PRIVACY – GARANTE PROTEZIONE DATI PERSONALI – Provvedimento 07 novembre 2018, n. 477 – Parere su uno schema di decreto del Presidente del Consiglio dei Ministri in materia di bonus cultura ai diciottenni

Parere su uno schema di decreto del Presidente del Consiglio dei Ministri in materia di bonus cultura ai diciottenni – 7 novembre 2018

PREMESSO

1. La Presidenza del Consiglio dei Ministri ha chiesto il parere del Garante in ordine a uno schema di decreto del Presidente delConsiglio dei Ministri concernente “Ulteriori modifiche al decreto 15 settembre 2016, n. 187, recante i criteri e le modalità di attribuzione e di utilizzo della carta elettronica prevista dall’articolo 1, comma 979, della legge 28 dicembre 2015, n. 208 e successive modificazioni”.

Il decreto è da adottarsi ai sensi della legge 27 dicembre 2017, n. 205, recante “Bilancio di previsione dello Stato per l’anno finanziario 2018 e bilancio pluriennale per il triennio 2018-2020” e ai sensi dell’articolo 7 del decreto-legge 25 luglio 2018, n. 91, convertito con modificazioni dalla legge 21 settembre 2018, n. 108, recante “Proroga di termini previsti da disposizioni legislative”, che stabiliscono il rifinanziamento della carta elettronica prevista dalla legge n. 208 del 2015, volta ad assegnare ai giovani diciottenni il c.d. “bonus cultura”, anche per l’anno 2018.

Lo schema di decreto in esame, sulla scorta delle suddette previsioni di legge, si propone di modificare il decreto n. 187 del 15 settembre 2016, recante il regolamento sui criteri e le modalità di attribuzione e di utilizzo della predetta carta elettronica, limitatamente ai punti relativi ai requisiti che devono possedere i beneficiari della carta e l’estensione dei termini per ottenere la stessa.

Lo schema prevede, infatti, che la concessione della carta sia estesa anche ai giovani che compiono diciotto anni di età nell’anno 2018 (fermi i requisiti già previsti dalla legge n. 208 del 2015 per i beneficiari, ossia l’essere residenti nel territorio nazionale e, ove previsto, in possesso di permesso di soggiorno in corso di validità), prevedendo, di conseguenza, l’integrazione delle disposizioni sui termini per la registrazione e per il suo utilizzo.

RITENUTO

2. Esaminate le modifiche che lo schema di decreto è volto ad introdurre rispetto al testo precedente, il Garante non rileva profili di criticità sotto il profilo della protezione dei dati personali in relazione a tali aspetti.

Nondimeno si osserva quanto segue.

3. Il Regolamento (UE) 2016/679 (che si ritiene opportuno citare nel preambolo del decreto), all’articolo 6, paragrafo 3, stabilisce che la base giuridica di ogni trattamento di dati personali deve contenere disposizioni specifiche per adeguare l’applicazione delle norme del Regolamento, con particolare riferimento ai periodi di conservazione dei dati, alle operazioni ed alle procedure di trattamento.

Il Garante ha espresso già in precedenza il parere di competenza in merito all’utilizzo della carta elettronica, una prima volta nel 2016 (parere 28 luglio 2016, n. 328, reperibile in www.gpdp.it; doc. web n. 5387638) rispetto ai giovani che compivano diciotto anni di età nell’anno 2016 (in relazione allo schema di regolamento poi adottato il 15 settembre 2016, oggetto delle modifiche all’esame), e successivamente con il parere 26 luglio 2017, n. 336, relativo all’estensione dei benefici economici della carta ai soggetti che compivano 18 anni nel 2017 (doc. web n. 6821795).

Nei suddetti pareri l’Autorità aveva posto quale condizione che l’Amministrazione indicasse “le modalità di realizzazione e gestione della «piattaforma informatica dedicata» e dei tempi di conservazione dei dati personali – eventualmente anche attraverso il rinvio a un atto amministrativo di carattere tecnico, da adottare sentito il Garante – nel rispetto dei principi di pertinenza e non eccedenza nel trattamento dei dati personali (… ) con l’adozione di idonee e preventive misure di sicurezza, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”.

A seguito del parere del 2017, l’Amministrazione con il dPCM 4 agosto 2017, n. 136, ha integrato l’articolo 10 del dPCM n. 187 del 2016 prevedendo che il Ministero per i beni e le attività culturali (MIBACT) dovesse non solo assicurare il trattamento dei dati personali ai sensi della normativa vigente, limitandolo alla sola realizzazione dei compiti attinenti all’attribuzione e all’utilizzo della carta elettronica e provvedere alla designazione del responsabile del trattamento dei dati personali, come già previsto, ma anche disciplinare, sentito il Garante, le “modalità e i tempi della gestione e conservazione dei dati personali”.

Inoltre, con separata disposizione (art. 2 del medesimo dPCM n. 136 del 2017) ha previsto che le predette “modalità e i tempi della gestione e conservazione dei dati personali” fossero individuate in un allegato alla convenzione da stipularsi fra il medesimo ministero e SOGEI, di cui il MIBACT si avvale, unitamente all’Agenzia per l’Italia digitale (AGID) e alla CONSAP per l’attuazione della disciplina in questione.

Allo stato, -per quanto a conoscenza dell’Autorità- non risulta adottato né il decreto del Ministero né la convenzione, sicché non sono state ancora disciplinate le modalità di gestione e conservazione dei dati personali trattati.

Tali osservazioni rilevano soprattutto in considerazione di alcune criticità, anche connesse all’utilizzo di SPID, emerse nella gestione della piattaforma da parte di SOGEI, che sono all’esame dell’Autorità.

Ciò considerato, il Garante richiama l’attenzione dell’Amministrazione sulla necessità che il trattamento dei dati personali in attuazione della carta dei diciottenni sia effettuato in presenza di un’adeguata base giuridica che risponda ai requisiti  previsti dall’articolo 6, paragrafo 3, del Regolamento.

In conseguenza, si ritiene necessario che le “modalità e i tempi della gestione e conservazione dei dati personali”, con particolare riferimento alla realizzazione e gestione della “piattaforma informatica dedicata”, siano individuati nello schema di decreto all’esame o, in alternativa e al più presto, negli atti di attuazione già previsti dalla normativa vigente e sopra indicati, i cui schemi – opportunamente coordinati – devono essere trasmessi al Garante per il prescritto parere.

Tutto ciò premesso il Garante

Esprime il parere nei termini di cui in motivazione, con l’osservazione di cui al punto 3, sullo schema di decreto del Presidente del Consiglio dei Ministri concernente “Ulteriori modifiche al decreto 15 settembre 2016, n. 187, recante i criteri e le modalità di attribuzione e di utilizzo della carta elettronica prevista dall’articolo 1, comma 979, della legge 28 dicembre 2015, n. 208 e successive modificazioni”.