[doc. web n. 10231983]

Provvedimento del 10 aprile 2025

Registro dei provvedimenti
n. 237 del 10 aprile 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, segretario generale reggente;

Vista la Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio;

Visto il Decreto Legislativo 18 maggio 2018, n. 51, di attuazione della predetta direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale reggente ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo.

E’ pervenuto a questa Autorità un reclamo da parte dal XX, relativo ad un presunto trattamento illecito dei suoi dati personali da parte del Dipartimento della Pubblica Sicurezza – Direzione Centrale della Polizia Criminale – Servizio per il Sistema informativo Interforze.

Il XX, con riferimento all’esito dell’inoltro al Dipartimento della Pubblica Sicurezza – Direzione Centrale della Polizia Criminale – Servizio per il Sistema informativo Interforze  di una  richiesta di cancellazione dei dati personali a lui riferiti e relativi a “processi estinti e risolti da circa 10 anni e oltre (24 anni)”, ha lamentato da un lato il ritardo nel parziale riscontro ottenuto e dall’altro la presenza di informazioni relative a procedimenti giudiziari risalenti nel tempo.

Pertanto, il reclamante ha lamentato che in tal modo la Direzione centrale del Dipartimento di Pubblica Sicurezza avrebbe effettuato un trattamento illecito di dati personali per i motivi esposti nel reclamo ed ha chiesto a questa Autorità di adottare le misure del caso.

2. L’attività istruttoria preliminare.

Con nota in data 20 giugno 2024 prot. n. U.0075743, questa Autorità ha chiesto alla Direzione Centrale della Polizia Criminale di fornire le seguenti informazioni circa:

1) il trattamento da parte della Direzione Centrale della Polizia Criminale dei dati personali del XX, contenuti nel C.E.D., con particolare riguardo ai termini di conservazione dei dati;

2) ogni altro elemento ritenuto utile per le valutazioni di questa Autorità in merito al reclamo in oggetto.

Con nota trasmessa in data 23 agosto 2024, la Direzione Centrale della Polizia Criminale – Ufficio Affari Giuridici e del Contenzioso, ha fornito il riscontro richiesto, dichiarando:

“Il XX in data 23 settembre 2022, presentò, tramite il proprio indirizzo di posta elettronica, un'istanza, ai sensi dell'art. 10, comma 3, della legge 1/411981, n. 121, per la comunicazione in forma intellegibile dei dati esistenti a suo nome presso il menzionato CED. Questa Direzione Centrale comunicò i dati all'indirizzo PEC dell'interessato con nota del 13 gennaio 2023, (prot. n. MI-123-U-UTGC-6-2023-893) e rispose ad altre due richieste di delucidazioni sempre avanzate dal predetto in data 23 gennaio 2023 (prot. n. MI-123-U-UTGC-6- 2023-1729) e 26 gennaio 2023 (prot. n. MI-123-U-UTGC-6-2023-2183) fornendo chiarimenti in merito ai motivi ostativi alla cancellazione.

I dati relativi al XX presenti nel CED sono quindi stati trattati da questa Direzione Centrale in misura proporzionata per rispondere alle richieste del medesimo e secondo modalità non eccedenti tale fine, in ottemperanza all'art. 3 del D.lvo 18/5/2018, n. 51. In proposito, si ricorda che l'accesso al CED è consentito ai soggetti elencati nell'art. 9 della legge 12111981 (ufficiali di polizia giudiziaria appartenenti alle Forze di polizia, ufficiali di pubblica sicurezza e agenti delle Forze di polizia debitamente autorizzati dai rispettivi Uffici e Reparti, nonché l'Autorità giudiziaria per i soli accertamenti necessari per i procedimenti in corso).

(…) Per quanto concerne l'aspetto della cancellazione dei dati trattati per finalità di polizia, assumono rilievo l'interesse collettivo all'esercizio dei compiti di prevenzione e repressione dei reati e di tutela dell'ordine e sicurezza pubblica e quello individuale alla salvaguardia della propria sfera di riservatezza, di cui fa parte il cosiddetto "diritto all'oblio". La necessità di bilanciare tali interessi ha indotto il Legislatore europeo a stabilire la non applicabilità del Regolamento europeo sulla protezione dei dati ai trattamenti effettuati a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali (art. 2, par. 2, lettera d). Tali dati sono oggetto di una disciplina speciale contenuta nella Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27/4/2016, attuata nell'ordinamento del nostro Paese con il D.lvo 18/5/2018, n. 51. L'art. 3, comma 1, lettera e) di tale decreto prevede che i dati siano conservati con modalità che consentano l'identificazione degli interessati per il tempo necessario al conseguimento delle finalità per cui sono stati trattati, sottoposti ad esame periodici per verificarne la persistente necessità di conservazione, e cancellati o anonimizzati una volta decorso tale termine.

Il decreto legislativo in parola non reca alcuna indicazione dei tempi di conservazione dei dati, limitandosi, ove non siano già stabiliti da disposizioni di legge o regolamento, a rinviarne la determinazione ad un apposito atto di normazione secondaria (art. 5, comma 2).

Appare opportuno richiamare, per ricostruire la complessa evoluzione della normativa di settore, l'art. 57, comma 1, del D,lvo 30/6/2003, n. 196 (abrogato dall'art. 49, comma 2, del D.lvo 18/5/2018, n. 51). Il citato comma distingueva espressamente, nei trattamenti di dati per l'esercizio di compiti di prevenzione dei reati, di tutela dell'ordine e sicurezza pubblica e per finalità di polizia giudiziaria quelli effettuati dal CED da quelli praticati da uffici, organi o comandi di polizia. Il Regolamento applicativo avrebbe inoltre dovuto integrare e modificare il DPR 3/5/1982, n. 378 recante "approvazione del regolamento concernente le procedure di raccolta, accesso, comunicazione, correzione, cancellazione ed integrazione dei dati e delle informazioni registrati negli archivi magnetici del Ced di cui all'art. 8 della legge 1 aprile 1981, n. 121 ".

Il menzionato art. 57 prevedeva dunque l'adozione di due distinti regolamenti: uno di contenuto generale riferito a tutti i trattamenti effettuati da organi, uffici e comandi di polizia, anche senza l'ausilio di strumenti elettronici, che venne emanato con DPR 15/1/208, n. 15; il secondo per disciplinare le procedure di raccolta e trattamento dati e informazioni registrate nel CED, modificando, nel contempo, il DPR n. 378 del 1982.

Questo secondo regolamento non fu mai emanato, a causa dell'entrata in vigore dell'art. 49 del citato D.lvo 51/2018, che abrogò l'art. 57 del D.lvo 196/2003. Nonostante la proroga dell'efficacia fino al 31/12/2019 del citato art. 57 introdotta dall'art. 9 del D.L. 14/6/2019, n. 53, il Consiglio di Stato (parere 03095/2019) espresse parere negativo sul testo, ritenendo insufficiente il fondamento normativo di rango primario.

Allo stato, dunque, non esiste un atto regolamentare specifico che disciplina le modalità di trattamento dei dati contenuti nel CED, ed in particolare le modalità di cancellazione, finché non sarà adottato, come accennato in precedenza. il regolamento di attuazione previsto dall'art. 5, comma 2, del D.lvo 51/2018.

Non può ritenersi applicabile analogicamente il DPR 15/2018, il cui art. 1 si riferisce ai trattamenti effettuati anche senza l'ausilio di strumenti elettronici, da organi, uffici o comandi di polizia per le finalità di polizia di cui all'art. 53 del D.lvo 196/2003.

In assenza di un regolamento specifico sul trattamento dei dati effettuato dal CED, le norme di riferimento restano quindi i commi 3, 4 e 5 dell'articolo 10 della legge 121/1981 e quelle del DPR 378/1982. In particolare, il comma 3, oltre a prevedere la comunicazione dei dati in forma intellegibile, stabilisce che la cancellazione può essere chiesta solo se il dato è trattato in violazione di vigenti disposizioni di legge o regolamento.

(…) Per quanto concerne l'affermazione del XX che la sua richiesta di porto d'armi per uso sportivo sarebbe stata negata a causa della permanenza nel CED dei suoi precedenti giudiziari (che, si ricorda, sono stati puntualmente aggiornati) si rappresenta che l'autorità di pubblica sicurezza competente al rilascio è titolare di un potere ampiamente discrezionale volto a prevenire, per quanto possibile, l'abuso di armi.

Tale giudizio non è automaticamente legato alla permanenza di precedenti nel CED, ma può essere anche conseguenza di situazioni che, pur non dando luogo a condanne penali o misure di pubblica sicurezza, siano genericamente ascrivibili alla mancanza di requisiti di affidabilità dei richiedenti.”.  

3. L’avvio del procedimento e le memorie difensive.

L’Autorità, esaminato il contenuto della nota di riscontro pervenuta, ha innanzitutto accertato sul piano fattuale che i dati del reclamante oggetto della richiesta di cancellazione riguardano una sentenza di condanna emessa dal Tribunale dell’Aquila in data 30 settembre 2008, una sentenza di “estinzione del reato per avvenuta prescrizione” emessa dalla Corte di Cassazione in data 12 dicembre 2014, ed infine di una “archiviazione” emessa dal Tribunale di Sulmona in data 24 gennaio 2022.

Inoltre, risultava che il Dipartimento della p.s. avesse riscontrato l’istanza del XX, formulata in data 23 settembre 2022 ai sensi dell'art. 10, comma 3, della legge 121 del 1981, “con nota del 13 gennaio 2023, (prot. n. MI-123-U-UTGC-6-2023-893)”, così non rispettando quanto previsto in merito dal comma 4 del citato articolo 10, il quale testualmente prevede che “Esperiti i necessari accertamenti, l'ufficio comunica al richiedente, non oltre trenta giorni dalla richiesta, le determinazioni adottate”.  

Quanto alle osservazioni rese dall’Amministrazione sul merito delle doglianze presentate dal reclamante, l’Ufficio, dopo attento esame, non le ha ritenute sufficienti a consentire l’archiviazione del caso, in quanto il trattamento effettuato dal Dipartimento della Pubblica Sicurezza – Direzione Centrale per la Polizia Criminale – Servizio Informativo Interforze dei dati del reclamante inseriti nel CED non appariva rispettoso delle regole e dei principi in materia di protezione di dati e delle disposizioni di settore.

Pertanto, con nota del 25 novembre 2024 prot. n. U.0138557, l’Ufficio del Garante comunicava al Ministero dell’Interno - Dipartimento della Pubblica Sicurezza, in qualità di titolare del trattamento, e  al XX, in qualità di interessato reclamante, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 37, comma 3, e 42 del D.Lgs. n. 51/2018 di attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio.

L’oggetto della contestazione riguardava il trattamento illecito dei dati da parte del Ministero dell’Interno – Dipartimento della P.S. – Direzione Centrale della Polizia Criminale – Servizio Informativo Interforze, di dati personali del XX registrati nel CED, con riguardo alle modalità di riscontro all’esercizio dei diritti dell’interessato e ai termini di conservazione, non conforme alla normativa in materia di protezione dei dati personali, con presunta violazione degli articoli 3, comma 1, lettere a) ed e) (principi applicabili al trattamento dei dati personali), 4, commi 2 e 3 (Conservazione e verifica della qualità dei dati, distinzione tra categorie di interessati e di dati), 12 comma 2 (Diritto di rettifica o cancellazione di dati personali e limitazione di trattamento) del D. Lgs. n. 51/2018.

Per quanto riguarda, in particolare, il tema della conservazione dei dati nel CED e della loro cancellazione al verificarsi dei pertinenti presupposti di legge, l’Ufficio rappresentava nell’atto di avvio del procedimento di non condividere l’interpretazione offerta dall’Amministrazione dell’articolo 57 del Codice in materia di protezione dei dati ante riforma.

In merito, infatti, non era dato comprendere dove fosse  rinvenuto il riferimento normativo ai “due distinti regolamenti”, altresì considerando che i dati destinati a confluire nel CED sono, ai sensi dell’articolo 8, comma 1 della legge n. 121/1981, quelli di cui all’art. 6, comma 1, lett. a) e dell’art. 7 della medesima legge, cioè provenienti da organi, uffici o comandi di polizia ed altresì “devono riferirsi a notizie risultanti da documenti che comunque siano conservati dalla pubblica amministrazione o da enti pubblici, o risultanti da sentenze o provvedimenti dell’autorità giudiziaria o da atti concernenti l’istruzione penale acquisibili ai sensi dell’articolo 165 -ter del codice di procedura penale o da indagini di polizia.”.

Poiché la “matrice” dei dati registrati nel CED è rappresentata dai dati originariamente trattati dagli organi di polizia e destinati a confluire, nelle dovute forme, nel sistema informativo interforze, la scelta del Ministero appariva dunque quanto meno discutibile anche sotto il punto di vista dell’opportunità, considerato che sarebbe stato più coerente e probabilmente più utile trattare unitariamente la materia in un unico contesto regolamentare.

In conclusione, quella di dotarsi di due distinti decreti, di cui uno generale per i trattamenti effettuati dagli uffici o comandi di polizia ed un altro specifico per disciplinare le procedure di raccolta e trattamento dati e informazioni registrate nel CED, non è affatto una condizione necessaria, ma una scelta autonoma dell’Amministrazione di PS non supportata da alcun dato normativo.

Esclusa quindi ogni valenza giuridica alle argomentazioni spese dall’Amministrazione per “giustificare” la mancata cancellazione del dato in questione al decorrere di un certo periodo di tempo (presunta assenza di una disciplina ad hoc per i dati registrati nel C.E.D., asseritamente in fase di predisposizione) si è proceduto ad esaminare il quadro normativo vigente degli obblighi riferibili ad un titolare del trattamento sotto il profilo della limitazione nel tempo della conservazione dei dati, riportandolo nell’atto di avvio del procedimento (art. 3, comma 1, lett. e), del D. lgs. n. 51/2018; art. 49 comma 3 del D.Lgs. n. 51/2018 il quale dispone che “I decreti adottati in attuazione degli articoli 53 e 57 del Codice continuano ad applicarsi fino all’adozione di diversa disciplina ai sensi degli articoli 5, comma 2, e 9, comma 5”; art. 5, comma 2, D. lgs 51/2018 a cui pure rinvia l’articolo 49).

Con nota in data 29 novembre 2024, prot. n. I. 0140764, la Direzione Centrale della Polizia Criminale, al fine di fornire circostanziati ulteriori elementi informativi relativi al trattamento dei dati in questione e, in particolare, alle modalità di cancellazione dei dati presenti nel CED interforze, ha fatto richiesta di essere convocata in audizione. L’Autorità, in accoglimento di detta richiesta ha comunicato la convocazione in audizione presso la propria sede, fissandola per il 19 dicembre 2024.

Con nota datata 9 dicembre 2024, prot. n. I. 0145489 la medesima Direzione Centrale della Polizia Criminale ha altresì presentato, rispetto a quanto dedotto dall’Autorità nell’atto di avvio del procedimento, le considerazioni che di seguito si riportano:

“Con riferimento alla richiesta di elementi di codesta Autorità Garante DAGES/AM/214413 pervenuta a questa Direzione Centrale in data 25 novembre 2024 e relativa al reclamo presentato dal nominato in oggetto su presunti trattamenti illeciti dei propri dati personali contenuti nel CED del Dipartimento P.S. si rappresenta quanto segue.

Come già comunicato a codesta Autorità Garante con nota del 23/8/2024, il ritardo lamentato dal reclamante si riferisce alla risposta all'istanza da lui presentata il 23/9/2022 (allegato 1).

Al riguardo si precisa che al XX venne comunicato l'avvio dell'istruttoria in data 26/9/2022 (allegato 2). Nella stessa data (allegato 3) questa Direzione Centrale avviò l'istruttoria con gli uffici che avevano inserito nel CED i dati relativi al reclamante (Questure di Mantova e l'Aquila, Comandi provinciali dell'Arma dei Carabinieri di Nuoro e l'Aquila, Comando provinciale della Guardia di Finanza dell'Aquila) perché provvedessero ad aggiornare, entro i 30 giorni stabiliti nell'art. 10, comma 3, della legge 121/1981, i dati del medesimo.

In proposito, si rappresenta che i referenti territoriali dell'Arma dei Carabinieri e della Guardia di Finanza per le comunicazioni di questa Direzione Centrale sulle istanze di trattamento dati nel CED non sono i singoli uffici, bensì i Comandi provinciali, che provvedono a loro volta ad interessare i rispettivi uffici periferici.

Nel caso in esame, il Comando provinciale CC dell’'Aquila interessò le stazioni di Raiano e Castelvecchio Subequo, che avevano inserito i dati. La questura dell’'Aquila comunicò di aver effettuato l'aggiornamento con nota del 30/9/2022 (allegato 4) e lo stesso fece la Questura di Mantova in data 5/10/2022 (allegato 5). Gli uffici competenti CC (stazione di Raiano — AQ) e GDF dell'Aquila comunicarono l'aggiornamento, rispettivamente, in data 14/10/2022 (allegato 6) e 20/10/2022 (allegato 7). Questa Direzione Centrale inviò quindi la nota del 21/10/2022 (allegato 8) chiedendo al Comando provinciale CC di Nuoro, che non aveva inviato alcuna comunicazione, di provvedere per la parte di propria competenza e interessando nuovamente il Comando CC de L' Aquila per aggiornare un dato ancora presente nel CED.

L'ufficio CC di Raiano (AQ) rispose di aver provveduto all'ulteriore aggiornamento (nota del 25/10/2022 in allegato 9) mentre la Stazione CC di Castelvecchio Subequo (AQ) comunicò di aver effettuato quello di propria competenza il 7/11/2022 (allegato 10). A questo punto, mancava il solo aggiornamento del dato da parte del Comando CC di Nuoro, che venne ulteriormente sollecitato il 10/11/2022 (nota in allegato 11) comunicando contestualmente al XX che gli accertamenti erano ancora in corso (nota in allegato 12). In risposta alle continue comunicazioni via mail inviate dal XX, questa Direzione Centrale inviò al Comando provinciale CC di Nuoro un nuovo sollecito (nota del 25/11/2022 in allegato 13) informando il reclamante che gli accertamenti erano ancora in corso (nota del 25/11/2022 in allegato 14).

Non avendo ricevuto alcun riscontro da parte del predetto Comando, questa Direzione Centrale comunicò al XX i dati aggiornati presenti nel CED con la nota del 13/1/2023 (allegato 15) informando in pari data codesta Autorità Garante (nota in allegato 16) che, ai sensi dell'art. 10, comma 4, della legge 121/1981, alcuni dati (quelli inseriti dai CC di Nuoro) non erano stati resi noti, in assenza del nulla osta di quell'Ufficio sulla loro ostensibilità. Solo in data 5 dicembre 2024, il Comando provinciale CC di Nuoro ha provveduto agli adempimenti più volte richiesti, e, quindi, al momento attuale, i dati del reclamante sono aggiornati.

Il ritardo nella comunicazione finale (le cui ragioni, come si è osservato, sono state sempre esposte al reclamante) deve essere valutato alla luce del prolungarsi dell'istruttoria con i numerosi uffici territoriali responsabili dell'aggiornamento dei dati. In proposito, si osserva che l'aggiornamento era stato espressamente richiesto dal XX con la nota del 23/9/2022 inviata a questa Direzione Centrale.

Si evidenzia che i dati personali devono essere esatti e, se necessario, aggiornati (art. 3, comma 1, lettera d) del D.lvo 18/5/2018, n. 51 di attuazione della Direttiva (UE) 2016/680 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle Autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonchè alla libera circolazione di tali dati). La comunicazione di un dato non aggiornato violerebbe quindi detto principio, oltre a non essere aderente alla richiesta dell’interessato.

Questa Direzione Centrale, peraltro, non può provvedere direttamente all'aggiornamento del dato stesso, essendo di competenza degli Uffici territoriali delle Forze di polizia che lo hanno inserito. L'istruttoria con questi ultimi finalizzata all'aggiornamento rappresenta, quindi, un passaggio necessario per il corretto trattamento del dato. Soccorre in tal senso anche il comma 4 dell'articolo 10 della legge 121/1981, secondo il quale "Esperiti i necessari accertamenti, l'ufficio comunica al richiedente non oltre trenta giorni dalla richiesta le determinazioni adottate. L 'ufficio può omettere di provvedere sulla richiesta se ciò può pregiudicare azioni o operazioni a tutela dell'ordine e della sicurezza pubblica o di prevenzione e repressione della criminalità, dandone informazione al Garante per la protezione dei dati personali".

La norma non menziona le richieste limitate al solo aggiornamento di dati, come quella formulata dal richiedente con l'istanza del 23/9/2022 oggetto del lamentato ritardo nel riscontro, per le quali le disposizioni di riferimento sono contenute negli articoli 9, I l e 12 del D.lvo 51/2018, relative all'esercizio dei diritti dell'interessato. Il criterio per le comunicazioni ai richiedenti è individuato, in generale, nell'assenza di ingiustificato ritardo (art. 1 1, comma 2, e art. 12, commi I e 2). Tale criterio si applica nei casi di cancellazione, rettifica e limitazione del trattamento dei dati collegato all'esattezza di questi ultimi (art. 12, commi 1, 2, 3 e 4). L'esattezza del dato non può prescindere dal suo aggiornamento, come si può evincere dall'art. 3, comma l lettera d) del medesimo D,lvo 51/2018, secondo cui i dati devono essere esatti e, se necessario, aggiornati.

Nel caso in esame, dunque, non sussiste alcun ingiustificato ritardo nella comunicazione, in quanto l'aggiornamento dei dati ha richiesto il procedimento istruttorio con gli Uffici territoriali di polizia precedentemente illustrato e le cause della dilazione sono state comunicate al XX il 10 ed il 25 novembre 2022.

Per quanto riguarda le richieste di cancellazione, nel confermare il contenuto della nota del 23/8/2024 inviata a codesta Autorità Garante, si rappresenta che il XX ha fatto pervenire in data 20/1/2023 due distinte richieste (allegati 17 e 18). In una richiedeva genericamente la cancellazione o trasformazione in forma anonima dei dati, mentre nell'altra faceva espresso riferimento alla sola cancellazione di una sentenza di annullamento senza rinvio per estinzione del reato (art. 620, comma l, lett. a, del codice di procedura penale), pronunciata il 12 dicembre 2014 e quindi soggetta, a suo dire, al termine massimo di conservazione di 8 anni dall'inoppugnabilità (art. IO, comma 3, lett. d, del D.P.R. 15/1/2018, n. 15).

Nel ribadire le considerazioni già espresse nella citata nota del 23/8/2024 circa la non automaticità dell'estensione delle disposizioni in materia di conservazione dei dati di cui all'art. 10 comma 3, del D.P.R. 15/2018 ai dati contenuti nel CED interforze, si richiamano i criteri di accessibilità ai dati personali e di specifica dei profili di abilitazione all’accesso applicati al predetto CED.

Quest'ultimo è composto da un archivio "in linea" e un archivio "storico". Nel primo, vengono conservate le segnalazioni riferite ad informative di polizia e a provvedimenti giudiziari, quali, ad esempio, notizie di reato, misure precautelari e cautelari relative a procedimenti penali ed amministrativi ancora pendenti o definiti con sentenza di condanna, nonché le segnalazioni relative alle sentenze di condanna stesse.

A tale proposito, si evidenzia che le modalità di raccolta, elaborazione, classificazione e conservazione dei dati stabilite dalla legge e regolamentate dalla Commissione tecnica di cui all'art. 8, comma 3, della legge 121/1981 prevedono che, in occasione degli ordinari controlli del territorio, siano accessibili alle Forze di polizia operanti soltanto le informazioni iscritte nell'archivio "in linea", mentre il livello di visibilità delle informazioni iscritte in quello "storico" è tale da renderle accessibili soltanto a quei soggetti — sempre rientranti nelle categorie di cui all'art. 9 della legge 121/1981 — in possesso di autorizzazioni supplementari ed ai soli fini investigativi, secondo i criteri di tracciabilità di cui si è fatta precedentemente menzione.

Il fatto che i dati relativi al reclamante, compresa la sentenza sopra menzionata, sono stati inseriti nel cd. "archivio storico" accessibile ai soli utenti in possesso di particolari credenziali (profilo accesso denominato Sistema Utente Investigativo) — costituisce una misura organizzativa e procedurale idonea a limitare il rischio di utilizzo del dato oltre i termini di conservazione, in applicazione dell'art. 30, comma 1, del D.P.R. 15/2018.

Con riguardo, infine, al non meglio definito provvedimento di archiviazione del 24 gennaio 2022 del Tribunale di Sulmona (di cui al paragrafo 4.2.2 della comunicazione di codesta Autorità) si rappresenta che esso rientrerebbe nella categoria dei dati relativi ad attività di polizia giudiziaria conclusa con provvedimento di archiviazione (art. 10, comma 3, lett. f, del D.P.R. 15/2018) e quindi il relativo termine di conservazione è di 20 anni dall'emissione, mentre per la condanna del Tribunale de L'Aquila del 30 settembre 2008, menzionata nel paragrafo 4.2. l, i termini sono di 25 anni dal passaggio in giudicato della sentenza (art. 10, comma 3, lett. h).

Nell'osservare che il reclamante non ha chiesto specificamente la cancellazione di questi due provvedimenti (che in ogni caso sono stati anch'essi trasferiti nell'archivio "storico") si soggiunge che essi non potrebbero essere cancellati neanche in virtù del DPR n. 15/2018, non essendo trascorsi i termini di conservazione ivi previsti.”.

In occasione dell’audizione, svoltasi in data 19 dicembre 2024, così come riportato nel relativo verbale (Prot. n. D.0149797 del 20/12/2024), i rappresentanti del Dipartimento p.s. richiamandosi a quanto già espresso nella memoria difensiva sopra integralmente riportata, hanno così evidenziato le particolarità del caso con riguardo alle richieste formulate dal reclamante:

“(…) aventi ad oggetto termini differenti di cancellazione tra la sentenza di condanna (25 anni) e quella di estinzione del reato (8 anni), secondo quanto disposto in merito dal D.P.R. n. 15/2018. Premesso che i dati in questione vengono fatti confluire nel c.d. "Archivio Storico", a disposizione di operatori muniti di autorizzazioni supplementari ai soli fini investigativi, al riguardo il Dott XX specifica che la sentenza di condanna del Tribunale dell'Aquila del 2008 non può essere cancellata in quanto. in una ipotetica applicazione del D.P.R. n. 15/2018, il relativo termine di conservazione sarebbe di 25 anni (art. 10, comma 3, lett. h)); altresì precisa che, invece, la sentenza della Cassazione del 2014 di estinzione del reato, pur essendo ipoteticamente scaduti i termini di conservazione (art. 10, comma 3, lett. d)), dovrebbe essere conservata per completezza rispetto alla predetta sentenza di condanna, a garanzia dei diritti dell'interessato. A giustificazione di tale assetto, il dott. XX rappresenta che la sentenza di estinzione del reato per prescrizione non toglie il fatto che l'interessato possa aver commesso il reato stesso e tale profilo può essere di interesse in future investigazioni a fini di prevenzione generale dei reati. Infine, con riferimento alla questione relativa alla doglianza circa il ritardo della Direzione Centrale nel riscontrare la richiesta del XX, il Dott. XX ribadisce quanto dedotto nel riscontro inviato all'Autorità con il quale sono stati evidenziati i passaggi che sono necessari alle attività di aggiornamento effettuate a livello locale, attivate in applicazione del d. lgs. 51/2018, confermando che il termine dì 30 gg di cui all'art. 10, comma 4 della legge n. 121/1981 si applica solamente alla mera richiesta di conferma della esistenza di dati nel CED.”.

4. Il quadro normativo di riferimento.

4.1. Abbiamo visto sopra come l’Amministrazione ritenga non rinvenibili disposizioni in materia di termini di conservazione dei dati registrati nel CED deducendone l’impossibilità allo stato di procedere alla cancellazione di dati sotto questo profilo. Le considerazioni del Ministero non sono condivisibili e al riguardo si svolgono le seguenti osservazioni.

Riprendendo le argomentazioni già sviluppate nell’atto di avvio del procedimento, questa Autorità non comprende dove possa rinvenirsi il riferimento normativo ai “due distinti regolamenti”, altresì considerando che i dati destinati a confluire nel CED sono, ai sensi dell’articolo 8, comma 1 della legge n. 121/1981, quelli di cui all’art. 6, comma 1, lett. a) e dell’art. 7 del medesimo testo, cioè provenienti da organi, uffici o comandi di polizia ed altresì “devono riferirsi a notizie risultanti da documenti che comunque siano conservati dalla pubblica amministrazione o da enti pubblici, o risultanti da sentenze o provvedimenti dell’autorità giudiziaria o da atti concernenti l’istruzione penale acquisibili ai sensi dell’articolo 165-ter del codice di procedura penale o da indagini di polizia.”. Si ribadisce quindi che quella di dotarsi di due distinti decreti, di cui uno generale per i trattamenti effettuati dagli uffici o comandi di polizia ed un altro specifico per disciplinare le procedure di raccolta e trattamento dati e informazioni registrate nel CED, non appare una condizione necessaria, ma una scelta autonoma del Ministero non supportata da alcun dato normativo.

Occorre infatti considerare che, per quanto concerne i trattamenti effettuati per finalità di polizia, l’articolo 57, comma 1, del Codice (ora abrogato), prevedeva che “con decreto del Presidente della Repubblica, sono individuate le modalità' di attuazione dei principi del codice in materia di protezione dei dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia di cui all'articolo 53, dal CED e da organi, uffici o comandi di polizia, (…) anche in attuazione della raccomandazione R (87) 15 del Consiglio d'Europa del 17 settembre 1987 e successive modificazioni”.
Con il D.P.R. n. 15/2018 veniva data una prima attuazione a tale articolo 57 introducendo una disciplina di carattere generale, applicabile a tutti i trattamenti di dati effettuati per le suddette finalità da “organi, uffici e comandi di polizia”, quindi anche rispetto a dati registrati nel CED, sul cui schema di decreto l’Autorità rendeva parere con il Provvedimento n. 86 del 2 marzo 2017 evidenziando in premessa la posizione che di seguito si riporta: “In relazione al secondo decreto attuativo dell´art. 57 del Codice - ai sensi del quale, secondo quanto riportato dal Ministero dell´Interno nella Relazione illustrativa, verranno disciplinate le modalità di applicazione dei principi del Codice ai trattamenti di dati personali effettuati, per le finalità di polizia, dal Centro Elaborazione Dati di cui all´art. 8 della legge n. 121/1981 - si rappresenta che i principi e le modalità di trattamento enucleati nel decreto oggetto del presente parere potranno essere ivi tenuti presenti, senza essere rielaborati nel dettaglio, attraverso una o più semplici norme di rinvio (sottolineatura aggiunta). Ciò nell’ottica di semplificare e facilitare l’attuazione degli adempimenti previsti dal Codice”.

Quindi, sempre in attuazione dell’articolo 57, era stato per l’appunto predisposto dal Ministero dell’Interno un secondo decreto che dettava ulteriori modalità di attuazione del Codice con riferimento ai trattamenti di dati effettuati dal CED di cui all’art. 8 della legge n. 121/1981, per mezzo del quale si sarebbero introdotte le disposizioni necessarie ad esplicitare i principi e le modalità fissati nel decreto contenente il regolamento generale (il D.P.R. n. 15/2018), alle cui disposizioni veniva di volta in volta operato il rinvio, ai trattamenti effettuati nel Centro elaborazione dati. Anche su tale schema di decreto, l’Autorità aveva espresso il suo parere con il Provvedimento n. 327 del 26 luglio 2017.

Con l’emanazione del D.L.gs. n. 51/2018 si è provveduto a rimodulare le regole riguardanti il trattamento di dati per “finalità di polizia”, intervenendo sul Codice con l’abrogazione degli articoli da 53 a 56, ed altresì prevedendo che pure l’articolo 57 non trovasse più applicazione a far data dall’8 giugno 2019 (articolo 49, commi 1 e 2, del D.Lgs. n. 51/2018). Per tale ragione il Consiglio di Stato, a cui il Ministero dell’Interno aveva fatto richiesta di parere sullo schema di decreto sopra richiamato, si espresse negativamente sul testo ritenendo insufficiente il fondamento normativo di rango primario per la sua valida emanazione (v. parere 03095/2019, del 9 dicembre 2019).

Pertanto, per valutare la consistenza e l’aderenza al dettato normativo della argomentazione usata dal Ministero a sostegno della mancata cancellazione dei dati personali al decorrere di un certo periodo di tempo – per la presunta assenza di una disciplina ad hoc per i dati registrati nel CED – si ritiene necessario esaminare il quadro normativo oggi vigente con particolare riferimento al profilo della limitazione nel tempo della conservazione dei dati per finalità di polizia.,

Alla conservazione dei dati oggetto di trattamento da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento dei reati, si applica il principio declinato nell’articolo 3, comma 1, lett. e) del lgs. n. 51/2018, per il quale i dati devono essere “conservati con modalità che consentano l’identificazione degli interessati per il tempo necessario al conseguimento delle finalità per le quali sono trattati, sottoposti a esame periodico per verificarne la persistente necessità di conservazione, cancellati o anonimizzati una volta decorso tale termine”.

Orbene, non potendosi condividere la tesi ministeriale per la quale il trattamento dei dati operato dal CED non abbia termini di conservazione dei medesimi nel tempo in conseguenza dell’asserita assenza di una disciplina ad hoc, occorre fare riferimento a quanto dispone in merito l’articolo 49, comma 3, del D.Lgs. n. 51/2018, ove viene sancito che “I decreti adottati in attuazione degli articoli 53 e 57 del Codice continuano ad applicarsi fino all’adozione di diversa disciplina ai sensi degli articoli 5, comma 2, e 9, comma 5”, rendendo pertanto applicabile al medesimo trattamento proprio la disciplina generale sui termini di conservazione dei dati prevista per i trattamenti effettuati per finalità di polizia di cui al citato D.P.R. n. 15/2018, segnatamente al suo articolo 10.

4.2. Quanto riportato al punto 4.1. fa emergere comunque la necessità che l’Amministrazione acceleri  il processo di adeguamento della disciplina dei trattamenti effettuati per finalità di polizia aventi ad oggetto i dati registrati nel CED (che il Ministero ha riferito come avviato) o comunque trattati da organi e uffici di polizia, e non solo per il profilo della limitata conservazione dei dati nel tempo, dando attuazione all’articolo 49 del Codice o ad altre pertinenti specifiche disposizioni in modo da disciplinare in maniera coerente e sistematica tutti i predetti trattamenti, in chiave di elevate garanzie per gli interessati, nel rispetto di quanto previsto dal decreto legislativo n. 51 del 2018.

Nel corso dell’istruttoria del presente reclamo infatti nell’esaminare il testo del DPR 15/2018 sono emerse norme ormai desuete perché superate dal d. lgs. n. 51/2018 e dal d. lgs. n. 101/2018 (di adeguamento del Codice al Regolamento UE 2016/679) o con problemi di coordinamento interno o interpretazione (cfr. art. 10, comma 3, lett. da a) a u), rispetto ai termini “massimi” di conservazione dei dati e per quanto riguarda le differenti fattispecie di riferimento correlate alle varie “attività di polizia”, in ordine alle quali sarebbero opportune definizioni più puntuali).

Da questo punto di vista l’Autorità assicura sin d’ora la più ampia collaborazione dell’Ufficio, per gli aspetti di protezione dati, agli approfondimenti necessari per la predisposizione degli atti normativi in questione, anche mediante un tavolo tecnico di lavoro congiunto.

5. L’esito dell’istruttoria.

Dalla documentazione acquisita agli atti e da quanto rappresentato in merito dalla Direzione Centrale della Polizia Criminale, è risultato come il trattamento dei dati personali dell’interessato da parte del CED Interforze, sul quale il Garante esercita il controllo ai sensi dell’articolo 10, comma 1, della legge 1 aprile 1981, n. 121, nel testo vigente, presenti alcune criticità, tra le quali, in particolare, quelle relative al profilo della limitazione nel tempo della conservazione dei dati.

5.1. Per quanto attiene alle argomentazioni sviluppate dall’Amministrazione circa il ritardo lamentato dal reclamante nel veder riscontrata l’istanza formulata in data 23 settembre 2022, nel prendere atto di quanto rappresentato nella nota del 9 dicembre 2024 sopra richiamata ed esaminati gli atti, non si può fare a meno di notare che, al netto del formale riscontro a quanto richiesto dal reclamante con l’istanza di accesso, il procedimento istruttorio con il quale si è proceduto all’aggiornamento dei dati del XX da parte degli Uffici territoriali competenti si sia nei fatti sviluppato in un arco temporale di due anni, nel corso dei quali la stessa Direzione centrale della polizia criminale ha dovuto effettuare reiterati solleciti nei confronti di uno di detti uffici, al fine di ottenere le richieste informazioni. Con riferimento poi al tenore dell’informazioni acquisite dagli Uffici territoriali, si evidenzia che i riscontri così ottenuti si concretizzano di solito in una laconica comunicazione di aver “(…) proceduto ad aggiornare la posizione in Banca Dati del nominato in oggetto”, privi quindi di ogni notizia di dettaglio circa il dato personale che asseritamente si sarebbe proceduto ad aggiornare; comunicazione che di per sé non appare adeguata ai fini di una compiuta verifica circa il riscontro fornito all’interessato.

Ad ogni buon conto, anche nel merito corre l’obbligo di evidenziare come detta modalità procedurale non appaia del tutto in linea con la normativa di settore, ed in particolare con le disposizioni di riferimento contenute negli articoli 9, 11 e 12 del D.Lgs. n. 51/2018, relative all’esercizio dei diritti dell’interessato. Sul punto, nel rimandare alle forme di collaborazione proposte al punto 4.2. gli approfondimenti utili su tali profili, si invita sin d’ora l’Amministrazione a predisporre quanto necessario a far sì che le suddette disposizioni siano applicate mediante procedure più adeguate e tempistiche più stringenti, sensibilizzando opportunamente le strutture territoriali.

5.2. L’Amministrazione, nelle note di riscontro e in sede di audizione, ha rappresentato che nel CED i dati sono conservati, in base alla natura e tipologia nonché al tempo trascorso dalla loro prima registrazione, in due distinti archivi: “un archivio "in linea" e un archivio "storico". Nel primo, vengono conservate le segnalazioni riferite ad informative di polizia e a provvedimenti giudiziari, quali, ad esempio, notizie di reato, misure precautelari e cautelari relative a procedimenti penali ed amministrativi ancora pendenti o definiti con sentenza di condanna, nonché le segnalazioni relative alle sentenze di condanna stesse. A tale proposito, si evidenzia che le modalità di raccolta, elaborazione, classificazione e conservazione dei dati stabilite dalla legge e regolamentate dalla Commissione tecnica di cui all'art. 8, comma 3, della legge 121/1981 prevedono che, in occasione degli ordinari controlli del territorio, siano accessibili alle Forze di polizia operanti soltanto le informazioni iscritte nell'archivio "in linea", mentre il livello di visibilità delle informazioni iscritte in quello "storico" è tale da renderle accessibili soltanto a quei soggetti — sempre rientranti nelle categorie di cui all'art. 9 della legge 121/1981 — in possesso di autorizzazioni supplementari ed ai soli fini investigativi, secondo i criteri di tracciabilità di cui si è fatta precedentemente menzione.”

Ciò detto, l’Amministrazione ha riferito -per quel che qui interessa- che i dati relativi alla sentenza di estinzione del reato del 2014, oggetto di richiesta di cancellazione da parte del XX per decorrenza del termine massimo di conservazione (8 anni) “sono stati inseriti nel cd. "archivio storico" accessibile ai soli utenti in possesso di particolari credenziali (profilo accesso denominato Sistema Utente Investigativo)” e ciò “costituisce una misura organizzativa e procedurale idonea a limitare il rischio di utilizzo del dato oltre i termini di conservazione, in applicazione dell'art. 30, comma 1, del D.P.R. 15/2018.”,

L’autorità esprime forti perplessità sotto questo profilo e ritiene che tale misura organizzativa non sia idonea a limitare il rischio di utilizzo del dato oltre i termini di conservazione e a scongiurare effetti pregiudizievoli per l’interessato, anche in ragione del presumibile elevato numero degli operatori ammessi alla consultazione dell’archivio storico.

Al contrario, la conservazione sine die di dati “scaduti” pur in un archivio ad accesso limitato, soprattutto se generalizzata e sostanzialmente automatica, come sembra, rischia di vanificare l’obbligo di legge di cancellazione del dato il cui termine di conservazione è spirato, in grave spregio dei diritti dell’interessato.

5..3. Per quanto poi attiene alle tesi espresse circa la non automaticità dell’estensione, al caso di specie, delle disposizioni in materia di conservazione dei dati di cui al D.P.R. n. 15/2018, ci si richiama a quanto già rappresentato nelle motivazioni sviluppate nell’atto di avvio del procedimento e in premessa (punti 3 e 4.1.), con particolare riferimento all’argomentazione spesa dal Ministero e relativa all’asserita assenza di uno strumento normativo ad hoc per la disciplina dei termini di conservazione dei dati presenti nel CED.

Al riguardo, qui giova ribadire una volta ancora che, contrariamente a quanto ritenuto dalla indicata Amministrazione, l’articolo 49 del D.Lgs. n. 51/2018 al comma 3, dispone che “I decreti adottati in attuazione degli articoli 53 e 57 del Codice continuano ad applicarsi fino all’adozione di diversa disciplina ai sensi degli articoli 5, comma 2, e 9, comma 5”, di talché appare evidente l’inconsistenza della tesi prospettata dal Dipartimento sulla mancanza di una disciplina del trattamento applicabile ai dati in questione, dal momento che esiste un regolamento sulla conservazione dei dati e sui relativi termini concernente i trattamenti effettuati per finalità di law enforcement (D.P.R. n. 15/2018) a cui il predetto articolo 49 fa riferimento, sancendone così l’efficacia e la applicabilità anche ai trattamenti effettuati dal CED.

Nella specie poi, non bisogna dimenticare il dettato dell’articolo 5, comma 2, del medesimo decreto - a cui pure rinvia l’articolo 49 – secondo cui con il decreto ministeriale ivi previsto “sono individuati, per i trattamenti o le categorie di trattamenti non occasionali di cui al comma 1, i termini, ove non già stabiliti da disposizioni di legge o di regolamento (sottolineatura aggiunta), e le modalità di conservazione dei dati (…)”.  Pertanto, sulla base della predetta disposizione, appare piuttosto che si debba fare utilmente riferimento a quanto disposto dal D.P.R. n. 15/2018 in materia di conservazione dei dati (art. 10, comma 3).

Ed infatti, con il citato decreto sono stati ribaditi i principi di completezza, pertinenza, non eccedenza ed aggiornamento dei dati (art. 4 ), regolate le modalità di acquisizione, trattamento e accesso (artt. 5-9, 26 e ss.), imposta l'adozione di misure di sicurezza volte a ridurre i rischi di perdita, accesso non autorizzato o trattamento non consentito (art. 25), stabiliti limiti alla diffusione, nonché alla comunicazione a soggetti pubblici ed anche nei rapporti tra organi di polizia (artt. 12-15), disciplinati i trasferimenti tra gli Stati (artt. 16-21) e, per quanto qui di rilievo, introdotta un'articolata regolamentazione dei termini per la conservazione dei dati medesimi (art. 10).

La disciplina di cui al citato articolo 10, è con ogni evidenza ispirata al principio generale secondo cui i dati oggetto di trattamento “sono conservati per un periodo di tempo non superiore a quello necessario per il conseguimento delle finalità di polizia” (comma 1), stabilendo i termini di conservazione applicabili anche a trattamenti  automatizzati (v. comma 2), come quelli relativi ai dati registrati nel C.E.D., diversificati secondo una dettagliata casistica di tipologie di atti, nell’ambito della quale l’Amministrazione avrebbe potuto e potrebbe trovare un parametro di riferimento da applicare al caso oggetto del reclamo.

In particolare, risulta calzante rispetto ai dati relativi alla sentenza della Cassazione che ha dichiarato estinto il reato ascritto al  XX l’ipotesi di cui all’art. 10, comma 3, lett. d), del predetto DPR n. 15/2018, a norma del quale i dati personali non possono essere conservati oltre il termine massimo fissato nel modo che segue: “dati relativi a provvedimenti che dichiarano l'estinzione della pena o del reato - 8 anni dall'inoppugnabilità del provvedimento”, con conseguente diritto dell’interessato alla cancellazione dei dati relativi a tali provvedimenti (in tal senso v. anche Cass. Ord. n. 21362/2018 e da ultimo Tribunale Civile di Roma, Sent. n. 18017 del 26 novembre 2024).

6. Conclusioni: dichiarazione di illiceità del trattamento; applicazione delle misure di cui agli articoli 37, comma 3 e 42 del D.Lgs. n. 51/2018.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’articolo 11 del regolamento del Garante n. 1/2019.

In attuazione di quanto previsto dalla Direttiva e in armonia con il sistema normativo del Regolamento, il decreto legislativo n. 51 del 2018 ha attribuito al Garante, quale autorità nazionale protezione dati, nell’ambito dei suoi compiti e poteri, quello di adottare -in caso di accertata illiceità di un trattamento di dati personali per violazione di una disposizione del medesimo Decreto – sia provvedimenti c.d. correttivi, sia sanzioni amministrative pecuniarie, in una logica di proporzionalità rispetto alla gravità della violazione accertata (cfr. artt. 37, comma 3, e 42, d lgs. 51, nonché considerando 89 della Direttiva).

In particolare, il complessivo quadro normativo applicabile ai casi di violazione di disposizioni del citato Decreto, consente al Garante di irrogare, per i casi meno gravi, in alternativa alla sanzione pecuniaria, un ammonimento, come pure prescrizioni atte a conformare pienamente i trattamenti alle regole e alle garanzie previste in materia di protezione dei dati personali o il blocco definitivo o provvisorio del trattamento stesso (cfr art. 37, comma 3, lett. d) ed e); artt. 154, 154-bis del Codice che rinvia, fra l’altro, all’art. 58, par. 2, lett. b), del Regolamento, e 23 del d. lgs 101 del 2018).

Pertanto, considerati i criteri previsti dalla legge cui commisurare la scelta della misura da adottare o l’ammontare dell’eventuale sanzione (cfr. artt. 42, comma 3, e 83, par. 2 del Regolamento) occorre tenere in debito conto innanzitutto che il titolare del trattamento si è dimostrato in ogni circostanza cooperante con l’Ufficio e si è attivato nel corso dell’istruttoria, a fornire minute indicazioni circa le misure a salvaguardia della protezione dei dati personali dell’interessato. Inoltre, deve tenersi favorevolmente conto del fatto che in sede di istruttoria si dato conto di un  processo di adeguamento della disciplina dei trattamenti effettuati per finalità di polizia aventi ad oggetto i dati registrati nel CED (che il Ministero ha riferito come avviato).

Si ritiene, pertanto, di dover irrogare al titolare del trattamento l’ammonimento, alla stregua della normativa sopra citata.

Il trattamento dei dati personali effettuato dal Dipartimento della Pubblica Sicurezza – Direzione Centrale della Polizia Criminale – Servizio Sistemi Informativi, in relazione ad alcuni dei dati dell’interessato più avanti specificati, risulta infatti essere stato effettuato in violazione del principio di limitazione della conservazione (art. 3, comma 1, lett. e), D. lgs. 51/2018) e del connesso obbligo di cancellazione dei dati (art. 12, comma 2, D. Lgs 51/2018), in relazione a quanto previsto dall’art. 10 comma 3, lett. d), del DPR n. 15/2018.

Pertanto, essendo stata accertata l’illiceità del trattamento di dati personali, nei termini di cui in motivazione, valutate nel loro complesso le risultanze istruttorie del procedimento, si ritiene di dover ingiungere al titolare del trattamento la cancellazione dei dati contenuti nel CED del  XX che riguardano l’estinzione del reato per prescrizione disposta dalla Corte di Cassazione in udienza pubblica il 12 dicembre 2014 (Cass. Sez. 2 penale, Sentenza n. 10515 del 12 marzo 2015), trattati in violazione del principio di limitazione della conservazione (art. 3, comma 1, lett. e) D. lgs. 51/2018) e del connesso obbligo di cancellazione dei dati (art. 12, comma 2, D. Lgs 51/2018).

La cancellazione dei dati in questione dovrà essere effettuata in via definitiva da ogni archivio esistente nel CED.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

DICHIARA

l’illiceità del trattamento dei dati personali dell’interessato effettuato dal Dipartimento della Pubblica Sicurezza per violazione delle disposizioni di cui agli articoli 3, comma 1, lett. e) e 12, comma 2 del D. lgs. 51/2018 e, per l’effetto:

AMMONISCE

il Dipartimento della Pubblica Sicurezza per aver violato l’articolo 3, comma 1, lett. e) e l’articolo 12, comma 2 del d.lgs. n. 51/2018;

INGIUNGE

ai sensi dell’articolo 37, comma 3, lett. d), del D. Lgs. n. 51/2018, al Dipartimento della Pubblica Sicurezza la cancellazione in via definitiva dal CED dei dati relativi alla sentenza di estinzione del reato per prescrizione emessa dalla Corte di Cassazione in data 12 dicembre 2014, in favore del XX (Cass. Sez. 2 penale, Sentenza n. 10515 del 12 marzo 2015);

RICHIEDE

ai sensi dell’articolo 37, comma 3, lett. b), del D.Lgs. n. 51/2018 e dell’articolo 154, comma 1, lett. a) del Codice, al Dipartimento della Pubblica Sicurezza di fornire riscontro, entro 30 giorni dalla comunicazione del presente provvedimento, circa l’adempimento dell’ingiunzione di cui al punto precedente;

DISPONE

ai sensi dell’articolo 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’articolo 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’articolo 57, par. 1, lett. u), del Regolamento.

Ai sensi degli articoli 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 10 aprile 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE REGGENTE
Filippi