 4, dello schema).
L´articolo 3 dello schema reca poi importanti disposizioni per la sicurezza del sistema informatico e dei dati registrati nella Banca dati (art. 3, commi 5-9).

La continuità di funzionamento della Banca dati è assicurata da uno specifico sistema secondario remoto, attivato in caso di disastro o di altro evento di eccezionale gravità e adottato in conformità a quanto previsto dall´articolo 50-bis del decreto legislativo 7 marzo 2005, n. 82. Per il sistema secondario sono adottate le stesse misure di sicurezza, fisiche e logiche, relative al trattamento dei dati previste per la Banca dati.

Gli accessi alla Banca dati e le operazioni di trattamento dei dati sono riservati ai soli operatori abilitati e designati incaricati del trattamento dei dati personali, secondo predefiniti profili di autorizzazione, in possesso di credenziali di autenticazione previo superamento di una procedura informatica di autenticazione forte. Per finalità di verifica della liceità dei trattamenti, gli accessi e le operazioni sono registrati in appositi file di log non modificabili che sono conservati per vent´anni. I profili di autorizzazione, le procedure di autenticazione, di registrazione e di analisi dei log, saranno definiti con successivo decreto interministeriale, previo parere dell´Autorità (art. 3, comma 9).

Lo schema di regolamento precisa, poi, che titolare del trattamento dei dati della Banca dati è il Ministero dell´Interno - Dipartimento della pubblica sicurezza, mentre responsabile della Banca dati e del trattamento dei dati è il Direttore del Servizio per il sistema informativo interforze della Direzione centrale della polizia criminale, incardinata nel predetto Dipartimento (art. 26).

Il responsabile della Banca dati, anche nella sua qualità di responsabile del trattamento, assicura la funzionalità della Banca dati ai fini della completezza delle informazioni in essa contenute e del loro costante aggiornamento e garantisce l´attuazione di tutte le misure tecniche e di sicurezza. Si prevede, altresì, che siano diramate istruzioni per il corretto funzionamento della Banca dati ed assicurate verifiche periodiche, anche a campione, sulle operazioni di trattamento effettuate dagli operatori di polizia che alimentano la banca dati o comunque accedono ad essa.

2.2. Il Laboratorio centrale.

Lo schema di regolamento precisa che il Laboratorio centrale è collocato presso la Direzione generale dei detenuti e del trattamento del Dipartimento dell´amministrazione penitenziaria del Ministero della giustizia (art. 4, comma 1).
Il Laboratorio è dotato di strutture robotizzate in grado di compiere alcune fasi di tipizzazione del DNA (che sono nel loro complesso: accettazione, catalogazione e conservazione del campione biologico; set-up del campione; eventuale fase di estrazione del DNA; eventuale fase di quantificazione; amplificazione del DNA; lettura ed interpretazione del profilo del DNA).

Il Laboratorio centrale si avvale di un sistema informativo (LIMS) che assicura la tracciabilità del campione biologico, delle varie fasi della tipizzazione del DNA e delle operazioni effettuate dal personale addetto, ivi inclusi gli amministratori di sistema, e la registrazione non modificabile di tutte le variazioni apportate ai dati (art. 4, commi 2 e 3). La continuità del funzionamento del LIMS è assicurata da uno specifico sistema di misure tecnologiche di back-up il cui accesso è riservato ai solo operatori autorizzati mediante una procedura di autenticazione e autorizzazione.

Gli accessi al sistema LIMS del Laboratorio centrale sono riservati ai soli operatori abilitati, secondo predefiniti profili di autorizzazione, previo superamento di una procedura di autenticazione.  Gli accessi e le operazioni effettuate sul sistema LIMS sono registrati in appositi file di log non modificabili. Le registrazioni degli accessi sono conservate per vent´anni, mentre quelle delle operazioni per dieci anni. I profili di autorizzazione, le procedure di autenticazione, di registrazione e di analisi dei log, saranno specificati nel decreto interministeriale di cui all´articolo 3, comma 9.

Infine, lo schema stabilisce che gli accessi ai locali e agli armadi adibiti alla conservazione dei campioni biologici e degli elettroferogrammi sono riservati ai soli operatori abilitati e in possesso di apposite chiavi di accesso e sono registrati, secondo le modalità di cui al predetto decreto.

Titolare del trattamento dei dati del Laboratorio centrale è il Ministero della Giustizia - Dipartimento dell´Amministrazione penitenziaria, mentre responsabile del Laboratorio centrale e del trattamento dei dati è il Direttore dell´Ufficio del Laboratorio centrale.

Il responsabile del Laboratorio assicura l´organizzazione ed il funzionamento del Laboratorio centrale; identifica i metodi accreditati e le procedure tecniche idonee per la tipizzazione del DNA, nonché le procedure adottate per la conservazione e distruzione dei campioni biologici; individua l´amministratore di sistema; predispone un piano della sicurezza ed il manuale della qualità del Laboratorio.

3. Modalità di acquisizione dei campioni e dei reperti biologici, nonché di gestione e tipizzazione dei profili del DNA.

Lo schema di regolamento definisce "campione biologico" la "quantità di sostanza biologica prelevata sulla persona sottoposta a tipizzazione del profilo del DNA"; per "reperto biologico", invece, si intende la "traccia biologica presente su un reperto acquisito sulla scena di un delitto o comunque su cose pertinenti al reato" (art. 2, comma 1, lett. g) ed h)).

L´articolo 5 dello schema disciplina l´acquisizione del campione biologico dei soggetti di cui all´articolo 9 della legge n. 85/2009. Allo scopo di consentire l´eventuale ripetizione della tipizzazione del DNA, lo schema di regolamento specifica che i predetti soggetti sono sottoposti al prelievo di due campioni di mucosa orale; il prelievo è effettuato solo se il soggetto non è stato sottoposto in passato ad analoga operazione, salve le ipotesi di distruzione del campione in seguito al decorso dei tempi di conservazione e purché ne ricorrano nuovamente i presupposti (art. 5, comma 1).

Il prelievo è effettuato dal personale di Polizia penitenziaria, ad eccezione di alcune ipotesi nelle quali il prelievo è effettuato dal personale della Forza di polizia delegata all´esecuzione del provvedimento restrittivo (art. 5, commi 2 e 3). La norma specifica, altresì, le modalità e la procedura da seguire per il prelievo e gli adempimenti susseguenti. In particolare, è previsto che entrambi i campioni biologici siano inviati al Laboratorio centrale nel più breve tempo possibile in un unico plico chiuso (art. 5, commi 4 e 5).    

Infine, sono individuati gli adempimenti che spettano al Laboratorio centrale dopo la ricezione del plico contenente i campioni. Nel caso in cui la tipizzazione del DNA del primo dei due campioni abbia fornito esito negativo o parziale, la ripetizione del prelievo implica la distruzione dei due campioni biologici precedentemente acquisiti; solo nell´ipotesi in cui risulti impossibile procedere alla reiterazione del prelievo, è consentito utilizzare il secondo campione biologico per le attività di tipizzazione del DNA, previa comunque autorizzazione dell´autorità giudiziaria. Ad ogni modo, il flusso del campione biologico, dal momento del prelievo fino all´arrivo al Laboratorio centrale, è gestito attraverso una procedura informatizzata, riservata ai soli operatori autorizzati mediante una procedura di autenticazione e autorizzazione (art. 5, comma 7 e 8).

L´articolo 6 disciplina invece la tipizzazione del profilo DNA ricavato da reperti biologici acquisiti nel corso di procedimenti penali, nel caso di denuncia di persone scomparse e nel caso di rinvenimento di cadaveri e resti cadaverici non identificati (art. 6).

In particolare, nei casi di denuncia di scomparsa di una persona, al fine di ottenere il profilo del DNA, la polizia giudiziaria acquisisce, ove ritenuto necessario, gli elementi informativi della persona scomparsa e gli oggetti ad uso esclusivo della stessa. Al fine di incrementare il potere identificativo del profilo di DNA, previa acquisizione dei dati anagrafici e degli estremi del documento di identificazione è possibile richiedere anche ai consanguinei di sottoporsi volontariamente al prelievo biologico; per la tutela della riservatezza degli interessati, i dati anagrafici dei soggetti consanguinei sono inseriti in un sottoinsieme del sistema AFIS e i relativi profili del DNA conservati in un sottoinsieme della banca dati, consultabili solo ai fini dell´identificazione della persona scomparsa.

In tutti questi casi la procedura è gestita dal personale di polizia giudiziaria competente e dal personale in servizio presso i laboratori delle Forze di polizia o i laboratori di elevata specializzazione, che si avvalgono di un LIMS, che genera automaticamente il "codice reperto biologico" secondo le modalità di quello relativo al Laboratorio centrale.

All´esito, i profili del DNA sono inseriti per via telematica nella Banca dati dal personale delle Forze di polizia (art. 6, comma 6). E´ disciplinata, altresì, l´ipotesi in cui la tipizzazione del DNA nel corso di procedimenti penali non sia stata effettuata dai Laboratori delle Forze di polizia, ma da altri laboratori: in tali casi la trasmissione dei profili alla Banca dati è comunque effettuata dal personale di polizia, indicato dall´autorità giudiziaria e la trasmissione del profilo del DNA da parte dell´istituto di elevata specializzazione verso il laboratorio gestito dalla polizia avviene secondo le regole tecniche e con le misure di sicurezza definite dal decreto interministeriale di attuazione (art. 6, comma 7; art. 3, comma 9).

4. Codifica e decodifica dei dati.

L´intera procedura volta a tipizzare il profilo del DNA è effettuata ricorrendo a strumenti di codifica dei dati e altre misure al fine di evitare l´identificazione diretta del soggetto cui si riferisce il profilo del DNA. In tale quadro, sono adottati vari "codici" di riferimento (codice prelievo, codice reperto biologico, codice profilo, codice paese, codice laboratorio, numero di riferimento). La decodifica del codice prelievo o del codice reperto biologico è, invece, effettuata dal personale abilitato all´utilizzo del sistema automatizzato per l´identificazione delle impronte digitali (AFIS), con modalità che consentono la tracciatura delle operazioni effettuate. Al personale preposto alla procedura di tipizzazione del profilo del DNA e al trattamento dei relativi dati non è consentito l´accesso al sistema AFIS; al personale abilitato alla decodifica non è consentito l´accesso alla banca dati e ai LIMS dei laboratori.

5. Modalità di trattamento dei dati.

Agli articoli 7, 8, 9 e 10 sono disciplinate le modalità di trattamento dei dati, le procedure di consultazione della Banca dati e di raffronto dei dati.

La Banca dati è alimentata dagli operatori di polizia giudiziaria specificamente abilitati e incaricati del trattamento dei dati ai sensi dell´articolo 28 del decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), in servizio presso i laboratori delle Forze di polizia e il Laboratorio centrale, mediante inserimento per via telematica del profilo del DNA, del relativo numero di riferimento, del codice ente e del codice laboratorio. L´ulteriore trattamento dei dati  è consentito esclusivamente per finalità di verifica della corrispondenza con la sequenza numerica dell´elettroferogramma, nonché a fini di cancellazione dei profili nei soli casi espressamente previsti, in cui la cancellazione non avvenga, invece, in via automatica (art. 32, comma 1).

E´ importante sottolineare che al predetto personale, come anche al personale in servizio presso la Banca dati è vietato l´accesso al sistema AFIS.

Lo schema di regolamento disciplina poi il trattamento dei dati nel Laboratorio centrale precisando che esso è consentito agli operatori di polizia giudiziaria in servizio presso il Laboratorio stesso, specificatamente abilitati e designati incaricati del trattamento dei dati, esclusivamente per finalità di applicazione del presente regolamento, previa autorizzazione dell´Autorità giudiziaria. Al predetto personale è vietato l´accesso al sistema AFIS.

L´articolo 9 disciplina la consultazione della banca dati a livello nazionale, individuando il personale autorizzato. La consultazione può essere effettuata solo caso per caso e l´esito del raffronto comunicato per via automatizzata ai laboratori delle Forze di polizia che hanno inserito il profilo del DNA, tramite il portale della Banca dati.

L´articolo 10, infine, individua i criteri di inserimento e raffronto fra i profili del DNA e le norme di concordanza.

6. Tempi di conservazione dei campioni biologici e dei profili del DNA.

Per quanto riguarda i campioni biologici, lo schema prevede che, dopo la sua completa tipizzazione, il DNA estratto dai campioni biologici deve essere distrutto, previa verbalizzazione delle operazioni (art. 24, comma 1). La parte del campione biologico non utilizzata nonché il secondo campione di riserva devono essere conservati per un periodo di otto anni per poi essere distrutti, alla scadenza del termine, da parte del personale in servizio presso il Laboratorio centrale, previa verbalizzazione delle operazioni (art. 24, commi 3 e 4).

Per quanto riguarda, invece, i tempi di conservazione dei profili del DNA (art. 25), i profili ottenuti dai soggetti di cui all´articolo 9 della legge sono conservati per trenta anni dalla data dell´ultima registrazione. Quando il profilo si riferisce a persone condannate con sentenza irrevocabile per uno o più dei reati per i quali la legge prevede l´arresto obbligatorio in flagranza, o per taluno dei reati gravi di cui all´articolo 407, comma 2, lettera a), del codice di procedura penale, il periodo di conservazione è elevato a quaranta anni. Il profilo del DNA ottenuto da un soggetto di cui al predetto articolo 9 nei cui confronti, in sede di emissione di sentenza di condanna irrevocabile, sia stata ritenuta la recidiva, è  conservato per quaranta anni.

Lo schema precisa, inoltre, che in caso di concordanza del profilo del DNA ottenuto da un reperto biologico con quello ottenuto da un campione biologico, nella Banca dati è conservato il solo profilo del DNA acquisito dal campione biologico per la durata massima prevista (art. 25, comma 4). Tale disposizione si giustifica alla luce di quanto previsto dall´articolo 16 della legge n. 85 del 2009, che demanda al regolamento di stabilire i criteri e le procedure da seguire per la cancellazione dei profili del DNA e la distruzione dei relativi campioni biologici, anche a seguito di riscontro positivo tra i profili del DNA oggetto di verifica, al fine di evitare la conservazione, nella Banca dati e nel Laboratorio centrale, di più profili del DNA e più campioni biologici relativi al medesimo soggetto.

7. Cancellazione dei profili e distruzione dei campioni biologici.

Fermo restando quanto descritto al paragrafo 6 in relazione ai tempi di conservazione dei campioni biologici e dei profili del DNA, lo schema disciplina la distruzione dei campioni biologici e la cancellazione dei profili nei casi previsti dalla legge (art. 13, commi 1, 2 e 3, l. n. 85/2009; artt. 29-32 dello schema).

In base all´articolo 13, comma 1, della legge n. 85 del 2009, a seguito di assoluzione con sentenza definitiva è disposta d´ufficio la cancellazione dei profili del DNA acquisiti nonché la distruzione dei relativi campioni biologici. Nei predetti casi le modalità di cancellazione saranno stabilite con apposito decreto dei Ministri dell´interno e della giustizia, sentito il Garante, da adottare entro trenta giorni dalla data di entrata in vigore del presente regolamento. Con il medesimo decreto saranno altresì disciplinate le modalità di immissione e aggiornamento dei dati necessari ai fini della determinazione dei tempi di conservazione dei profili del DNA di all´articolo 25, comma 2 (art. 29).

In base all´articolo 13, comma 2, della legge n. 85 del 2009, a seguito di identificazione di cadavere o di resti cadaverici, nonché del ritrovamento di persona scomparsa, è prevista d´ufficio la cancellazione dei profili del DNA acquisiti e la distruzione dei relativi campioni biologici; in base allo schema di regolamento è il personale del laboratorio delle Forze di polizia che ha proceduto all´identificazione del cadavere o al ritrovamento di resti cadaverici o della persona scomparsa a effettuare le predette operazioni (art. 30).

In base all´articolo 13, comma 3, della legge n. 85 del 2009, quando le operazioni di prelievo sono state compiute in violazione delle disposizioni previste dall´articolo 9 della legge si procede d´ufficio alla cancellazione del profilo del DNA e alla distruzione del relativo campione biologico. Nei predetti casi, la Forza di polizia che non ha ancora proceduto all´invio dei campioni biologici al Laboratorio centrale per la tipizzazione procede d´ufficio alla loro distruzione; qualora, invece, i campioni biologici siano già stati inviati al Laboratorio, il personale in servizio presso il Laboratorio centrale procede alla cancellazione del profilo del DNA presente nella Banca dati e alla distruzione dei campioni biologici (art. 31).

Infine, l´articolo 32 dello schema disciplina la cancellazione automatica dalla Banca dati dei profili del DNA alla scadenza dei termini di conservazione e la conseguente distruzione dei campioni biologici (art. 13, comma 4, l. n. 85/2009).

8. Diritti dell´interessato.

L´articolo 33 disciplina i diritti dell´interessato rispetto al trattamento dei dati personali che lo riguardano effettuato in applicazione del presente regolamento.
Al riguardo, all´interessato sono riconosciuti i diritti di cui all´articolo 10, commi 3, 4 e 5, della legge 1° aprile 1981, n. 121, e successive modificazioni, previo accertamento dell´identità del medesimo.

I diritti sono esercitati con istanza rivolta alla Direzione centrale della polizia criminale con la quale l´interessato può chiedere, altresì, che sia data evidenza nella banca dati dell´esercizio dei diritti di cui al predetto articolo 10 nei casi in cui i dati sono trasmessi ad altri Stati membri nell´ambito della cooperazione transfrontaliera di cui al capo III. L´indicazione può essere rimossa a richiesta dell´interessato o su provvedimento del Garante o dell´autorità giudiziaria, adottati, rispettivamente, ai sensi degli articoli 150 e 152 del Codice.

Infine, opportunamente si prevede che, fermi restando i casi di cancellazione previsti dall´articolo 13, comma 2, della legge, i consanguinei di persone scomparse possano chiedere, in qualsiasi momento, al predetto ufficio la cancellazione del proprio profilo del DNA già acquisito (cfr. art. 6, comma 1). 

9. Comitato nazionale per la biosicurezza, le biotecnologie e le scienze della vita.

La legge prevede che il Comitato nazionale per la biosicurezza, le biotecnologie e le scienze della vita (CNBBSV) garantisca  l´osservanza dei criteri e delle norme tecniche per il funzionamento del Laboratorio centrale (art. 15, comma 2, l. n. 85/2009). A tal fine, il Comitato esegue, sentito il Garante, verifiche presso il Laboratorio centrale e i laboratori che lo alimentano, riferendo dell´esito delle verifiche ai Ministeri dell´interno e della giustizia ed al Garante, e formulando, ove necessario, suggerimenti rispetto alle modalità di attuazione dei criteri e delle norme tecniche stabilite dalla legge e dal regolamento, mediante comunicazioni specifiche e attraverso una relazione annuale (art. 28 dello schema). 

10. Norma transitoria.

Infine, con norma transitoria, si prevede che i profili del DNA ricavati da reperti biologici e da campioni biologici di soggetti che al momento del prelievo rientravano nelle previsioni dell´articolo 9 della legge, acquisiti nel corso di procedimenti penali anteriormente alla data di entrata in funzione della Banca dati, sono inseriti nella Banca dati. Coerentemente con la struttura di questa, i profili del DNA con almeno un numero di loci pari a sette saranno inseriti al primo livello, mentre quelli con un numero di loci uguale o superiore a dieci, ottenuti con metodi accreditati a norma ISO/IEC 17025 previo nulla osta dell´autorità giudiziaria competente, al secondo livello.

La disposizione normativa precisa che fino al completamento delle attività di "trasferimento" dei profili nella Banca dati, i profili conservati dalle Forze di polizia presso i rispettivi laboratori specializzati possono essere utilizzati ai fini investigativi in ambito nazionale, previo nulla osta dell´autorità giudiziaria (art. 36).

11. Scambio di dati per finalità di cooperazione transfrontaliera.

Il Capo III dello schema di regolamento disciplina lo scambio di informazioni a livello internazionale per finalità di cooperazione transfrontaliera.

La sezione I definisce le modalità di consultazione della Banca dati  nazionale e delle banche dati degli altri Paesi a fini di cooperazione, distinguendo la disciplina della richiesta proveniente dall´estero (art. 12) da quella effettuata dalle autorità italiane (art. 13), precisando che gli scambi informativi devono avvenire nel rispetto e in conformità a quanto previsto dalle Decisioni 615 e 6l6.

Lo schema individua il "punto di contatto nazionale" (attraverso il quale sono effettuati gli scambi informativi con l´estero) nel Servizio per la cooperazione internazionale di polizia della Direzione centrale della polizia criminale del Dipartimento della pubblica sicurezza (artt. 2, comma 1, lett. z) e 11).

La sezione II reca, invece, le specifiche disposizioni in materia di protezione dei dati  relative ai flussi informativi a livello transnazionale, in conformità alle pertinenti disposizioni delle Decisioni 615 e 616 (artt. 14-18). Si tratta di disposizioni che introducono specifiche garanzie per gli interessati rispetto al trattamento dei loro dati personali effettuato in applicazione del regolamento per finalità di collaborazione con gli altri Paesi, in relazione ai dati, rispettivamente, trasmessi o ricevuti e rispetto ai principi di finalità e proporzionalità del trattamento (art. 15), qualità dei dati e conservazione degli stessi per il tempo necessario al raggiungimento dello scopo (art. 16), nonché ai fini di sicurezza (art. 17).

L´articolo 18, infine, precisa che il controllo sulla trasmissione e sulla ricezione di dati personali in applicazione degli scambi transfrontalieri è esercitato dal Garante, nei modi previsti dal Codice, ai sensi dell´articolo 30 della Decisione 615.

RITENUTO

12. La partecipazione dell´Ufficio del Garante al tavolo di lavoro presso il Ministero dell´interno.

Lo schema di regolamento è stato elaborato nell´ambito di un tavolo di lavoro istituito presso il Ministero dell´interno, cui ha partecipato anche l´Ufficio del Garante fin dalla sua costituzione.

Nel corso delle numerose riunioni del tavolo di lavoro, delle interlocuzioni e degli approfondimenti anche informali che ne sono seguiti, l´Ufficio ha formulato rilievi e ha fornito indicazioni volte a perfezionare il testo e a renderlo pienamente conforme alla disciplina in materia di protezione dei dati personali.

Le indicazioni hanno riguardato, in particolare, l´esigenza:

a) di individuare tempi di conservazione dei profili del DNA e dei campioni biologici, rispettivamente, nella Banca dati e nel Laboratorio centrale –in ordine ai quali la legge prevede che sia raggiunta l´intesa fra le Amministrazioni interessate e il Garante- proporzionati rispetto alle finalità perseguite mediante la Banca dati e in linea con i criteri individuati dalla normativa europea (gravità del reato commesso, pericolosità del soggetto) (artt. 24 e 25);

b) di individuare puntualmente le operazioni di trattamento dei dati consentite al personale, specificamente abilitato e incaricato del trattamento dei dati personali, in servizio presso i laboratori delle Forze di polizia, il Laboratorio centrale e la stessa banca dati, rispetto alle finalità in concreto perseguite, e le relative modalità del trattamento (artt. 3-10 dello schema);

c) di definire le responsabilità sotto il profilo della protezione dei dati dei soggetti coinvolti, a vario titolo, nell´applicazione del regolamento, ovvero in relazione ai trattamenti di dati personali effettuati, rispettivamente, dai titolari, dai responsabili e dagli incaricati del trattamento (artt. 7, 8, 26 e 27 dello schema; artt. 28-30 del Codice);

d) di una più chiara descrizione della configurazione della Banca dati su due livelli, sia rispetto ai dati raccolti in essi, sia in relazione alle finalità rispettivamente perseguibili mediante il loro trattamento, al fine di assicurarne la compatibilità, anche sotto il profilo tecnico, con il quadro normativo vigente, nazionale ed europeo (artt. 3, comma 4, 10, comma 4, e 36, comma 2);

e) di una adeguata regolamentazione degli aspetti di sicurezza dei sistemi e del trattamento dei dati personali, volta ad assicurare elevati standard di protezione, fisica e logica, delle informazioni raccolte nella banca dati –vista la loro particolare delicatezza- e dei dati trattati per il funzionamento dei laboratori (artt. 3, 4 e 34);

f) l´esigenza di una puntuale disciplina transitoria che regoli la confluenza nella banca dati dei profili del DNA acquisiti nel corso di procedimenti penali anteriormente alla data di entrata in vigore della legge n. 85 del 2009, nei limiti di quanto consentito dal dettato normativo (art. 17, l. n. 85/2009; art. 36 dello schema);

g) l´esigenza di una puntuale disciplina degli scambi informativi con gli altri Paesi UE per finalità di cooperazione transfrontaliera in conformità a quanto disposto dalle Decisioni 615 e 616 (Capo III).

Lo schema recepisce pressoché integralmente le indicazioni rese dall´Ufficio del Garante. Resta, tuttavia, l´esigenza di alcuni, mirati perfezionamenti dell´articolato nei termini seguenti.

12.1. Gli articoli 12 e 13 dello schema disciplinano gli scambi informativi fra l´Italia e gli altri Paesi aderenti al trattato di Prum, con specifiche disposizioni per la consultazione della Banca dati da parte del Paese estero (art. 12) e per quella effettuata dal punto di contatto nazionale (art. 13).

Fermo restando quanto osservato al punto 1.3. del presente parere, si rileva la necessità che le disposizioni in esame siano perfezionate in modo da renderle pienamente conformi al dettato delle Decisioni 615 e 616, tenendo presente, in particolare, che: il comma 2 dell´articolo 12 sembra disciplinare aspetti riguardanti lo Stato estero; al comma 4 del medesimo articolo non si comprende perché non sia previsto il rispetto di entrambi gli atti europei ivi citati (Decisione 616 e Risoluzione n. 2009/C 296/01), ma solo di uno dei due (stante il ricorso alla disgiuntiva "o"); al comma 5 dello stesso articolo 12 sembra inconferente il richiamo al comma 2; il comma 3 dell´articolo 13 sembra riferirsi ad aspetti non riguardanti la consultazione dell´Italia verso l´estero e nel comma 4 appare improprio il rinvio all´articolo 5 della Decisione 615 che si riferisce alla competenza dello Stato estero ("richiesto") a definire le modalità di comunicazione di ulteriori dati personali in caso di esito positivo del raffronto; in entrambi gli articoli occorre precisare che la consultazione avviene per il tramite del punto di contatto nazionale o estero, come previsto espressamente dalla Decisione 615, e non direttamente da parte degli operatori (art. 12, comma 1) o di personale di polizia giudiziaria non meglio individuato (art. 13, comma 1); inoltre occorre precisare che le consultazioni avvengono solo caso per caso, in stretta aderenza alla ripetuta Decisione 615. Infine il Garante esprime perplessità sul mero rinvio indeterminato alle disposizioni degli articoli da 7 a 11 della Decisione 616 (art. 13, comma 1).

12.2. Si richiama l´attenzione sull´opportunità di non ricorrere ai fini del regolamento alla definizione di "accesso" indicata nell´articolo 2, comma 1, lett. s), la quale, in realtà, si riferisce alla sola "consultazione" dei dati, in considerazione delle diverse accezioni in cui il termine accesso è utilizzato nello schema (cfr. artt. 3, commi 7 e 8, e 34).

12.3. All´articolo 7, comma 1, primo periodo, dopo le parole "operatori di polizia giudiziaria" devono essere inserite le seguenti: "incaricati del trattamento dei dati personali" con conseguente soppressione, al secondo periodo, delle parole "incaricato del trattamento dei dati".

12.4. All´articolo 9, comma 1, non sembra pertinente il riferimento al punto di contatto nazionale, posto che l´articolo in questione disciplina la consultazione della Banca dati a livello nazionale. Analogamente, al comma 4, sembra inconferente il riferimento alla "trasmissione" e all´"inserimento" dei dati.

12.5. L´articolo 26 dello schema deve essere perfezionato individuando con chiarezza le attribuzioni e i compiti in materia di protezione dei dati personali assegnati, rispettivamente, al titolare e al responsabile del trattamento dei dati. Il comma 3 dell´articolo, infatti, reca un equivoco riferimento a entrambi i soggetti.

Nel medesimo articolo 26 (comma 1) e all´articolo 27, comma 3, deve essere chiarito che le funzioni di responsabile del trattamento dei dati non possono essere oggetto di delega ad altri soggetti (cfr. artt. 28 e 29 del Codice).

12.6. E´ necessario che la "clausola di salvaguardia" dell´applicazione della normativa in materia di protezione dei dati (art. 14, comma 2), per ragioni sistematiche, sia collocata al di fuori del Capo relativo agli scambi informativi per finalità di cooperazione transfrontaliera, in modo che possa riferirsi, al di là di ogni ragionevole dubbio, a tutti i trattamenti effettuati in applicazione del regolamento e non solo a quelli disciplinati nel Capo III.

12.7. All´articolo 29, comma 1, per uniformità di disciplina con i successivi articoli da 30 a 32, le parole "cancellazione dei dati" devono essere sostituite dalle seguenti: "cancellazione dei profili del DNA e la distruzione dei campioni biologici".

12.8. L´articolo 30 va integrato con il riferimento espresso alla cancellazione anche del profilo del DNA del consanguineo, nei casi ivi previsti (cfr. art. 13, comma 2, l. n. 85/2009).

13. La sicurezza del sistema informatico e dei dati.

Lo schema di regolamento reca disposizioni per la sicurezza del sistema informatico e dei dati trattati per il funzionamento della Banca dati e del Laboratorio centrale (art. 3, commi 5-9; art. 4, commi 4, 5 e 6).

Al tempo stesso, però, lo schema demanda a un successivo decreto interministeriale, da adottarsi, previo parere dell´Autorità, entro trenta giorni dalla data di entrata in vigore del regolamento (art. 3, comma 9), la definizione dei profili di autorizzazione, delle procedure di autenticazione, di registrazione e di analisi dei log, nonché delle modalità e delle regole per la trasmissione per via telematica dei profili del DNA dagli istituti specializzati ai laboratori delle Forze di polizia (art. 6, comma 7).

Il Garante, al quale la legge ha attribuito il controllo sulla Banca dati, riconnette particolare importanza ai profili di sicurezza del sistema informatico e del trattamento dei dati raccolti nella Banca dati o comunque effettuato in applicazione del regolamento, in ragione della particolare delicatezza delle informazioni oggetto di trattamento e che saranno registrate e conservate nella Banca dati, nonché agli aspetti di sicurezza dei vari flussi informativi previsti dal regolamento.

L´Autorità richiama pertanto l´attenzione delle Amministrazioni interessate sulla necessità che le disposizioni, anche tecniche, relative a tali profili sia adottate prima dell´entrata in funzione della Banca dati, in modo da garantire il trattamento lecito e corretto dei dati e scongiurare accessi abusivi alla Banca dati. A tal riguardo esprime sin d´ora la più ampia disponibilità dell´Ufficio a collaborare per una pronta messa a punto del decreto di attuazione.

14. L´intesa fra le Amministrazioni e il Garante sui termini di conservazione dei profili del DNA e dei campioni biologici.

L´articolo  24  dello schema individua in otto anni l´arco temporale di conservazione dei campioni biologici, in considerazione della normale "durata" di essi. Sotto questo profilo, il Garante prende atto del termine individuato e non ha osservazioni da formulare.

L´articolo 25 dello schema, individua i tempi di conservazione dei profili del DNA, nei termini sopra descritti.

La disciplina prospettata appare adeguata alle finalità perseguite dalla Banca dati e in linea con i criteri previsti dalla normativa europea (Raccomandazione del Consiglio d´Europa R(92)1 relativa all´utilizzazione dell´analisi del DNA nell´ambito del sistema giudiziario penale), oltre che proporzionata rispetto al trattamento dei dati. Anche sotto questo profilo, pertanto, il Garante non ha osservazioni da formulare.

Ciò premesso, il Garante esprime l´intesa sui termini di conservazione dei profili del DNA e dei campioni biologi ai sensi dell´articolo 13, comma 4,  della legge n. 85 del 2009.

IL GARANTE

a) esprime parere favorevole sullo schema di regolamento recante disposizioni di attuazione della legge 30 giugno 2009, n. 85, concernente l´istituzione della banca dati nazionale del DNA e del laboratorio centrale per la banca dati nazionale del DNA, ai sensi dell´articolo 16 della predetta legge n. 85 del 2009, con le seguenti osservazioni:

1) lo schema sia perfezionato nei termini di cui in motivazione (punti da 12.1 a 12.8);

2) valutino le Amministrazioni interessate l´opportunità di espungere dallo schema ogni riferimento ad "accordi internazionali resi esecutivi" e a "protocolli" e "canali di comunicazione codificati a livello internazionale", nei termini di cui in motivazione, riservandosi di disciplinare gli scambi informativi previsti da strumenti internazionali bi/multilaterali di cui l´Italia sia parte con altri strumenti normativi (punto 1.3). 

b) esprime l´intesa sui termini di conservazione dei profili del DNA e dei campioni biologi ai sensi dell´articolo 13, comma 4,  della legge 30 giugno 2009, n. 85.

Roma, 31 luglio 2014

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia