Parere sullo schema di decreto del Ministero dello sviluppo economico concernente il sistema di interconnessione dei Registri delle imprese – GARANTE PROTEZIONE DATI PERSONALI – Parere 06 ottobre 2022, n. 317

Parere sullo schema di decreto del Ministero dello sviluppo economico concernente il sistema di interconnessione dei Registri delle imprese

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

Visto il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (di seguito, Regolamento);

Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

Vista la direttiva (UE) 2017/1132 del Parlamento europeo e del Consiglio del 14 giugno 2017, come modificata dalla direttiva (UE) 2019/1151 del 20 giugno 2019 e, in particolare, l’art. 22, che ha istituito il sistema di interconnessione dei registri (di seguito BRIS – Business Registers Interconnection System) avente la finalità di consentire a tutti gli Stati membri di connettere il proprio registro nazionale ad una piattaforma centrale europea gestita dalla Commissione, demandando ad ogni Stato membro il compito di assicurare l’interoperabilità del proprio registro con il BRIS, nonché prevedendo che l’accesso alle informazioni contenute nel sistema di interconnessione dei registri sia garantito attraverso il portale e gli eventuali punti di accesso opzionali istituiti dagli Stati membri e dalla Commissione;

Visto il regolamento (UE) di esecuzione della Commissione n. 2021/1042 del 18 giugno 2021 recante “modalità di applicazione della direttiva (UE) 2017/1132 del Parlamento europeo e del Consiglio per quanto riguarda le specifiche tecniche e le procedure necessarie per il sistema di interconnessione dei registri e che abroga il regolamento di esecuzione (UE) 2020/2244 della Commissione” che disciplina le specifiche tecniche e le procedure per il sistema di interconnessione e, in particolare, l’Allegato al predetto regolamento che, al punto 15, reca la disciplina dei “punti di accesso opzionali”;

Visto il decreto legislativo 8 novembre 2021, n. 183 recante “Recepimento della direttiva (UE) 2019/1151 del Parlamento europeo e del Consiglio, del 20 giugno 2019, recante modifica della direttiva (UE) 2017/1132 per quanto concerne l’uso di strumenti e processi digitali nel diritto societario” e, in particolare, l’art. 3, comma 4, ai sensi del quale “Con decreto del Ministro dello sviluppo economico, da adottarsi entro dodici mesi dalla data di entrata in vigore del presente decreto, previo parere del Garante per la protezione dei dati personali, sono individuate le modalità di dettaglio per l’interscambio dati mediante il sistema di interconnessione dei registri di cui all’articolo 22 della direttiva (UE) 2017/1132 , in conformità alle previsioni del regolamento (UE) 2021/1042, allegato, punto 15, nonché con riferimento all’interscambio dei dati di cui all’ottavo comma dell’articolo 2508-bis del codice civile in conformità con le previsioni del regolamento (UE) 2021/1042, allegato, punto 15”;

Visto l’articolo 2508-bis del codice civile, introdotto dall’articolo 6, comma 3, del citato decreto legislativo n. 183/2021 e, in particolare, l’ottavo comma (rectius, settimo), ove si stabilisce che «Gli uffici del registro delle imprese comunicano, tramite il sistema di interconnessione di cui all’articolo 22 della direttiva (UE) 2017/1132, ai registri delle imprese di altri Stati membri in cui sono registrate sedi secondarie di società di capitali regolate dalla legge italiana, le modifiche ai seguenti elementi: a) denominazione della società; b) sede legale della società; c) numero di iscrizione della società nel registro; d) forma legale della società; e) legali rappresentanti, con specificazione se in forma congiunta o disgiunta, amministratori, componenti degli organi di controllo o di supervisione;     f) bilanci societari»;

Visti l’art. 8 della legge 29 dicembre 1993, n. 580 e l’art. 7 del decreto del Presidente della Repubblica 7 dicembre 1995, n. 581 che recano la disciplina del registro delle imprese;

Visto il decreto del Ministro dello sviluppo economico 8 giugno 2017 che, in attuazione della direttiva (UE) 2012/17 del Parlamento europeo e del Consiglio del 13 giugno 2012, disciplina la partecipazione del registro delle imprese italiano al sistema di interconnessione dei registri delle imprese unionali;

Viste le note del 2 e del 26 settembre 2022 con cui il Ministero dello sviluppo economico ha trasmesso all’Autorità, per il prescritto parere, lo schema di decreto ministeriale attuativo dell’articolo 3, comma 4, del decreto legislativo 8 novembre 2021, n. 183, di recepimento della direttiva (UE) 2019/1151 del Parlamento europeo e del Consiglio del 20 giugno 2019, recante modifica della direttiva (UE) 2017/1132 per quanto concerne l’uso di strumenti e processi digitali nel diritto societario, al fine di individuare le modalità di dettaglio per l’interscambio dei dati mediante il sistema di interconnessione dei registri di cui all’art. 22 della direttiva (UE) 2017/1132, nonché con riferimento all’interscambio dei dati di cui all’ottavo comma dell’articolo 2508-bis del codice civile, in conformità alle previsioni del regolamento (UE) 2021/1042, allegato, punto 15;

Rilevato che lo schema di decreto in esame, oltre a individuare le tipologie di dati oggetto del trattamento, prevede, in particolare, che:

– le camere di commercio, in qualità di titolari del trattamento, attraverso il registro delle imprese, assicurino la piena interoperabilità e l’interscambio dei dati nell’ambito del sistema di interconnessione dei registri e che, ove ne emerga l’opportunità, il Ministero chieda alle camere di commercio l’istituzione, per il tramite del sistema informatico del registro delle imprese, di punti di accesso opzionali al sistema di interconnessione dei registri europei (artt. 2, commi 1 e 2, e 3, comma 3);

– la camera di commercio, nell’ambito del sistema informatico del registro delle imprese, adotti idonee misure tecniche per garantire la sicurezza informatica, compresi i requisiti di sicurezza per la trasmissione dei dati attraverso i punti di accesso opzionali, al fine di assicurare un livello di sicurezza dei dati personali adeguato al rischio di distruzione, perdita, modifica o accesso non autorizzato ai dati trattati, in conformità al Regolamento e, in particolare, all’articolo 32 (art. 3, comma 5);

– fermo restando quanto previsto dall’articolo 35 del Regolamento, il Ministero, sentito il Garante, disciplini con separato atto, in ossequio ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, le operazioni eseguibili e le misure tecniche e organizzative a tutela dei diritti e delle libertà fondamentali degli interessati, con riferimento ai punti di accesso opzionali (art. 3, comma 7);

Considerato che lo schema di decreto in esame tiene conto delle indicazioni fornite dall’Ufficio nel corso delle interlocuzioni intercorse nell’ambito dell’istruttoria preliminare, volte ad assicurare la conformità del trattamento in esame alla normativa in materia di protezione dei dati personali, nonché a prevedere che, con riferimento ai punti di accesso opzionali, le operazioni eseguibili e le misure tecniche e organizzative adottate nell’ambito del sistema di interconnessione dei registri e dell’interscambio di cui all’art. 2508-bis del codice civile, siano meglio definite con un successivo atto del Ministero, sentito il Garante, nel rispetto dei principi di liceità, correttezza e trasparenza, minimizzazione dei dati, integrità e riservatezza, nonché privacy by design e by default (artt. 5, par. 1, lett. a), c), f) e 25 del Regolamento);

Ritenuto che lo schema di decreto in esame non presenti profili di criticità in materia di protezione dei dati personali;

Vista la documentazione in atti;

Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Tutto ciò premesso il Garante

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministero dello sviluppo economico attuativo dell’articolo 3, comma 4, del decreto legislativo 8 novembre 2021, n. 183, di recepimento della direttiva (UE) 2019/1151 del Parlamento europeo e del Consiglio del 20 giugno 2019, recante modifica della direttiva (UE) 2017/1132 per quanto concerne l’uso di strumenti e processi digitali nel diritto societario.