[doc. web n. 9976701]

Parere  di uno schema di regolamento recante la definizione delle disposizioni transitorie per il processo penale militare telematico ai sensi dell’articolo 87, comma 7, del decreto legislativo 10 ottobre 2022, n. 150

Registro dei provvedimenti
n. 593 del 7 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Fabio Mattei, segretario generale;

Vista la richiesta di parere del Ministero della difesa;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Pasquale Stanzione;

PREMESSO

Il Ministero della difesa ha richiesto il parere del Garante su di uno schema di regolamento recante la definizione delle disposizioni transitorie per il processo penale militare telematico ai sensi dell’articolo 87, comma 7, del decreto legislativo 10 ottobre 2022, n. 150.

Tale disposizione demanda, infatti, alla fonte regolamentare la previsione -in analogia a quella relativa al processo penale ordinario – delle  regole tecniche riguardanti il deposito, la comunicazione e la notificazione con modalità telematiche degli atti del procedimento penale militare, assicurando la conformità al principio di idoneità del mezzo e a quello della certezza del compimento dell'atto, nonché l’individuazione uffici giudiziari e delle tipologie di atti per cui possano essere adottate anche modalità non telematiche di deposito, comunicazione o notificazione, unitamente ai termini di transizione al nuovo regime.

Complessivamente, le norme proposte si conformano a quelle previste nello schema di regolamento relativo al processo civile e penale telematico, adottato in attuazione dell’articolo 87, commi 1 e 3 del medesimo decreto legislativo 150 del 2022 e delle corrispondenti disposizioni del decreto legislativo 10 ottobre 2022, n. 149, su cui il Garante ha reso parere favorevole, con osservazioni, il 30 novembre 2023.

RILEVATO

I primi due articoli del regolamento ne delineano l’ambito di applicazione, introducendo, anzitutto, le definizioni.

Tra queste si segnala, in particolare, quella di “identificazione informatica”, quale procedura di identificazione in rete del titolare della carta nazionale dei servizi o di altro dispositivo crittografico, mediante un certificato di autenticazione, secondo la definizione del d.lgs. 82 del 2005 (infra: CAD) (lett. q).

Il fascicolo informatico è invece definito quale fascicolo contenente gli atti e i documenti redatti in forma di documento informatico, nonché le copie informatiche di atti e documenti redatti in forma di documento analogico (lett. r).

Si definiscono inoltre il documento informatico e il documento informatico multimediale, quale contenuto audio, video e/o foto codificati, ovvero compressi in modo digitale di atti, fatti o dati giuridicamente rilevanti mediante registrazione sonora, visiva o audiovisiva (lett. s-t).

Il Capo II, invece, disciplina l’intero processo penale telematico militare, prevedendo all’articolo 3, che le operazioni nelle quali esso si articola vengano gestite con modalità informatiche, in ogni fase, stato e grado del giudizio dal “Sistema informativo della Giustizia Militare” (di seguito: SIGMIL).

Attraverso questo sistema – cui s’impone un vincolo di conformità con le norme del CAD e le linee guida AGiD- si prevede che vengano gestite tutte le fasi di formazione del fascicolo, oltre che la tenuta dei registri, il deposito, la conservazione, la visualizzazione e l’estrazione di copie degli atti del fascicolo stesso, la pubblicazione dei provvedimenti giurisdizionali, le comunicazioni degli uffici giudiziari militari, la trasmissione dei fascicoli ed ogni altra attività inerente o comunque connessa al processo penale telematico.

Il terzo comma dell’articolo 3 ascrive, inoltre, al Responsabile della transizione digitale del Ministero della difesa anche il ruolo di responsabile dello sviluppo, del funzionamento e della gestione del SIGMIL.

Il comma 4 dello stesso articolo stabilisce che i dati contenuti dal Sistema vengano custoditi in infrastrutture informatiche gestite dal Ministero della difesa.

Gli articoli da 4 a 6 recano la disciplina dei documenti informatici, quali atti del giudizio penale militare; atti e provvedimenti dei magistrati militari e atti della polizia giudiziaria, sottoscritti con firma digitale e conservati nel fascicolo informatico. In tale ultimo fascicolo si prevede vengono raccolti gli atti e i documenti, anche in formato multimediale, le ricevute di posta elettronica certificata, le ricevute di pagamento e i dati del procedimento medesimo da chiunque formati ovvero le copie informatiche dei medesimi atti, quando siano stati depositati in forma di documento analogico.

L’articolo 7 disciplina l’accesso e la consultazione del fascicolo informatico da parte di soggetti abilitati esterni, che avviene mediante il Portale della Giustizia Militare. Prevede anche, al comma 4, che per effettuare la trasmissione di atti e di documenti, il soggetto abilitato esterno dovrà utilizzare un meccanismo di crittografia, secondo le specifiche tecniche stabilite ai sensi dell’articolo 24 del regolamento stesso.

L’articolo 9 reca disposizioni sulla creazione e gestione del fascicolo informatico nel giudizio penale militare, nel quale si prevede vengano contenuti gli atti e i documenti del procedimento, anche in formato multimediale, gli allegati, le ricevute di posta elettronica certificata, le ricevute di pagamento e, in generale, tutti i dati del procedimento penale, da chiunque formati, ovvero le copie informatiche dei medesimi atti se depositati in forma di documento analogico.

Si prevede, inoltre, che i fascicoli del giudizio vengano formati, conservati e aggiornati solo tramite il SIGMIL al fine di assicurarne l’autenticità, l’integrità, l’accessibilità, la leggibilità, l’interoperabilità e la consultazione (comma 3). Il comma 5 individua, poi, i dati contenuti nel fascicolo informatico, tra i quali rileva oltre all’indicazione dell’ufficio titolare del procedimento che ne cura la formazione e la gestione, anche l’elenco dettagliato degli atti e dei documenti depositati o comunque acquisiti, compresi quelli in forma di documento analogico.

Si rimanda infine alle specifiche tecniche la definizione delle modalità per il salvataggio dei log relativi alle operazioni di accesso al fascicolo informatico.

L’articolo 10 stabilisce che, al fine di assicurarne la data certa, l’integrità, l’autenticità e la riservatezza, la trasmissione telematica dei fascicoli informatici da un ufficio giudiziario militare all’altro avvenga tramite il SIGMIL, mentre per quanto riguarda la trasmissione da e verso organi giurisdizionali diversi da quelli militari, al comma 2, si prevede che questa avvenga per via telematica su canale sicuro oppure attraverso cooperazione applicativa. Nel caso si renda impossibile la trasmissione, gli atti del fascicolo informatico si prevede vengano  riversati su un supporto informatico, come indicato dalle specifiche tecniche di cui all’articolo 24 del regolamento.

L’articolo 11 disciplina l’accesso e la consultazione del fascicolo informatico, prevedendo che avvenga, per i soggetti abilitati interni, tramite accesso diretto al SIGMIL, da postazioni presenti negli uffici giudiziari militari o per mezzo della piattaforma messa a disposizione degli utenti interni del Ministero della difesa, ovvero mediante il Portale della Giustizia Militare per i soggetti abilitati esterni. Tra questi ultimi vengono annoverati anche i difensori muniti di procura, gli avvocati domiciliatari e le parti personalmente, debitamente autorizzate.

L’articolo 12 regola le modalità di estrazione e rilascio delle copie di atti e documenti in modalità telematica prevedendone, per il caso in cui contengano dati “sensibili”, la messa a disposizione in una apposita area del portale dei servizi telematici.

L’articolo 13 dispone che le notificazioni e le comunicazioni telematiche siano eseguite mediante trasmissione dei documenti informatici tra caselle di posta elettronica certificata, rinviando al CAD per i requisiti che dovrà possedere la medesima casella di posta.

Il medesimo articolo stabilisce poi che, qualora la comunicazione contenga dati “sensibili”, essa sia effettuata per estratto, con contestuale messa a disposizione dell’atto integrale in apposita area del SIGMIL, secondo modalità che garantiscano l’identificazione dell’autore dell’accesso e la tracciabilità delle relative attività (comma 7).

L’articolo 14 individua i requisiti che deve possedere la casella di posta elettronica certificata utilizzata dai soggetti abilitati esterni, a fini processuali, mentre l’articolo 15 stabilisce che, per le modalità di conservazione dei verbali e delle registrazioni delle intercettazioni su infrastrutture informatiche separate, si faccia rinvio all’articolo 269 c.p.p (con conseguente applicazione delle norme sull’archivio digitale riservato).

L’articolo 16 disciplina il caso in cui si utilizzino, in giudizio, modalità diverse da quella della verbalizzazione per iscritto, prevedendo che l’autorità di polizia giudiziaria ovvero l’autorità giudiziaria militare possano procedere mediante apparecchiature di registrazione audiovisiva o di fonoregistrazione, da memorizzare poi in forma di documento informatico multimediale e riversare nel fascicolo informatico.

Gli articoli da 17 a 19 dettano regole di utilizzo delle piattaforme di videoconferenza in uso presso la Giustizia Militare, per la partecipazione da remoto alle attività del giudizio penale militare.

L’articolo 18 disciplina, invece, i pagamenti delle spese di giustizia secondo le previsioni del d.P.R. n. 115 del 2002 e con il ricorso alla funzionalità PagoPA presente sul portale della Giustizia Militare. L’articolo 19 reca disposizioni sui malfunzionamenti del SIGMIL, che si prevede vengano accertati dal Responsabile della transizione digitale del Ministero della difesa e immediatamente comunicati sul Portale della Giustizia Militare.

Il Capo III dello schema reca la disciplina transitoria e, infine, il Capo IV contiene le disposizioni finali sulle specifiche tecniche.

In particolare, gli articoli 24 e 25 prevedono rispettivamente che le specifiche tecniche e gli adeguamenti all’evoluzione scientifica e tecnologica -almeno biennali- delle regole tecnico-operative, vengano stabiliti da uno o più decreti del Responsabile della transizione al digitale del Ministero della difesa, previo parere del Garante limitatamente ai profili inerenti alla protezione dei dati personali.

RITENUTO

La disciplina proposta dallo schema di regolamento non presenta criticità sotto il profilo della protezione dati, le cui implicazioni dovranno peraltro essere delineate nel dettaglio nell’ambito delle specifiche tecniche di cui all’articolo 24, da sottoporre al parere del Garante.

Tuttavia, per una maggiore coerenza sistematica, il testo andrebbe perfezionato secondo quanto di seguito esposto.

All’articolo 2, comma 1, lettera q), il parametro di conformità che le procedure di identificazione informatica devono osservare è opportuno sia compiutamente integrato con riferimento, anche, al Regolamento (UE) n. 910/2014. Tale integrazione soddisferebbe l'esigenza di assicurare alle regole tecniche la necessaria neutralità tecnologica rispetto ai metodi di identificazione informatica.

Nell’ambito delle specifiche tecniche di cui all’articolo 24, sarà poi opportuno prevedere, per l’utilizzo dei dispositivi di autenticazione previsti dal CAD o dal Regolamento eIDAS, misure per:

- limitare l’acquisizione degli attributi associati alle identità digitali ai dati strettamente necessari (es. il codice fiscale, il nome e il cognome) senza acquisire dati personali ulteriori (es. il domicilio, l’e-mail o il numero di cellulare);

- attenuare il rischio connesso all’attivazione fraudolenta di identità digitali di tali tipologie, potenzialmente suscettibili di utilizzo per accessi abusivi.

All’articolo 3, comma 2, è opportuno integrare il parametro normativo cui il SIGMIL deve conformarsi, includendovi il riferimento alla disciplina di protezione dati (Regolamento, Codice, d.lgs. 51 del 2018).

L’articolo 19, nella parte in cui disciplina gli adempimenti da realizzare in caso di malfunzionamento dei sistemi informativi della Giustizia Militare, andrebbe integrato precisando che, laddove tali disfunzioni abbiano determinato anche violazioni di dati personali, si dovrà provvedere ai sensi dell’articolo 26 del d.lgs. 51 del 2018.

Residuano, altresì, due imperfezioni di drafting nel riferimento ai dati “sensibili”, quale nozione ormai superata da quella di cui all’articolo 9 del Regolamento.

Pertanto:

- all’articolo 12, c. 3, è opportuno sostituire le parole “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”;

- all’articolo 13, c. 7, è opportuno sostituire le parole “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”.

IL GARANTE

ai sensi dell’articolo 36, paragrafo 4, del Regolamento, esprime parere favorevole sul proposto schema di regolamento con:

a) le condizioni, esposte nel “Ritenuto”, relative all’esigenza di:

- aggiungere, all’articolo 2, comma 1, lettera q), in fine, le seguenti parole: “e conformemente a quanto previsto dal Regolamento (UE) n. 910/2014”;

- aggiungere, all’articolo 3, comma 2, dopo le parole: “del codice dell’amministrazione digitale”, le seguenti: “, del Regolamento (UE) n. 2016/679, del d.lgs. 18 maggio 2018, n. 51 e s.m.i, del d.lgs. 30 giugno 2003, n. 196 e s.m.i.”;

- integrare l’articolo 19 precisando che, laddove i previsti malfunzionamenti abbiano determinato anche violazioni di dati personali, si dovrà provvedere ai sensi dell’articolo 26 del d.lgs. 51 del 2018 e;

b) le osservazioni, esposte nel “Ritenuto”, relative all’opportunità di:

- sostituire, agli articoli 12, comma 3 e 13, comma 7, le parole: “dati sensibili” con le seguenti: “dati di cui all’art. 9 del Regolamento Ue 2016/679”;

Roma, 7 dicembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei