Source: https://www.agendadigitale.eu/sicurezza/videolotteries-e-minori-le-novita-2020-su-tessera-sanitaria-e-trattamento-dati/
Timestamp: 2020-08-15 05:10:37+00:00
Document Index: 85549022

Matched Legal Cases: ['art. 3', 'art. 7', 'art. 2', 'art. 3', 'art 9', 'art. 5', 'art. 2', 'art. 167']

Videolotteries e minori: le novità 2020 su tessera sanitaria e trattamento dati | Agenda Digitale
Videolotteries e minori: le novità 2020 su tessera sanitaria e trattamento dati
Dal primo gennaio 2020, le videolotteries potranno attivarsi solo attraverso la lettura della tessera sanitaria. La norma nasce per impedire il gioco ai minori ma alcuni profili critici relativi al trattamento dei dati hanno reso necessario un parere del Garante privacy
Decreto dignità e prima bozza di decreto direttoriale dell’agenzia delle dogane e monopoli
Prima bozza del decreto e obbligo di memorizzare i dati della tessera sanitaria
Il parere del Garante e la modifica del decreto direttoriale
L’art. 3 di questa bozza di Decreto Direttoriale ADM modificava l’art. 7 della Determinazione del Vicedirettore dell’agenzia Area Monopoli del 4 aprile 2017, Prot. n. 37100/RU (“Determinazione”), ha inserito la lettera f), prevedendo che ogni apparecchio videoterminale avrebbe dovuto “essere dotato di un dispositivo di lettura bidirezionale della banda magnetica della tessera sanitaria per l’accertamento della maggiore età del giocatore con le seguenti modalità:
estrarre il codice fiscale e l’identificativo della tessera sanitaria, inserita nell’apposito dispositivo di lettura, memorizzati nelle prime due tracce della banda magnetica della tessera stessa avendo cura di non memorizzare le informazioni estratte;
verificare la correttezza formale del codice fiscale e dell’identificativo della tessera;
verificare la maggiore età del giocatore, attraverso la differenza tra la data corrente e quella estratta dal codice fiscale della tessera sanitaria”;
Analizzando la bozza di Decreto emergeva che l’art. 2, modificando l’art. 3, comma 1 della Determinazione e inserendovi la lettera p), introduceva l’ulteriore obbligo di memorizzare sul sistema centrale del concessionario: “il valore relativo al message digest del codice fiscale presente nella tessera sanitaria, calcolato con l’algoritmo di hash SHA-1”.
Questa previsione, nella pratica, obbligava i produttori ad aggiornare il sistema di gioco delle videolotteries affinché lo stesso memorizzasse e conservasse nei propri sistemi informatici il codice fiscale di ogni giocatore (quindi un dato personale) per ogni sessione di gioco.
A ben vedere, le perplessità rispetto alla proporzionalità di questo trattamento dei dati nascevano dal fatto che la ratio normativa dell’art 9-quater del Decreto Dignità era esclusivamente quella di evitare l’accesso agli apparecchi di gioco AWP e VLT da parte di minori, mentre le modalità di raccolta e di memorizzazione dei dati imposte dalla bozza di Decreto Direttoriale senza alcun dubbio determinavano che l’apparecchio avrebbero rilevato non solo la data di nascita del giocatore, ma l’intero codice fiscale, con identificazione personale univoca del giocatore stesso.
Anche i concessionari sono intervenuti con proprie memorie nell’interlocuzione con gli uffici del Garante segnalando come la raccolta di dati imposta dalla bozza iniziale di Decreto Direttoriale fosse eccedente rispetto alle finalità di prevenzione imposta dal Decreto Dignità (violando il principio di minimizzazione imposto dall’art. 5, par. 1, lett. c) GDPR) e che la conservazione del dato relativo al codice fiscale del giocatore, abbinata all’eventuale identificazione dello stesso in occasione di una vincita da riscuotere (secondo quanto previsto dal D.LGS. 231/2007), avrebbe potuto esporre il giocatore stesso al rischio di una profilazione auspicando quindi una modifica sostanziale dell’art. 2.
La condivisione dei profili critici presenti nella prima bozza di Decreto ha portato ad una fruttuosa interlocuzione tra le parti che ha visto l’Agenzia delle Dogane proporre una seconda versione del Decreto Direttoriale su cui si è espressa positivamente l’Autorità Garante con il parere n. 151 del 24.07.2019.
In estrema sintesi, il testo della seconda versione del Decreto Direttoriale pubblicato ufficialmente sul sito istituzionale dell’Agenzia il 31.07.2019 e quindi oggi vigente appare rispettoso del parere espresso dal Garante avendo escluso espressamente la conservazione e memorizzazione da parte dei sistemi gioco dei dati presenti sulla tessera sanitaria.
Il parere del Garante ha ritenuto coerente il testo con i principi di minimizzazione e di privacy by design e by default prevedendo che:
le modalità di accertamento della maggiore età avvengano mediante l’estrazione delle informazioni registrate nelle prime due tracce della banda magnetica della tessera sanitaria (codice fiscale ed identificativo della tessera) senza che le stesse siano memorizzate nelle banche dati del sistema di gioco VLT;
dopo aver constatato la correttezza formale del codice fiscale e dell’identificativo della tessera, la verifica della maggiore età del giocatore sia effettuata confrontando la data corrente con quella estratta dal codice fiscale della tessera sanitaria;
siano previsti meccanismi idonei ad impedire l’avvio di una sessione di gioco in tutti i casi in cui non sia accertata la maggiore età del giocatore tramite lettura della tessera sanitaria;
siano introdotte soluzioni tecniche in grado di visualizzare a video la presenza/assenza della tessera sanitaria nell’apposito dispositivo di lettura e l’esito della verifica della maggiore età del giocatore e che, al termine di ciascuna sessione di gioco, sia necessario procedere ad una nuova verifica della maggiore età del giocatore per consentire l’accesso al gioco.
La stampa di settore ha dato ampio risalto alle preoccupazioni dei giocatori raccolte dai gestori delle sale dove sono ubicate le videolottery legate all’utilizzo della tessera sanitaria. Tra i principali riscontri raccolti sul campo la maggiore preoccupazione riguarda una temuta memorizzazione dei dati della tessera sanitaria finalizzata ad una profilazione dei giocatori.
Sul punto, il parere espresso dal Garante e le previsioni del Decreto Direttoriale dell’Agenzia delle Dogane e Monopoli portano ad escludere ogni sorta di trattamento consistente nella conservazione o memorizzazione dei dati personali dei giocatori.
È indubbio che un trattamento dei dati sia pure residuale viene effettuato dai sistemi in quanto la verifica della maggiore età del giocatore da cui dipende l’attivazione dell’apparecchio è resa possibile con l’estrazione delle cifre del codice fiscale riportanti la data di nascita ma tale operazione non comporta secondo quanto riportano le informative fornite dai concessionari nessuna attività di memorizzazione o conservazione dei dati.
D’altra parte, qualsiasi operazione che possa comportare un trattamento che vada oltre l’estrazione temporanea del dato configurerebbe un trattamento illecito dei dati punito dall’art. 167 del novellato codice privacy.