[doc. web n. 9973320]

Provvedimento del 30 novembre 2023

Registro dei provvedimenti
n. 554 del 30 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Fabio Mattei, segretario generale;

Vista la richiesta di parere del Ministero della giustizia;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore l’avv. Guido Scorza;

PREMESSO

Il Ministero della giustizia ha richiesto il parere del Garante su di uno schema di decreto, di natura regolamentare, recante “Regolamento da adottarsi ai sensi dell’articolo 87, commi 1 e 3 del decreto legislativo 10 ottobre 2022, n. 150 e in attuazione delle disposizioni in materia di giustizia digitale nel processo civile introdotte dal decreto legislativo 10 ottobre 2022, n. 149 e dall’articolo 36 del decreto-legge 24 febbraio 2023, n. 13, convertito, con modificazioni, dalla legge 21 aprile 2023, n. 41”.

La prima disposizione - nell’ambito della delega al Governo per l'efficienza del processo penale, in materia di giustizia riparativa e disposizioni per la celere definizione dei procedimenti giudiziari - demanda alla fonte regolamentare (previa acquisizione del parere del Garante) la definizione delle regole tecniche riguardanti i depositi, le comunicazioni e le notificazioni telematiche degli atti del procedimento penale anche modificando, ove necessario, il regolamento di cui al decreto del Ministro della giustizia 21 febbraio 2011, n. 44 e, in ogni caso, assicurando la conformità al principio di idoneità del mezzo e a quello della certezza del compimento dell’atto (art. 87, comma 1).

La seconda disposizione demanda, altresì, a un regolamento l’individuazione degli uffici giudiziari e delle tipologie di atti per cui possano essere adottate anche modalità non telematiche di deposito, comunicazione o notificazione, nonché i termini di transizione al nuovo regime di deposito, comunicazione e notificazione (art. 87, comma 3).

Il provvedimento inoltre, in attuazione della disciplina contenuta nell'articolo 36 del d.l. 24 febbraio 2023, n. 13, recante “Ulteriori disposizioni in materia di deposito telematico nei procedimenti di volontaria giurisdizione”, convertito, con modificazioni, dalla legge 21 aprile 2023, n. 41, adegua le vigenti regole tecniche sul processo civile telematico alla disciplina contenuta nel Titolo V-ter delle disposizioni di attuazione del codice di rito civile, recante “Disposizioni relative alla giustizia digitale”, come introdotto dal d.lgs. 10 ottobre 2022, n. 149.

L’odierno regolamento, nel novellare (all’articolo 2) il vigente d.M. 44 del 2011 (sul cui schema il Garante aveva reso parere il 15.7.2010), introduce norme “di cornice”, applicabili ai procedimenti penale e civile e rinviando per l’attuazione, nel dettaglio, alle specifiche tecniche di cui all’articolo 34 dello stesso decreto, rispetto al quale è previsto il parere del Garante.

RILEVATO

L’articolo 1 definisce l’ambito di applicazione del decreto, recante appunto regole tecniche riguardanti il deposito, la comunicazione e la notificazione con modalità telematiche degli atti e documenti, nonché la consultazione e gestione dei fascicoli informatici nei procedimenti penale e civile. L’unitarietà dell’intervento è suggerita dall’unicità della fonte normativa di settore, ovvero il decreto ministeriale 21 febbraio 2011, n. 44 “Regolamento concernente le regole tecniche per l'adozione nel processo civile e nel processo penale, delle tecnologie dell'informazione e della comunicazione, in attuazione dei principi previsti dal decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, ai sensi dell'articolo 4, commi 1 e 2, del decreto-legge 29 dicembre 2009, n. 193, convertito nella legge 22 febbraio 2010 n. 24”.

L’articolo 2, in attuazione del citato articolo 87, comma 1, interviene sia per novellare alcune disposizioni del d.M. n. 44, comuni al processo penale e al processo civile, sia per introdurre nuove e specifiche regole tecniche dedicate al nuovo processo penale telematico.

Al d.M. n. 44 del 2011 sono apportate, in particolare, le seguenti novelle.

All’articolo 2, tra le altre, vengono introdotte le definizioni di Portale dei depositi telematici (PDT), di cui dall’art. 87 del d.lgs. 10 ottobre 2022, n. 150 e di Portale delle notizie di reato (PNR), previsto all’art. 221, comma 11, del d.l. 19 maggio 2020, n. 34, convertito con modificazioni dalla legge 17 luglio 2020, n. 77, che consentono il deposito degli atti in modalità telematica da parte dei soggetti abilitati esterni, compresi gli ufficiali e agenti di polizia giudiziaria. E’, altresì, precisata la nozione di fascicolo informatico, relativa a istituto ormai obbligatorio sia nel processo civile che in quello penale e introdotta la nuova definizione dell’applicativo informatico, utilizzato per la consultazione e gestione del medesimo fascicolo. Rispetto al pagamento del contributo unificato, si adegua il testo del d.M. alla disciplina introdotta dall’articolo 13 del d.lgs. 10 ottobre 2022, n. 149, che prevede il ricorso esclusivamente al sistema di pagamento PagoPA (piattaforma tecnologica di cui all’articolo 5, comma 2, d.lgs. 82 del 2005 e s.m.i.).

Al medesimo articolo viene, inoltre, modificata la definizione di “identificazione informatica”, rappresentandola ora -in conformità alle disposizioni dettate in materia di identificazione e autenticazione elettronica dal CAD e dal Regolamento EiDAs- quale “processo di identificazione dell’utente abilitato interno o esterno per l’accesso ai servizi, alle piattaforme e alle risorse del dominio giustizia, mediante autenticazione elettronica”.  La novella soddisfa l'esigenza di assicurare alle regole tecniche la necessaria neutralità tecnologica rispetto ai metodi di identificazione informatica.

Nell’ambito delle specifiche tecniche di cui all’articolo 32, sarà poi opportuno prevedere, per l’utilizzo delle credenziali e dei dispositivi di autenticazione previsti dal CAD o dal Regolamento eIDAS per l’accesso “alle piattaforme e alle risorse del dominio giustizia” da parte di utenti abilitati, misure per:

- limitare l’acquisizione degli attributi associati alle identità digitali ai dati strettamente necessari (es. il codice fiscale, il nome e il cognome) senza acquisire dati personali ulteriori (es. il domicilio, l’e-mail o il numero di cellulare);

- attenuare il rischio connesso all’attivazione fraudolenta di identità digitali di tali tipologie, potenzialmente suscettibili di utilizzo per accessi abusivi.

L’articolo 8 è riformulato al fine di chiarire che la consultazione e la gestione del fascicolo informatico da parte dei soggetti abilitati interni, dovrà avvenire tramite appositi applicati informatici forniti dal Ministero della giustizia (ad es. consolle del magistrato, desk del consigliere).

L’articolo 9 è riformulato alla luce delle modifiche introdotte al “fascicolo informatico” dal d.lgs. n. 149 e n. 150 del 2022, secondo cui esso non costituisce più la versione digitale di quello originariamente cartaceo, ma un fascicolo “nativo digitale”.

L’articolo 11 adegua la disciplina della forma dell’atto del procedimento “nativo digitale”, precisando che esso sia (come lo è tuttora) privo di elementi attivi e redatto nei formati previsti dalle specifiche tecniche di cui all'articolo 34, che stabiliscono altresì le informazioni strutturate destinate ad essere inserite nei registri informatici.

L’articolo 13 viene integrato al fine di chiarire che solo nel processo civile telematico la trasmissione dei documenti dai soggetti abilitati esterni, tra cui gli utenti privati legittimati a stare in giudizio personalmente, avviene tramite PEC. Ai sensi dell’art. 36 del d.l. n. 13 del 2023, poi, la trasmissione degli atti processuali potrà essere curata dall’utente privato tramite l’indirizzo PEC messo a disposizione dal Ministero della giustizia. Al comma 2, tenuto conto dell’evoluzione tecnologica intervenuta, si precisa espressamente che il deposito telematico si ritiene perfezionato senza l’intervento degli operatori della cancelleria, salvo il caso in cui si verifichino anomalie bloccanti, che lo rendano invece necessario al fine di superare il blocco del sistema. Si precisa, inoltre, che al fine di garantire la riservatezza degli atti e dei documenti da trasmettere, il soggetto abilitato esterno utilizza un meccanismo di crittografia, secondo le suddette specifiche tecniche.

La soppressione dell’ultima parte del comma 3 dell’art. 13 si impone alla luce della novella della norma primaria, contenuta nell’art. 196-sexies disp. att. c.p.c.

L’articolo 16 viene sostituito, oltre che per adeguare la normativa secondaria alle modifiche intervenute in materia di comunicazioni e notificazioni per via telematica (in seguito alla soppressione dei primi quattro commi dell’art. 51 d.l. 25 giugno 2008, n. 112, convertito con modificazioni dalla legge 6 agosto 2008, n. 133) anche per equipararne la disciplina delle comunicazioni e delle notificazioni telematiche a cura della cancelleria o della segreteria. Viene introdotto il riferimento ai “pubblici elenchi” e ribadito che le comunicazioni o notificazioni tra gli uffici giudiziari (comprese quelle tra giudici e pubblici ministeri) avvengono in cooperazione applicativa (secondo le disposizioni del d.lgs. 82 del 2005), nel rispetto delle richiamate specifiche tecniche.

In linea con la disposizione vigente si è previsto, al comma 5, che le comunicazioni o notificazioni contenenti dati “sensibili” debbano essere effettuate per estratto, con contestuale messa a disposizione dell'atto integrale nell'apposita area del Portale dei servizi telematici, secondo le citate specifiche tecniche (sulle quali è appunto previsto il parere del Garante) e nel rispetto dei requisiti di sicurezza di cui all'articolo 26, con modalità tali da garantire l'identificazione dell'autore dell'accesso e la tracciabilità delle relative attività.

L’articolo 21, in tema di estrazione e rilascio di copie di atti e documenti, è stato sostituito per adeguarlo alle nuove disposizioni sul processo telematico, prevedendo che i soggetti abilitati esterni possano richiedere copie o estrarre duplicati di atti e documenti dai fascicoli informatici cui possono accedere per legge, nel rispetto delle specifiche tecniche.

Anche in tal caso in linea con la disciplina vigente, al comma 3 del medesimo articolo si prevede che gli atti e i documenti contenenti dati “sensibili” siano messi a disposizione nell'apposita area del Portale dei servizi telematici, nel rispetto dei requisiti di sicurezza stabiliti dalle specifiche tecniche.

L’articolo 2 dello schema di regolamento, inoltre, introduce nuove disposizioni nel decreto ministeriale n. 44 del 2011, tra le quali si segnalano, in particolare, le seguenti.

L’articolo 7-bis reca una disciplina unitaria del Portale dei depositi telematici e del Portale delle notizie di reato, previsto dalla normativa primaria per eseguire i depositi degli atti processuali nei procedimenti penali mediante un sistema di upload, che sostituisce integralmente il vecchio sistema – ancora utilizzato nei processi civili –basato sulla trasmissione di un messaggio di posta elettronica certificata. Si precisa che il Portale delle notizie di reato consente la trasmissione in via telematica, da parte del personale di polizia giudiziaria e di ogni altro soggetto tenuto per legge alla trasmissione della notizia di reato, di atti e documenti su canale sicuro protetto da un meccanismo di crittografia, in modo da assicurare l'identificazione dell'autore dell'accesso e la tracciabilità delle relative attività.

L’articolo 13-bis reca la disciplina della trasmissione degli atti e dei documenti nativi digitali (in forma di documento informatico) sul portale dei depositi telematici, da parte dei soggetti abilitati esterni.

L’articolo 3 dello schema di regolamento contiene, poi, le disposizioni da adottarsi ai sensi dell’articolo 87, comma 3 del d. lgs. 150 del 2022, con la specifica indicazione dell’attuazione per fasi del processo penale telematico.

In particolare, si prevede che vengano inoltre individuati gli atti per i quali possano essere adottate anche modalità non telematiche di deposito, comunicazione o notificazione, nonché i termini di transizione al nuovo regime, fissati al 31 dicembre 2024, in continuità con la data del 1° gennaio 2025 a decorrere dalla quale prenderà avvio la seconda fase della digitalizzazione.

RITENUTO

La disciplina proposta dallo schema di regolamento non presenta criticità sotto il profilo della protezione dati, le cui implicazioni dovranno peraltro essere delineate nel dettaglio nell’ambito delle specifiche tecniche di cui all’articolo 34, da sottoporre al parere del Garante.

Tuttavia, residuano soltanto due imperfezioni di drafting nel riferimento ai dati “sensibili”, quale nozione ormai superata da quella di cui all’articolo 9 del Regolamento.

Pertanto:

- all’articolo 2, c.1, lett. m), capoverso “art.16”, al comma 5, ivi richiamato, è opportuno sostituire le parole “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”;

- all’articolo 2, c.1, lett. o), capoverso “art.21”, al comma 3, ivi richiamato, è opportuno sostituire le parole “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”.
”.

IL GARANTE

ai sensi dell’articolo 36, paragrafo 4, del Regolamento, esprime parere favorevole sul proposto schema di regolamento con le osservazioni, esposte nel “Ritenuto”, relative alla sostituzione:

- all’articolo 2, c.1, lett. m), capoverso “art.16”, al comma 5, ivi richiamato, delle parole “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”;

- all’articolo 2, c.1, lett. o), capoverso “art.21”, al comma 3, ivi richiamato, delle parole “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”.

Roma, 30 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei