Diritti interna

Diritti - Come tutelare i tuoi dati

Doveri interna

Doveri - Come trattare correttamente i dati

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Parere favorevole sullo schema di delibera regionale della Regione Lombardia avente ad oggetto “Progetto Move-in" - 10 dicembre 2020 [9513683]

[doc. web n. 9513683]

Parere favorevole sullo schema di delibera regionale della Regione Lombardia avente ad oggetto “Progetto Move-in" - 10 dicembre 2020

Registro dei provvedimenti
n. 259 del 10 dicembre 2020

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTA la direttiva comunitaria 2008/50/CE del Parlamento europeo e del Consiglio del 21 maggio 2008, relativa alla qualità dell’aria ambiente e per un’aria più pulita in Europa;

VISTO il decreto legislativo 13 agosto 2010, n. 155 (“Attuazione della direttiva 2008/50/CE relativa alla qualità dell’aria ambiente e per un’aria più pulita in Europa”);

VISTA l’art. 13, comma 6-bis, della legge regionale 11 dicembre 2006, n. 24 della Regione Lombardia (“Norme per la prevenzione e la riduzione delle emissioni in atmosfera a tutela della salute e dell’ambiente”), introdotto dall’art. 2, comma 1, lett. e) della legge regionale 29 giugno 2009, n. 10 e successivamente modificato dall’art. 43, comma 1, lett. a) della legge regionale 6 giugno 2019, n. 9 e dall’art. 22, comma 2, lett. a) della legge regionale 6 agosto 2019, n. 15, ai sensi del quale, “al fine di assicurare una più efficace tutela della salute e dell’ambiente, nonché per prevenire infrazioni comunitarie in materia di inquinamento atmosferico, è consentito, tenuto conto dello stato di qualità dell’aria e al fine di irrogare le sanzioni amministrative previste dall’articolo 27, effettuare i controlli delle violazioni delle misure di limitazione alla circolazione, adottate dalla Regione ai sensi del presente articolo e dell’articolo 22, anche mediante impianti di rilevazione elettronica, previa intesa con i competenti organi statali e nel rispetto della disciplina vigente in materia di protezione dei dati personali. Per le finalità di cui al primo periodo e allo scopo di sperimentare modalità più efficaci di riduzione degli inquinanti connessi alla circolazione, possono essere realizzati impianti di rilevazione telematica e, a richiesta, installati dispositivi telematici mobili sui veicoli che monitorano gli stili di guida e i chilometri percorsi dai veicoli, consentendo di condizionare le percorrenze dei veicoli stessi al loro effettivo potenziale inquinante, localizzandone i relativi tratti stradali, secondo modalità definite con deliberazione della Giunta regionale. Per l’effettuazione dei predetti controlli e per il monitoraggio dell’efficacia delle misure predisposte, la Regione tratta esclusivamente i dati personali indispensabili al fine di assicurare una più efficace tutela della salute e dell’ambiente secondo modalità definite con deliberazione della Giunta regionale, nel rispetto della disciplina vigente in materia di protezione dei dati personali, che specifica i tipi di dati, le operazioni eseguibili, le modalità di elaborazione e le misure adeguate al rischio per i diritti e le libertà degli interessati derivante anche dall’utilizzo di nuove tecnologie”;

VISTO l’art. 15, comma 5, lett. b) e f), della medesima legge regionale, ai sensi del quale “la Regione, di concerto con gli enti locali, promuove piani e progetti definiti per ambiti territoriali, in coordinamento con i mobility manager aziendali e di area, contenenti misure volte a: […] b) regolamentare l’accesso ai centri urbani privilegiando i veicoli a basso impatto ambientale e migliorando l’offerta di trasporto pubblico; […] f) realizzare progetti pilota e sistemi innovativi per la razionalizzazione della distribuzione delle merci, coinvolgendo associazioni e operatori del settore”;

VISTO l’art. 3, lett. c), della medesima legge regionale, ai sensi del quale “la Regione, considerata la dimensione interregionale padana dell’inquinamento dell’aria, promuove con le altre regioni del bacino padano, le province autonome e le regioni europee confinanti, nonché con lo Stato e l’Unione Europea: […] c) accordi e intese per la programmazione di misure di intervento alla scala del bacino del Po e per la diffusione di dispositivi, sistemi e tecnologie per la riduzione delle emissioni da sorgenti mobili e stazionarie”;

VISTO l’Accordo di programma siglato nel 2017 tra le Regioni Lombardia, Veneto, Piemonte ed Emilia-Romagna e il Ministero dell’ambiente per l’applicazione coordinata e congiunta nel territorio del bacino padano di misure per il risanamento della qualità dell’aria, approvato con d.G.R. n. 6675 del 7 giugno 2017 della Regione Lombardia;

VISTA la d.G.R. n. 1318 del 25 febbraio 2019 della Regione Lombardia, con la quale, in attuazione della predetta legge regionale, è stato istituito il progetto sperimentale MoVe-In (MOnitoraggio dei VEicoli INquinanti), che introduce modalità innovative per il controllo delle emissioni degli autoveicoli attraverso il monitoraggio delle percorrenze, dell’uso effettivo del veicolo e dello stile di guida adottato, tramite l’installazione sul veicolo di una scatola nera (black box) fornita da operatori privati (c.d. “Telematic Service Provider” o “TSP”), accreditati dalla Regione Lombardia, con un atto convenzionale con gli utenti;

VISTA la d.G.R. n. 1396 del 18 marzo 2019 della Regione Lombardia, che ha approvato lo schema di convezione tra Regione Lombardia, Aria S.p.A. e i TSP, per la disciplina delle caratteristiche tecniche dei dispositivi da installare sui veicoli, dei dati oggetto di rilevamento, delle modalità di trasmissione dei dati ad Aria S.p.A., dell’interoperabilità dei flussi informativi, degli impegni di Regione Lombardia per consentire l’individuazione delle aree territoriali interessate e degli obblighi in materia di trattamento dei dati personali;

VISTE le successive delibere attuative della Giunta della Regione Lombardia con le quali sono stati definiti i dettagli del progetto e, in particolare, le dd.G.R. n. 2057 del 31 luglio 2019 e n. 2191 del 30 settembre 2019 della Regione Lombardia, con le quali è stata approvata la disciplina di trattamento dei dati personali relativamente ai dati raccolti e trattati nell’ambito del progetto MoVe-In;

CONSIDERATO che il progetto in esame nasce dall’esigenza della Regione Lombardia, condivisa anche da altri enti territoriali del bacino padano, di individuare modalità più efficaci di riduzione dell’inquinamento, tramite sistemi di rilevazione telematica da installare sui veicoli più inquinanti, su base volontaria, che monitorano, per ciascuna area/zona/tratta, il numero di chilometri percorsi unitamente allo stile di guida, in alternativa all’attuale meccanismo dei blocchi basato su una logica prefissata di giorni/fasce orarie di tolleranza della circolazione, introducendo un sistema individuale di deroghe ai divieti di circolazione, con l’assegnazione, su base annuale, ai veicoli individuati come inquinanti, di un chilometraggio predefinito da amministrare liberamente, secondo le proprie esigenze individuali o familiari; in sintesi il progetto prevede che:

i proprietari dei veicoli inquinanti – stipulando un apposito contratto a pagamento – possano far installare, da un soggetto privato specializzato, un dispositivo (black box) a bordo dei propri veicoli, in grado di rilevarne i dati di percorrenza reale e lo stile di guida nei limiti della soglia di chilometri percorribili nelle zone soggette a limitazioni della circolazione per motivi ambientali;

al fine di aderire al progetto, il cittadino deve, in primo luogo, registrarsi, previo accesso mediante identità SPID o carta nazionale dei servizi (CNS), sulla piattaforma informatica dedicata, gestita da Aria S.p.A., inserendo i dati del veicolo di cui è proprietario, i propri dati anagrafici e quelli di contatto (posta certificata o e-mail);

una volta effettuata la registrazione presso la piattaforma dedicata, l’utente può scegliere un TSP tra quelli accreditati dalla Regione, per l’installazione del dispositivo; nel caso in cui l’utente disponga già di una black box installata sul veicolo, ad esempio a fini assicurativi, fornita da uno dei TSP accreditati, l’utente può avvalersi di quest’ultimo anche per quanto riguarda il progetto MoVe-In;

una volta installato, tale dispositivo, identificato con un codice IMEI, acquisisce costantemente i dati di dettaglio relativi all’uso del veicolo (la posizione del veicolo; la velocità di avanzamento istantanea; l’accelerazione lungo i tre assi longitudinale, laterale e verticale; il codice di stato; il tempo corrente) e li trasmette giornalmente ai sistemi informatici del TSP prescelto; tali dati sono raccolti sui sistemi informatici dei singoli TSP e sono da questi elaborati per calcolare le percorrenze giornaliere di ogni veicolo, aggregate secondo i criteri territoriali e di eco-guida definiti dalla Regione;

i dati, raccolti dai TSP vengono trasmessi giornalmente alla piattaforma informatica, gestita da Aria S.p.A., per il calcolo, per ciascun veicolo e secondo i coefficienti definiti dalla Regione, del numero di chilometri ancora disponibili sulla base dei chilometri già percorsi nelle aree oggetto di limitazione alla circolazione e degli eventuali bonus eco-guida maturati, nei casi di percorrenze su strade extraurbane e su autostrade, con velocità compresa tra 70 e 110 km/h, oppure su strade urbane, con stile di guida ecologico (calcolato sulla base degli eventi accelerometrici che caratterizzano la guida dell’interessato);

nella piattaforma viene registrato, per ciascun veicolo, lo stato di deroga al blocco della circolazione dei veicoli sulla base dei criteri stabiliti;

sulla piattaforma dedicata sono consultabili, dal cittadino aderente al progetto, mediante mobile app o web application, i dati, aggiornati giornalmente, concernenti il numero di chilometri inizialmente disponibili, il numero di chilometri già percorsi, il numero di chilometri aggiuntivi attribuiti con bonus eco-guida, il saldo chilometrico ancora disponibile; è previsto altresì l’invio di avvisi ai cittadini aderenti al progetto all’avvicinarsi dell’esaurimento dei chilometri disponibili e al superamento della soglia prevista;

i soggetti preposti ai controlli su strada possono accedere alla piattaforma, tramite web application, visualizzando esclusivamente la targa del veicolo e lo stato della deroga MoVe In (attiva o non attiva);

RILEVATO che il progetto in esame è caratterizzato da un trattamento di dati personali su larga scala (potenzialmente riferibile a una vasta platea di interessati), che presenta rischi elevati per i diritti e libertà degli interessati, in considerazione del fatto che comporta anche un processo decisionale automatizzato, con effetti significativi sugli interessati (ai quali viene impedito, in caso di raggiungimento della soglia prefissata, di circolare nelle zone individuate), fondato su dati, relativi all’ubicazione e agli spostamenti, aventi carattere personale, raccolti attraverso il monitoraggio sistematico del veicolo utilizzando nuove tecnologie (cfr. al riguardo anche le “Linee guida in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” ai fini del regolamento (UE) 2016/679”, WP248 rev.01, adottate dal Gruppo di lavoro articolo 29 per la protezione dei dati il 4 aprile 2017, come modificate e adottate da ultimo il 4 ottobre 2017 e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018);

CONSIDERATE le interlocuzioni intercorse con la Regione Lombardia al fine di assicurare il rispetto della normativa in materia di protezione dei dati personali nell’ambito del predetto progetto e di consentire l’adesione allo stesso da parte del Comune di Milano e degli altri comuni lombardi in relazione a zone a traffico limitato (ZTL) istituite per motivi ambientali, nonché alla Regione Piemonte e ad altre regioni del bacino padano, attesa la dimensione interregionale dell’inquinamento dell’aria;

VISTA la d.G.R. n. 3581 del 21 settembre 2020 della Regione Lombardia, con la quale è stato approvato lo schema di Accordo di collaborazione con la Regione Piemonte per la messa a disposizione della piattaforma telematica regionale MoVe-In, e la proposta di emendamento alla legge regionale della Regione Piemonte del 7 aprile 2000, n. 43, recante disposizioni per la tutela dell’ambiente in materia di inquinamento atmosferico e per la prima attuazione del Piano regionale per il risanamento e la tutela della qualità dell’aria, sulla quale il Garante ha espresso parere favorevole (provv. n. 184 del 15 ottobre 2020, doc. web n. 9480905);

VISTA la nota della Regione Lombardia del 1° dicembre 2020 (prot. n. T1.2020.0056614), con la quale, in esito alle predette interlocuzioni, è stato sottoposto all’attenzione del Garante uno schema di delibera regionale avente ad oggetto “Progetto Move-in: aggiornamento della disciplina del servizio e del trattamento dei dati personali - estensione del servizio alle altre regioni del bacino padano e alle zone a traffico limitato (ZTL) dei comuni e in particolare alla ZTL del Comune di Milano “Area b” - Addendum alla convenzione trilaterale fra Regione Lombardia, l’Azienda Regionale per l’Innovazione e gli Acquisti (Aria Spa) e le società fornitrici dei servizi telematici (TSP)”, con il quale vengono, in particolare, disciplinati “la base giuridica del trattamento per il trasferimento dei dati ai Comuni lombardi che volessero aderire al progetto specificando quali dati vengono raccolti e comunicati; il ruolo dei TSP nella fase di raccolta dei dati in caso di impiego di black box dedicate al servizio e in caso di impiego di black box non esclusivamente dedicate; l’utilizzo dei dati per le attività di controllo da parte delle Forze dell’Ordine operanti sul territorio; la raccolta e il trattamento dei dati personali successivo al raggiungimento della soglia chilometrica concessa in deroga alle restrizioni sulla circolazione dei veicoli; la raccolta e il trattamento del dato relativo alla velocità del veicolo; l’implementazione di alcune misure di sicurezza tecniche relative al trattamento dei dati personali da parte dei TSP, con particolare riferimento alla separazione dei database in loro uso relativamente ai trattamenti dei dati di titolarità esclusiva di Regione Lombardia; i tempi di conservazione dei dati raccolti al di fuori delle aree geografiche a circolazione veicolare limitata; il livello di trasparenza nei confronti degli utenti in caso di uso del veicolo da parte di più soggetti o di veicoli aziendali”, demandando la puntuale regolazione di tali aspetti agli specifici documenti allegati allo schema stesso e prevedendo l’aggiornamento dei documenti attuativi conseguenti e l’integrazione degli accordi di nomina a responsabile del trattamento dei dati personali dei TSP;

RILEVATO che lo schema di delibera regionale in esame tiene conto delle indicazioni fornite dall’Ufficio del Garante - anche sulla base di quanto previsto nelle “Guidelines 1/2020 on processing personal data in the context of connected vehicles and mobility related applications” del Comitato europeo per la protezione dei dati, in consultazione pubblica fino al 4 maggio 2020 - volte ad assicurare, in particolare, che:

nell’ambito del programma siano raccolti e trattati, in relazione ad ogni specifica finalità perseguita da ciascun soggetto coinvolto, esclusivamente i dati personali indispensabili all’attuazione dello stesso, in conformità a quanto previsto dalla legge regionale, consentendo di rispettare i requisiti del Regolamento, in ossequio ai principi di proporzionalità, di liceità, correttezza e trasparenza, e di minimizzazione dei dati, nonché di privacy by design e by default (artt. 5, par. 1, lett. a) e c), e 25 del Regolamento);

siano correttamente individuati i ruoli assunti, nell’ambito dei trattamenti effettuati per la realizzazione del progetto, da parte dei diversi soggetti coinvolti (in particolare, regioni, comuni, TSP), anche al fine di assicurare la trasparenza nei confronti degli interessati, nonché di consentire una chiara ripartizione degli obblighi e delle responsabilità previste dalla disciplina in materia di protezione dei dati personali (artt. 5, par. 1, lett. a) e b), 24 e 28 del Regolamento);

il trattamento sia limitato ai dati strettamente necessari alla realizzazione del progetto, nel rispetto dei principi di minimizzazione dei dati e di limitazione della conservazione (art. 5, par. 1, lett. c) ed e), del Regolamento), garantendo che:

a) non siano raccolti, o siano cancellati tempestivamente, i dati relativi agli spostamenti effettuati degli autoveicoli al di fuori delle aree soggette a limitazione del traffico;

b) non siano raccolti i dati relativi agli spostamenti in seguito al superamento della soglia chilometrica prevista;

c) in caso di utilizzo di dispositivi dedicati al progetto MoVe-In, con riferimento al parametro relativo alla velocità, venga registrata unicamente l’informazione relativa alla circostanza che il veicolo viaggi entro la fascia di velocità chilometrica considerata dalla misura, prevedendo a tal fine che i dati relativi alla velocità puntuale del veicolo non siano raccolti, se tecnicamente possibile, oppure siano eliminati dai TSP, in un momento immediatamente successivo alla raccolta;

d) siano individuati adeguati tempi di conservazione dei dati, assicurando che i dati siano tempestivamente cancellati, ove non più strettamente necessari per le singole finalità perseguite nelle diverse fasi del trattamento;

siano accuratamente disciplinate le modalità di trattamento dei dati di dettaglio presso i TSP, assicurando, nel rispetto dei principi di integrità e riservatezza, e di privacy by design e by default, accessi selettivi alle informazioni, il tracciamento delle operazioni compiute, nonché la conservazione separata dei dati raccolti attraverso i dispositivi dedicati da quelli raccolti con altri dispositivi per finalità proprie del TSP, qualora agisca in qualità di responsabile del trattamento della Regione (artt. 5, par. 1, lett. f), 25 e 32 del Regolamento);

la necessità che sia garantita la trasparenza nei confronti di conducenti, diversi dal proprietario, e di lavoratori che utilizzano veicoli aziendali aderenti al progetto (artt. 5, par. 1, lett. a), 12, 13 e 14 del Regolamento);

siano correttamente individuati i presupposti per la partecipazione al progetto della Regione Piemonte e di altre regioni del bacino padano, nonché del Comune di Milano e di altri comuni che intendano aderire al progetto, in relazione a ZTL istituite per motivi ambientali, nel rispetto degli artt. 5, par. 1, lett. a), e 6, par. 3, del Regolamento e dell’art. 2-ter del Codice;

siano definiti presupposti e le modalità di accesso ai dati da parte dei soggetti preposti ai controlli stradali, nel rispetto degli artt. 5, par. 1, lett. a), e 6, par. 3, del Regolamento e art. 2-ter del Codice;

siano adeguatamente individuati e valutati i rischi elevati, per i diritti e le libertà degli interessati, che caratterizzano il trattamento, nel rispetto degli artt. 24 e 35 del Regolamento;

RILEVATO, che, su tale base, l’Allegato 1 (“Trattamento dei dati personali”) allo schema di delibera regionale in esame, sostituisce integralmente l’Allegato alla d.G.R. n. 2191 del 30 settembre 2019, e introduce anche la disciplina del trattamento dati relativo all’estensione del servizio MoVe-In ai comuni e a nuove categorie di veicoli, prevedendo, in particolare:

al paragrafo 2, con riferimento ai ruoli assunti nel trattamento dei dati personali da parte dai diversi soggetti coinvolti nel progetto MoVe-In, che:

a) la Regione Lombardia agisca in qualità di titolare del trattamento dei dati e Aria S.p.A. in qualità di responsabile del trattamento;

b) nel caso di dispositivi esclusivamente dedicati al progetto MoVe-In, ciascun TSP agisca in qualità di titolare del trattamento dei dati personali necessari per la contrattualizzazione degli aderenti al servizio e, in qualità di responsabile del trattamento, per tutti gli altri trattamenti previsti dal progetto MoVe-In (in particolare per la raccolta, l’elaborazione e la comunicazione dei dati relativi alle percorrenze e alle velocità tenute dal veicolo);

c) nel caso di dispositivi non esclusivamente dedicati al progetto MoVe-In, ciascun TSP agisca invece in qualità di titolare del trattamento dei dati per la contrattualizzazione degli aderenti al servizio e per la raccolta, l’elaborazione e la comunicazione dei dati relativi alle percorrenze e alle velocità tenute dal veicolo;

d) le altre regioni del bacino padano e gli altri comuni che aderiscono al progetto in relazione a ZTL istituite per motivi ambientali, previa stipula di un accordo con Regione Lombardia, agiscano in qualità di titolari del trattamento;

al paragrafo 3.1, che, nel caso di utilizzo di dispositivi esclusivamente dedicati al progetto MoVe-In:

a) i dati personali trattati dai TSP, per conto della Regione Lombardia, siano conservati all’interno di banche dati separate e distinte rispetto ad altre banche dati utilizzate per conservare i dati riferiti ad eventuali ulteriori servizi aggiuntivi offerti dai TSP;

b) al raggiungimento della soglia chilometrica assegnata, in deroga alle restrizioni sulla circolazione dei veicoli, debba essere interrotta la raccolta dei dati delle percorrenze del veicolo interessato;

c) i dati relativi ai transiti effettuati al di fuori delle aree geografiche a circolazione veicolare limitata di cui al progetto MoVe-In, relativi anche ad altre regioni che abbiano sottoscritto accordi con Regione Lombardia, non siano mai raccolti, se tecnicamente possibile, oppure vengano cancellati dai TSP in un momento immediatamente successivo alla raccolta;

al paragrafo 3.2, nel caso di utilizzo di dispositivi non esclusivamente dedicati al progetto MoVe-In, che eventuali trattamenti, effettuati per finalità ulteriori dai TSP, siano disciplinati con modulistica separata e distinta da quella utilizzata nell’ambito del progetto MoVe-In, recante i contrassegni distintivi di ciascun TSP, in modo da fare emergere con chiarezza la separazione tra le attività di interesse pubblico, perseguite con il progetto, dagli eventuali ulteriori servizi commerciali, concordati con l’utente;

al paragrafo 8, che, in caso di utilizzo di dispositivi dedicati al servizio, nella rilevazione del parametro relativo alla velocità, i TSP, in qualità di responsabili del trattamento, calcolino esclusivamente se il veicolo viaggi entro la fascia di velocità chilometrica considerata dalla misura; i dati relativi alla velocità puntuale del veicolo non debbano essere mai raccolti, se tecnicamente possibile, oppure vengano eliminati dai TSP, in un momento immediatamente successivo alla raccolta;

al paragrafo 9, che possano essere comunicati, ai soggetti preposti ai controlli su strada ai sensi dell’articolo 12 del decreto legislativo 30 aprile 1992, n. 285, esclusivamente i dati personali strettamente necessari alla finalità del trattamento;

al paragrafo 11, la garanzia dell’impiego di server ed infrastrutture tecnologiche site all’interno del territorio dell’Unione Europea da parte dei responsabili del trattamento;

al paragrafo 12, che il tempo massimo di conservazione dei dati sia fissato in un anno, prendendo in considerazione l’arco temporale necessario al raggiungimento delle finalità del trattamento, da un lato, e le esigenze connesse all’esercizio delle attività di controllo, dall’altro, fermo restando che, al termine di tale periodo, i dati saranno sottoposti a processi informatici o analogici tali da renderli definitivamente inaccessibili e inintelligibili;

al paragrafo 13, le misure tecniche ed organizzative, finalizzate a garantire un’adeguata sicurezza del trattamento, tra cui misure di controllo degli accessi ai dati, il tracciamento degli accessi e delle operazioni compiute dai soggetti autorizzati e dagli utenti;

CONSIDERATO che la Regione Lombardia ha effettuato, ai sensi dell’art. 35 del Regolamento, una valutazione di impatto sulla protezione dei dati relativa ai trattamenti effettuati nell’ambito del progetto MoVe-In, trasmessa al Garante con la nota del 28 aprile 2020, successivamente integrata con la nota del 29 ottobre 2020;

RITENUTO che lo schema di delibera regionale in esame tiene adeguatamente conto delle indicazioni fornite dall’Ufficio nelle predette interlocuzioni e individua le misure idonee a mitigare i rischi elevati che il trattamento in esame presenta per i diritti e le libertà degli interessati;

RITENUTO di dover precisare, in relazione a quanto previsto al citato paragrafo 11 dell’Allegato 1, che anche l’accesso da remoto da un Paese terzo ai dati contenuti in server ubicati nell’Unione europea configura un trasferimento di dati e che, quindi, salvo non vengano adottate misure che impediscano tale accesso alle informazioni personali conservate nei predetti server,  devono essere adottate - in assenza di una decisione di adeguatezza della Commissione europea - le misure previste dall’art. 46 del Regolamento e, ove necessario, le eventuali misure supplementari (cfr. “Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data” del Comitato europeo per la protezione dei dati, attualmente in consultazione);

RITENUTO, pertanto, di poter autorizzare, ai sensi dell’art. 2-quinquiesdecies del Codice, tenuto conto delle finalità di interesse pubblico perseguite al fine di assicurare una più efficace tutela della salute e dell’ambiente con il miglioramento della qualità dell’aria, i trattamenti di dati personali effettuati nell’ambito del progetto MoVe-In dalla Regione Lombardia e dal Comune di Milano, ma anche dalla Regione Piemonte, nonché dalle altre regioni del bacino padano e dagli altri comuni situati nelle predette regioni (in relazione a ZTL istituite per motivi ambientali), che, nel rispetto dei presupposti di cui all’art. 2-ter del Codice, riterranno di aderire al progetto, previa stipula di un accordo con Regione Lombardia, a condizione che vengano rispettate le misure individuate a garanzia degli interessati nello schema di delibera in esame;

CONSIDERATO che restano impregiudicati i poteri di indagine e correttivi del Garante, di cui all’art. 58 del Regolamento, con riguardo ai trattamenti di dati personali fino ad oggi posti in essere dalla Regione Lombardia e dagli altri soggetti, pubblici e privati, coinvolti nel progetto MoVe-In, nella fase di esecuzione e gestione dello stesso;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

TUTTO CIÒ PREMESSO, IL GARANTE

a) ai sensi degli artt. 36, par. 4, e 57, par. 1, lett. c), del Regolamento, esprime parere favorevole sullo schema di delibera regionale della Regione Lombardia avente ad oggetto “Progetto Move-in: aggiornamento della disciplina del servizio e del trattamento dei dati personali - estensione del servizio alle altre regioni del bacino padano e alle zone a traffico limitato (ZTL) dei comuni e in particolare alla ZTL del Comune di Milano “Area b” - Addendum alla convenzione trilaterale fra Regione Lombardia, l’Azienda Regionale per l’Innovazione e gli Acquisti (Aria Spa) e le società fornitrici dei servizi telematici (TSP)”;

b) ai sensi degli artt. 36, par. 5, e 58, par. 3, lett. c), del Regolamento e dell’art. 2 quinquiesdecies del Codice, autorizza i trattamenti di dati personali effettuati nell’ambito del progetto MoVe-In dalla Regione Lombardia, dal Comune di Milano e dalla Regione Piemonte, nonché dalle altre regioni del bacino padano e dagli altri comuni situati nelle predette regioni (in relazione a ZTL istituite per motivi ambientali), che, nel rispetto dei presupposti di cui all’art. 2-ter del Codice, riterranno di aderire al predetto progetto, previa stipula di un accordo con Regione Lombardia, a condizione che vengano rispettate le misure individuate a garanzia degli interessati nello schema di delibera in esame.

Roma, 10 dicembre 2020

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei