[doc. web n. 10080723]

Parere sullo schema di decreto direttoriale relativo al Sistema informativo nazionale dei minori stranieri non accompagnati (SIM), che disciplina gli aspetti tecnico-organizzativi, i differenti livelli di accesso ai dati contenuti nel SIM, le tipologie di dati trattabili e le operazioni eseguibili da parte dei soggetti legittimati all'accesso, nonché le misure di sicurezza inerenti al SIM e alla comunicazione dei dati - 13 novembre 2024

Registro dei provvedimenti
n. 663 del 13 novembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il d.lgs. 18 agosto 2015, n. 142, recante “Attuazione della direttiva 2013/33/UE recante norme relative all'accoglienza dei richiedenti protezione internazionale, nonché della direttiva 2013/32/UE, recante procedure comuni ai fini del riconoscimento e della revoca dello status di protezione internazionale”, che all’art. 19, comma 5, prevede, in particolare, che l'autorità di pubblica sicurezza dia immediata comunicazione della presenza di un minore non accompagnato, tra gli altri, al Ministero del lavoro e delle politiche sociali, con mezzi idonei a garantirne la riservatezza, al fine di assicurare il censimento e il monitoraggio della presenza dei minori non accompagnati;

VISTA la l. 7 aprile 2017, n. 47, recante “Disposizioni in materia di misure di protezione dei minori stranieri non accompagnati”, che, all’art. 9, comma 1, in attuazione della predetta disposizione, istituisce presso il Ministero del lavoro e delle politiche sociali il Sistema informativo nazionale dei minori non accompagnati (di seguito, SIM);

VISTO il d.P.R. 27 dicembre 2023, n. 231, recante “Regolamento concernente i compiti del Ministero del lavoro e delle politiche sociali in materia di minori stranieri non accompagnati, ai sensi dell'articolo 17, comma 1, della legge 23 agosto 1988, n.  400” – su cui il Garante si è pronunciato con i provv. n. 172 del 19 settembre 2019 e n. 240 del 7 luglio 2022 (disponibili sul sito istituzionale www.garanteprivacy.it, rispettivamente doc. web n. 9162562 e n. 9799592) – ai sensi del quale in particolare, all’art. 12 è stabilito che “Gli aspetti tecnico-organizzativi, i differenti livelli di accesso ai dati contenuti nel SIM, le tipologie di dati trattabili e le operazioni eseguibili da parte dei soggetti legittimati all'accesso ai sensi dell'articolo 11, comma 1, nonché le misure di sicurezza inerenti al SIM e alla comunicazione dei dati di cui all'articolo 11, comma  2, sono disciplinati da un decreto direttoriale della Direzione generale dell'immigrazione e delle politiche di integrazione del Ministero, da adottare nel rispetto dei principi e dei criteri indicati  nel  presente  regolamento, nonché delle disposizioni vigenti in materia di protezione dei dati personali, entro trenta giorni dalla data di entrata in vigore del presente regolamento, acquisito il parere del Garante per la protezione dei dati personali”;

VISTE le note inviate, da ultimo, in data 3 ottobre 2024, con le quali il Ministero del lavoro e delle politiche sociali ha trasmesso all’Autorità, ai fini di acquisire il relativo parere, lo schema di decreto direttoriale, unitamente ai relativi allegati, che disciplina “gli aspetti tecnico-organizzativi, i differenti livelli di accesso ai dati contenuti nel Sistema informativo nazionale dei minori stranieri non accompagnati (SIM), le tipologie di dati trattabili e le operazioni eseguibili da parte dei soggetti legittimati all'accesso ai sensi dell'articolo 11, comma 1, nonché le misure di sicurezza inerenti al SIM e alla comunicazione dei dati”, ai sensi del menzionato art. 12 del d.P.R. 27 dicembre 2023, n. 23;

RILEVATO che il suddetto schema di decreto prevede, in particolare:

- i compiti istituzionali esercitati dal Ministero del lavoro e delle politiche sociali mediante il trattamento effettuato nell’ambito del SIM, connessi “al censimento e al monitoraggio della presenza dei minori stranieri non accompagnati sul territorio nazionale” e, nello specifico, volti a “censire gli eventi più rilevanti del percorso dei minori stranieri non accompagnati sul territorio nazionale ai fini dello svolgimento dei compiti assegnati alle autorità preposte: il ritrovamento sul territorio, il collocamento presso le strutture di accoglienza, lo svolgimento delle pratiche connesse, eventuali percorsi di integrazione, nel rispetto del superiore interesse del minore” (art. 2 dello schema);

- le tipologie di dati oggetto di trattamento nell’ambito del SIM, che “si articola in due archivi principali, "Minori" ed "Enti e strutture"”, e che comprende, “separatamente, […] il catalogo Utenti dove sono raccolti i dati degli utenti abilitati ad operare nel SIM”, relativi ai vari soggetti legittimati ad accedervi (art. 3 dello schema);

- le categorie di soggetti legittimati all’accesso al SIM (“Oltre al personale preposto della DG Immigrazione […], e con differenti livelli di accesso limitatamente alle proprie competenze, i soggetti pubblici legittimati da disposizioni di legge, e in particolare: Autorità Giudiziaria, Autorità di pubblica di sicurezza, le Regioni e le Province autonome, gli Enti locali, il Dipartimento per le libertà civili e l'immigrazione del  Ministero dell'interno, le Prefetture – Uffici territoriali del Governo, il Dipartimento per le politiche della famiglia della Presidenza del Consiglio dei ministri”), “con diversi livelli di utenza in relazione alle competenze spettanti per legge nella gestione dell’accoglienza del minore” (art. 4, commi 1 e 2, dello schema, e allegato A);

- la possibilità di comunicare “I dati contenuti nel SIM […], ai sensi dell’articolo 11, comma 2 del DPR n. 231/2023, quando si renda necessario per il miglior perseguimento dell’interesse del minore, alle altre amministrazioni pubbliche e agli organismi internazionali, competenti in materia di minori stranieri non accompagnati, nel rispetto dei presupposti previsti dal Regolamento  (UE) 2016/679 (Regolamento Generale sulla protezione dei dati -RGPD) e dal decreto legislativo n.196/2003, con modalità stabilite mediante appositi protocolli di intesa in conformità a quanto disciplinato dal presente decreto” (art. 4, comma 3);

- la pubblicazione dei dati “in modalità aggregata e anonima con modalità che non consentano nemmeno indirettamente la re-identificazione degli interessati” (art. 4, comma 4, dello schema);

- i ruoli dei soggetti coinvolti nel trattamento, attribuendo al Ministero del lavoro e delle politiche sociali la titolarità del trattamento svolto tramite il SIM e ai soggetti accedenti la titolarità autonoma nel perseguimento dei propri compiti istituzionali, nonché prevedendo la possibilità che il richiamato Ministero affidi “Le attività di manutenzione applicativa e la gestione della piattaforma SIM e dei dati ivi contenuti” a soggetti terzi designati quale responsabili del trattamento ai sensi dell’art. 28 del Regolamento (art. 5 dello schema);

- i tempi di conservazione dei dati personali trattati nell’ambito del SIM, e cioè, “Dopo il compimento della maggiore età, […] esclusivamente per il periodo di tempo, comunque non superiore a cinque anni, necessario agli adempimenti di natura amministrativa, contabile o fiscale e allo svolgimento delle politiche di integrazione rivolte agli interessati” (art. 6, dello schema);

- le modalità di esercizio dei diritti degli interessati (art. 7 dello schema);

- le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio (art. 8 dello schema);

CONSIDERATO che lo schema di decreto in esame tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intercorse al fine di rendere conformi alla normativa in materia di protezione dei dati personali, in ossequio al principio di privacy by design e by default (art. 25 del Regolamento), i trattamenti ivi disciplinati, che hanno riguardato, in particolare:

- la definizione dei compiti spettanti al Ministero del lavoro e delle politiche sociali, nonché delle relative basi giuridiche, per i quali vengono svolte le attività di censimento e monitoraggio della presenza dei minori stranieri non accompagnati sul territorio nazionale, nel rispetto dei principi di liceità, correttezza e trasparenza, di limitazione della finalità e di proporzionalità (art. 5, par. 1, lett. a) e b), e art. 6, par. 3, del Regolamento);

- l’individuazione dei soggetti legittimati ad accedere al SIM, in conformità a quanto stabilito dall’ordinamento (a partire dal d.P.R. 27 dicembre 2023, n. 23), nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), del Regolamento);

- le tipologie di dati personali messi a disposizione di ciascun soggetto legittimato ad accedere al SIM e le attività di trattamento consentite, nel rispetto del principio di minimizzazione dei dati (art. 5, par. 1, lett. c), del Regolamento);

- l’individuazione dei ruoli degli utenti, operanti per conto dei soggetti legittimati ad accedere al SIM, nonché le procedure di accreditamento e autenticazione, al fine di mitigare i rischi connessi agli accessi abusivi, nel rispetto del principio di integrità e riservatezza e degli obblighi di sicurezza (art. 5, par. 1, lett. f), e art. 32 del Regolamento);

CONSIDERATO, inoltre, che gli ulteriori flussi di dati personali, a partire dal SIM, che potrebbero essere instaurati, per il miglior perseguimento dell’interesse del minore, nei confronti di altre amministrazioni pubbliche e organismi internazionali competenti in materia di minori stranieri non accompagnati, ai sensi di quanto ammesso dall’art. 11, comma 2, del d.P.R. 27 dicembre 2023, n. 231, devono comunque essere preordinati al perseguimento di compiti di interesse pubblico disciplinati da apposite basi giuridiche, devono comprendere i soli dati personali a ciò necessari e devono essere effettuati in conformità alle modalità e alle misure già individuate nello schema di decreto in esame;

RITENUTO, pertanto, di poter esprimere parere favorevole sullo schema di decreto direttoriale in esame;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto direttoriale relativo al Sistema informativo nazionale dei minori stranieri non accompagnati (SIM), che disciplina gli aspetti tecnico-organizzativi, i differenti livelli di accesso ai dati contenuti nel SIM, le tipologie di dati trattabili e le operazioni eseguibili da parte dei soggetti legittimati all'accesso, nonché le misure di sicurezza inerenti al SIM e alla comunicazione dei dati, ai sensi dell’art. 12 del d.P.R. 27 dicembre 2023, n. 231.

Roma, 13 novembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei