[doc. web n. 9974134]

Parere sullo schema di decreto del Ministro dell’interno recante Adeguamento alle previsioni del Regolamento (UE) 2018/1724 del Parlamento europeo e del Consiglio del 2 ottobre 2018 per rendere disponibili, tramite ANPR, le procedure relative alla richiesta di una prova della registrazione di nascita e alla registrazione del cambio di indirizzo” - 7 dicembre 2023

Registro dei provvedimenti
n. 580 del 7 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito, “Codice”);

VISTA la legge 24 dicembre 1954, n. 1228, recante “Ordinamento delle anagrafi della popolazione residente”;

VISTO il decreto del Presidente della Repubblica 30 maggio 1989, n. 223, recante “Approvazione del nuovo regolamento anagrafico della popolazione residente”;

VISTO il decreto legislativo 7 marzo 2005, n. 82, recante il “Codice dell’Amministrazione Digitale” (CAD) e, in particolare, l’articolo 62 che istituisce l’Anagrafe Nazionale della Popolazione Residente (ANPR), che al comma 6-bis prevede che, con uno o più decreti del Ministro dell’interno, di concerto con il Ministro per l’innovazione tecnologica e la digitalizzazione e il Ministro per la pubblica amministrazione, sentiti il Garante per la protezione dei dati personali e la Conferenza Stato-città ed autonomie locali, sono assicurati l'aggiornamento dei servizi resi disponibili dall'ANPR alle pubbliche amministrazioni, agli organismi che erogano pubblici servizi e ai privati, nonché l'adeguamento e l'evoluzione delle caratteristiche tecniche della piattaforma di funzionamento dell'ANPR;

VISTO il decreto del Presidente del Consiglio dei Ministri 23 agosto 2013, n. 109, “Regolamento recante disposizioni per la prima attuazione dell'articolo 62 del decreto legislativo 7 marzo 2005, n. 82, come modificato dall'articolo 2, comma 1, del decreto-legge 18 ottobre 2012, n. 179, convertito dalla legge 17 dicembre 2012, n. 221, che istituisce l’Anagrafe Nazionale della Popolazione Residente (ANPR)”;

VISTO il decreto del Presidente del Consiglio dei Ministri 10 novembre 2014, n. 194, recante “Regolamento recante modalità di attuazione e di funzionamento dell'Anagrafe nazionale della popolazione residente (ANPR) e di definizione del piano per il graduale subentro dell’ANPR alle anagrafi della popolazione residente”;

VISTO il decreto del Ministro dell’interno del 3 novembre 2021, di concerto con il Ministro per l’innovazione tecnologica e la transizione digitale e il Ministro per la pubblica amministrazione recante “Modalità di richiesta e rilascio dei certificati anagrafici in modalità telematica attraverso l’Anagrafe nazionale popolazione residente”;

VISTO il Regolamento (UE) 2018/1724 del Parlamento europeo e del Consiglio del 2 ottobre 2018 che istituisce uno sportello digitale unico per l’accesso a informazioni, procedure e servizi di assistenza e di risoluzione dei problemi e che modifica il Regolamento (UE) n. 1024/2012, e in particolare:

- l’articolo 6, che prevede che ciascuno Stato membro debba provvedere affinché i cittadini dell’Unione europea nonché le persone fisiche residenti in uno Stato membro possano accedere alle procedure di cui all’allegato II del predetto Regolamento ed espletarle interamente in linea purché la pertinente procedura sia stata istituita nello Stato membro interessato, e

- l’art. 14, che prevede l’istituzione – da parte della Commissione europea, in cooperazione con gli Stati membri – del “Sistema tecnico per lo scambio transfrontaliero automatizzato di prove” tra le autorità competenti di diversi Stati membri (c.d. Single digitale gateway – di seguito, SDG);

RILEVATO che, in base al menzionato art. 14 del Regolamento (UE) 2018/1724, il SDG, in ossequio al principio once-only: consente il trattamento delle richieste di prove su richiesta esplicita dell’utente; consente il trattamento delle richieste di scambio di prove o di accesso ad esse; consente la trasmissione delle prove tra autorità competenti; consente il trattamento delle prove da parte dell’autorità competente richiedente; garantisce la riservatezza e l’integrità delle prove; prevede la possibilità per l’utente di esaminare le prove che devono essere utilizzate dall’autorità richiedente competente e di scegliere se procedere o meno allo scambio delle prove; garantisce un adeguato livello di interoperabilità con altri sistemi pertinenti; garantisce un elevato livello di sicurezza per la trasmissione e il trattamento delle prove; non tratta le prove al di là di quanto necessario sul piano tecnico per lo scambio delle prove, e successivamente solo per la durata necessaria a tal fine;

VISTO il Regolamento di esecuzione (UE) 2022/1463 della Commissione del 5 agosto 2022 che definisce le specifiche tecniche e operative del sistema tecnico per lo scambio transfrontaliero automatizzato di prove e l’applicazione del principio «una tantum» a norma del regolamento (UE) 2018/1724 del Parlamento europeo e del Consiglio che, in particolare, prevede che i richiedenti prove (cioè le autorità competenti responsabili di una o più delle procedure amministrative cui si rivolge il cittadino) siano collegati a un nodo eIDAS per consentire l’autenticazione degli utenti e che i punti di accesso eDelivery siano installati, configurati e integrati nei portali per le procedure dei richiedenti prove, nei servizi dati dei fornitori di prove (cioè le autorità competenti che rilasciano legalmente prove strutturate o non strutturate) e nelle piattaforme di intermediazione;

RILEVATO che il predetto Regolamento di esecuzione (UE) 2022/1463, tra le altre cose, disciplina: le spiegazioni da fornire agli utenti; la selezione dei tipi di prova; l’autenticazione dell’utente (basata su mezzi di identificazione elettronica rilasciati nell’ambito di un regime di identificazione elettronica notificato a norma del Regolamento (UE) 910/2014 – c.d. autenticazione eiDAS – cui si potrebbe rendere necessaria, in alcuni casi, la presentazione di eventuali attributi aggiuntivi (art. 11); la richiesta delle prove dal richiedente al fornitore di prove; il reindirizzamento dell’utente al fornitore di prove (o alla piattaforma di intermediazione) al fine di consentire a quest’ultimo di esaminare in anteprima le prove; la risposta del fornitore di prove; la richiesta del fornitore di prove (o della piattaforma di intermediazione) all’utente di identificarsi e autenticarsi nuovamente ai fini della determinazione della corrispondenza dell’identità e delle prove, anche fornendo attributi aggiuntivi, allo scopo di assicurare che le prove siano scambiate tramite il SDG soltanto se gli attributi di identità dell’utente scambiati, utilizzando i mezzi di identificazione elettronica e forniti dall’utente per facilitare l’identificazione da parte del fornitore di prove pertinente, corrispondono agli attributi detenuti da tali fornitori di prove o piattaforme di intermediazione (art. 16);

RILEVATO che, in base al menzionato art. 6 del citato Regolamento (UE) 2018/1724, fra le procedure indicate dall’allegato II, dovranno essere erogate quelle relative alla richiesta di una prova della registrazione di nascita (certificato anagrafico di nascita), alla richiesta di una prova di residenza (certificato di residenza) e alla registrazione del cambio di indirizzo (domanda d’iscrizione anagrafica), a condizione che la pertinente procedura sia stata istituita nello Stato membro interessato;

RILEVATO che le predette procedure, e in particolare il rilascio dei certificati anagrafici di nascita e di residenza e la presentazione delle dichiarazioni per il trasferimento della residenza sono state rese disponibili in modalità telematica da ANPR con il decreto del Ministro dell’interno del 3 novembre 2021 sopra citato;

VISTE le note del XX, del XX e del XX, con cui il Ministero dell’interno ha trasmesso all’Autorità, al fine di acquisire il prescritto parere, lo schema di decreto avente ad oggetto “Adeguamento alle previsioni del Regolamento (UE) 2018/1724 del Parlamento europeo e del Consiglio del 2 ottobre 2018 per rendere disponibili, tramite ANPR, le procedure relative alla richiesta di una prova della registrazione di nascita e alla registrazione del cambio di indirizzo di cui all'allegato II al medesimo Regolamento”, da adottarsi, ai sensi dell’art. 62, comma 6-bis, del decreto legislativo 7 marzo 2005, n. 82, di concerto con Ministro per la pubblica amministrazione e con il Sottosegretario di Stato alla Presidenza del Consiglio dei ministri con delega all’innovazione tecnologica, unitamente al disciplinare tecnico e alla relazione illustrativa;

RILEVATO che lo schema di decreto si compone di 4 articoli e di un disciplinare tecnico, recante “Modalità tecniche di richiesta e invio telematico dei certificati di nascita e modalità telematiche di richiesta dell’iscrizione anagrafica, attraverso l’ANPR”, che ne forma parte integrante;

RILEVATO che, lo schema di decreto prevede, in particolare, che:

- al fine di adeguare l’ordinamento nazionale alle previsioni di cui all’articolo 6 del Regolamento (UE) 2018/1724 e garantire l’accesso e l’espletamento delle procedure di cui all’allegato II del predetto Regolamento e relative alla richiesta di una prova della registrazione di nascita, alla registrazione del cambio di indirizzo ed alla richiesta di una prova di residenza, sono definite:

a) le modalità telematiche di richiesta e di rilascio dei certificati di nascita attraverso l’ANPR, in favore del cittadino dell’Unione europea, nato in Italia, non più iscritto nell’ANPR alla data della richiesta, ma comunque registrato nell’anagrafe comunale al momento del subentro del Comune in ANPR o successivamente;

b) le modalità telematiche con le quali il cittadino dell’Unione europea richiede, ai sensi degli articoli 3 e 9 del decreto legislativo 6 febbraio 2007, n. 30, l’iscrizione anagrafica attraverso l’ANPR e, di conseguenza, può ottenere una certificazione anagrafica di residenza ai sensi del decreto del Ministro dell’interno del 3 novembre 2021 (art. 1)

- la presentazione delle richieste è assicurata previa identificazione elettronica ai sensi del Regolamento (UE) 2014/910 citato, attraverso appositi servizi disponibili nel sito internet www.anagrafenazionale.interno.it, secondo le modalità e con le misure di sicurezza definite nell’allegato “Disciplinare tecnico” nonché secondo le modalità definite dal Regolamento di funzionamento dell’infrastruttura nazionale del Single digitale gateway (SDG) di cui al Regolamento (UE) 2018/1724 e al Regolamento di esecuzione (UE) 2022, da adottare previo parere del Garante;

- la titolarità del trattamento dei dati contenuti nell’ANPR è attribuita al Ministero dell’interno mentre la Società generale di informatica S.p.A. (Sogei S.p.A.), incaricata della realizzazione del progetto e della gestione dell’infrastruttura, riveste il ruolo di responsabile del trattamento ai sensi dell’articolo 28 del Regolamento (UE) 2016/679;

RILEVATO che il disciplinare tecnico prevede, in particolare, che:

- l’identificazione dei richiedenti avvenga tramite uno strumento conforme al Regolamento (UE) 2014/910 con livello di garanzia significativo e adeguato al servizio richiesto; a tale scopo, il portale ANPR provvede, ad integrare il nodo di identificazione EiDAS, conformemente alle regole tecniche AgID, recanti le “Note per il dispiegamento del LOGIN EIDAS presso le Pubbliche Amministrazioni” (paragrafo 1.1.);

- i dati richiesti all’atto del login EiDAS sono i seguenti: codice identificativo associato al mezzo di identificazione elettronica impiegato dall’utente ai fini di autenticazione (Unique Identifier); nome; cognome; data di nascita; sono altresì richiesti il genere e il luogo di nascita (corrispondente alla nazione estera di nascita per i cittadini nati all’estero) ai fini della validazione dei dati, nonché un indirizzo di posta elettronica al fine di gestire le comunicazioni relative al procedimento (paragrafo 1.2.);

- per il servizio di richiesta e di rilascio dei certificati di nascita viene richiesto l’inserimento del codice fiscale del richiedente mentre, per il servizio di richiesta dell’iscrizione anagrafica in ANPR, l’inserimento del codice fiscale risulta discrezionale in base al possesso o meno dello stesso da parte del cittadino comunitario; il codice fiscale fornito all’atto della richiesta è verificato tramite l’apposito servizio erogato dall’Agenzia delle Entrate ad ANPR, equivalente a quello esposto dalla predetta Agenzia, per il tramite delle componenti nazionali del SDG, nei confronti delle altre amministrazioni aderenti al SDG (paragrafo 1.2.);

- qualora il dichiarante non sia in possesso del codice fiscale al momento della presentazione della richiesta di iscrizione anagrafica, sarà l’ufficiale d’anagrafe, esaminata l’istanza con esito positivo, a richiederne l’assegnazione all’Agenzia delle Entrate che, in tal caso, vista la mancanza del dato in fase di presentazione della dichiarazione, non effettua i controlli sopra richiamati (paragrafo 1.3);

- il cittadino europeo, nato in Italia, può richiedere il rilascio del certificato di nascita attraverso l’ANPR esclusivamente per sé stesso; prima della formazione del certificato, ANPR visualizza un’anteprima che consente al richiedente di verificare la correttezza dei dati; al certificato formato viene apposto il sigillo elettronico così come previsto dall’articolo 62, comma 3, del CAD; al certificato viene altresì apposto, al fine di consentire la verifica della conformità della copia analogica del certificato all’originale informatico, il contrassegno elettronico, così come previsto dall’art. 23, comma 2-bis, del CAD (paragrafo 2.1);

- per il servizio di richiesta di iscrizione anagrafica, nel caso in cui nella costituenda famiglia anagrafica siano presenti soggetti maggiorenni, il richiedente dichiarante dovrà allegare alla richiesta, oltre alla documentazione prevista dalla normativa vigente, l’apposito modulo di dichiarazione anagrafica sottoscritto da tutti i componenti interessati ai sensi dell’articolo 20, comma 1-bis, del CAD ovvero ai sensi dell’articolo 65, comma 1, lett. c) del CAD e il relativo documento di identità; nel caso in cui il dichiarante non fosse in possesso della documentazione necessaria da allegare alla procedura di iscrizione anagrafica, la stessa è acquisita tramite SDG, (paragrafo 2.2);

- gli ufficiali di anagrafe dei Comuni possono accedere all’elenco delle richieste presente in ANPR mediante web application o tramite web service; in particolare, selezionando una richiesta dalla lista, gli stessi possono visualizzare tutti i dati, i documenti dal cittadino e quelli recuperati tramite SDG per le necessarie verifiche documentali (paragrafo 2.2);

- per i servizi in esame, il Ministero dell’interno adotta le misure di sicurezza indicate nell’allegato C “Misure di sicurezza” del decreto del Presidente del Consiglio dei ministri n. 194 del 2014 e successive integrazioni, nonché misure atte a mitigare il rischio di accesso automatizzato alle applicazioni (paragrafi 3, 3.1 e 3.2);

- l’accesso al servizio e l’esito dell’operazione è oggetto di tracciatura, da parte del Ministero dell’interno e i file di log sono conservati fino a un anno on line e, successivamente, off line per 10 anni; per ciascuna transazione sono registrati: codice identificativo (cd. Unique Identifier); codice fiscale; data-ora-minuti-secondi-millisecondi, tipo di operazione, esito e identificativo della richiesta; modalità di autenticazione; il Ministero dell’interno adotta un sistema di log analysis, al fine di individuare, sulla base di regole predefinite e formalizzate e attraverso l’utilizzo di indicatori di anomalie, eventi potenzialmente anomali che possano configurare trattamenti e accessi illeciti (paragrafo 3.3);

CONSIDERATO che il Ministero dell'Interno, assume ruolo di:

- autorità competente per la messa on line delle procedure oggetto del presente decreto, individuate all’allegato II del citato Regolamento (UE) 2018/1724 (Procedure portal); con riferimento alla procedura di registrazione del cambio di indirizzo, tale profilo consente ad ANPR di utilizzare il sistema tecnico per la fruizione di prove (evidence) fornite dalle autorità competenti di altri Stati Membri, per il tramite delle componenti nazionali SDG;; al riguardo, come esplicitato nella relazione illustrativa, è previsto che, “anziché allegare la documentazione necessaria a perfezionare il procedimento di iscrizione anagrafica, l’utente potrà recuperare le corrispondenti prove (evidence) tramite il sistema tecnico once only. Il recupero delle evidence avrà inizio dal portale ANPR il quale dialogherà con le componenti nazionali del Single Digital Gateway, sviluppate da AgID, che acquisiranno la prova selezionata direttamente dalle banche dati delle Autorità estere competenti. L’utente sarà quindi reindirizzato al nodo di Preview Space Nazionale (sviluppato da AgID e collocato tra le Componenti Nazionali SDG), dove previa autenticazione eIDAS, potrà prendere visione della propria evidence e confermare o meno la l’associazione del documento alla richiesta di iscrizione anagrafica”;

- autorità competente per l’erogazione di prove (evidence) da inviare per il tramite delle componenti nazionali SDG alle relative autorità competenti di altri Stati Membri che ne richiedano la fruizione in modalità automatica mediante il medesimo sistema tecnico once-only (Data service); come esplicitato nella predetta relazione illustrativa, “Lo scambio della prova avviene esclusivamente tra Amministrazioni, intermediate dalle componenti nazionali SDG sviluppate da AgID. Anche in questo caso l’utente potrà visionare in anteprima la propria prova, prima di allegarla al servizio richiesto. Quindi sarà reindirizzato al nodo di Preview Space Nazionale (sviluppato da AgID e collocato tra le Componenti Nazionali SDG), dove previa autenticazione eIDAS e previa verifica del codice fiscale (al fine dell’individuazione univoca del soggetto in questione), visionerà l’evidence e decidere se allegarla alla suddetta procedura. In caso positivo, la stessa sarà trasferita, per il tramite delle componenti nazionali SDG, al portale dello Stato Membro che ne ha fatto richiesta”;

CONSIDERATO che, il Ministero dell’interno è tenuto ad assicurare la conformità delle procedure e delle misure tecniche e organizzative implementate sulla piattaforma ANPR a quanto stabilito dal citato “Regolamento di funzionamento dell’infrastruttura nazionale del Single digitale gateway (SDG) di cui al Regolamento (UE) 2018/1724 e al Regolamento di esecuzione (UE) 2022”, tenendo altresì conto degli eventuali successivi aggiornamenti;

CONSIDERATO che AgID, in base al predetto Regolamento di funzionamento, nella sua veste di soggetto attuatore del SDG per quanto concerne l’Italia per conto delle pubbliche amministrazioni titolari di procedimenti amministrativi e/o responsabili dell’erogazione di prove, riveste il ruolo di responsabile del trattamento, ai sensi dell’art. 28 del Regolamento, anche redigendo un atto di designazione secondo le modalità definite nel predetto Regolamento di funzionamento;

CONSIDERATO, infine, che il Ministero dell’interno, in qualità di titolare del trattamento dei dati personali effettuati nell’ANPR, è tenuto ad integrare e ad aggiornare la valutazione di impatto sulla protezione dei dati personali con riguardo ai rischi connessi ai trattamenti disciplinati dallo schema di decreto in esame, potendo utilmente rinviare alle analisi condotte dall’AgID per le attività a questa demandate in qualità di gestore dell'infrastruttura e responsabile del trattamento;

CONSIDERATO che la versione in esame dello schema di decreto è stata elaborata anche tenendo conto delle indicazioni fornite dall’Ufficio nell’ambito delle interlocuzioni informali intercorse durante l’istruttoria, tese ad assicurare il rispetto della normativa in materia di protezione dei dati personali, con particolare riferimento alla necessità di esplicitare meglio le modalità di integrazione fra i servizi resi da ANPR e il nodo SDG nazionale, nonché il ruolo del Ministero dell’interno con riguardo allo scambio automatizzato di prove;

RITENUTO, su tali basi, che non vi siano rilievi da formulare in quanto lo schema di decreto in esame non presenta profili di criticità in materia di protezione dei dati personali;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro dell’interno, ai sensi dell’art. 62, comma 6-bis, del decreto legislativo 7 marzo 2005, n. 82, recante “Adeguamento alle previsioni del Regolamento (UE) 2018/1724 del Parlamento europeo e del Consiglio del 2 ottobre 2018 per rendere disponibili, tramite ANPR, le procedure relative alla richiesta di una prova della registrazione di nascita e alla registrazione del cambio di indirizzo di cui all'allegato II al medesimo Regolamento”.

Roma, 7 dicembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei