Dal sito del Garante della Privacy si riporta la news su:"
Registro dei provvedimenti
n. 31 del 22 gennaio 2015
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott. ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;
VISTA la richiesta di parere della Presidenza del Consiglio dei ministri;
VISTO l'art. 154, comma 4 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);
VISTA la documentazione in atti;
VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
RELATORE la prof.ssa Licia Califano;
PREMESSO
1. Il Dipartimento per gli affari giuridici e legislativi della Presidenza del Consiglio dei ministri ha richiesto il parere del Garante in ordine a uno schema di decreto del Presidente della Repubblica recante adeguamento del regolamento anagrafico della popolazione residente approvato con d. P. R. 30 maggio 1989, n. 223, alla disciplina istitutiva dell'anagrafe nazionale della popolazione residente.
Il predetto schema intende attuare l'articolo 2, comma 5, del decreto legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, il quale prevede che con regolamento adottato su proposta del Ministro dell'interno, di concerto con il Ministro per la pubblica amministrazione e la semplificazione, siano apportate al decreto n. 223 del 1989 (di seguito "regolamento anagrafico"), le modifiche necessarie per adeguarne la disciplina alle disposizioni sull'anagrafe nazionale della popolazione residente (infra ANPR) introdotte con il comma 1 del medesimo articolo 2 (nuovo articolo 62 del decreto legislativo 7 marzo 2005, n. 82, recante il Codice dell'amministrazione digitale, infra CAD).
Successivamente, l'articolo 13, comma 2-bis, del decreto legge 21 giugno 2013, n. 69, convertito, con modificazioni, dalla legge 9 agosto 2013, n. 98, ha previsto che qualora non ancora approvato nei termini di legge il suddetto regolamento sia adottato su proposta del Presidente del Consiglio dei ministri.
2. Com'è noto, il predetto articolo 62 del CAD ha istituito l'ANPR quale "base di dati di interesse nazionale", destinata a subentrare all'Indice Nazionale delle Anagrafi (INA) e all'Anagrafe della popolazione italiana residente all'estero (AIRE); essa dovrebbe costituire il riferimento  informativo per tutte le pubbliche amministrazioni e gli erogatori di pubblici servizi, ai quali assicura l'accesso. Tale base di dati è sottoposta ad un audit annuale di sicurezza in conformità alle regole tecniche dell'articolo 51 del CAD, i cui risultati sono inseriti nella relazione annuale del Garante (art. 62, comma 1).
Ferme restando le attribuzioni del sindaco quale ufficiale del Governo, l'ANPR subentra altresì alle anagrafi della popolazione residente e dei cittadini italiani residenti all'estero tenute dai comuni, secondo un piano graduale. A tal fine, l'ANPR assicura al singolo comune la disponibilità dei dati anagrafici della popolazione residente per lo svolgimento delle funzioni di competenza statale attribuite al sindaco, e in particolare per consentire esclusivamente ai comuni la "certificazione" dei dati anagrafici ai sensi dell'articolo  33 del d.P.R. n. 223 del 1989 (oggetto, peraltro, di modifica da parte dello schema di regolamento in esame). Con modifica apportata all'articolo 62 del CAD dal decreto-legge 24 giugno 2014, n. 90, convertito dalla legge n. 114 del 2014 (art. 24, comma 4-ter) si è poi previsto che le funzioni di competenza dei comuni - ad eccezione di quelle anagrafiche- possano essere svolte utilizzando i dati anagrafici conservati dai comuni nelle proprie banche dati e allineati costantemente all'ANPR (art. 62, comma 3, secondo periodo, del CAD).
Infine, i comuni possono consentire, anche con convenzioni, la fruizione dei dati anagrafici, da parte di soggetti aventi diritto (art. 62, comma 3, quarto periodo).
A definire tempi e modalità del processo di attuazione dell'ANPR e del subentro di essa alle anagrafi comunali sono previsti più decreti del Presidente del Consiglio, previo parere del Garante, anche con riferimento "alle garanzie e alle misure di sicurezza da adottare nel trattamento dei dati personali", alle modalità e ai tempi di conservazione dei dati e all'accesso agli stessi da parte delle pubbliche amministrazioni per le proprie finalità istituzionali, ai criteri per l'interoperabilità dell'ANPR con le altre banche dati di rilevanza nazionale e regionale e all'erogazione di altri servizi resi disponibili dall'ANPR (art. 62, comma 6).
Al riguardo, il Garante ha espresso, in data 24 aprile 2013, il parere di competenza su uno schema di d.P.C.M. recante disposizioni "di prima attuazione" di quanto sancito dal predetto articolo 62 del CAD. Tale schema precisava che con successivi decreti (da adottarsi ai sensi del medesimo articolo 62, comma 6), si sarebbero disciplinate le ulteriori modalità di attuazione delle disposizioni normative in questione, anche con riferimento al subentro dell'ANPR alle anagrafi comunali, alle relative misure di sicurezza e alle specifiche tecniche concernenti l'organizzazione e il flusso dei dati. Il Garante, perciò, nell'esprimere il parere sullo schema (poi approvato con il d.P.C.M. 23 agosto 2013, n. 109), si era riservato di valutare i sistemi e le misure di sicurezza relativi alle successive fasi del progetto di attuazione dell'ANPR in occasione dei pareri da rendere in prosieguo sui pertinenti decreti.
L'Autorità ha, così, espresso tali valutazioni in occasione del parere reso in data 17 aprile 2014 sullo schema di regolamento recante modalità di attuazione e di funzionamento dell'ANPR e definizione del piano per il graduale subentro dell'ANPR alle anagrafi della popolazione residente, poi approvato con il d.P.C.M. 10 novembre 2014, n. 194 (in  G.U. n. 5 dell'8 gennaio 2015).
RILEVATO
3. Lo schema in esame è composto da 2 articoli, il primo recante numerose modifiche e integrazioni al regolamento anagrafico, il secondo concernente le disposizioni transitorie e finali.
Di seguito si riporta una breve sintesi delle modifiche e integrazioni al regolamento di più specifico interesse per la protezione dei dati personali, tutte introdotte dall'articolo 1, comma 1, dello schema.
Innanzitutto, assume rilevanza emblematica il nuovo articolo 01 del regolamento il quale stabilisce - con norma di carattere generale - che gli adempimenti anagrafici sono effettuati nell'ANPR e non più nelle singole anagrafi comunali; con ciò si intende, appunto, evidenziare il passaggio da un sistema basato su singole anagrafi comunali ad un sistema con un'unica anagrafe nazionale formata dall'insieme delle anagrafi locali (art. 1, comma 1, lett. b)).
In base al nuovo articolo 7 ("Iscrizioni anagrafiche"), l'iscrizione nell'ANPR é effettuata per nascita presso il comune di residenza dei genitori, per esistenza giudizialmente dichiarata e per trasferimento di residenza dall'estero dichiarato dall'interessato non iscritto oppure accertato a norma di legge (lett. c)); la predetta disposizione sottolinea il passaggio dal concetto di comune di iscrizione anagrafica, non più attuale, a quello di comune di residenza.
Sono modificati i commi 2 e 5 dell'articolo 12 del regolamento (lett. g)), prevedendo che le comunicazioni relative alle nascite e alle morti siano effettuate dall'ufficio di stato civile in conformità con l'articolo 2, comma 3, del già citato decreto legge n. 179 del 2012, il quale prevede la trasmissione telematica dei certificati di nascita e di morte dalla struttura sanitaria e dal medico necroscopo ai comuni tramite i servizi resi dall'ANPR.
Viene poi interamente sostituito l'articolo 20 ("Schede individuali") (lett. o)), aggiungendo tra i dati contenuti nella scheda, fra l'altro, il domicilio digitale in coerenza con quanto previsto dall'articolo 4 del predetto decreto legge n. 179 del 2012 che inserisce l'articolo 3-bis ("Domicilio digitale del cittadino") all'interno del CAD.
E' poi sostituito l'articolo 23 ("Tenuta delle schede anagrafiche in formato elettronico") (lett. r)), secondo cui le schede individuali, di famiglia e di convivenza "devono essere conservate e costantemente aggiornate, in formato elettronico" ai sensi della disciplina prevista dall'articolo 62, comma 6, del CAD.
Con il novellato articolo 27 ("Italiani residenti all'estero") (lett. s)), si introduce una previsione di raccordo tra la disciplina primaria (legge n. 470 del 1988) e regolamentare (d.p.r. n. 323 del 1989) in materia di anagrafe italiani residenti all'estero, non espressamente abrogata, e quella istitutiva dell'ANPR (art. 62 CAD).
Di particolare importanza risultano, infine, le nuove formulazioni degli articoli del regolamento concernenti i certificati anagrafici (artt. 33-35).
Nell'articolo 33 ("Certificati anagrafici") si introduce l'obbligo di identificazione del soggetto richiedente i certificati (comma 1) e si contempla il rilascio dei certificati da parte degli ufficiali di anagrafe di comuni diversi da quello di residenza della persona cui i certificati si riferiscono; in tal modo si introduce una rilevante misura di semplificazione in favore del cittadino, resa possibile dal nuovo sistema unitario di gestione dei dati anagrafici (lett. t)).
Nell'articolo 34 ("Rilascio di elenchi degli iscritti nell'anagrafe nazionale della popolazione residente e di dati anagrafici per fini statistici e di ricerca") (lett. u)), si conferma che l'ufficiale di anagrafe rilascia alle pubbliche amministrazioni richiedenti per esclusivo uso di pubblica utilità gli elenchi degli iscritti all'anagrafe (ora anagrafe nazionale della popolazione residente) limitatamente agli "iscritti, residenti nel comune". Del pari, è confermato il rilascio di dati anagrafici, resi anonimi ed aggregati, per fini statistici e di ricerca.
Nel novellato articolo 35 ("Contenuto dei certificati anagrafici") (lett. v)), spicca, fra le novità, l'inserimento del domicilio digitale fra le notizie sottratte alla certificazione (comma 2) e, soprattutto, la disciplina dell'accesso ai dati (comma 5), per la quale si rinvia alle osservazioni svolte in prosieguo.
RITENUTO
4. Il contenuto dello schema in esame risponde alle indicazioni rese, in via collaborativa, dall'Autorità all'esito di riunioni e contatti informali avuti con l'amministrazione interessata, volte a completare il testo e a renderlo pienamente conforme alla disciplina in materia di protezione dei dati personali.
Resta solo l'esigenza di apportare al testo alcuni mirati perfezionamenti, nei termini di seguito descritti.
5. Come già accennato, l'articolo 34 - in continuità con il testo previgente - prevede che "alle amministrazioni pubbliche che ne facciano motivata richiesta, l'ufficiale di anagrafe rilascia, anche periodicamente, elenchi degli iscritti residenti nel comune".
La possibilità di "rilascio" di elenchi da parte dell'ufficiale di anagrafe è confermata anche dal recente d.P.C.M. di attuazione dell'ANPR, nel quadro più generale delle modalità di fruizione dei dati registrati nella predetta anagrafe nazionale (art. 5, commi 1 e 4, e all. C) e D) del d.P.C.M. n. 194 del 2014).
Al riguardo si evidenzia un mancato coordinamento del disposto dell'articolo 34 con la disciplina in materia di ANPR e in particolare con le disposizioni per la fruizione dei dati anagrafici in essa contenuti da parte delle pp. aa.. Tale incongruenza - oltre che non coerente con l'innovazione di sistema derivante dal nuovo assetto strutturale dell'anagrafe nazionale - se non sanata, sarebbe fonte di criticità sotto il profilo della protezione dei dati personali. Al momento, infatti, nel regolamento risulta contemplata una modalità di acquisizione di elenchi anagrafici presso i comuni diversa da quella prevista in generale per l'accesso ai medesimi dati presso l'ANPR e non assistita dalle stesse garanzie.
Occorre infatti considerare che sia la normativa primaria, che quella secondaria sul funzionamento dell'ANPR e sulla fruizione dei dati in essa registrati, appena citata, prevedono particolari garanzie in punto di sicurezza dei dati e dei sistemi e indicano le soluzioni tecnologiche relative alle modalità di scambio dei dati tra l'ANPR e le amministrazioni interessate anche mediante l'espresso richiamo dell'articolo 58 del CAD (art. 62, commi 3 e 6, del CAD; d.P.C.M. n. 194 del 2014, e in particolare l'all. C) al decreto, ove si fa riferimento, ad esempio, all''integrità e alla riservatezza dei dati scambiati, alla sicurezza dell'accesso ai servizi, al tracciamento delle operazioni effettuate).
Come è noto, in attuazione dell'articolo 58, comma 2 del CAD (nella versione previgente alla più recente modifica), l'Agenzia per l'Italia digitale (infra Agid) ha adottato le "Linee guida per la stesura di convenzioni per la fruibilità di dati delle pubbliche amministrazioni - versione 2.0", che contengono le misure necessarie che questa Autorità ha ritenuto di prescrivere ai destinatari delle stesse ("erogatore" e "fruitore" dei dati) al fine di ridurre al minimo i rischi di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta dei dati.
A seguito delle modifiche apportate all'articolo 58 dall'articolo 24-quinquies, comma 1, del già citato decreto legge n. 90 del 2014, è stato eliminato il ricorso alle predette convenzioni e si è previsto che le "pubbliche amministrazioni comunicano tra loro attraverso la messa a disposizione a titolo gratuito degli accessi alle proprie basi di dati alle altre amministrazioni mediante la cooperazione applicativa di cui all'art. 72" del medesimo CAD.  In attuazione del novellato disposto normativo, l'Agid dovrà definire "gli standard di comunicazione e le regole tecniche a cui le pubbliche amministrazioni devono conformarsi", consultando nuovamente, a tal fine, questa Autorità. Tali "standard" e "regole tecniche" dovranno, comunque, essere definiti in conformità alla disciplina sulla protezione dei dati, analogamente a quanto già prescritto in occasione dell'adozione delle predette Linee guida.
Tanto premesso, si ritiene necessario integrare il regolamento anagrafico sul punto, prevedendo uno specifico ed espresso coordinamento del disposto dell'articolo 34 con il quadro normativo sopra accennato, in modo da garantire che le modalità di rilascio degli "elenchi degli iscritti residenti nel comune" siano conformi alle misure di sicurezza previste dalla normativa sull'ANPR (cfr. in particolare art. 5, commi 1 e 4 e all. C) e D) del d.P.C.M. n. 194 del 2014)  e agli standard di comunicazione e alle regole tecniche che saranno individuati, più in generale, dall'AGID in applicazione dell'articolo 58 del CAD.
Tale indicazione potrebbe essere recepita aggiungendo alla fine del primo comma dell'articolo 34 del regolamento il seguente periodo o altro di analogo tenore: "in conformità alle misure di sicurezza, agli standard di comunicazione e alle regole tecniche previsti dal decreto del Presidente del Consiglio dei ministri 10 novembre 2014, n. 194, e dall'articolo 58 del decreto legislativo 7 marzo 2005, n. 82.".
6. Come già evidenziato sopra, il novellato articolo 35 ("Contenuto dei certificati anagrafici"), al comma 5, disciplina l'accesso ai dati e gli altri diritti dell'interessato rispetto alle informazioni registrate nell'ANPR, da parte degli iscritti, presso gli uffici anagrafici.
Al riguardo si ritiene necessario perfezionare la disposizione, prevedendo il mero rinvio alle pertinenti disposizioni del Codice (d. lgs. n. 196 del 2013) -ove trovano disciplina anche gli aspetti della legittimazione all'esercizio dei diritti e del rimborso dei costi (artt 9, commi 3 e 5, e 10, commi 7, 8 e 9, del Codice)- in linea, peraltro, con quanto previsto nell'omologa previsione contenuta nel d.P.C.M. n. 194 del 2014 (art. 6). In tal senso, si suggerisce di sostituire l'articolo con il seguente: "Presso gli uffici anagrafici, gli iscritti esercitano i diritti di cui alla parte I, titolo II, del decreto legislativo 30 giugno 2003, n. 196, sui dati contenuti nell'anagrafe nazionale della popolazione residente nei limiti e nel rispetto delle modalità previsti dal medesimo decreto legislativo.".
IL GARANTE
esprime parere favorevole sullo schema di decreto del Presidente della Repubblica recante adeguamento del regolamento anagrafico della popolazione residente approvato con d.P.R. 30 maggio 1989, n. 223, alla disciplina istitutiva dell'anagrafe nazionale della popolazione residente, con le seguenti condizioni:
a) all'articolo 1, comma 1, lett. u), dello schema, si integri l'articolo 34 del regolamento anagrafico con il seguente periodo o altro di analogo tenore: "in conformità alle misure di sicurezza, agli standard di comunicazione e alle regole tecniche previsti dal decreto del Presidente del Consiglio dei ministri 10 novembre 2014, n. 194, e dall'articolo 58 del decreto legislativo 7 marzo 2005, n. 82." (punto 5);
b) all'articolo 1, comma 1, lett. v), dello schema, il comma 5 dell'articolo 35 del regolamento sia sostituito dal seguente: "Presso gli uffici anagrafici, gli iscritti esercitano i diritti di cui alla parte I, titolo II del decreto legislativo 30 giugno 2003, n. 196, sui dati contenuti nell'anagrafe nazionale della popolazione residente nei limiti e nel rispetto delle modalità previsti dal medesimo decreto legislativo." (punto 6)."