[doc. web n. 9852187]

Parere sullo schema di decreto dirigenziale del responsabile per i sistemi informatizzati del Ministero della giustizia che adotta le specifiche tecniche relative all’Albo informatico dei soggetti incaricati dall’autorità giudiziaria delle funzioni di gestione e di controllo delle procedure del codice della crisi d’impresa e dell’insolvenza - 21 dicembre 2022

Registro dei provvedimenti
n. 441 del 21 dicembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, ed il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTO il d.lgs. 12 gennaio 2019, n. 14 (“Codice della crisi d'impresa e dell'insolvenza in attuazione della legge 19 ottobre 2017, n. 155”), e, in particolare, gli artt. 2, comma 1, lett. n), 356, 357 e 358, che prevedono l’istituzione presso il Ministero della giustizia di un albo dei gestori della crisi e insolvenza delle imprese - ovvero dei soggetti che, su incarico del giudice, svolgono, anche in forma associata o societaria, funzioni di gestione, supervisione o controllo nell'ambito degli strumenti di regolazione della crisi e dell'insolvenza e delle procedure di insolvenza - disciplinando i requisiti per l’iscrizione e il funzionamento dell’albo, nonché demandando all’adozione di un decreto del Ministro della giustizia, di concerto con il Ministro dell'economia e delle finanze, la definizione delle modalità di iscrizione all'albo, di sospensione e cancellazione dallo stesso e di esercizio del potere di vigilanza da parte del Ministero della giustizia;

VISTO il d.m. 3 marzo 2022, n. 75 (“Regolamento recante disposizioni sul funzionamento dell'albo dei soggetti incaricati dall’autorità giudiziaria delle funzioni di gestione e di controllo nelle procedure di cui all'articolo 356 del decreto legislativo 12 gennaio 2019, n. 14, recante codice della crisi d'impresa e dell'insolvenza”) (su cui il Garante ha espresso il proprio parere con provv. del 24 giugno 2021, n. 248, doc. web n. 9681973), che, in attuazione di quanto previsto dall’art. 357 del predetto d.lgs. 12 gennaio 2019, n. 14, e specifica le modalità di iscrizione, sospensione e cancellazione dall'albo, prevedendo, in particolare, che, con decreto dirigenziale del responsabile per i sistemi informatizzati del Ministero della giustizia, sentito il Garante, siano fissate le specifiche tecniche per l'inserimento dei dati che devono figurare nella parte pubblica e in quella riservata dell’albo, nonché per l'accesso a quest’ultima (art. 3, comma 5);

VISTA la richiesta di parere del 9 dicembre 2022 sullo schema del predetto decreto dirigenziale del responsabile per i sistemi informatizzati del Ministero della giustizia, che individua le specifiche tecniche relative all’Albo informatico dei soggetti incaricati dall’autorità giudiziaria delle funzioni di gestione e di controllo delle procedure del codice della crisi d’impresa e dell’insolvenza;

RILEVATO che il suddetto schema di decreto dirigenziale disciplina, in particolare:

- le modalità con le quali sarà fornita agli interessati l’informativa sul trattamento dei dati personali (par. 3);

- le infrastrutture informatiche impiegate per la gestione dell’albo (par. 4);

- le funzionalità dell’albo, con riferimento, tra gli altri, ai seguenti profili: le modalità di accesso all’area pubblica e a quella riservata dello stesso, definendo gli specifici ambiti di conoscibilità dei dati per ciascuna categoria di soggetto autorizzato e le rispettive modalità di autenticazione per l’accesso all’area riservata; la procedura di presentazione della domanda di iscrizione all’albo, individuando anche i dati oggetto di trattamento (tra cui quelli relativi ai requisiti di onorabilità di cui all’art. 356, comma 3, del d.lgs. 14/2019), nonché i casi e le modalità di aggiornamento dei dati successivamente all’iscrizione, comprese le ipotesi di sopravvenuto venir meno dei requisiti; le modalità telematiche con cui l’autorità giudiziaria comunica al Dipartimento per gli affari di giustizia (DAG) le notizie ritenute rilevanti ai fini della sospensione e della cancellazione dell’Albo, nonché l’eventuale revoca dell’incarico; le tipologie di documenti che possono essere allegati dagli interessati (par. 5);

- i tempi di conservazione dei dati relativi successivamente alla cancellazione dall’albo (par. 6).

CONSIDERATO che lo schema in questione è stato redatto dal Ministero della giustizia all’esito delle interlocuzioni informali intercorse con l’Ufficio del Garante, nel corso delle quali sono state formulate osservazioni di competenza volte ad adeguare detto schema alla disciplina in materia di protezione dei dati personali, anche in ossequio al principio di privacy by design e by default (art. 25 del Regolamento medesimo), con particolare riguardo:

- alla necessità di disciplinare in maniera puntuale le modalità con le quali sarà fornita l’informativa sul trattamento dei dati personali alle varie categorie di interessati, inclusi i soci di società di professionisti e gli associati a studi professionali (par. 3), nel rispetto del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), e dei connessi obblighi di cui agli artt. 12, 13 e 14 del Regolamento;

- alle tipologie di dati personali che possono figurare nell’area pubblica dell’albo (par. 5.1), alle tipologie di informazioni oggetto di trattamento nel caso di sopravvenuto venir meno dei requisiti (par. 5.5.4) nonché alle tipologie di documenti che potranno essere allegati dagli interessati (par. 5.8), nel rispetto dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati (art. 5, par. 1, lett. a) e c), del Regolamento);

- alla necessità di definire in maniera puntuale le modalità di autenticazione e i profili di autorizzazione per ciascuna tipologia di soggetto che può accedere alla sezione riservata dell’albo, limitando i dati personali acquisiti in caso di autenticazione effettuata mediante SPID, nel rispetto dei principi di minimizzazione dei dati e di integrità e riservatezza (art. 5, par. 1, lett. c) e f), del Regolamento);

- alla definizione dei tempi di conservazione dei file di log relativi agli accessi al sistema (par. 5.2) e dei dati personali successivamente alla cancellazione dall’albo (par. 6), nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e), del Regolamento);

RITENUTO che le specifiche tecniche in esame tengono adeguatamente conto delle indicazioni fornite dall’Ufficio nelle predette interlocuzioni e, su tale base, di non dover formulare ulteriori rilievi sullo schema di decreto dirigenziale in esame;

RITENUTO che, nel caso di specie, atteso che il trattamento in questione ha ad oggetto anche i requisiti di onorabilità di cui all’art. 356, comma 3, del d.lgs. 14/2019, riferiti a persone fisiche, sussista l’obbligo per il Ministero della giustizia, in qualità di titolare del trattamento, di effettuare, prima di iniziare il trattamento, una valutazione d’impatto sulla protezione dei dati (art. 35, parr. 1 e 3, lett. b), del Regolamento; v. anche le “Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilità che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679”, WP 248 del 4 aprile 2017, sez. III, criteri nn. 4 e 5);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Agostino Ghiglia;

TUTTO CIO’ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto dirigenziale del responsabile per i sistemi informatizzati del Ministero della giustizia che adotta le specifiche tecniche relative all’Albo informatico dei soggetti incaricati dall’autorità giudiziaria delle funzioni di gestione e di controllo delle procedure del codice della crisi d’impresa e dell’insolvenza, di cui all’art. 3, comma 5, del d.m. 3 marzo 2022, n. 75.

Roma, 21 dicembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei