[doc. web n. 9162562]

Parere su uno schema di decreto del Presidente del Consiglio dei ministri concernente disposizioni in materia di misure di protezione dei minori stranieri non accompagnati - 19 settembre 2019

Registro dei provvedimenti
n. 172 del 19 settembre 2019

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero del lavoro e delle politiche sociali;

Visto l’articolo 36, par. 4, del Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito Regolamento);

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito Codice);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

PREMESSO

1. Il Ministero del lavoro e delle politiche sociali ha richiesto il parere dell’Autorità su uno schema di decreto del Presidente del Consiglio dei ministri concernente disposizioni in materia di misure di protezione dei minori stranieri non accompagnati a norma dell’articolo 33, comma 2, del decreto legislativo 25 luglio 1998, n. 286, recante il testo unico delle disposizioni concernenti la disciplina dell’immigrazione e norme sulla condizione dello straniero, e dell’articolo 22, comma 1, della legge 7 aprile 2017, n. 47. 

L’articolo 33, comma 2, del decreto legislativo  n. 286 del 1998 stabilisce che con decreto del Presidente del Consiglio dei Ministri, sentiti i Ministri degli affari esteri, dell’interno e della giustizia, sono definiti i compiti dell’amministrazione competente in materia di tutela dei diritti dei minori stranieri, in conformità alle previsioni della Convenzione sui diritti del fanciullo del 20 novembre 1989, le regole e modalità per l’ingresso ed il soggiorno nel territorio dello Stato dei minori stranieri in età superiore a sei anni nonché per l’affidamento temporaneo e per il rimpatrio dei medesimi, le modalità di accoglienza dei minori stranieri non accompagnati, del rimpatrio assistito e del ricongiungimento del minore con la famiglia.

RILEVATO

2. Lo schema di regolamento in esame si compone di 17 articoli e delinea la disciplina in materia di misure di protezione dei minori stranieri non accompagnati. In particolare, il regolamento distingue tra “minori stranieri non accompagnati” (artt. 2-12) e “minori stranieri accolti temporaneamente nel territorio dello Stato” (artt. 13-15). I primi sono i minori non aventi cittadinanza italiana o di altri Stati dell’Unione europea, privi di assistenza e rappresentanza da parte di genitori o adulti (art. 1, comma 2). I secondi sono “minori accolti” ossia minori non aventi cittadinanza italiana o di altri Stati dell’Unione europea, di età superiore ai sei anni, entrati in Italia nell’ambito di programmi solidaristici di accoglienza temporanea promossi da enti, associazioni o famiglie (art. 1, comma 3).

L’articolo 2 del regolamento attribuisce al Ministero del lavoro e delle politiche sociali le competenze in materia di censimento e monitoraggio della presenza dei minori stranieri non accompagnati tramite il “Sistema informativo nazionale dei minori stranieri non accompagnati” (SIM) (istituito dall’articolo 9 della citata legge n. 47 del 2017), cooperazione e raccordo con le altre amministrazioni competenti, individuazione dei familiari dei minori stranieri non accompagnati, integrazione nella società dei minori non accompagnati.

Il regolamento prevede inoltre l’obbligo di segnalare la presenza di minori non accompagnati (art. 3), le modalità per la promozione di indagini volte all’individuazione dei familiari del minore (art. 4-5), la promozione di adeguate misure di integrazione e accompagnamento verso la maggiore età (art. 6) e la conferma delle competenze del Ministero in materia di minori stranieri accolti (artt. 13, 14, 15).
Di particolare interesse è il Capo III del regolamento dedicato al trattamento dei dati personali nell’ambito del SIM, di cui è titolare il Ministero–Direzione generale dell’immigrazione e delle politiche di integrazione (artt. da 7 a 12).

L’articolo 7 individua nel censimento e nel monitoraggio della presenza di minori stranieri non accompagnati le finalità del trattamento dei dati personali degli stessi, contenuti all’interno del SIM. I dati possono essere trattati dai soggetti legittimati indicati dall’articolo 11, ossia l’autorità giudiziaria, l’autorità di pubblica sicurezza, le Regioni e le Province autonome, gli Enti locali, le Prefetture, il Dipartimento per le libertà civili e l’immigrazione del Ministero dell’Interno o altri organismi e uffici pubblici quando ciò sia necessario per il miglior perseguimento dell’interesse del minore. Il comma 3 dell’articolo 7 permette inoltre la diffusione dei dati personali esclusivamente in forma anonima e aggregata e per finalità statistiche, di studio, di informazione e ricerca.

L’articolo 8 delinea la struttura generale del SIM articolato nei due archivi principali “minori” ed “enti e strutture”.

L’articolo 9, in tema di conservazione dei dati personali, consente il trattamento degli stessi fino al compimento del diciottesimo anno di età del minore, salva la prosecuzione della tutela amministrativa.

Inoltre, dopo il compimento della maggiore età i dati sono conservati per adempimenti di natura amministrativa o contabile o per lo svolgimento di politiche di integrazione per un periodo comunque non inferiore a tre anni. Scaduto quest’ultimo periodo i dati vengono cancellati o anonimizzati.

Infine l’articolo 12 stabilisce che gli aspetti tecnico-organizzativi e le misure di sicurezza inerenti al funzionamento del SIM saranno disciplinati da un decreto direttoriale della Direzione generale dell’immigrazione e delle politiche di integrazione, previo parere del Garante per la protezione dei dati personali.

RITENUTO

3. Il trattamento di dati personali effettuato in applicazione del regolamento appare in linea generale lecito alla stregua di quanto previsto dal Regolamento, essendo necessario per l’esecuzione di un compito di interesse pubblico o comunque connesso all’esercizio di pubblici poteri (art. 6, par. 1, lett e), Reg.).

Occorre tuttavia considerare che la medesima normativa europea stabilisce che in tali casi la base giuridica su cui si fonda il trattamento deve essere stabilita dal diritto dell’Unione europea o dal diritto interno e deve presentare alcuni particolari requisiti, come la definizione delle finalità, la tipologia dei dati oggetto del trattamento, gli interessati, i soggetti cui possono essere comunicati i dati, i periodi di conservazione e le operazioni e procedure di trattamento atte a garantirne la liceità e correttezza (art. 6, par. 3, lett b), Reg.; art. 2-ter Codice).

Inoltre, nel caso in cui i trattamenti riguardino categorie particolari di dati personali (a titolo esemplificativo, l’articolo 3 prevede che “le notizie e le informazioni” comunicate dai soggetti “che svolgono in particolare attività sanitaria o di assistenza”, “sono inserite all’interno del SIM”), i trattamenti sono ammessi “qualora siano previsti dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o, nei casi previsti dalla legge, di regolamento che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9 Reg.; art. 2-sexies Codice).

Ciò premesso, al fine di rendere lo schema di regolamento pienamente conforme ai principi e alle regole in materia di protezione dei dati, nonché per assicurare adeguata tutela ai soggetti interessati, si formulano le seguenti osservazioni.

3.1. Le finalità del trattamento sono indicate nell’articolo 7 del regolamento che le individua nel “censimento e monitoraggio della presenza dei minori stranieri non accompagnati sul territorio nazionale”. L’articolo esplicita il rispetto non solo del principio di “superiore interesse del minore” ma anche delle disposizioni contenute nel Regolamento e nel Codice.

In particolare, al comma 3 è precisato che “la diffusione dei dati personali può essere effettuata esclusivamente in forma anonima e aggregata …”. Al riguardo, si ritiene opportuno sopprimere la locuzione: “per finalità statistiche, di studio, di informazione e ricerca”, suscettibile di creare incertezze in quanto accomuna finalità di trattamento per le quali sono previsti differenti regimi giuridici, considerato, altresì, che i dati anonimi e aggregati che non consentono, neanche indirettamente, l’identificazione degli interessati, non sono dati personali. Si suggerisce, quindi, di riformulare il periodo come segue: “la diffusione dei dati può essere effettuata esclusivamente in forma anonima e aggregata, con modalità che non consentano, neanche indirettamente, l’identificazione degli interessati”.

3.2. I dati inseriti nel SIM sono accessibili a determinati soggetti nominativamente indicati, nonché “agli organismi e agli uffici pubblici che svolgono attività istituzionali relative ai minori stranieri non accompagnati, nonché altri enti pubblici o privati operanti nel campo della tutela dei diritti dei minori migranti” (artt. 8 e 11). Premesso che le informazioni raccolte nell’archivio “enti e strutture” non pongono particolari criticità poiché i dati relativi ad enti e persone giuridiche non beneficiano delle tutele stabile dalla normativa in materia di protezione dei dati personali, si ritiene opportuno precisare il riferimento a tali organismi ed enti, eccessivamente generico, con l’indicazione più specifica di tali soggetti, in conformità al quadro normativo europeo (artt. 5, 6, par. 1, lett. e), par. 2 e par. 3, lett. b) Reg.).

Anche in considerazione della delicatezza e del carattere particolare di alcune informazioni contenute nel SIM (art. 3 dello schema; artt. 6 e 9 Reg.), riferite a soggetti vulnerabili, e del consistente numero di soggetti, pubblici e privati, legittimati ad accedervi, l’articolo necessita, inoltre, di essere integrato:

- prevedendo, per ogni flusso informativo, in relazione alle relative finalità -che devono in ogni caso essere coerenti con quella individuata nell’articolo 7, comma 1, dello schema (“censimento e monitoraggio della presenza dei minori stranieri non accompagnati sul territorio nazionale”) o comunque con essa compatibili (cfr. art. 6, par. 4, Reg.), le tipologie di dati e delle operazioni eseguibili (cfr. art. 2-sexies del Codice);

- individuando le modalità di accesso alle informazioni, sulla base delle quali, come previsto, potranno essere stipulati “gli appositi protocolli di intesa”;

- introducendo differenti livelli di autorizzazione per il trattamento dei dati contenuti nel SIM e garantendo, per esempio, accessi selettivi da parte dei diversi soggetti autorizzati al trattamento alle differenti tipologie di informazioni contenute; si rammenta in proposito  la necessita che l’accesso ai dati personali registrati nella banca dati sia consentito solo a personale qualificato e adeguatamente istruito in materia di protezione dati, nel rispetto di quanto previsto dall’articolo 29 del Regolamento e dall’articolo 2-quaterdecies del Codice.

3.3. L’articolo 10 stabilisce che il “Ministero - Direzione generale dell’immigrazione e delle politiche di integrazione è il titolare del trattamento dei dati”. Riguardo all’identificazione della figura del titolare del trattamento - la cui definizione è rinvenibile all’articolo 4, n. 7, del Regolamento (“la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali […],” – si evidenzia che il Garante ha in più occasioni precisato che «qualora il trattamento sia effettuato nell’ambito di una persona giuridica, di una pubblica amministrazione o di un altro organismo, il "titolare" è l’entità nel suo complesso (ad esempio, la società, il ministero, l’ente pubblico, l’associazione, ecc.)”.

Nel caso di enti, persone giuridiche e pubbliche amministrazioni articolate in direzioni generali o in sedi centrali, decentrate o periferiche, per quanto esse siano comunque "titolari" del complesso dei trattamenti effettuati, non può escludersi che, ove la “singola direzione generale o area esercita, tramite i propri organi, un potere decisionale reale e del tutto autonomo sulle finalità e sulle modalità dei trattamenti effettuati nel proprio ambito, non condizionato da scelte effettuate a livello centrale o di vertice, la medesima direzione o area potrebbe essere considerata come titolare dei trattamenti” (cfr. parere 9 dicembre 1997, doc. web. n. 30915; nota 9 dicembre 1997, doc. web. n. 39785).

Considerato che, nel caso delle amministrazioni pubbliche, gli elementi qualificanti la posizione di titolarità devono essere tratti dal dato normativo e che, finora, codesta Amministrazione ha ritenuto sussistente la titolarità dei trattamenti effettuati in capo al Ministero (come si evince dalla comunicazione pervenuta al Garante dal Responsabile della protezione dati), appare coerente mantenere tale indicazione. Nulla vieta, peraltro, che compiti e responsabilità specifiche, in materia di trattamento dati, siano attribuite a determinate articolazioni interne, e conseguentemente disciplinate.

Alla luce di tali osservazioni, la disposizione che prevede che il Ministero “ne garantisce la gestione tecnica e informatica, ivi compreso il profilo della sicurezza” (art. 4) potrebbe essere coerentemente inserita nel predetto articolo 10.

3.4. Particolare attenzione merita il profilo della conservazione dei dati e l’individuazione di termini adeguati (art. 5, par. 1, lett. e), Reg. “limitazione della conservazione”).

Da questo punto di vista l’articolo 9 dello schema prevede un periodo di conservazione dei dati indeterminato, nella misura in cui stabilisce che i dati non solo siano trattati (rectius: “conservati”) fino al compimento del diciottesimo anno di età del minore (salvo il caso di prosieguo della tutela amministrativa ai sensi dell’art. 13 della legge n. 47/2017), ma anche conservati dopo il compimento della maggiore età. In tal caso infatti la norma stabilisce che le informazioni possano essere conservate per i necessari adempimenti di natura amministrativa e contabile e per lo svolgimento delle politiche di integrazione rivolte agli interessati, per un periodo comunque non inferiore a tre anni.

Al riguardo, in applicazione del principio di “limitazione della conservazione”, la norma va perfezionata prevedendo che dopo il raggiungimento del diciottesimo anno d’età, i dati del minore possano essere conservati esclusivamente per i periodi di tempo previsti dalla normativa di settore, amministrativa, contabile o fiscale, cancellandoli alla scadenza dei termini.

3.5. Come descritto in premessa, lo schema di regolamento, all’articolo 12, stabilisce che gli aspetti tecnico-organizzativi e le misure di sicurezza inerenti al funzionamento del SIM saranno disciplinati da un decreto direttoriale della Direzione generale dell’immigrazione e delle politiche di integrazione. L’Autorità perciò si riserva di esprimere le valutazioni di competenza su tali aspetti in occasione del previsto parere sullo schema di provvedimento.

3.6. Si rileva, infine, che il trattamento dei dati contenuti nel SIM, riguardando dati e informazioni anche particolarmente delicati (tra i quali quelli relativi alla salute, alla condizione sociale, all’origine etnica, alla situazione economica, a delicate situazioni familiari nei paesi di origine o in altri paesi), relativi a migliaia di soggetti a vario titolo coinvolti nei percorsi di protezione (minori, ma anche altre persone, es. affidatari, tutori, etc.), sulla base delle quali sono adottate le misure di protezione e assistenza previste dalla legge, rientra tra i trattamenti che presentano rischi elevati per i diritti e le libertà degli interessati (art. 35, par. 1 e 3, lett. b) Reg.).

TUTTO CIÒ PREMESSO IL GARANTE

esprime parere nei termini di cui in motivazione sullo schema di decreto del Presidente del Consiglio dei ministri concernente disposizioni in materia di misure di protezione dei minori stranieri non accompagnati, con le osservazioni di cui ai punti da 3.1 a 3.6.

Roma, 19 settembre 2019

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia