[doc. web n. 9843635]

Parere sullo schema di decreto del Ministro del turismo avente ad oggetto “la definizione di finalità e interazioni dell’Ecosistema TDH022 e l’adozione di specifiche Linee Guida” - 15 dicembre 2022

Registro dei provvedimenti
n. 424 del 15 dicembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTO il Piano nazionale di ripresa e resilienza (PNRR), approvato con decisione del Consiglio ECOFIN del 13 luglio 2021 notificata all’Italia dal Segretariato generale del Consiglio con nota LT161/21 del 14 luglio 2021 e, in particolare, la “Missione 1 – Componente 3 – Misura 4 Turismo 4.0 – Investimento 4.1 Hub del Turismo Digitale" (di seguito, TDH), che prevede la realizzazione di una piattaforma web dedicata “che consenta il collegamento dell'intero ecosistema turistico al fine di valorizzare, integrare, favorire la propria offerta”, attraverso, tra le altre cose, la “Messa a scala del portale Italia.it migliorandone l’interfaccia utente, integrandolo con fonti di dati aggiuntive, ampliandone il portafoglio servizi […]” e lo “Sviluppo di un data lake e adozione di modelli di intelligenza artificiale per analizzare (in forma anonima) i dati sul comportamento online degli utenti”, con la messa a disposizione di informazioni in favore “dell'ecosistema degli operatori del settore”;

VISTA la richiesta di parere pervenuta in data 20 luglio 2022, come integrata in data 22 novembre 2022 a seguito delle interlocuzioni intercorse con l’Ufficio del Garante, con la quale il Ministero del turismo ha sottoposto all’Autorità, ai fini dell’espressione del parere, lo schema di decreto ministeriale “recante la definizione di finalità e interazioni dell’Ecosistema TDH022 e l’adozione di specifiche Linee Guida (c.d. Linee Guida Ecosistema TDH022). Tali Linee Guida individuano standard e tecnologie che Pubbliche Amministrazioni (centrali, regionali e locali), Enti e Società Terze dovranno tenere in considerazione per rendere i propri sistemi informatici interoperabili, al fine di consentire, previa sottoscrizione di accordi di dettaglio, il colloquio tra i sistemi e permettere la raccolta e il coordinamento informativo e informatico dei dati con l’Ecosistema TDH022”;

RILEVATO che, come osservato nelle premesse dello schema di decreto, “il TDH si pone l’obiettivo di far incontrare profittevolmente la domanda turistica verso l’Italia con la relativa offerta italiana (erogata da diversi attori), mettendo in relazione tra loro gli interessi della persona (turista), le destinazioni e l’offerta prima, durante e dopo l’esperienza turistica, creando valore per tutti gli attori coinvolti”, per cui “L’Ecosistema TDH022 si pone come Standard Digitale a livello Nazionale, preposto allo scambio di dati e contenuti sia “aperti” (open data) che “chiusi” (private data) tra i partecipanti, svolgendo altresì un ruolo di interfaccia di integrazione tra il TDH e gli Operatori di Settore che desiderano far parte dell’Ecosistema e che sono operativi sul territorio nazionale italiano” (art. 1 dello schema);

RILEVATO, altresì, che il suddetto schema di decreto, oltre a definire contenuti e modalità di adozione delle richiamate “Linee Guida Ecosistema TDH022” (artt. 3 e 4), formula disposizioni concernenti i trattamenti dei dati personali effettuati nell’ambito dell’Ecosistema TDH022 (art. 5), stabilendo, in sostanza:

- le finalità dei trattamenti (“integrare e favorire l’offerta turistica e promuoverne il rilancio, nonché favorire l’incontro tra domanda e offerta turistica”) e le relative basi giuridiche (“sul presupposto dell’espressione del consenso da parte dell'interessato o, se necessario, nell'ambito di un contratto o ai fini della conclusione di un contratto”) (comma 1);

- i criteri attraverso cui deve essere assicurato il rispetto della disciplina in materia di protezione dei dati personali, con il richiamo agli specifici principi e obblighi previsti dal Regolamento (comma 2);

- i ruoli dei soggetti coinvolti nei trattamenti (a partire dall’individuazione del Ministero del turismo quale titolare) e le garanzie in caso di trasferimenti di dati personali verso un Paese terzo o un’organizzazione internazionale (comma 3);

- l’obbligo, per il titolare, di effettuare, e mantenere costantemente aggiornata, la valutazione d’impatto sulla protezione dei dati, ove individuare anche le misure di dettaglio necessarie a dare attuazione ai principi e criteri formulati (comma 4);

CONSIDERATO che la versione dello schema di decreto in esame tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intercorse al fine di rendere conformi, in ossequio al principio di privacy by design e by default (art. 25 del Regolamento), i trattamenti ivi disciplinati alla normativa in materia di protezione dei dati personali, che hanno riguardato, in particolare:

- un’adeguata trasparenza dei trattamenti e l’espressione di scelte libere, specifiche e consapevoli da parte degli interessati, tenuto conto delle specifiche finalità perseguite da ciascun trattamento nell’ambito dell’Ecosistema TDH022, alla luce dei principi di liceità, correttezza e trasparenza e di limitazione della finalità (art. 5, par. 1, lett. a) e b), del Regolamento);

- l’esplicitazione di garanzie specifiche a tutela dei diritti e delle libertà degli interessati con riferimento ai processi decisionali automatizzati, compresa la profilazione, in ossequio all’art. 22 del Regolamento;

- l’individuazione di adeguate misure volte ad assicurare un agevole esercizio dei diritti da parte degli interessati;

CONSIDERATO, altresì, che, come stabilito all’art. 3, comma 3, dello schema di decreto, le prospettate “Linee Guida Ecosistema TDH022” devono porsi “in linea con le indicazioni emanate dall’Agenzia per l’Italia Digitale (AgID), con il documento “Linee Guida sull’Interoperabilità Tecnica delle Pubbliche Amministrazioni” ai sensi della lettera b) comma 3-bis articolo 73 del Decreto Legislativo 7 marzo 2005, n. 82”, su cui il Garante si è pronunciato favorevolmente con provv. n. 260 dell'8 luglio 2021 (disponibile su www.garanteprivacy.it, doc. web n. 9682994);

RITENUTO, pertanto, di poter esprimere parere favorevole sullo schema di decreto in esame, fermo restando quanto previsto dall’art. 36, par. 1, del Regolamento, secondo cui “il titolare del trattamento, prima di procedere al trattamento, è tenuto a consultare l'Autorità di controllo qualora la valutazione d'impatto a norma dell'art. 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare per attenuare il rischio”;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIO’ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro del turismo avente ad oggetto “la definizione di finalità e interazioni dell’Ecosistema TDH022 e l’adozione di specifiche Linee Guida”.

Roma, 15 dicembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei