[doc. web n. 9732758]

Parere sullo schema di “Linee Guida sull’infrastruttura tecnologica della Piattaforma Digitale Nazionale Dati per l’interoperabilità dei sistemi informativi e delle basi di dati” - 16 dicembre 2021

Registro dei provvedimenti
n. 433 del 16 dicembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTO l’art. 50-ter del decreto legislativo 7 marzo 2005, n. 82 (di seguito, CAD), ai sensi del quale, in particolare:

“1. La Presidenza del Consiglio dei ministri promuove la progettazione, lo sviluppo e la realizzazione di una Piattaforma Digitale Nazionale Dati (PDND) finalizzata a favorire la conoscenza e l'utilizzo del patrimonio informativo detenuto, per finalità istituzionali, dai soggetti di cui all'articolo 2, comma 2, nonché la condivisione dei dati tra i soggetti che hanno diritto ad accedervi ai fini dell'attuazione dell'articolo 50 e della semplificazione degli adempimenti amministrativi dei cittadini e delle imprese, in conformità alla disciplina vigente.

2. La Piattaforma Digitale Nazionale Dati è gestita dalla Presidenza del Consiglio dei ministri ed è costituita da un'infrastruttura tecnologica che rende possibile l'interoperabilità dei sistemi informativi e delle basi di dati delle pubbliche amministrazioni e dei gestori di servizi pubblici per le finalità di cui al comma 1, mediante l'accreditamento, l'identificazione e la gestione dei livelli di autorizzazione dei soggetti abilitati ad operare sulla stessa, nonché la raccolta e conservazione delle informazioni relative agli accessi e alle transazioni effettuate suo tramite. La condivisione di dati e informazioni avviene attraverso la messa a disposizione e l'utilizzo, da parte dei soggetti accreditati, di interfacce di programmazione delle applicazioni (API). Le interfacce, sviluppate dai soggetti abilitati con il supporto della Presidenza del Consiglio dei ministri e in conformità alle Linee guida AgID in materia interoperabilità, sono raccolte nel "catalogo API" reso disponibile dalla Piattaforma ai soggetti accreditati. I soggetti di cui all'articolo 2, comma 2, sono tenuti ad accreditarsi alla piattaforma, a sviluppare le interfacce e a rendere disponibili le proprie basi dati senza nuovi o maggiori oneri per la finanza pubblica. In fase di prima applicazione, la Piattaforma assicura prioritariamente l'interoperabilità con le basi di dati di interesse nazionale di cui all'articolo 60, comma 3-bis e con le banche dati dell'Agenzie delle entrate individuate dal Direttore della stessa Agenzia. L'AgID, sentito il Garante per la protezione dei dati personali e acquisito il parere della Conferenza unificata, di cui all'articolo 8 del decreto legislativo 28 agosto 1997, n. 281, adotta linee guida con cui definisce gli standard tecnologici e criteri di sicurezza, di accessibilità, di disponibilità e di interoperabilità per la gestione della piattaforma nonché il processo di accreditamento e di fruizione del catalogo API con i limiti e le condizioni di accesso volti ad assicurare il corretto trattamento dei dati personali ai sensi della normativa vigente. […]

3. Nella Piattaforma Nazionale Digitale Dati non confluiscono i dati attinenti a ordine e sicurezza pubblici, difesa e sicurezza nazionale, polizia giudiziaria e polizia economico-finanziaria. […]

6. L'accesso ai dati attraverso la Piattaforma Digitale Nazionale Dati non modifica la disciplina relativa alla titolarità del trattamento, ferme restando le specifiche responsabilità ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 in capo al soggetto gestore della Piattaforma nonché le responsabilità dei soggetti accreditati che trattano i dati in qualità di titolari autonomi del trattamento.

7. Resta fermo che i soggetti di cui all'articolo 2, comma 2, possono continuare a utilizzare anche i sistemi di interoperabilità già previsti dalla legislazione vigente. […]”;

VISTO l’art. 8, commi 2 e 3, del decreto legge 14 dicembre 2018, n. 135, convertito, con modificazioni, dalla legge 11 febbraio 2019, n. 12, ai sensi del quale la Presidenza del Consiglio dei Ministri si avvale, per la progettazione, lo sviluppo, la gestione e l'implementazione della piattaforma di cui all'art. 50-ter del CAD, di PagoPA S.p.A. (società interamente partecipata dallo Stato, ai sensi dell'art. 9 del decreto legislativo 19 agosto 2016, n. 175, costituita con decreto del Presidente del Consiglio dei Ministri del 19 giugno 2019);

VISTA la richiesta di parere pervenuta in data 5 ottobre 2021, come integrata e modificata in data 2 e 13 dicembre 2021, con la quale l’Agenzia per l’Italia digitale (di seguito, AgID) ha sottoposto all’Autorità lo schema di “Linee Guida sull’infrastruttura tecnologica della Piattaforma Digitale Nazionale Dati per l’interoperabilità dei sistemi informativi e delle basi di dati”, comprensivo di tre allegati, ai fini dell’acquisizione del parere previsto dal citato art. 50-ter, comma 2, e dall’art. 71 del CAD;

RILEVATO che tale schema concerne la Piattaforma Digitale Nazionale Dati (di seguito, PDND) di cui all’art. 50-ter del CAD, avendo ad oggetto l’infrastruttura tecnologica per l’interoperabilità dei sistemi informativi e delle basi di dati (di seguito, Infrastruttura interoperabilità PDND), al fine di favorire l’accesso alle informazioni detenute dai soggetti di cui all’art. 2, comma 2, del CAD (pubbliche amministrazioni, gestori di servizi pubblici e società a controllo pubblico) da parte dei soggetti legittimati in conformità alla normativa vigente;

RILEVATO che, a tal fine, lo schema in esame individua: i processi di accreditamento, identificazione e autorizzazione dei soggetti aderenti, le modalità di realizzazione delle transazioni, nonché di quelle di raccolta e conservazione delle informazioni relative agli accessi e alle transazioni effettuate per il tramite dell’Infrastruttura interoperabilità PDND;

RILEVATO che lo schema stabilisce, tra le altre cose:

i compiti (par. 3) e le responsabilità (par. 10) dei soggetti coinvolti nel processo di interoperabilità, distinguendo tra:

gli Erogatori, ossia pubbliche amministrazioni, gestori di servizi pubblici o società a controllo pubblico che, mediante l’implementazione di interfacce di programmazione delle applicazioni accessibili tramite Internet (di seguito, API), rendono disponibili servizi digitali (chiamati e-service), mediante le funzionalità della Infrastruttura interoperabilità PDND, per consentire “la fruizione di dati in proprio possesso o per l’integrazione di processi”;

i Fruitori, ossia soggetti sia pubblici che privati che fruiscono degli e-service messi a disposizione mediante le funzionalità dell’Infrastruttura Interoperabilità PDND da parte degli Erogatori;

il Gestore, ossia il soggetto, come individuato ai sensi dell’art. 50-ter del CAD, competente per la progettazione, lo sviluppo e la gestione dell’Infrastruttura Interoperabilità PDND;

la definizione del processo di adesione, con conseguente accreditamento, alla PDND, da parte sia degli Erogatori che dei Fruitori nella veste di Aderenti (par. 5 e all. 1);

la gestione degli attributi, ossia le caratteristiche degli Aderenti, inseriti nel registro degli attributi detenuti presso l’Infrastruttura interoperabilità PDND e distinti tra (par. 6):

attributi certificati, ossia quelli associabili agli Aderenti in maniera automatica dall’Infrastruttura interoperabilità PDND sulla base delle informazioni contenute nelle banche dati di interesse nazionale;

attributi dichiarati, ossia quelli che l’Aderente dichiara di possedere sotto la propria responsabilità;

attributi verificati, ossia quelli dichiarati che sono stati verificati da un Erogatore o che l’Erogatore può, assumendosi la responsabilità di tale scelta, ritenere validi anche se verificati da un altro Erogatore;

la definizione di un catalogo delle API, consultabile da tutti gli Aderenti, con il quale gli Erogatori possono registrare e pubblicare gli e-service, e i relativi requisiti di fruizione, ossia l’insieme degli attributi che sono stati ritenuti dagli stessi necessari per l’accesso ai dati da parte dei Fruitori (par. 7 e all. 2);

le modalità di rilascio da parte dell’Infrastruttura interoperabilità PDND dei c.d. voucher, che costituiscono la rappresentazione digitale degli elementi necessari a verificare il possesso dei requisiti di fruizione di un e-service e sono rilasciati in occasione di ogni richiesta di accesso allo stesso;

la previsione di un processo di analisi del rischio sulla protezione dei dati personali, da parte del Fruitore per ogni finalità di fruizione dell’e-service (par. 9);

la raccolta e la conservazione delle informazioni relative al rilascio dei Voucher e alle interazioni tra Erogatori e Fruitori per il tramite dell’Infrastruttura interoperabilità PDND (par. 12);

RILEVATO, infine, che, sul piano strettamente della protezione dei dati personali, lo schema delle Linee guida (par. 14) si occupa, in particolare, di:

definire i ruoli dei soggetti coinvolti (par. 14.1), stabilendo, nello specifico, che:

ogni Aderente resta autonomo titolare del trattamento dei dati personali che rende disponibili o di cui fruisce nell’interazione con altro Aderente per mezzo dell’Infrastruttura interoperabilità PDND;

l’Aderente che agisca come Capofila per conto di altri Aderenti deve essere designato da questi responsabile del trattamento ai sensi dell’art. 28 del Regolamento;

il Gestore agisce come titolare del trattamento per le attività necessarie all’implementazione e alla gestione dell’Infrastruttura interoperabilità PDND;

stabilire i tempi di conservazione, sull’Infrastruttura interoperabilità PDND, di documenti e informazioni (par. 14.2.2);

attribuire al Gestore l’obbligo di predisporre e di sottoporre al Garante la valutazione d’impatto sulla protezione dei dati, ai sensi degli artt. 35 e 36 del Regolamento (par. 14.3);

definire misure in termini di trasparenza e di sicurezza del trattamento, nonché per l’individuazione dei responsabili del trattamento da parte del Gestore (par. 14.4);

CONSIDERATO che lo schema di Linee guida in esame è stato elaborato anche tenendo conto delle indicazioni fornite dall’Ufficio dell’Autorità, nell’ambito di interlocuzioni informali con AgID, volte ad assicurare il rispetto della disciplina in materia di protezione dei dati personali, con particolare riferimento a:

l’individuazione delle attività in relazione alle quali il Gestore agisce come titolare del trattamento per le attività necessarie all’implementazione e alla gestione dell’Infrastruttura interoperabilità PDND, e in relazione alle quali è tenuto a svolgere la valutazione di impatto sulla protezione dei dati da sottoporre al Garante, specificandone le relative responsabilità, atteso che le stesse, pur non comportando direttamente il trattamento dei dati personali oggetto di trasmissione da Erogatore a Fruitore mediante la fruizione degli e-service, sono suscettibili di incidere sulla riservatezza e integrità dei dati, nonché sulla disponibilità e resilienza dei sistemi e dei servizi di trattamento coinvolti (artt. 5, par. 1, lett. f), e 32 del Regolamento);

la messa a disposizione degli Aderenti di strumenti di gestione delle richieste di fruizione di cui sono parte, per consentire, in particolare, agli Erogatori la sospensione o l’eliminazione di tali richieste nei casi in cui risultino decaduti i presupposti che ne hanno determinato l’esito positivo o nell’ipotesi in cui gli Aderenti riscontrino usi impropri degli e-service, comportando, di conseguenza, la mancata emissione di voucher;

la necessità che i meccanismi di gestione, utilizzo e aggiornamento degli attributi certificati, dichiarati e verificati, siano realizzati nel rispetto dei principi di liceità, trasparenza e correttezza del trattamento, di esattezza, di integrità e riservatezza e di privacy by design e by default (artt. 5, par. 1, lett. a), d) e f), e 25 del Regolamento), anche a seguito di una valutazione dei rischi per i diritti e le libertà degli interessati, da effettuarsi a cura degli Erogatori e del Gestore, assicurando, in particolare:

la verifica periodica delle condizioni che hanno determinato l’adesione all’Infrastruttura interoperabilità PDND da parte degli Aderenti;

la sospensione dell’emissione dei voucher per gli e-service in relazione ai quali non risultano più soddisfatti i requisiti di fruizione a seguito della scadenza del periodo temporale di validità di un attributo verificato e in assenza di una nuova verifica da parte dell’Erogatore;

l’assunzione di responsabilità, in capo all’Erogatore, nel caso in cui lo stesso, tenuto conto della natura e delle caratteristiche anche temporali dell’attributo, ritenga valida la verifica di un attributo effettuata da altro Erogatore;

la definizione delle diverse tipologie di attributi certificati, distinguendo tra quelli necessari per l’adesione alla PDND, definiti nello schema (e acquisiti dall’INI-PEC, dall’IPA e dall’INAD di cui, rispettivamente, agli artt. 6-bis, 6-ter e 6-quater del CAD), e quelli che risulteranno necessari per la fruizione di e-service, da individuarsi a cura del Gestore nella valutazione di impatto sulla base dei requisiti di fruizione stabiliti dagli Erogatori;

l’implementazione di meccanismi di informazione tempestiva tra il Gestore e gli Aderenti interessati, anche attraverso l’Infrastruttura interoperabilità PDND, in caso di violazioni di sicurezza o di qualsiasi minaccia che, nell’ambito del complessivo utilizzo della PDND, comporti un rischio per la sicurezza e per i diritti e le libertà degli interessati, in ossequio al principio di integrità e riservatezza, anche al fine di agevolare l’adempimento degli obblighi in materia di violazione di dati personali (artt. 5, par. 1, lett. f), 33 e 34 del Regolamento);

la definizione dei tempi di conservazione di informazioni e documenti, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e), del Regolamento);

RITENUTO che, alla luce di quanto rappresentato, non vi sono osservazioni da formulare sullo schema di Linee guida in esame;

CONSIDERATO che, come stabilito dal comma 7 dell’art. 50-ter del CAD, i soggetti di cui all’art. 2, comma 2, del CAD possono continuare a utilizzare anche i sistemi di interoperabilità già previsti dalla legislazione vigente, per i quali, sentito il Garante, sono state previste misure volte ad assicurare l’integrità e la riservatezza dei dati trattati nell’ambito del patrimonio informativo pubblico;

RITENUTO, in ogni caso, che le ulteriori misure necessarie ad assicurare la conformità del complesso dei trattamenti effettuati attraverso l’Infrastruttura interoperabilità PDND saranno verificate nell’ambito dell’esame della valutazione di impatto che il Gestore dovrà sottoporre al Garante, ai sensi degli artt. 35 e 36 del Regolamento, in considerazione dei rischi elevati per i diritti e libertà degli interessati che gli stessi presentano (cfr. anche par. 14.3 dello schema);

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di “Linee Guida sull’infrastruttura tecnologica della Piattaforma Digitale Nazionale Dati per l’interoperabilità dei sistemi informativi e delle basi di dati”, predisposto dall’Agenzia per l’Italia digitale ai sensi degli artt. 50-ter e 71 del d.lgs. 7 marzo 2005, n. 82.

Roma, 16 dicembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi