[doc. web n. 9907989]

Parere sullo schema di convenzione tra il Ministero della giustizia e l’Agenzia delle entrate volto a regolamentare le modalità di accesso alle banche dati contenenti le informazioni utili ai fini della ricerca, da parte degli ufficiali giudiziari e con modalità telematiche, dei beni da pignorare, in attuazione di quanto disposto dall’art. 492-bis c.p.c. - 17 maggio 2023

Registro dei provvedimenti
n. 219 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

Con nota inviata il 6 aprile 2023, a seguito delle interlocuzioni precedentemente intrattenute, il Ministero della giustizia ha trasmesso al Garante, ai fini dell’acquisizione del prescritto parere lo schema di convenzione, di cui all’art. 155-quater disp.att. c.p.c., tra il Ministero medesimo e l’Agenzia delle entrate, volto a regolamentare le modalità di accesso alle banche dati contenenti le informazioni utili ai fini della ricerca, da parte degli ufficiali giudiziari e con modalità telematiche, dei beni da pignorare, in attuazione di quanto disposto dall’art. 492-bis c.p.c.

1. Il quadro normativo

L’art. 492-bis c.p.c. prevede, tra le altre cose, che:

“su istanza del creditore munito del titolo esecutivo e del precetto, l'ufficiale giudiziario addetto al tribunale del luogo in cui il debitore ha la residenza, il domicilio, la dimora o la sede, procede alla ricerca con modalità telematiche dei beni da pignorare […]” (comma 1);

“[…] il presidente del tribunale del luogo in cui il debitore ha la residenza, il domicilio, la dimora o la sede, su istanza del creditore, autorizza la ricerca telematica dei beni da pignorare” (comma 2);

“[…] l'ufficiale giudiziario accede mediante collegamento telematico diretto ai dati contenuti nelle banche dati delle pubbliche amministrazioni e, in particolare, nell'anagrafe tributaria, compreso l'archivio dei rapporti finanziari, […] per l'acquisizione di tutte le informazioni rilevanti per l'individuazione di cose e crediti da sottoporre ad esecuzione […]” (comma 4).

A sua volta, l’art. 155-quater disp.att. c.p.c. stabilisce, in particolare, che “le pubbliche amministrazioni che gestiscono banche dati contenenti informazioni utili ai fini della ricerca di cui all'articolo 492-bis del codice mettono a disposizione degli ufficiali giudiziari gli accessi, con le modalità di cui all'articolo 58 del codice di cui al decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, su richiesta del Ministero della giustizia”, specificando che “l'accesso è consentito previa stipulazione, senza nuovi o maggiori oneri per la finanza pubblica, di una convenzione finalizzata alla fruibilità informatica dei dati, sentito il Garante per la protezione dei dati personali. Il Ministero della giustizia pubblica sul portale dei servizi telematici l'elenco delle banche dati per le quali è operativo l'accesso da parte dell'ufficiale giudiziario per le finalità di cui all'articolo 492-bis del codice” (comma 1).

A seguire, gli artt. 155-quinquies e 155-sexies disp.att. c.p.c. definiscono, rispettivamente, l’accesso alle medesime banche dati per il tramite dei relativi gestori e gli ulteriori casi di applicazione delle disposizioni per la ricerca con modalità telematiche dei beni da pignorare.

2. Lo schema di convenzione in esame

Lo schema di convenzione, nel disciplinare l’accesso, da parte degli ufficiali giudiziari, alle informazioni contenute nelle banche dati dell’Agenzia delle entrate, dispone che “l’Ufficiale Giudiziario utilizza il servizio per acquisire le informazioni afferenti: a. Alle Dichiarazioni dei redditi e Certificazione Unica; b. Agli Atti del Registro; c. All’Archivio dei Rapporti finanziari” (art. 2); ciò “per lo svolgimento dei propri compiti d’ufficio, ai fini dell’acquisizione di tutte le informazioni rilevanti per l’individuazione di beni da sottoporre a esecuzione” (art. 3).

È previsto, in particolare, che l’interscambio dei dati tra gli Uffici notifiche, esecuzioni e protesti (UNEP, a cui è preposto un “Responsabile dei flussi massivi”) e l’Agenzia delle entrate avvenga attraverso il Sistema di interscambio dati (SID) dell’Agenzia, e che “l’ufficiale giudiziario richiede l’accesso alle informazioni […] per quei soggetti per i quali è stata presentata apposita istanza da parte del creditore, munito del titolo esecutivo e del precetto ovvero a seguito di specifica autorizzazione del presidente del Tribunale o di un giudice da lui delegato nei casi in cui ricorrano le condizioni di cui al comma 2 dell’articolo 492-bis del codice di procedura civile” (art. 4).

L’art. 6 dello schema si occupa specificamente del trattamento dei dati personali, stabilendo, tra le altre cose, che il Ministero si impegna “a conservare le informazioni acquisite per un arco di tempo non superiore alla durata del relativo procedimento amministrativo”, e che l’Agenzia si avvale di SOGEI S.p.A. “in qualità di partner tecnologico al quale è affidata la gestione del sistema informativo dell’Anagrafe Tributaria, designata per questo “Responsabile del trattamento” dei dati trattati per la gestione e l’esecuzione della presente convenzione, ai sensi dell’art. 28 del Regolamento”.

L’art. 7, dedicato al tracciamento e alle attività di controllo, prevede, in particolare, che:

il Ministero “procede al tracciamento degli accessi al servizio, tramite registrazioni che consentono di verificare a posteriori le operazioni eseguite da ciascun utente. Anche l’Agenzia procede al tracciamento degli accessi al servizio da parte dei singoli UNEP, registrando il Responsabile dei flussi informativi che ha originato la richiesta, nonché gli elementi identificativi del soggetto di cui all’articolo 4 comma 2 come individuati dal Ministero [(cioè l’ufficiale giudiziario che richiede l’accesso alle informazioni)], i dati della richiesta in input ed in output e le relative date di invio. L’Agenzia, su richiesta del Ministero, fornisce le registrazioni degli accessi e delle operazioni compiute dal singolo UNEP per consentire i controlli da parte del Ministero” (comma 1);

il Ministero, inoltre, “si impegna ad effettuare controlli, anche a campione, per verificare il rispetto della presente convenzione, del Regolamento e del Codice, relativamente all’attività di accesso da parte degli ufficiali giudiziari ai dati contenuti nell’Anagrafe tributaria, compreso l’Archivio dei rapporti finanziari” (comma 2); in particolare, il Ministero si impegna “ad effettuare, anche a campione, verifiche sulla legittimità degli accessi e ad informare tempestivamente l’Agenzia in caso di verifica di accessi illegittimi o anomali da parte degli ufficiali giudiziari all’Anagrafe tributaria, compreso l’Archivio dei rapporti finanziari. L’Agenzia, su richiesta del Ministero, mette a disposizione le eventuali risultanze derivanti dallo scarto di una richiesta di accesso al servizio da parte del singolo UNEP” (comma 3);

a sua volta, l’Agenzia “utilizza i dati oggetto di tracciamento esclusivamente al fine di informare il Ministero in caso di rilevamento degli accessi relativi al singolo UNEP che, in ragione della loro numerosità, sono considerati potenzialmente anomali. Si considerano potenzialmente anomali gli accessi effettuati dal singolo UNEP su base mensile superiori al doppio della media dei propri accessi degli ultimi tre mesi […]” (comma 4).

Infine, completano lo schema due allegati, tra cui le “specifiche tecniche relative al “Servizio SM50.01”” (art. 15), ove è altresì indicato “il dettaglio delle informazioni alle quali l’Ufficiale Giudiziario accede […] per ciascuna categoria di documento o di dato” (art. 2, comma 3).

OSSERVA

3. Osservazioni preliminari

Occorre preliminarmente rilevare che l’ultima versione dello schema di convenzione tiene conto di alcune indicazioni fornite dall’Ufficio del Garante ai rappresentanti del Ministero della giustizia e dell’Agenzia delle entrate nel corso dei confronti informali intercorsi.

In particolare, al fine di rendere i trattamenti maggiormente conformi alla disciplina in materia di protezione dei dati personali, in ossequio al principio di privacy by design e by default (art. 25 del Regolamento), sono stati oggetto di modifica gli artt. 6 e 7 dello schema, allo scopo di ottenere:

un richiamo più completo al rispetto dei principi in materia di protezione dei dati personali di cui all’art. 5 del Regolamento, nonché degli obblighi, nello specifico, di cui agli artt. 24, 28 e 32 del medesimo Regolamento;

una più corretta individuazione delle categorie di soggetti che possono avere accesso ai dati personali detenuti nell’Anagrafe tributaria, nel rispetto dei principi di liceità, correttezza e trasparenza, di limitazione della finalità e di integrità e riservatezza (art. 5, par. 1, lett. a), b) e f), del Regolamento), nonché di quanto stabilito dagli artt. 29 e 32 del medesimo Regolamento;

la conservazione dei dati personali per un tempo più strettamente connesso alla durata del procedimento per il quale si rende necessario l’accesso, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e), del Regolamento);

l’introduzione di specifici obblighi, in capo sia al Ministero della giustizia che all’Agenzia delle entrate, di tracciamento delle richieste di accesso ai dati da parte degli UNEP, nonché di verifica, anche a campione, da parte del Ministero, sulla legittimità degli accessi, e di rilevazione, da parte dell’Agenzia, di accessi potenzialmente anomali, con conseguenti obblighi informativi reciproci in merito agli esiti dei controlli effettuati, nel rispetto del principio di integrità e riservatezza (art. 5, par. 1, lett. f), del Regolamento) e degli obblighi di sicurezza (art. 32 del Regolamento).

Ciò posto, si rileva che l’art. 7 dello schema di convenzione, in merito al tracciamento e alle attività di controllo svolte dal Ministero della giustizia e dall’Agenzia delle entrate sugli accessi effettuati mediante il servizio in esame, conserva alcuni profili suscettibili di miglioramento, che si vanno di seguito a descrivere.

4. Il tracciamento e le attività di controllo

Preliminarmente, si osserva che lo schema di convenzione in esame è volto a consentire a una numerosa platea di soggetti di accedere all’Anagrafe tributaria, e soprattutto all’Archivio dei rapporti finanziari, per cui è richiesta l’adozione delle più rigorose misure di sicurezza.

Al riguardo, si evidenzia che il tracciamento delle operazioni svolte e le attività di controllo sugli accessi ai dati personali costituiscono un presidio essenziale per garantire la sicurezza del trattamento, mitigando i rischi per i diritti e le libertà fondamentali degli interessati derivanti da accessi illeciti o non autorizzati, particolarmente elevati in relazione a tale banca dati, consentendo al titolare di assicurare e comprovare la conformità al Regolamento (spec. art. 5, parr. 1, lett. f), e 2, e artt. 24, 25 e 32).

4.1. Il comma 4 dell’art. 7 prevede che l’Agenzia utilizzi i dati oggetto di tracciamento esclusivamente al fine di informare il Ministero in caso di rilevamento degli accessi relativi al singolo UNEP che, in ragione della loro numerosità, sono considerati potenzialmente anomali.

Al riguardo, si osserva che i log di tracciamento rappresentano uno strumento indispensabile per consentire al titolare del trattamento di verificare la liceità dei trattamenti, garantire la sicurezza dei trattamenti e, in caso di violazione dei dati personali, adempiere gli obblighi di cui agli artt. 33 e 34 del Regolamento.

Nel caso in esame, pertanto, occorre integrare la disposizione precisando che i dati oggetto di tracciamento sono utilizzati dall’Agenzia delle entrate anche per le predette finalità, in modo da assicurare la riservatezza dei dati conservati nell’ambito dell’Anagrafe tributaria, e soprattutto dell’Archivio dei rapporti finanziari, in ragione della loro particolare delicatezza.

4.2. Il medesimo comma 4 definisce il criterio utilizzato dall’Agenzia per individuare gli accessi potenzialmente anomali, ossia gli “accessi effettuati dal singolo UNEP su base mensile superiori al doppio della media dei propri accessi degli ultimi tre mesi”.

Al riguardo, si rileva che la complessa attività di individuazione di accessi potenzialmente anomali richiede livelli di approfondimento adeguati alla natura, all’ambito di applicazione e al contesto del trattamento e ai rischi che esso presenta, da sottoporre a costante aggiornamento, non suscettibile di essere cristallizzato all’interno di uno strumento convenzionale. In ogni caso, l’adeguatezza del predetto criterio individuato dall’Agenzia, pur astrattamente idoneo a rilevare accessi anomali, deve essere valutata in concreto, a seguito di un primo periodo di applicazione.

Nel caso in esame, predefinire, con siffatto livello di dettaglio, all’interno dello schema di convezione, formalmente precludendo all’Agenzia la futura adozione di diverse modalità di rilevazione di accessi anomali che dovessero derivare dal costante progresso tecnologico, compromette l’efficacia di tale misura di sicurezza.

Pertanto, al fine di consentire all’Agenzia delle entrate il rispetto degli obblighi di cui all’art. 32 del Regolamento, occorre espungere tale previsione, sostituendola con un più generico rinvio ad adeguati criteri da individuarsi, e rivalutarsi periodicamente, a cura dell’Agenzia medesima, nell’ambito della valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 del Regolamento.

In considerazione dei rischi elevati sopra rappresentati, si ritiene, altresì, necessario che l’Agenzia delle entrate, trasmetta al Garante:

i. prima dell’avvio del trattamento, una versione aggiornata della valutazione d’impatto sulla protezione dei dati, integrata con la descrizione dei criteri per individuare gli accessi anomali e delle misure adottate per gestirli;

ii. trascorsi sei mesi dall’avvio del trattamento, una relazione sull’efficacia dei criteri e delle misure adottate, che evidenzi le eventuali criticità riscontrate, tenendo conto anche degli esiti delle attività di controllo poste in essere dal Ministero della giustizia.

RITENUTO

Alla luce di quanto sopra osservato, al fine di assicurare il pieno rispetto dei diritti e delle libertà fondamentali degli interessati, si ritiene di poter esprimere parere favorevole sullo schema di convenzione in esame, purché siano rispettate le condizioni e le osservazioni riportate all’interno del par. 4 del presente provvedimento.

TUTTO CIÒ PREMESSO, IL GARANTE

1) ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, nonché dell’art. 155-quater disp.att. c.p.c., esprime parere favorevole sullo schema di convenzione tra il Ministero della giustizia e l’Agenzia delle entrate volto a regolamentare le modalità di accesso alle banche dati contenenti le informazioni utili ai fini della ricerca, da parte degli ufficiali giudiziari e con modalità telematiche, dei beni da pignorare, in attuazione di quanto disposto dall’art. 492-bis c.p.c., a condizione che:

a) l’art. 7, comma 4, sia integrato precisando che i dati oggetto di tracciamento sono utilizzati dall’Agenzia delle entrate anche per verificare la liceità dei trattamenti, garantire la sicurezza dei trattamenti e, in caso di violazione dei dati personali, adempiere gli obblighi di cui agli artt. 33 e 34 del Regolamento (cfr. par. 4.1 del presente provvedimento);

b) l’art. 7, comma 4, sia modificato espungendo il riferimento al criterio basato sugli “accessi effettuati dal singolo UNEP su base mensile superiori al doppio della media dei propri accessi degli ultimi tre mesi” e sostituendolo con un più generico rinvio ad adeguati criteri da individuarsi, e rivalutarsi periodicamente, a cura dell’Agenzia delle entrate, nell’ambito della valutazione d’impatto sulla protezione dei dati (cfr. par. 4.2 del presente provvedimento);

c) l’Agenzia delle entrate trasmetta al Garante, prima dell’avvio del trattamento, una versione aggiornata della valutazione d’impatto sulla protezione dei dati, integrata con la descrizione dei criteri per individuare gli accessi anomali e delle misure adottate per gestirli (cfr. par. 4.2 del presente provvedimento);

2)    ai sensi dell’art. 58, par. 1, lett. a), del Regolamento e dell’art. 157 del Codice, ingiunge all’Agenzia delle entrate di trasmettere al Garante, trascorsi sei mesi dall’avvio del trattamento, una relazione sull’efficacia dei criteri e delle misure adottate, che evidenzi le eventuali criticità riscontrate, tenendo conto anche degli esiti delle attività di controllo poste in essere dal Ministero della giustizia (cfr. par. 4.2 del presente provvedimento); l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. e), del Regolamento.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi