VEDI ANCHE Newsletter del 22 giugno 2023

[doc. web n. 9899898]

Parere su di uno schema di decreto, avente natura regolamentare, recante la disciplina del trattamento dei dati personali effettuato dai Centri per la giustizia riparativa - 17 maggio 2023

Registro dei provvedimenti
n. 215 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il dott. Claudio Filippi, vice segretario generale;

Vista la richiesta di parere del Ministero della giustizia;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la documentazione in atti;

Viste le osservazioni del vice segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore prof. Pasquale Stanzione;

PREMESSO

Il Ministero della giustizia ha richiesto il parere del Garante su di uno schema di decreto, avente natura regolamentare, recante la disciplina del trattamento dei dati personali effettuato dai Centri per la giustizia riparativa, istituiti dall’articolo 63 del decreto legislativo 10 ottobre 2022, n. 150, sul quale il Garante ha espresso il proprio parere con provv. n. 292 del 1° settembre 2022.

Lo schema di regolamento attua la previsione di cui all’articolo 65 del medesimo decreto legislativo, che al comma 3 demanda, appunto, a un decreto del Ministro della giustizia, avente natura regolamentare, la definizione delle tipologie dei dati suscettibili di trattamento nello svolgimento dei programmi di giustizia riparativa, delle categorie di interessati ai quali i dati si riferiscono, dei soggetti ai quali questi ultimi possono essere comunicati, delle operazioni di trattamento, nonché delle misure appropriate e specifiche per tutelare i diritti degli interessati.
I Centri per la giustizia riparativa – istituti presso gli enti locali e deputati, appunto, allo svolgimento dei programmi, del cui esito l’autorità giudiziaria viene informata – sono espressamente definiti, dal citato articolo 65, quali titolari del trattamento dei dati personali funzionali allo svolgimento del programma.

Le garanzie di protezione dei dati personali sono peraltro, in tale contesto, particolarmente rilevanti anche in quanto funzionali al rispetto di quei peculiari requisiti di riservatezza e confidenzialità che devono caratterizzare, anche secondo i principi internazionali rilevanti in materia, le modalità di svolgimento dei programmi (cfr., in particolare, art. 43, c.1, lett.e) d.lgs. 150).

RILEVATO

L’articolo 1 dello schema di decreto ne definisce l'oggetto, individuandolo nel trattamento dei dati personali che i Centri per la giustizia riparativa acquisiscono nello svolgimento dei programmi di giustizia riparativa di cui all'articolo 53 del decreto legislativo, per i fini propri dei programmi stessi. La cornice normativa di riferimento, richiamata nell’ articolo, è pertanto individuata esclusivamente nel Regolamento e nel Codice, come peraltro evidenziato nel richiamato parere del Garante. La disciplina del d.lgs.51 del 2018 potrà infatti - come già rilevato nel precedente parere - venire in rilievo solo limitatamente al segmento successivo, di utilizzo, da parte dell’autorità giudiziaria, dei dati relativi al solo esito del programma, nei limiti di quanto previsto dall’articolo 57 del d.lgs. n. 150 del 2022.

L'articolo 2 contiene le definizioni dei termini utilizzati nel regolamento tra le quali rileva, in particolare, quella di cui alla lettera n), secondo cui i dati personali oggetto di disciplina concernono qualsiasi informazione riguardante una persona fisica, identificata o identificabile, in relazione a nome, numero di identificazione, dati relativi all'ubicazione, identificativo online, uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale, ai sensi dell'articolo 4 del Regolamento.

L’articolo 3 indica le categorie di dati personali oggetto del trattamento, comprensive dei dati identificativi dell'interessato e di dati ulteriori. Si specifica che gli stessi possano essere contenuti in documenti analogici o digitali e, per le esigenze legate allo svolgimento del programma riparativo, anche in forma di riprese audiovisive.

L'articolo 4 elenca, in modo tassativo ed esaustivo, le finalità sottese al trattamento delle tipologie di dati precedentemente indicate.

In particolare, la lettera a) del comma 1 concerne le finalità connesse all’organizzazione, conduzione e gestione degli esiti del programma da parte del mediatore esperto.

La lettera b) del comma 1 riguarda il trattamento dei dati necessario per dare riscontro alle richieste dell'autorità giudiziaria, del Ministero della giustizia e delle Autorità garanti interessate, nell'esercizio delle potestà loro attribuite previste dalle norme vigenti. Si tratta, tra le altre, delle comunicazioni dirette all’autorità giudiziaria che ha proposto l'invio al programma riparativo o che ne riceve gli esiti, delle comunicazioni strumentali allo svolgimento delle attività di monitoraggio e vigilanza di cui all'articolo 66 del d.lgs. n. 150 o dei dati necessari allo svolgimento dell'attività di vigilanza del Ministero della giustizia, o allo svolgimento dei compiti propri di Autorità quali il Garante Nazionale dei diritti delle persone private della libertà personale o l'Autorità Garante per l'Infanzia e l'Adolescenza.

La lettera c) del comma 1 autorizza il trattamento per il rilascio, all'interessato, di certificazioni relative alla partecipazione e all'esito del programma, duplicati, copie o estratti della documentazione dal medesimo fornita.

La lettera d) consente il trattamento dei dati per attività statistiche, di analisi e di monitoraggio dei servizi per la giustizia riparativa. La lettera e), invece, legittima il trattamento dei dati per le finalità connesse alle attività di formazione dei mediatori esperti e dei mediatori esperti formatori, che i Centri svolgono congiuntamente alle istituzioni universitarie ai sensi delle disposizioni di cui all'articolo 59 del decreto legislativo.

Agli stessi fini è previsto, alla lettera f) del comma 1, il rilascio, ai soggetti di cui alla lettera e), della certificazione relativa all'attività prestata nei servizi per la giustizia riparativa, utile ad attestare l'adempimento degli obblighi formativi pratici e del tirocinio, previsti dalla norma primaria.

La lettera g) del comma 1 legittima, infine, il trattamento ai fini dell'adempimento degli obblighi normativi di natura amministrativa, contabile o fiscale, conseguenti e correlati all'attività di giustizia riparativa.

L'articolo 5 individua le categorie di interessati, ai sensi dell'articolo 4, c.1, lettera i) del Codice, nelle persone fisiche partecipanti al programma di giustizia riparativa e nelle altre categorie di soggetti contemplati dall'articolo 45, c.1, del dlgs n. 150.

L'articolo 6 differenzia la figura del titolare del trattamento dei dati (individuato, ai sensi dell'articolo 65 del d.lgs. n. 150), da quella dei responsabili del trattamento, ai sensi dell'articolo 28 del Regolamento (individuati tra i soggetti ai quali il Centro abbia affidato lo svolgimento dei programmi di giustizia riparativa).

L'articolo 7 disciplina poi la comunicazione dei dati, che viene ammessa solo per le finalità e nei casi già specificati nell'articolo 4.

Il comma 2 del medesimo articolo prevede, inoltre, che la pubblicazione delle dichiarazioni e delle informazioni acquisite ai sensi dell'articolo 50, comma 3, del decreto legislativo, sia ammessa solo con il consenso dell'interessato dopo la conclusione del programma di giustizia riparativa e la definizione del procedimento penale con sentenza o decreto penale irrevocabili, nel rispetto della disciplina sulla protezione dei dati personali. Tale ultimo richiamo include, peraltro, il divieto di pubblicazione dei dati relativi alla salute, genetici o biometrici (art. 2-septies, c.8, del Codice) nell’ambito dei trattamenti svolti per fine di interesse pubblico.

Al comma 3 dell’articolo 7 viene invece garantita la trasmissione dei dati, purché anonimizzati e per le finalità attribuite dalla normativa vigente al Ministero, simmetricamente a quanto previsto nell'articolo 4, comma 1, lettera d).

La comunicazione dei dati alle Autorità garanti interessate, per l'esercizio delle potestà attribuite loro dalle norme vigenti, è invece consentita, secondo il comma 4, soltanto con il consenso del “titolare del dato”, trattandosi, si osserva nella Relazione illustrativa, di attività svolte nell'interesse di quest' ultimo.

L'ultima ipotesi disciplinata dall’articolo 7 riguarda la deroga, di cui all’articolo 50, c. 1, del d.lgs. n. 150, al dovere di riservatezza del mediatore esperto sulle attività e sugli atti compiuti, sulle dichiarazioni rese dai partecipanti e sulle informazioni acquisite per ragione o nel corso dei programmi di giustizia riparativa, nei casi nei quali i partecipanti abbiano reso dichiarazioni che integrino di per sé reato o nell’ipotesi di assoluta necessità della rivelazione di tali dati per evitare la commissione di imminenti o gravi reati. Tale ultima definizione, ripresa testualmente dal disposto legislativo, non pare peraltro suscettibile di ulteriore dettaglio nella fonte regolamentare, in assenza di un’espressa previsione in tal senso all’interno della norma attributiva del potere.

L'articolo 8 disciplina i tempi e le modalità di conservazione dei dati da parte del titolare, stabilendolo in cinque anni dal passaggio in giudicato della sentenza o da altre forme di conclusione del procedimento penale (anche della sua fase esecutiva). Il termine si ritiene congruo in relazione ad esigenze quali, ad esempio, una possibile revisione del processo fondata sulla contestazione dell’esito del programma.

Si prevede inoltre che, alla scadenza dei termini, il titolare provveda a disporre la cancellazione dei dati, in modo sicuro ed irreversibile, salva restando la possibilità di conservazione dei dati per un periodo maggiore, su base consensuale.

In quest’ultimo caso, il comma 3 dell’articolo 8 prevede l’anonimizzazione irreversibile dei dati, mentre il comma 4 stabilisce che, esclusivamente per la più ristretta categoria dei dati necessari per gli adempimenti fiscali o amministrativi, sia consentita la conservazione, da parte del Centro, per il più ampio termine decennale.

All'articolo 9 si richiama la disciplina del Regolamento e del Codice quale parametro di conformità dei trattamenti previsti.

Il secondo comma del medesimo articolo 9 vieta, poi, la raccolta di dati personali che risultino manifestamente non utili per le finalità di cui all'articolo 4 e, se raccolti accidentalmente, ne impone la cancellazione immediata. Il comma 3, infine, prevede che venga assicurato, a richiesta degli interessati, l’esercizio dei diritti di cui agli articoli da 15 a 22 del Regolamento, nei limiti tuttavia di quanto previsto dall' articolo 2-undecies del Codice.

RITENUTO

La disciplina proposta dallo schema di regolamento si conforma all’ambito di intervento demandato dalle norme attributive del potere e non presenta, sotto il profilo generale della disciplina del trattamento e protezione dei dati personali, dirimenti criticità. Cionondimeno, l’articolato merita talune, puntuali, rivisitazioni, volte migliorare complessivamente il livello delle garanzie accordate, agli interessati, sotto il profilo della protezione dei dati personali.

Una prima riflessione merita l’articolo 3 che, all’alinea del comma 1, potrebbe essere integrato con una specificazione (ulteriore rispetto a quella generale di cui all’articolo 9), relativa all’esigenza di rispetto del principio minimizzazione, di cui all’articolo 5, par.1, lett. c) del Regolamento, nella raccolta e nel trattamento dei dati indicati. Benché, infatti, l’obbligo di osservanza di questo principio (come di ogni altra previsione del Regolamento e del Codice) s’imponga, per la gerarchia delle fonti, anche in assenza di espressa previsione, il suo richiamo espresso può essere opportuno per rimarcare l’esigenza di un’adeguata selezione dei dati suscettibili di trattamento, in funzione, ovviamente, del buon esito del programma. 

Il medesimo comma, alla lettera c), con riferimento al trattamento dei dati di cui agli articoli 9 e 10 del Regolamento (destinatari nell’ordinamento di una tutela rafforzata), potrebbe essere inoltre integrato circoscrivendo tale possibilità ai soli dati necessari allo svolgimento del programma.

Tale precisazione- rafforzativa del più generale richiamo al rispetto del principio di minimizzazione - contribuirebbe infatti a richiamare l’attenzione dei Centri sull’esigenza di circoscrivere al massimo il novero dei dati, di tale natura, acquisiti, sulla base delle reali esigenze di svolgimento del programma. In tal modo, peraltro, l’esigenza di tipizzazione dei dati suscettibili di trattamento ai fini di cui agli articoli 2-sexies, c.1 e 2-octies, c.5, del Codice, verrebbe soddisfatta con un criterio teleologico, maggiormente compatibile con le peculiarità della fattispecie.

Alla lettera a) del comma 1, relativamente alla possibilità di raccolta di dati non univocamente identificativi come il nickname o l’accountname, andrebbe introdotta una clausola limitativa o condizionale riferita all’ipotesi in cui l’acquisizione di tali dati sia necessaria ai fini dello svolgimento del programma.

Per altro verso, andrebbe chiarito (o espunto in assenza di idonea giustificazione) il riferimento all’identità digitale del soggetto. Tale nozione infatti, a legislazione vigente, si riferisce alla “rappresentazione informatica della corrispondenza tra un utente e i suoi attributi identificativi, verificata attraverso l'insieme dei dati raccolti e registrati in forma digitale” (art. 1, c.1. lett.u-quater) d.lgs. 82 del 2005 e s.m.i.) e pare, pertanto, difficilmente compatibile con le esigenze di trattamento dei dati connesse a un servizio quale quello di giustizia riparativa.

Il medesimo articolo, al comma 3, ammette la possibilità che i dati personali trattati possano essere contenuti - per esigenze legate allo svolgimento del programma riparativo- in documenti analogici o digitali, anche nella forma di riprese audiovisive.

Il riferimento alla possibilità della videoregistrazione, introdotta da tale norma, appare giustificato dall’esigenza, suscettibile di verificarsi talora, di disporre di una documentazione che rappresenti anche la gestualità e l’espressione emotiva delle parti, per la quale la mera verbalizzazione può non essere sufficiente. Tuttavia, è opportuno che tali presupposti legittimanti il ricorso alla videoregistrazione siano espressi in norma, con un’integrazione, in tal senso, della disposizione.

Per quanto concerne la disciplina della comunicazione dei dati, merita una riflessione ulteriore la previsione, conforme al dettato legislativo, della pubblicazione dei contenuti del programma su base consensualistica e all’esito della definizione del procedimento penale. Tale ipotesi pare riferirsi alla pubblicazione non già da parte dei Centri, per fini pubblicistici, ma delle stesse parti, per fini riconducibili all’esercizio del diritto di cui all’articolo 21 Cost. In tale ultimo caso, il trattamento dei dati personali connesso alla pubblicazione osserverà, in particolare, le disposizioni di cui al Titolo XII del Codice (con l’applicabilità, peraltro, delle Regole deontologiche di cui all’articolo 139). Tuttavia, in ragione della rilevanza degli effetti potenzialmente connessi a tale forma di pubblicità e dell’esigenza di una reale consapevolezza del soggetto consenziente, è opportuno prevedere che l’informativa sul trattamento dei dati personali rilasciata agli interessati dai Centri, ai sensi dell’articolo 13 del Regolamento, contempli espressamente anche tale possibilità.

Per altro verso, l’articolo 7, comma 3, andrebbe integrato precisando che la trasmissione deve riguardare le attività di cui all’articolo 4, c.1, lett. d) e dati privati di ogni elemento, anche solo indirettamente idoneo a reidentificare il soggetto o, comunque, dati non personali come le informazioni di ordine quantitativo relative ai procedimenti seguiti.

Analoga precisazione sarebbe da inserire, inoltre, all’articolo 8, comma 3, sebbene tale previsione paia incompatibile con la finalità, lì richiamata, di cui all’articolo 4., c.1, lett. b), che sembra piuttosto riferirsi a casi individualmente considerati.

Sarebbe opportuno inoltre precisare, al medesimo articolo 8, comma 3, che la conservazione per gli scopi ivi previsti è ammessa nei soli casi normativamente previsti.

Un’ulteriore riflessione merita la previsione, al comma 4 dell’articolo 7, del consenso dell’interessato quale requisito legittimante la trasmissione, alle autorità Garanti, delle informazioni che lo riguardano. Esso, tuttavia, non può essere inteso quale valido presupposto di liceità del trattamento, soprattutto in ragione delle disparità che connotano la posizione, rispettivamente, del cittadino e dell’autorità pubblica, inficiando almeno potenzialmente la libera manifestazione di volontà del primo (C 43, primo periodo, del Regolamento; cfr. anche provv. n. 88 del 18 maggio 2020, doc. web n. 9347280). 

Il consenso cui si riferisce l’articolo 7, comma 4, è dunque, piuttosto, da considerare quale atto dispositivo in ordine alle conseguenze giuridiche della trasmissione delle informazioni (dal momento che da essa possono derivare benefici al consenziente). Sarebbe, pertanto, opportuno sostituire il richiamo al consenso con il riferimento all’ipotesi in cui l’interessato attivi l’intervento delle Autorità garanti nei casi previsti dalla legge, con il conseguente trattamento di dati personali fondato, tuttavia, sul diverso presupposto di liceità di cui all’articolo 6, p.1, lett.e) del Regolamento.

Analogamente, all’articolo 8, comma 1, il riferimento al consenso quale presupposto di liceità della conservazione ulteriore dei dati andrebbe espunto, per i già richiamati limiti della manifestazione di volontà dell’interessato in un tale contesto, evincibili dal Considerando 43 del Regolamento. Sarebbe pertanto opportuno sostituire il richiamo al consenso con il riferimento all’ipotesi di espressa istanza dell’interessato per la conservazione ulteriore, per ragioni legittime, in ipotesi che andrebbero tuttavia circoscritte e disciplinate, anche in ragione degli effetti che tale ultrattività del trattamento comporta sui dati degli altri interessati. Si potrebbe, quindi, prevedere in tali casi quantomeno l’oscuramento dei dati riferibili ai soggetti diversi dall’istante.

All’articolo 8, comma 4, sarebbe opportuno precisare che la conservazione decennale ivi prevista non deve riguardare dati personali diversi da quelli per i quali essa sia espressamente imposta (e nei limiti in cui lo sia), da norme legislative o regolamentari.

All’articolo 9, c.3, infine, sarebbe opportuno espungere il riferimento al diritto alla portabilità, che non pare compatibile con i presupposti di liceità in virtù dei quali i dati sono trattati. La medesima disposizione potrebbe, invece, indicare espressamente i diritti (compresi in quelli richiamati, indirettamente, per effetto del rinvio agli articoli e, rispettivamente, 16 e 22 del Regolamento) dell’interessato di chiedere l’integrazione dei dati e di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato di dati personali. Benché, infatti, tali diritti siano implicitamente richiamati con rinvio alla fonte normativa, l’assenza di un riferimento espresso in tal senso, diversamente da quanto disposto per gli altri, potrebbe ingenerare dubbi interpretativi evitabili con l’integrazione suggerita.

Infine, tra le «misure appropriate e specifiche per tutelare i diritti degli interessati» da normare, ai sensi degli articoli 2-sexies, c.1, del Codice e 65, c.3, d.lgs. 150 del 2022, andrebbe inserito un richiamo alla necessità di adozione, da parte dei Centri di giustizia riparativa, di misure tecniche e organizzative idonee per la tutela dei dati personali trattati, anche con riferimento ai profili di sicurezza da garantire lungo tutto il percorso di trattamento (ivi incluse le fasi della conservazione, trasmissione, comunicazione ai soggetti legittimati) e alla necessità di effettuare la valutazione d’impatto, ricorrendone i presupposti di cui all’articolo 35 del Regolamento.

IL GARANTE

ai sensi dell’articolo 36, paragrafo 4, del Regolamento, esprime parere favorevole sul proposto schema di decreto del Ministro della giustizia, con:

- le seguenti condizioni, esposte nel “Ritenuto”, relative all’esigenza di: 

a) integrare l’articolo 3:

- prevedendo, al comma 1, alinea, che la raccolta e il trattamento dei dati indicati deve svolgersi nel rispetto del principio di minimizzazione;

- precisando, al comma 1, lettera a), che la raccolta di dati quali il nickname o l’accountname è ammessa se necessaria per lo svolgimento del programma e chiarendo (o espungendo, in assenza di idonea giustificazione) il riferimento all’identità digitale del soggetto;

- aggiungendo in fine, alla lettera c) del comma 1, le seguenti parole: “necessari allo svolgimento del programma”

- chiarendo, al comma 3, che la possibilità di video-audio-registrazione è limitata ai casi nei quali la mera verbalizzazione non si ritenga sufficiente;

b) precisare, all’articolo 7, comma 3, che la trasmissione ivi prevista deve essere funzionale alle attività di cui all’articolo 4, c.1, lett. d) e riguardare dati privati di ogni elemento anche solo indirettamente idoneo a reidentificare il soggetto o, comunque, dati non personali;

c) integrare l’articolo 8, comma 3, disponendo che la conservazione ivi contemplata, ammissibile nei soli casi normativamente previsti, deve riguardare dati privati di ogni elemento anche solo indirettamente idoneo a reidentificare il soggetto o, comunque, dati non personali;

d) precisare all’articolo 8, comma 4, che la conservazione decennale ivi prevista non deve riguardare dati personali diversi da quelli per i quali essa sia espressamente imposta (e nei limiti in cui lo sia), da norme legislative o regolamentari;

e) integrare l’articolato con un richiamo alla necessità di adozione, da parte dei Centri di giustizia riparativa, di misure tecniche e organizzative idonee per la tutela dei dati personali trattati, anche con riferimento ai profili di sicurezza da garantire lungo tutto il percorso di trattamento e alla necessità di effettuare la valutazione d’impatto, ricorrendone i presupposti di cui all’articolo 35 del Regolamento, nonché all’esigenza di espressa inclusione, nell’informativa rilasciata ai sensi dell’articolo 13 del Regolamento, del riferimento alla possibilità di pubblicazione delle dichiarazioni e delle informazioni acquisite, di cui all’articolo 50, c.3, d.lgs. 150 del 2022.

e le seguenti osservazioni, esposte nel “Ritenuto”, relative all’opportunità di:

i) sostituire all’articolo 7, comma 4, il richiamo al consenso del soggetto, con il riferimento ai casi di attivazione dell’intervento delle Autorità garanti da parte dell’interessato, nei casi previsti dalla legge;

ii) sostituire, all’articolo 8, comma 1, alinea, il riferimento al consenso dell’interessato con il richiamo all’ipotesi di presentazione, da parte di quest’ultimo, di specifica istanza di conservazione ulteriore, sulla base di presupposti determinati, anche con riguardo all’esigenza di oscuramento dei dati riferibili ai soggetti diversi dall’istante; 

iii) espungere all’articolo 9, c.3, il riferimento al diritto alla portabilità e richiamare invece espressamente i diritti, dell’interessato, di chiedere l’integrazione dei dati e di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato di dati personali.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi