[doc. web n. 9897618]

Parere sullo schema di decreto del Ministro della giustizia, di concerto con il Ministro dell'economia e delle finanze, concernente “Regolamento relativo al funzionamento della banca dati relativa alle aste giudiziarie" - 17 maggio 2023

Registro dei provvedimenti
n. 216 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il dott. Claudio Filippi, vice segretario generale;

Vista la richiesta di parere del Ministero della giustizia;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la documentazione in atti;

Viste le osservazioni del vice segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Agostino Ghiglia;

PREMESSO

Il Ministero della giustizia ha richiesto il parere del Garante su di uno schema di decreto, avente natura regolamentare, volto a disciplinare il funzionamento della banca dati relativa alle aste giudiziarie, istituita dall’articolo 26, comma 6, del decreto legislativo n. 149 del 2022.

Tale norma demanda, infatti, a un decreto del Ministro della giustizia, di concerto con il Ministro dell'economia e delle finanze, la disciplina delle modalità di acquisizione dei dati personali funzionali alla tenuta della banca dati, oltre che di esercizio, da parte del Ministero della giustizia, del potere di vigilanza sul medesimo sistema informativo.

RILEVATO

L’articolo 2 dello schema di regolamento prevede che la banca dati relativa alle aste giudiziarie – tenuta presso il Ministero della giustizia- venga gestita, nel rispetto di criteri di completezza, aggiornamento, esattezza e sicurezza, in forma automatizzata e che vi siano raccolti, oltre ai dati identificativi degli offerenti, il loro codice e il conto corrente, anche il prezzo di stima, il prezzo base e il prezzo di aggiudicazione del bene, nonché il compenso liquidato al professionista delegato.

L'articolo 3 individua le modalità di acquisizione dei dati e del loro inserimento nella banca dati, prevedendone l’estrazione dal portale delle vendite pubbliche (art. 490 c.p.c.) mediante procedure automatizzate. In caso di malfunzionamento del sistema o di incompletezza dei dati contenuti nel portale, il comma 3 dell’articolo stabilisce che l'inserimento dei dati mancanti venga effettuato dal professionista delegato o, se non nominato, dalla cancelleria del tribunale presso cui pende la procedura.

Le modalità di accesso alla banca dati da parte dell’autorità giudiziaria vengono, poi, disciplinate (conformemente alla previsione della norma attributiva del potere) dall’articolo 4. Esso, in particolare, impone la realizzazione di apposite utenze da assegnare ai soggetti abilitati, tra i quali il giudice dell’esecuzione e il giudice delegato, oltre a coloro che siano stati espressamente individuati, dal capo dell'ufficio giudiziario, tra il personale amministrativo. La vigilanza sia sul funzionamento della banca dati sia sugli accessi, viene affidata invece, dall’articolo 5, alla Direzione generale dei sistemi informativi automatizzati del Ministero della giustizia.

Il medesimo articolo prevede, inoltre, che le informazioni relative agli accessi siano conservate in un apposito file di log, per la durata di cinque anni.

L’articolo 6 individua il titolare del trattamento dei dati personali inseriti in banca dati nel Ministero della giustizia, il quale – si aggiunge – provvederà poi a designare un responsabile.

Nel medesimo articolo viene espressamente prevista, inoltre, la limitazione del trattamento dei dati personali alle sole finalità correlate alla tenuta della banca dati.

L’articolo 7 demanda, infine, al responsabile dei sistemi informativi e automatizzati del Ministero, l’adozione delle specifiche tecniche relative all'inserimento dei dati nella banca dati e all’acceso, alla stessa, da parte dell'autorità giudiziaria. L’articolo prevede, inoltre, che nel medesimo termine (di nove mesi) previsto per l’adozione del primo provvedimento, siano anche aggiornate le specifiche tecniche per la pubblicazione sul portale delle vendite pubbliche, di cui all'articolo 161-quater disp. att. c.p.c..

RITENUTO

La disciplina proposta dallo schema di regolamento non presenta, sotto il profilo della protezione dati, dirimenti criticità. Cionondimeno, l’articolato merita talune, puntuali, rivisitazioni, volte a fugare ogni possibile dubbio in sede applicativa, migliorando complessivamente il livello delle garanzie accordate agli interessati, i cui dati siano trattati nell’ambito dei procedimenti connessi alla tenuta della banca dati.

In primo luogo, la tracciabilità delle attività svolte sulla banca dati deve riguardare non solo gli accessi ad essa, ma anche le operazioni svolte sui dati, al fine di consentire una ricostruzione più puntuale delle consultazioni effettuate. E’pertanto opportuno che, all’articolo 5, comma 2, dopo le parole: “agli accessi alla banca dati” siano inserite le seguenti: “e alle operazioni svolte”.

In secondo luogo la previsione, di cui all’articolo 6, secondo cui il Ministero della giustizia, quale titolare del trattamento possa designare poi un responsabile, genericamente indicato, non appare sufficientemente chiara in assenza di ulteriori precisazioni (se, ad esempio, si tratti effettivamente di responsabile del trattamento, ai sensi e per gli effetti di cui agli articoli 28 e 29 del Regolamento). E’, dunque, opportuno che tale riferimento sia espunto o, viceversa, meglio articolato in conformità alle caratteristiche proprie della figura del responsabile del trattamento, i cui rapporti con il titolare andranno poi regolati con un accordo, ai sensi dell’articolo 28 del Regolamento.

Un’ulteriore riflessione merita l’articolo 7, nella parte in cui demanda al responsabile dei sistemi informativi e automatizzati del Ministero l’adozione delle specifiche tecniche relative all'inserimento dei dati nella banca dati e all’accesso, alla stessa, da parte dell'autorità giudiziaria. Tale provvedimento riveste, sotto il profilo della protezione dati, particolare importanza, in quanto volto ad introdurre la disciplina di dettaglio del trattamento, con le connesse garanzie anche in ordine agli aspetti di sicurezza.

Pertanto, è opportuno che in tale atto siano individuati – nel rispetto del principio della limitazione della conservazione, di cui all’articolo 5, par. 1, lett. e) del Regolamento- anche i tempi di conservazione dei dati trattati nella banca dati, le modalità di attribuzione delle utenze e di accesso, al sistema informativo, da parte di tutti i soggetti abilitati tra i quali rileva, in particolare, il professionista delegato dal giudice.

In ragione della rilevanza, sotto il profilo della protezione dati, di tale provvedimento, è opportuno che esso (come anche le specifiche tecniche di cui all’articolo 161-quater disp. att. c.p.c.) sia sottoposto al parere del Garante.

IL GARANTE

ai sensi dell’articolo 36, paragrafo 4, del Regolamento, esprime parere favorevole sul proposto schema di decreto del Ministro della giustizia, con le seguenti condizioni, esposte nel “Ritenuto”, volte a rappresentare l’esigenza di:

a) inserire all’articolo 5, comma 2, dopo le parole: “agli accessi alla banca dati”, le seguenti: “e alle operazioni svolte”;

b) espungere, all’articolo 6, il riferimento alla nomina di un responsabile o, viceversa, meglio articolare la disposizione in conformità alle caratteristiche proprie della figura del responsabile del trattamento;

c) estendere l’oggetto delle specifiche tecniche, di cui all’articolo 7, comma 1, anche all’individuazione dei tempi di conservazione dei dati trattati nella banca dati, delle modalità di attribuzione delle utenze e di accesso, alla stessa, da parte di tutti i soggetti abilitati;

d) prevedere l’acquisizione del parere del Garante in ordine alle specifiche tecniche di cui al medesimo articolo 7, comma 1.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi