3a Serie Speciale - Regioni n. 49 del 11-12-2021
REGIONE PIEMONTE
REGIONE PIEMONTE
DECRETO DEL PRESIDENTE DELLA GIUNTA REGIONALE 2 marzo 2021, n. 3
Regolamento regionale recante: «Trattamento dei dati personali connessi al progetto Move In». (GU 3a Serie Speciale - Regioni n.49 del 11-12-2021)

(Pubblicato nel Bollettino Ufficiale della Regione Piemonte n. 9 S4
del 4 marzo 2021)

IL PRESIDENTE DELLA GIUNTA REGIONALE

Visto l'art. 121 della Costituzione (come modificato dalla legge
costituzionale 22 novembre 1999, n. 1);
Visti gli articoli 27 e 51 dello statuto della Regione Piemonte;
Vista le leggi regionali 7 aprile 2000, n. 43 e 4 gennaio 2021, n.
2;
Vista la deliberazione della giunta regionale n. 8-2915 del 26
febbraio 2021;

Emana
il seguente regolamento:

Regolamento regionale recante: «Trattamento dei dati personali
connessi al progetto MOve IN»

Art. 1

Oggetto e ambito di applicazione

1. Il presente regolamento disciplina, in attuazione dell'art. 6,
comma 5-quinquies, della legge regionale 7 aprile 2000, n. 43
(Disposizioni per la tutela dell'ambiente in materia di inquinamento
atmosferico. Prima attuazione del Piano regionale per il risanamento
e la tutela della qualità dell'aria), come inserito dalla legge
regionale 4 gennaio 2021, n. 2 (Modifiche alla legge regionale 7
aprile 2000, n. 43 (Disposizioni per la tutela dell'ambiente in
materia di inquinamento atmosferico. Prima attuazione del Piano
regionale per il risanamento e la tutela della qualità dell'aria) le
modalità di implementazione del sistema informativo e del
trattamento dei dati personali coinvolti nell'esecuzione del servizio
MOve IN (MOnitoraggio dei Veicoli INquinanti) sulla base dei seguenti
criteri e principi direttivi:
a) trattamento dei dati secondo principi di minimizzazione e non
eccedenza;
b) individuazione di misure di sicurezza tali da garantire la
minimizzazione dei flussi dati e degli attori coinvolti negli stessi;
c) garanzia di un adeguato monitoraggio sulla gestione ed
efficacia del sistema e sulla necessità dei trattamenti dei dati;
d) adozione di adeguate garanzie per gli interessati;
e) aggiornamento della DPIA, qualora si renda necessario a
seguito di modifiche di aspetti tecnici;
f) disciplina delle modalità di accesso dei soggetti deputati al
controllo nel rispetto dei principi di minimizzazione e sicurezza;
g) raccolta e trasmissione dei dati necessari al funzionamento
del progetto nel rispetto del regolamento (UE) n. 2016/679 del
Parlamento europeo e del Consiglio (Regolamento generale sulla
protezione dei dati) del 27 aprile 2016.
2. Il servizio MOve IN prevede l'installazione a bordo dei veicoli
contemplati dalla misura di un dispositivo (c.d. «black box») in
grado di fornire a Regione Piemonte i dati di percorrenza
chilometrica reale, in modo da consentire a Regione Piemonte nuove
modalità di controllo delle emissioni inquinanti.
3. MOve IN mira a limitare le emissioni inquinanti introducendo
modalità innovative per il controllo delle emissioni degli
autoveicoli attraverso il monitoraggio delle percorrenze, tenendo
conto dell'uso effettivo del veicolo e dello stile di guida adottato.
Il progetto avvia un servizio certificato, con l'ausilio di
un'infrastruttura tecnologica atta ad offrire eque condizioni di
mobilità ai cittadini, applicando limitazioni alla circolazione dei
veicoli più inquinanti.
4. I dispositivi telematici installati sui veicoli ed il servizio
di trasmissione e raccolta dei dati prodotti sono forniti da
operatori privati (c.d. «Telematic service provider» di cui all'art.
2, comma 1, lettera a), nell'ambito della convenzione approvata con
determinazione dirigenziale n. 12/A1602B del 15 gennaio 2021, alla
quale possono aderire solo gli operatori ritenuti idonei a
conclusione della procedura istruttoria. Tale convezione prevede
misure di sicurezza a garanzia di un corretto e sicuro trattamento
dei dati personali.

Art. 2

Definizioni

1. Ai fini del presente regolamento si intende per:
a) Operatore TSP (Telematic service provider): operatori di
mercato che, direttamente o per mezzo di fornitori terzi di servizi
telematici, sono abilitati a fornire agli utenti un servizio di
misurazione e trasmissione delle percorrenze dei veicoli, tramite
l'installazione di un dispositivo (black box) rispondente ai
requisiti richiesti dal progetto MOve IN;
b) Gestore del sistema MOve IN: soggetto che garantisce la
funzionalità del sistema e il supporto di primo e secondo livello
agli utenti piemontesi;
c) CSI-Piemonte: organismo in house di Regione Piemonte deputato
al controllo di qualità e al monitoraggio dell'efficacia del
servizio erogato.
2. Per tutto quanto non previsto si fa riferimento alle definizioni
di cui al regolamento (UE) n. 2016/679.

Art. 3

Soggetti coinvolti nel trattamento dati

1. In applicazione delle disposizioni di cui al regolamento (UE) n.
2016/679 e al decreto legislativo 30 giugno 2003, n. 196 (Codice in
materia di protezione dei dati personali) nonchè in funzione di
garanzia dei soggetti interessati al trattamento sono individuati i
seguenti soggetti per la corretta applicazione della disciplina e la
tutela dei diritti degli interessati:
a) Regione Piemonte: Titolare del trattamento dei dati ai sensi
dell'art. 24 del regolamento (UE) n. 2016/679;
b) Gestore del sistema: Responsabile del trattamento ai sensi
dell'art. 28 del regolamento (UE) n. 2016/679;
c) CSI Piemonte: Responsabile del trattamento ai sensi dell'art.
28 del regolamento (UE) 2016/679;
d) Operatore TSP:
1) nel caso di black box esclusivamente dedicate a MOve IN:
1.1) Titolare del trattamento dei dati per la
contrattualizzazione degli aderenti al servizio;
1.2) Responsabile del trattamento per tutti gli altri
trattamenti previsti dal servizio MOve IN (in particolare per la
raccolta, l'elaborazione e la comunicazione dei dati relativi alle
percorrenze e alle velocità tenute dal veicolo);
2) nel caso di black box non esclusivamente dedicate a MOve IN:
titolare del trattamento dei dati per la contrattualizzazione degli
aderenti al servizio e per la raccolta, l'elaborazione e la
comunicazione dei dati relativi alle percorrenze e alle velocità
tenute dal veicolo;
e) Soggetti preposti ai controlli su strada ai sensi dell'art. 12
del decreto legislativo 30 aprile 1992, n. 285 (Nuovo codice della
strada): Titolari autonomi per la finalità di sola verifica del
rispetto dei divieti di circolazione ed eventuale sanzionamento delle
relative violazioni nelle aree interessate dalla misura durante i
controlli su strada.

Art. 4

Rapporti contrattuali con gli operatori TSP

1. La Regione individua, a seguito della definizione di adeguati
standard tecnici, gli operatori TSP dotati di avanzate tecnologie ed
in grado di prestare le più ampie garanzie di affidabilità e
sicurezza per l'erogazione del servizio.
2. I rapporti tra la regione e gli operatori TSP per la prestazione
dei servizi necessari all'esecuzione del servizio MOve IN sono
disciplinati da apposita convenzione.

Art. 5

Rapporti contrattuali con gli operatori TSP nel caso di black box
esclusivamente dedicate a MOve IN

1. Gli operatori TSP trattano i dati personali nella veste di
responsabili del trattamento di raccolta, elaborazione dei dati e
trasferimento degli stessi alla regione, tramite l'impiego di black
box dedicate al servizio e secondo le istruzioni previste nell'ambito
della sottoscrizione della convenzione e dell'atto di nomina del
responsabile ai sensi dell'art. 28 del regolamento (UE) n. 2016/679.
2. I dati personali trattati dagli operatori TSP per conto della
regione sono conservati all'interno di database separati e distinti
rispetto ad altri database utilizzati per conservare dati riferiti ad
eventuali ulteriori servizi aggiuntivi offerti dai TSP.
3. Al raggiungimento della soglia chilometrica concessa deve essere
interrotta la raccolta dei dati delle percorrenze del veicolo.
4. I dati al di fuori delle aree geografiche a circolazione
veicolare limitata considerate dalla misura MOve IN non devono essere
mai raccolti, se tecnicamente possibile, oppure devono essere
eliminati dagli operatori TSP in un momento immediatamente successivo
alla raccolta.
5. Al fine di scongiurare rischi di utilizzo improprio dei dati
raccolti nell'ambito del servizio MOve IN, gli atti di nomina del
responsabile del trattamento stipulati ai sensi dell'art. 28 del
regolamento (UE) n. 2016/679 con gli operatori TSP, contengono
specifiche clausole aventi ad oggetto limitazioni nell'uso dei dati
per finalità diverse da quelle del servizio, compreso il divieto di
cessione a titolo oneroso o gratuito dei dati a terzi.

Art. 6

Rapporti contrattuali con gli operatori TSP nel caso di black box non
esclusivamente dedicate a MOve IN

1. Gli operatori TSP, qualora raccolgano i dati personali tramite
l'impiego di black box installate per l'erogazione di ulteriori
servizi da loro offerti e non esclusivamente dedicate al servizio
MOve IN, assumono la veste di titolari autonomi del trattamento per
le operazioni di raccolta, elaborazione e trasferimento dei dati
relativi alle percorrenze e alle velocità tenute dal veicolo a
Regione Piemonte nell'ambito del servizio MOve IN.
2. La base giuridica legittimante per l'esecuzione di tali
operazioni sui dati personali è costituita dall'art. 6, comma
5-quinquies, della legge regionale n. 43/2000.
3. Eventuali trattamenti eseguiti per finalità ulteriori, in
relazione ai quali gli operatori TSP assumono la veste di titolari
autonomi del trattamento, sono disciplinati con modulistica separata
e distinta da quella utilizzata nell'ambito del servizio MOve IN e
recante i contrassegni distintivi di ciascun operatore TSP, in modo
da fare emergere con chiarezza la separazione tra le attività di
interesse pubblico perseguite con il servizio e gli eventuali servizi
commerciali concordati con l'utente.
4. Nelle ipotesi disciplinate dal presente articolo, gli operatori
TSP si impegnano ad assicurare un elevato livello di protezione dei
dati personali degli interessati, garantendo l'implementazione di
misure di sicurezza, almeno pari a quelle individuate all'art. 13,
idonee a minimizzare il rischio di varia probabilità e gravità per
i diritti e le libertà delle persone fisiche, avuto riguardo alla
natura, all'oggetto, al contesto pubblicistico e alla finalità del
trattamento, pur tenendo conto dello stato dell'arte e dei costi di
attuazione.

Art. 7

Finalità specifiche e tipologia di dati trattati

1. I trattamenti dei dati personali eseguiti all'interno del
servizio MOve IN sono effettuati in esecuzione dell'art. 6, comma
5-quinquies, della legge regionale n. 43/2000 e di un interesse
pubblico affidato dalla legge a Regione Piemonte, in qualità di
titolare del trattamento, in conformità all'art. 6, comma 1, lettere
c) ed e), del regolamento (UE) n. 2016/679, rappresentato
dall'introduzione di un moderno sistema di limitazione delle
emissioni inquinanti, basato su dati di percorrenza reale dei veicoli
all'interno di specifiche aree delimitate nel territorio piemontese
per tutelare la qualità dell' aria.
2. I trattamenti necessari per rispondere alle finalità che si
intendono perseguire unitamente all'identificazione delle
corrispondenti tipologie di dati trattati, sono riportati
all'allegato 1 nonchè, secondo le previsioni di cui all'art. 30 del
regolamento (UE) n. 2016/679, nel registro trattamenti.
3. I dati sono trattati in modalità sia cartacea, sia
automatizzata.

Art. 8

Analisi degli accessi

1. Tutti i soggetti che, agendo sotto l'autorità della Regione
Piemonte, in qualità di titolare del trattamento, o di responsabile
di quest'ultima, hanno accesso ai dati personali, sono adeguatamente
istruiti in ordine alle finalità del trattamento e alle corrette
modalità attraverso le quali porre in essere le operazioni di
trattamento dei dati, che sono effettuate con l'ausilio di strumenti
che consentono un accesso sicuro ai dati, nell'osservanza delle
misure di sicurezza di cui all'allegato 2.

Art. 9

Trattamento connesso all'analisi degli stili di guida per
l'attribuzione dei bonus di eco guida

1. Il servizio MOve IN prevede il trattamento connesso all'analisi
degli stili di guida degli aderenti.
2. Tale analisi è condotta tramite la raccolta, attraverso
dispositivi elettronici installati sui veicoli (black box), capaci di
registrare e trasmettere gli eventi accelerometrici che
caratterizzano nel complesso la guida dell'interessato, nonchè la
velocità tenuta dallo stesso durante la marcia. Il trattamento è
giustificato dall'obiettivo, di rilevanza pubblicistica, di stimolare
negli automobilisti stili di guida virtuosi capaci di limitare
l'impatto in termini di emissioni nocive nell'ambiente e quindi di
risultare eco compatibili.
3. In caso di utilizzo di black box dedicate al servizio, nella
rilevazione del parametro relativo alla velocità, gli operatori TSP,
in qualità di responsabili del trattamento ai sensi dell'art. 28 del
regolamento (UE) n. 2016/679, devono calcolare esclusivamente se il
veicolo viaggia entro la fascia di velocità chilometrica considerata
dalla misura. I dati relativi alla velocità puntuale del veicolo di
proprietà degli aderenti al servizio non devono essere mai raccolti,
se tecnicamente possibile, oppure devono essere eliminati dagli
operatori TSP in un momento immediatamente successivo alla raccolta.
4. Con determinazione dirigenziale, allo scopo di promuovere
l'adozione di uno stile di guida eco compatibile, è introdotto un
sistema di incentivi basato sull'attribuzione agli automobilisti di
un bonus chilometrico aggiuntivo rispetto ai chilometri percorribili
annualmente.
5. La Regione Piemonte, in qualità di titolare del trattamento,
comunica in maniera facilmente comprensibile e completa, all'interno
delle informazioni da fornire all'interessato al momento della
raccolta dei dati di cui all'art. 13 del regolamento (UE) n.
2016/679, la logica e i criteri sui quali si basa il meccanismo di
attribuzione automatica del bonus connesso ad uno stile di guida eco
compatibile di cui al comma 4.
6. La regione rende edotto l'interessato delle conseguenze del
trattamento, fornendo, ove necessario, esempi reali e concreti dei
possibili effetti al fine di chiarirne il contenuto.
7. Nell'esecuzione del trattamento di cui al presente articolo sono
applicate garanzie adeguate a tutela dei diritti, delle libertà e
dei legittimi interessi degli interessati.
8. Le garanzie di cui al comma 7 comprendono il diritto
dell'interessato di ottenere una spiegazione della decisione ed il
diritto di contestarla, nonchè la predisposizione di una modalità
semplificata per l'esercizio di tali diritti.
9. La Regione Piemonte, attraverso il gestore del sistema, cura,
altresì, modalità idonee a prevenire errori ed inesattezze che
potrebbero condurre ad un'errata attribuzione o al mancato
riconoscimento dei bonus di guida.

Art. 10

Comunicazione e diffusione dei dati

1. I dati personali sono comunicati ai responsabili del
trattamento, nonchè ai soggetti preposti ai controlli su strada, ai
sensi dell'art. 12 del decreto legislativo n. 285/1992, che agiscono
in qualità di titolari autonomi del trattamento e che sono abilitati
all'accesso. I dati oggetto di comunicazione costituiscono, per ogni
trattamento, il set minimo e strettamente necessario alla finalità
del trattamento.
2. Per il perseguimento della finalità di monitoraggio
dell'andamento complessivo del sistema MOve IN, in ottica di
affinamento del servizio e di valutazione della sua efficienza ed
opportunità, i dati personali sono appositamente anonimizzati.
3. I dati personali non sono diffusi in alcun modo.
4. I dati sono messi a disposizione dei soggetti responsabili
attraverso un canale di comunicazione sicuro, all'interno di un
dominio di sicurezza chiuso, specificatamente preposto a tale
operazione. Il flusso di dati viene monitorato, anche in modo
automatico, al fine di individuare e segnalare la presenza di
eventuali anomalie intercorse durante le operazioni di trasmissione
dei dati. I dati sono messi a disposizione tramite una piattaforma
che applica tecniche di cifratura e disgiunzione dei dati.

Art. 11

Trasferimento di dati personali verso paesi terzi

1. I responsabili esterni nominati ai sensi dell'art. 28 del
regolamento (UE) n. 2016/679, nonchè i titolari autonomi del
trattamento, per quanto di competenza, utilizzano server ed
infrastrutture tecnologiche site all'interno del territorio
dell'Unione europea.
2. Configura trasferimento dati anche il mero accesso da remoto da
un paese terzo ai dati contenuti in server ubicati nell'Unione
europea. Conseguentemente, fatta salva l'adozione di misure che
impediscano l'accesso alle informazioni personali conservate nei
predetti server e l'adozione di una specifica decisione di
adeguatezza della Commissione europea, sono adottate le misure
previste dall'art. 46 del regolamento (UE) n. 2016/679 e, ove
necessario, le eventuali misure supplementari (cfr. «"Recommendations
01/2020 on measures that supplement transfer tools to ensure
compliance with the EU level of protection of personal data" del
Comitato europeo per la protezione dei dati, attualmente in
consultazione»).

Art. 12

Conservazione dei dati

1. In ossequio al principio generale di minimizzazione del
trattamento e nel rispetto dei criteri specificamente individuati,
dall'art. 5, comma 1, lettera e), del regolamento (UE) n. 2016/679,
il tempo massimo di conservazione dei dati è individuato in un anno.
2. Esaurito il tempo di conservazione dei dati, gli stessi sono
sottoposti a processi informatici o analogici tali da renderli
definitivamente inaccessibili e inintelligibili.

Art. 13

Misure di sicurezza

1. Ai sensi dell'art. 32 del regolamento (UE) n. 2016/679, la
Regione Piemonte, in qualità di titolare del trattamento, tenendo
conto della tipologia dei dati trattati, dello stato dell'arte e dei
costi di attuazione, nonchè della natura, dell'oggetto, del contesto
e delle fmalità del trattamento, contemplando, altresì, i rischi di
varia probabilità e gravità per i diritti e le libertà delle
persone, individua le misure di sicurezza ritenute idonee a
minimizzare i rischi e garantire la sicurezza del trattamento.
2. Le misure tecniche ed organizzative per il trattamento dei dati
personali sono previste all'allegato 2.
3. Le misure di cui al comma 2 sono dettagliate negli atti di
nomina riferiti ai singoli responsabili del trattamento.
4. Sono tenuti all'osservanza delle misure di cui al comma 2 la
Regione Piemonte, i responsabili da essa individuati e i soggetti a
vario titolo tenuti agli obblighi del regolamento (UE) n. 2016/679.
5. Ogni successiva ed ulteriore modifica alle misure, determinata
da modificazioni tecnologiche o per qualsiasi altra causa, è attuata
con determinazione dirigenziale.

Art. 14

Violazione dei dati

1. I titolari del trattamento predispongono apposite soluzioni e
procedure allo scopo di ridurre i rischi, e limitare le conseguenze,
connessi ad eventuali ipotesi di violazioni dei dati. Tali procedure
prevedono tempestive risposte nelle ipotesi di riscontrate violazioni
e includono la gestione dei processi di notificazione all'autorità
garante e di comunicazione all'interessato. In particolare, sono
oggetto di notificazione al garante per la protezione dei dati
personali, senza ingiustificato ritardo e, ove possibile, entro 72
ore dalla conoscenza del fatto, tutte le violazioni dei dati, con la
sola eccezione di quelle che non presentano un rischio per i diritti
e le libertà delle persone fisiche.
2. La notificazione è eseguita in conformità all'art. 33 del
regolamento (UE) n. 2016/679 e alla deliberazione della giunta
regionale 28 settembre 2018, n. 1-7574 (Adempimenti in attuazione al
regolamento (UE) n. 2016/679. Designazione degli incaricati e
istruzioni operative. Disposizioni procedurali in materia di
incidenti di sicurezza e di violazione di dati personali (Data
breach), adozione del relativo registro e modello di informativa).
Qualora non sia effettuata entro 72 ore, è previsto che sia
corredata degli specifici motivi che hanno causato il ritardo.
Qualora la violazione dei dati personali sia suscettibile di
presentare un rischio elevato per i diritti e le libertà delle
persone fisiche, i titolari del trattamento provvedono a comunicare
la violazione, senza ingiustificato ritardo, e con un linguaggio
semplice e chiaro, anche all'interessato, adoperandosi in
conformità, ed entro i limiti previsti, all'art. 34 del regolamento
(UE) n. 2016/679.
3. I responsabili del trattamento nominati sono tenuti ad
assicurare il pieno rispetto delle norme a protezione dei dati
personali, definendo tempistiche stringenti (all'interno del termine
di 72 ore di cui all'art. 33 del regolamento UE n. 2016/679) entro le
quali comunicare al titolare eventuali incidenti di sicurezza che
possano comportare una perdita di integrità, confidenzialità e
disponibilità dei dati trattati.

Art. 15

Riesame valutazione d'impatto sulla protezione dei dati

1. Nel caso in cui insorgano variazioni del rischio rappresentato
dalle attività relative al trattamento, il titolare del trattamento,
qualora necessario, procede a un riesame per valutare se il
trattamento dei dati personali sia effettuato conformemente alla
valutazione d'impatto sulla protezione dei dati, sulla base delle
previsioni di cui all'art. 35 , comma 11, del regolamento (UE)
n. 2016/679.

Art. 16

Dichiarazione d'urgenza

1. Il presente regolamento è dichiarato urgente ai sensi dell'art.
27 dello statuto ed entra in vigore il giorno della sua pubblicazione
sul Bollettino Ufficiale della Regione.
Il presente regolamento sarà pubblicato nel Bollettino Ufficiale
della Regione. È fatto obbligo a chiunque spetti di osservarlo e
farlo osservare.
Torino, addì 2 marzo 2021.

CIRIO

Allegato 1
(Art. 7, comma 2)

ATTIVITÀ DI TRATTAMENTO DATI


Parte di provvedimento in formato grafico

Allegato 2
(Artt. 8 e 13)

MISURE DI SICUREZZA


Parte di provvedimento in formato grafico