Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1341415
Timestamp: 2019-08-26 04:31:43+00:00
Document Index: 41729586

Matched Legal Cases: ['art. 2', 'art. 6', 'art. 20', 'art. 29', 'art. 11', 'art. 8', 'art. 9', 'art. 8', 'art. 15', 'art. 11', 'art. 3', 'art. 14', 'art. 8', 'art. 11', 'art. 14', 'art. 12', 'art. 21', 'art. 29', 'art. 35', 'art. 41', 'art. 49', 'art. 13', 'art. 16', 'art. 7', 'art. 31', 'art. 13', 'art. 29', 'art. 34', 'art. 31', 'art. 2', 'art. 6']

Parere sullo schema di decreto sull'uso di strumenti telematici nel... - Garante Privacy
Pubblica Amministrazione , Ministeri
[doc. web n. 1341415]
Parere sullo schema di decreto sull´uso di strumenti telematici nel processo civile - 23 luglio 2004
rif. n. 963/U – MR 56/4-5 UL del 19 aprile 2004
Oggetto: schema di decreto ministeriale recante regole tecnico-operative per l´uso di strumenti telematici nel processo civile (c.d. processo telematico).
Art. 3, comma 3, d.P.R. n. 123/2001.
Con riferimento a quanto richiesto con la nota sopra distinta, relativa allo schema di decreto ministeriale in oggetto, si formulano alcune considerazioni per gli aspetti di competenza di questa Autorità.
Si rileva, preliminarmente, che alcune disposizioni dello schema, benché necessarie e correttamente delineate nella sostanza, recano norme di natura precettiva in ragione della loro formulazione, anziché "regole tecnico-operative" come previsto dall´articolo 3 del d.P.R. n. 123 del 2001 cui lo schema intende dare applicazione (artt. 8 e 9 dello schema, ad esempio). Si ravvisa al riguardo la necessità di riformularle tecnicamente, almeno quelle che più direttamente si espongono a tali profili.
SOGGETTI ABILITATI E PROPORZIONALITÀ DELL´ACCESSO AL SICI
Lo schema individua i soggetti ammessi a fruire del Sistema informatico civile (SICI) definendo "soggetti abilitati" tutti "i soggetti abilitati all´utilizzo dei servizi di consultazione di informazioni e trasmissione di documenti informatici relativi al processo", e distinguendo, fra questi, i soggetti abilitati "interni" (magistrati, personale degli uffici giudiziari e degli uffici notifiche esecuzioni e protesti, c.d. UNEP) e quelli "esterni". Questi ultimi sarebbero, a loro volta, "privati" (i difensori delle parti private, gli avvocati iscritti negli elenchi speciali, gli esperti e gli ausiliari del giudice) o "pubblici" (gli avvocati e procuratori dello Stato e i dipendenti pubblici) (art. 2, lett. h, dello schema).
Il funzionamento del SICI verrebbe assicurato da apposite "strutture" che assicurano la circolazione delle informazioni e dei documenti informatici fra i soggetti abilitati o fungono da vere e proprie stazioni di accesso al sistema: il "gestore centrale dell´accesso", presso il Ministero della giustizia (artt. 3 e 20); il "gestore locale dall´accesso", attivato presso ogni ufficio giudiziario o UNEP (artt. 4 e 22); i "punti di accesso", che possono essere gestiti da soggetti pubblici (Ministero della giustizia, Consiglio dell´ordine degli avvocati, ecc. ) o privati in possesso di determinati requisiti (art. 6).
La delicatezza della tematica trattata, a fronte della complessità del sistema informativo prospettato, induce a ritenere necessario che si precisi (possibilmente con una espressa disposizione da inserire fra i primi articoli dello schema) che i dati e le informazioni oggetto di trattamento da parte dei diversi soggetti coinvolti, a vario titolo, nel funzionamento del SICI, potranno essere utilizzati esclusivamente per le specifiche finalità di applicazione del presente decreto, in base alle rispettive funzioni e competenze.
Si richiama, poi, l´attenzione sull´opportunità di individuare i titolari del trattamento dei dati personali effettuati per le finalità sopra descritte e di indicarli nell´apposito decreto ministeriale previsto dall´articolo 46 del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali). Si potrebbe chiarire meglio, inoltre, se i dirigenti amministrativi degli uffici sono individuati dal presente schema quali responsabili del trattamento dei dati personali, come sembrerebbe dalla formulazione della norma (art. 20, comma 3), o se si intenda invece riservare la loro eventuale designazione al titolare, in un momento successivo (art. 29, d. lg. n. 196/2003).
Gestori dell´accesso e punti di accesso
Lo schema prevede, come abbiamo visto, la gestione dei "punti d´accesso" anche da parte di soggetti privati.
Al riguardo, non è in discussione l´opportunità di prevedere tali punti d´accesso, e nello schema emerge già con chiarezza che i gestori dei punti d´accesso (anche quando si tratti di soggetti pubblici, come i Consigli degli ordini, il Consiglio nazionale forense e il Consiglio nazionale del notariato) non potranno accedere ai "contenuti" degli atti processuali e, in quanto meri gestori del servizio di accesso, potranno trattare solo i dati "esterni" identificativi dei soggetti abilitati. Tuttavia, considerati i rischi applicativi che potrebbero in ipotesi verificarsi appare necessario intensificare le misure di sicurezza previste rafforzandole rispetto a possibili accessi abusivi a dati e ad informazioni processuali, al fine di scongiurare, in definitiva, possibili gravi ricadute sui procedimenti stessi.
Non appare, poi, del tutto conforme al principio di proporzionalità nel trattamento dei dati (art. 11 d. lg. n. 196/2003) la generale previsione che gli avvocati, anche dello Stato, possano accedere alle "informazioni necessarie per la costituzione in giudizio" ovvero, dopo la costituzione, a tutte le "informazioni contenute nei fascicoli dei procedimenti" in cui sono costituiti o di cui è parte un´amministrazione (art. 8, comma 2 e art. 9, comma 3).
Sembra, piuttosto, necessario che le norme facciano espresso riferimento al rispetto delle disposizioni processuali in materia e, in particolare, ai limiti, anche temporali, previsti per l´accesso a determinati atti o documenti conservati nei fascicoli d´ufficio o di parte, ovvero prevedano l´obbligo per i difensori di trattare solo i dati pertinenti e non eccedenti rispetto allo specifico procedimento in atto o all´incarico ricevuto (anche in relazione a procedimenti complessi, in cui vi siano più parti costituite e più domande in giudizio) e in conformità, ove si tratti di dati sensibili e ne ricorrano i presupposti, alle prescrizioni impartite dal Garante con l´autorizzazione generale n. 4/2004 per il trattamento di dati sensibili da parte di liberi professionisti.
Analoghe previsioni potrebbero essere inserite nel comma 3 del medesimo articolo 8, in relazione al trattamento dei dati acquisiti a seguito di accesso al SICI o, comunque, di ricezione di atti e documenti per via telematica, effettuato da collaboratori del difensore (sostituti, ausiliari, tirocinanti, praticanti) o da colleghi operanti presso studi associati o associazioni di professionisti, per i quali la citata autorizzazione generale reca specifiche disposizioni.
L´omogeneità della disciplina applicabile induce a valutare l´opportunità di riservare a tali aspetti un unico articolo dello schema, sia per i difensori privati, sia per gli avvocati e i procuratori dello Stato e i rispettivi collaboratori o ausiliari.
Le osservazioni svolte potrebbero essere, ad esempio, recepite accorpando il comma 2 dell´articolo 8 e il comma 3 dell´articolo 9 (art. 8, comma 2) come segue: "2. Il SICI consente al difensore (e agli avvocati e procuratori dello Stato) l´accesso ai dati contenuti nei fascicoli dei procedimenti in cui è costituito (o in cui è parte una pubblica amministrazione) o ai quali si riferisce l´incarico (o la rappresentanza in giudizio), pertinenti e non eccedenti rispetto alle specifiche attività di difesa o di esercizio di un diritto, nel rispetto delle norme processuali e della disciplina rilevante in materia di trattamento dei dati personali.".
Il comma 3 del medesimo articolo 8, poi, potrebbe essere integrato come segue: "3. All´avvocato delegato, ai sostituti e agli ausiliari che collaborano con il difensore ai sensi dell´articolo 2232 del codice civile, ai praticanti e ai tirocinanti presso il medesimo difensore si applicano le disposizioni di cui al comma 2.".
Esperti e ausiliari del giudice
Si richiama l´attenzione sulla disciplina prevista per l´accesso al SICI degli esperti ed ausiliari del giudice, e sulla sua piena conformità alle disposizioni dell´articolo 3 del d.P.R. n. 123/2001 e ai principi in materia di protezione dei dati personali.
Il citato articolo 3 del d.P.R. n. 123 del 2001 prevede che possano accedere "attivamente" al SICI solo "i difensori delle parti e gli ufficiali giudiziari", e stabilisce che gli esperti ed ausiliari possano utilizzare un indirizzo elettronico per le comunicazioni e notificazioni (artt. 6, comma 1 e 7, comma 1, d.P.R. n. 123/2001) ovvero, presumibilmente, anche per il deposito della relazione (cfr. art. 15 d.P.R. n. 123/2001). Lo schema di decreto, coerentemente, prevede che tutti i soggetti abilitati esterni si debbano dotare di un indirizzo elettronico e della relativa casella di posta certificata per poter usufruire dei "servizi di trasmissione telematica dei documenti informatici" (art. 11). Potrebbe pertanto ritenersi che, in base al d.P.R. n. 123 del 2001, gli esperti ed ausiliari possano usufruire non del "servizio di consultazione del SICI", ma solo di quello di "trasmissione telematica degli atti", vale a dire di una soltanto delle funzioni del sistema individuate dall´articolo 21 dello schema. Tale conclusione sembrerebbe confermata dal termine "attivamente" con il quale, per converso, l´articolo 3 del d.P.R. n. 123 del 2001 definisce le modalità di accesso dei difensori e degli ufficiali giudiziari. Del resto, mentre per i difensori lo schema di decreto –al fine di assicurare le condizioni di "individuazione" e "automatica abilitazione" del soggetto ammesso alla consultazione del SICI, previste dall´art. 3, comma 1, lett. b) e d), del d.P.R. n. 123 del 2001- prevede una generale "certificazione" per l´accesso al SICI, svolta dal punto d´accesso (artt. 7 e 28, comma 2), per gli esperti ed ausiliari del giudice sembra prevista espressamente solo la registrazione ai fini del rilascio della casella di posta elettronica (art. 14, comma 5).
Quale che sia la conclusione interpretativa cui si pervenga, l´accesso dei predetti soggetti dovrebbe essere espressamente rapportato, in modo proporzionato, alle sole funzioni svolte e alle reali esigenze informative richieste dallo svolgimento dell´incarico, che potrebbero essere meglio esplicitate nello schema (art. 8, comma 5).
POSTA ELETTRONICA E CONSERVAZIONE DEI DATI
Appare necessario che lo schema sia integrato con l´individuazione di termini più specifici di conservazione dei dati, in conformità al principio di conservazione per il tempo necessario al raggiungimento dello scopo per i quali sono stati raccolti (art. 11 d. lg. n. 196/2003), anche tenendo conto delle disposizioni in materia di dati di traffico (artt. 123 e 132 d. lg. n. 196/2003).
Tale esigenza si pone, anzitutto, per i dati relativi ai messaggi di posta elettronica certificata, per la cui disciplina sembrerebbero, peraltro, inapplicabili le disposizioni contenute nello schema di regolamento predisposto dal Ministro per l´innovazione e le tecnologie in materia di utilizzo della posta elettronica certificata, anch´esso al vaglio dell´Autorità per il parere (cfr. art. 14, comma 3, di tale schema).
Nessun termine di conservazione è, infatti, espressamente previsto per l´"avviso contenente i seguenti dati: identificativo univoco del messaggio, mittente, data, ora, e minuti di arrivo." (art. 12, comma 1) . Lo schema di decreto prevede, invece, che i dati relativi ai "messaggi inviati e ricevuti, associati alle relative attestazioni temporali", una volta archiviati dal gestore centrale dell´accesso (art. 21, comma 11), ovvero dal punto di accesso (art. 29, comma 7) siano conservati "per un periodo non inferiore a cinque anni".
Lo stesso termine di conservazione è, poi, previsto, ad altri fini, per le "registrazioni contenute nel giornale di controllo" attivato da ciascun punto di accesso, registrazioni che, peraltro, andrebbero definite con maggior precisione (art. 35, comma 6).
L´individuazione di specifici, brevi termini di conservazione dei dati appare necessaria anche perché la formulazione delle norme (artt. 14, comma 2, 21, comma 11, 29, comma 7 e 35, comma 6, dello schema) non consente di definire con certezza se si faccia riferimento a dati relativi a procedimenti in corso, ovvero anche a processi esauriti, come invece chiarisce il successivo articolo 51 per quanto riguarda i fascicoli informatici.
L´articolo 51, infatti, distinguendo opportunamente le due diverse situazioni (a nessuna limitazione temporale è sottoposta, evidentemente, la conservazione dei dati contenuti nei fascicoli relativi a procedimenti in corso), prevede che i "fascicoli informatici relativi ai procedimenti esauriti" e i "documenti informatici degli UNEP" siano "soggetti a conservazione", rispettivamente, presso l´ufficio giudiziario o il predetto ufficio UNEP "per un periodo non inferiore a quanto previsto dal decreto legislativo 29 ottobre 1999, n. 490" (rectius: ora d. lg. 22 gennaio 2004, n. 42), in materia di beni culturali, archivi e documenti dello Stato.
Per quanto riguarda quest´ultima previsione, la genericità del rinvio normativo non consente di individuare a quali termini di conservazione si intenda fare riferimento, considerando anche che il citato decreto legislativo n. 42 del 2004, per quanto di interesse, prevede l´obbligo per gli organi giudiziari di versare all´Archivio centrale dello Stato e agli archivi di Stato i documenti relativi agli affari esauriti da oltre quarant´anni, ma lascia impregiudicata la possibilità o, addirittura, la necessità delle operazioni di scarto degli atti e dei documenti degli archivi correnti (art. 41 d. lg. n. 42/2004).
L´individuazione di termini più dettagliati di conservazione dei dati nei casi richiamati dovrà tenere conto delle specifiche finalità del trattamento dei dati, in particolare per quanto riguarda i dati relativi all´inoltro e alla ricezione dei messaggi, e potrà essere effettuata anche tenendo conto che ulteriori specifiche indicazioni potranno essere contenute nel decreto ministeriale di attuazione del Codice in materia di protezione dei dati personali in materia di trattamenti effettuati per ragioni di giustizia (art. 49 d. lg. n. 196/2003).
Si suggerisce una riflessione sull´effettiva necessità di rendere accessibili a tutti i soggetti abilitati non solo il registro generale degli indirizzi elettronici, ma anche il registro degli indirizzi elettronici del punto di accesso (art. 13, comma 2 e art. 16, comma 8, in relazione all´art. 7, comma 3, DPR n. 123/2001), nonché l´elenco pubblico dei punti di accesso (art. 31).
In ogni caso, si richiama l´attenzione sul principio di pertinenza e non eccedenza dei dati personali da inserire nei registri e nell´elenco, rispetto al quale non sembra conforme, ad esempio, la previsione dello "stato del difensore" (attivo, sospeso, cancellato, radiato) (art. 13, comma 3, lett. j).
Inoltre, è necessario precisare che le informazioni contenute nei registri e nell´elenco sono utilizzabili per le sole finalità di applicazione del SICI. L´osservazione potrebbe essere recepita integrando le norme citate con il seguente periodo: "I dati e le informazioni contenuti nel registro (o nell´elenco) possono essere utilizzati esclusivamente ai fini dell´applicazione della disciplina di cui al presente decreto.".
Si suggeriscono alcune ulteriori precisazioni volte a semplificare l´applicazione delle misure di sicurezza e a garantirne l´effettività ed una maggiore efficacia. In particolare:
a) all´articolo 6, comma 4, al fine di intensificare i controlli di codesto Ministero sull´applicazione delle misure di sicurezza si suggerisce di sostituire le parole "può disporre un´ispezione tecnica" con le seguenti: "dispone ispezioni tecniche, anche a campione";
b) all´articolo 26, comma 2, è opportuno chiarire che l´applicazione delle norme di sicurezza ivi indicate non esime dall´adottare anche le misure di sicurezza previste dagli articoli 31 e seguenti e dall´Allegato B del citato Codice;
c) all´articolo 34, comma 1, appare opportuno prevedere che il "responsabile per la sicurezza" sia individuato nel responsabile del trattamento dei dati personali, ove già designato (art. 29 d. lg. n. 196/2003), al fine di evitare l´insorgere di dubbi interpretativi circa la coincidenza o meno delle due figure e dei relativi compiti;
d) al medesimo articolo 34, comma 3, al fine di rendere più snello e più "economico" l´adempimento ivi previsto, si suggerisce di precisare che il "piano per la sicurezza" è adottato unitamente al documento programmatico sulla sicurezza previsto dall´articolo 34, comma 1, lett. g) del decreto legislativo n. 196 del 2003.
ALTRI ASPETTI FORMALI
Pur apprezzando la circostanza che in alcune norme è richiamato espressamente il rispetto delle previsioni del decreto legislativo n. 196 del 2003 (ad es.: art. 34 comma 3, art. 31, comma 1), tuttavia si ritiene ancora più utile inserire nello schema un´unica norma che preveda tale clausola di salvezza ad ogni effetto e non soltanto in relazione agli specifici aspetti disciplinati dalle disposizioni in cui è previsto il richiamo.
Si ritiene opportuno, infine, a maggior chiarimento di quanto presumibilmente già previsto dallo schema in esame che l´espressione "delle (le) amministrazioni statali od ad esse equiparate" (art. 2, comma 1, lett. h, ed art. 6, comma 5, lett. d)) sia sostituita dalla seguente: "dei (i) soggetti pubblici".
L´Autorità resta a disposizione per ogni eventuale chiarimento o ulteriore collaborazione.