Regole tecniche perl'adozione nel processo civile e nel processo penale delle tecnologie dell'informazionee della comunicazione

PROVVEDIMENTO DEL 10GIUGNO 2011

Registro dei provvedimenti
n. 226 del10 giugno 2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

Vista la richiesta di parere del Ministero della giustizia;

Visto l'art. 154, commi 4 e 5, del Codice in materia di protezione deidati personali (d.lgs. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO

Con nota della Direzione generale per i sistemi informativiautomatizzati del Ministero della giustizia è stato chiesto il parere delGarante in ordine a uno schema di provvedimento del responsabile per i sistemiinformativi automatizzati di quel dicastero (infra: Responsabile S.I.A)concernente specifiche tecniche del decreto del Ministro della giustizia indata 21 febbraio 2011 n. 44, recante il regolamento sulle regole tecniche perl'adozione nel processo civile e nel processo penale delle tecnologiedell'informazione e della comunicazione (infra: Regolamento).

L'odierno provvedimento – che attua il disposto di cuiall'articolo 34 del Regolamento – dovrebbe tra l'altro sostituire,secondo quanto asserito dall'Amministrazione richiedente il parere nellalettera di trasmissione, il decreto del Ministro della giustizia 10 luglio2009, recante "Nuova strutturazione dei modelli informatici relativaall'uso di strumenti informatici e telematici nel processo civile eintroduzione dei modelli informatici per l'uso di strumenti informatici etelematici nelle procedure esecutive individuali e concorsuali" e "consentirel'attivazione dei flussi di comunicazione tramite PEC a mente dell'art. 35 deldecreto del Ministro della giustizia in data 21 febbraio 2011, n. 44".

Il preambolo dell'odierno provvedimento non richiama tuttavia ilsuddetto articolo 35, i cui commi 3 e 4 prevedono, rispettivamente: che, perciascun ufficio giudiziario, la data di attivazione dell'indirizzo di PEC siastabilita con "apposito decreto dirigenziale" del Responsabile S.I.Ache attesta la funzionalità del sistema di posta elettronica certificata delmedesimo dicastero; che con decreto sempre del Responsabile S.I.A sianodefinite "le caratteristiche specifiche della strutturazione deimodelli informatici", dalla cui emanazione cessa, ai sensidell'articolo 35, comma 5, del Regolamento, l'efficacia del citato decreto delMinistro della giustizia 10 luglio 2009.

Al riguardo si ritiene opportuno chiarire l'ambito applicativo delpresente schema di provvedimento – almeno con un esplicito riferimentonel preambolo – in particolare in relazione al disposto di cui al comma 3del citato articolo 35, che non pare essere attuato dall'odierno provvedimento.

RILEVATO

1. Infrastrutture informatiche.

1.1. L'articolo 3 dello schema disciplina l'articolazione delleinfrastrutture informatiche di cui è costituito il sistema informatico delMinistero della giustizia, distinguendo, in particolare, tra infrastrutture dilivello distrettuale, infrastrutture di livello interdistrettuale, "infrastruttureunitarie e comuni". Il comma 2 del medesimo articolo indica poi –peraltro in maniera meramente esemplificativa – le predetteinfrastrutture unitarie e comuni, tra le quali sono annoverate, in particolare,le "banche dati nazionali".

Sul punto, sono auspicabili un'elencazione non già meramenteesemplificativa, ma tassativa di tali infrastrutture unitarie e comuni, nonchÈl'indicazione specifica delle banche dati nazionali, al fine di chiarire conmaggiore precisione la loro funzionalità alla realizzazione del processotelematico e, quindi, al perseguimento delle finalità cui è preordinato ilpresente provvedimento.

Tale rilievo dispiega peraltro effetti anche in ordine al disposto dicui al comma 6 dell'articolo 3, che impone, tra l'altro, l'allocazione dei"dati" "in corrispondenza delle componenti di cui aicommi precedenti". Al riguardo, si osserva come l'articolo 3, comma 3,del Regolamento, preveda che i "dati sono custoditi in infrastruttureinformatiche di livello distrettuale o interdistrettuale", mentrel'articolo 3, comma 6, dello schema di provvedimento sembra consentirnel'allocazione anche nelle infrastrutture unitarie e comuni indicate al comma 2.

Fermo restando che non è chiaro cosa si intenda per allocazione "incorrispondenza", il disposto di cui all'articolo 3 dello schema (inparticolare, i commi 2 e 6) dovrebbe essere meglio coordinato con quantosancito dall'articolo 3 del Regolamento, richiamandosi, in ogni caso,l'attenzione dell'Amministrazione sulla necessità di prevedere, eventualmente,la possibilità di condivisione dei soli dati effettivamente pertinenti enecessari all'espletamento di funzioni comuni, in ossequio ai principi difinalità e pertinenza dei dati trattati rispetto allo scopo (art. 11, comma 1,lettere b) e d) del Codice in materia di protezione dei dati personali).

1.2. Il comma 4 dell'articolo 3 dello schema impone la conformità di"detti sistemi" (dunque, come pare debba intendersi, anche dellestrutture comuni) alle prescrizioni di cui al decreto del Ministro dellagiustizia del 27 aprile 2009, recante "regole procedurali per lagestione del sistema informatico del Ministero della giustizia e per la tenutainformatizzata dei registri informatizzati". Al riguardo, si rilevacome il preambolo dello schema di provvedimento richiami il decreto emanato in paridata dal Ministro della giustizia, avente un titolo parzialmente diverso daquesto. Si invita pertanto l'Amministrazione a chiarire quale siaeffettivamente il decreto cui rinviano il comma 4 dell'articolo 3 e diversealtre disposizioni dello schema, in ragione dell'importanza che il suddettoprovvedimento riveste ai fini della disciplina in esame.

1.3. Il comma 5 dell'articolo 3 attribuisce al Responsabile S.I.A. ilpotere di emanare e aggiornare periodicamente, con proprio decreto, lelinee-guida per l'organizzazione e la gestione del sistema informatico delMinistero della giustizia. In ragione della particolare rilevanza di taleprovvedimento ai fini del funzionamento del sistema informatico e dellostandard di tutela dei dati personali trattati mediante il sistema stesso, èauspicabile prevedere il parere del Garante in ordine a tali linee-guida.

2. Il Registro generale degli indirizzielettronici.
Gli articoli 7 e 8 dello schemadisciplinano funzioni e struttura del Registro generale degli indirizzielettronici (infra: ReGIndE), gestito dal Ministero della giustizia econtenente i dati identificativi e l'indirizzo PEC dei soggetti abilitatiesterni, ovvero dei difensori delle parti private, degli avvocati iscrittinegli elenchi speciali, degli esperti e degli ausiliari del giudice (soggettiabilitati esterni privati: art. 2, comma 1, lett. m), n. 3 del Regolamento),nonchÈ degli avvocati, dei procuratori dello Stato e degli altri dipendenti diamministrazioni statali, regionali, metropolitane, provinciali e comunali.

Il comma 4 dell'articolo 7 annovera, tra le categorie di soggetti ilcui profilo anagrafico alimenta il ReGIndE, anche i "professionistiiscritti in albi ed elenchi istituiti con legge".

Il successivo comma 5 dispone peraltro che il ReGIndE – nondovendo gestire informazioni già contenute in registri disponibili allepubbliche amministrazioni, tra cui "il registro delle imprese, dellepubbliche amministrazioni e dei cittadini" - recupera gli indirizzi di PECe CEC-PAC rispettivamente delle imprese e dei cittadini dai predetti registri.

I dati identificativi e l'indirizzo PEC dei professionisti iscritti inalbi ed elenchi istituiti con legge dello Stato sono compresi negli elenchiriservati, ma accessibili in via telematica da parte delle pubblicheamministrazioni, costituiti ai sensi del comma 7 dell'articolo 16 deldecreto-legge 29 novembre 2008, n. 185, convertito, con modificazioni, dallalegge, 28 gennaio 2009, n. 2.

In effetti la previsione di esclusiva alimentazione del ReGindEmediante invio dell'albo tramite PEC, contenuta nell'art. 8 comma 1 delprovvedimento in esame, appare limitativa poichÈ esistono nell'ambito delSistema pubblico di connettività (SPC) possibilità di consultazione, tramitecooperazione applicativa, delle stesse informazioni. Questa seconda soluzione,che dovrebbe quantomeno essere contemplata e non esclusa, consentirebbe disemplificare la gestione della fase di aggiornamento dei dati (evitando, fral'altro, la comunicazione PEC e i conseguenti oneri di apposizione di firma incapo al mittente e di verifica in capo al ricevente).

Si chiede pertanto di valutare la possibilità di estendere laprevisione di cui al comma 5 dell'articolo 7 dello schema anche ai datirelativi ai professionisti iscritti in albi ed elenchi istituiti con legge. Laprospettata soluzione avrebbe il pregio di evitare un'inutile duplicazione dibanche dati e di garantire la disponibilità, ai fini del processo telematico,di dati aggiornati, in ossequio ai principi di non eccedenza ed esattezza deidati trattati (art. 11, comma 1, lettere c) e d), del Codice).

Analoghe considerazioni valgono per gli indirizzi di posta elettronicadestinatari di notificazioni per via telematica (art. 19, comma 5, delprovvedimento, art. 17, comma 4, del Regolamento), che ben potrebbero essereresi disponibili al sistema informativo della Giustizia tramite cooperazioneapplicativa.

L'accesso a elenchi di indirizzi PEC da parte di soggetti pubblici èstato peraltro recentemente disciplinato con provvedimento emanato da DigitPAai sensi dell'articolo 6, comma 1-bis, del Codice dell'amministrazionedigitale, previo parere del Garante.

3. Disposizioni particolari relative allafase delle indagini preliminari.
L'articolo 4, comma 9,del provvedimento dispone che le comunicazioni di atti e documenti tral'ufficio del pubblico ministero e gli ufficiali ed agenti di poliziagiudiziaria nella fase delle indagini preliminari avvengono mediante i gestoridi posta elettronica certificata delle forze di polizia, le cui caselle sonorese disponibili unicamente agli utenti abilitati. In tal caso, si prevede cheil gestore dei servizi telematici utilizzi un canale di comunicazione cifratacon i gestori di PEC delle forze di polizia, "ai sensi di quantoprevisto all'articolo 21".

Dal momento che tale ultima disposizione non contiene riferimentoalcuno al carattere cifrato della comunicazione, contenuto invece nell'articolo20 (che più correttamente impone meccanismi di "crittografia",richiamati dall'articolo 19, comma 1, del Regolamento), è opportuno sostituire,al comma 9 dell'articolo 4, le parole da: "canale di comunicazionecifrata", fino alla fine, con le seguenti: "canale sicuro protetto daun meccanismo di crittografia ai sensi di quanto previsto dall'articolo 20".

4. L' "area pubblica" del portaledei servizi telematici.

4.1. L'articolo 5, comma 2, del provvedimento, nel disciplinare lacomposizione dell'"area pubblica" del portale dei servizitelematici, richiama, tra l'altro, i servizi del portale "disponibiliad accesso libero". In ragione della scarsa precisione di tale nozionee dell'importanza dell'esatta definizione delle condizioni di accesso a talearea del portale, è opportuno sostituire la suddetta nozione con quella,maggiormente determinata, contenuta nell'articolo 6, comma 6, del Regolamento,che descrive un "accesso senza l'impiego di apposite credenziali, sistemidi identificazione e requisiti di legittimazione".

4.2. Inoltre, il medesimo comma 2 dell'articolo 5 contieneun'elencazione meramente esemplificativa delle tipologie di informazioni resedisponibili nell'area pubblica del portale. Anche in tal caso, al fine dievitare che siano resi accessibili dati personali a soggetti non legittimati, èopportuno, da un lato, elencare tassativamente le tipologie d'informazione resedisponibili e, dall'altro, precisare ulteriormente che i dati identificatividei procedimenti di cui alla lettera c), non solo non devono contenereriferimenti "in chiaro" ai nomi o ai dati personali delle parti, manon devono neppure consentire di risalire all'identità degli interessati.

5. Identificazione informatica.
L'articolo6, comma 5, del provvedimento, ai fini dell'identificazione informatica(nozione da intendersi secondo la definizione di cui all'articolo 2, comma 1,lettera f), del Regolamento), consente l'utilizzo di dispositivi crittograficianche non conformi alle prescrizioni sancite nei commi precedenti, purchèemessi entro il 30 giugno 2011. In ragione della particolare importanza che idispositivi crittografici rivestono ai fini della garanzia della legittimazioneall'accesso al sistema dei soli soggetti abilitati e, quindi, ai fini dellatutela dei dati personali trattati nell'ambito dello stesso sistema, èopportuno precisare che i suddetti dispositivi ammessi, pur non conformi allespecifiche di cui all'articolo 6, devono comunque garantire un livelloequivalente di sicurezza per i dati e per il sistema.

6. Sistemi informatici per i soggettiabilitati interni.

6.1. L'articolo 10, comma 1, disciplina le funzioni rese disponibili daisistemi informatici ai soggetti abilitati interni e ai loro "assistenti".Dal momento che tale ultima figura non è prevista dall'articolo 8 delRegolamento (significativamente rubricato "sistemi informatici per isoggetti abilitati interni"), appare opportuno sopprimerla, tenutoperaltro conto che la nozione di "soggetti abilitati interni"di cui all'articolo 2, comma 1, lettera m), n.1, del Regolamento, giàcomprende, tra l'altro, l'ampia categoria del "personale degli ufficigiudiziari e degli UNEP".

6.2. L'articolo 10 comma 2 del provvedimento prevede l'utilizzo disemplici credenziali basate su "username" e "password".In questo modo viene escluso il possibile ricorso a strumenti più sicuri chepotrebbero rendersi utilizzabili in una fase più avanzata di dispiegamentodegli strumenti informatici previsti nel sistema informativo. Sarebbe quindipreferibile riformulare il comma 2 citato in modo che l'indicazione non siatassativa e resti aperta la possibilità di dotare anche i soggetti abilitatiinterni di sistemi di "autenticazione forte".

7. Conservazione dei log.

7.1. Diverse disposizioni del provvedimento (articoli 4, comma 6; 11,comma 3; 18, comma 4; 25, comma 3) disciplinano modalità, condizioni e terminedi conservazione dei log relativi agli accessi al sistema informatico delMinistero o ai servizi da esso resi disponibili.
Sul punto, è opportunoin primo luogo richiamare l'attenzione sulla necessità di prevedere laconservazione dei soli dati effettivamente necessari a identificare l'autoredell'accesso ai dati e al sistema, al fine di impedire ogni forma di abuso.

Per altro verso, la tracciabilità degli accessi richiesta dalRegolamento (articoli 9, comma 6, in relazione al fascicolo informatico e 16,comma 6, in ordine agli atti contenenti dati sensibili) suggerirebbe diconservare i log inerenti non solo al prelievo di documenti, ma anchealla loro mera consultazione. In tal senso, gli articoli 11, comma 3, letterab) e 18, comma 4, lettere a), b) e d) dello schema di provvedimento, dovrebberoessere modificati in parte qua.

7.2. In secondo luogo, le disposizioni su richiamate prevedono diversitermini di conservazione dei log. In particolare, mentre l'articolo 4, comma 6,prevede (correttamente: cfr. articolo 4, comma 3 del Regolamento) un termine diconservazione pari a cinque anni, le altre disposizioni contemplano unicamentetermini minimi di conservazione (almeno cinque anni ai sensi degli articoli 11,comma 3 e 18, comma 4; almeno dieci ai sensi dell'articolo 25, comma 3). Nelribadire in ogni caso l'esigenza di fissare termini congrui e proporzionatirispetto alle finalità perseguite, si sottolinea come appaia preferibile laprevisione di un termine certo e non già del solo limite minimo diconservazione.

IL GARANTE

esprime parere favorevole sullo schema di provvedimento recante "Specifichetecniche del decreto del Ministro della giustizia in data 21 febbraio 2011 n.44, recante Regolamento concernente le regole tecniche per l'adozione nelprocesso civile e nel processo penale delle tecnologie dell'informazione edella comunicazione, in attuazione dei principi pervisti dal decretolegislativo 7 marzo 2005, n. 82 e successive modificazioni, ai sensidell'articolo 4, commi 1 e 2, del decreto-legge 29 dicembre 2009, n. 193,convertito nella legge 22 febbraio 2010, n. 24", con le seguenticondizioni:

a) l'articolo 3 sia riformulato prevedendo, al comma 2,un'elencazione non già meramente esemplificativa, ma tassativa delle infrastruttureunitarie e comuni nonchÈ l'indicazione specifica delle banche dati nazionali(punto 1.1); al comma 5, il parere del Garante in ordine ai decreti delResponsabile S.I.A. volti ad emanare (e quindi aggiornare periodicamente) lelinee-guida per l'organizzazione e la gestione del sistema informatico delMinistero della giustizia (punto 1.3.); al comma 6, un miglior coordinamentocon quanto sancito dall'articolo 3 del Regolamento circa l'"allocazione"dei dati, valutandosi comunque l'opportunità di consentire la condivisione deisoli dati effettivamente pertinenti e necessari all'espletamento di funzionicomuni (punto 1.1.);

b) sia valutata la possibilità di estendere la previsione di cuial comma 5 dell'articolo 7 anche ai dati relativi ai professionisti iscritti inalbi ed elenchi istituiti con legge, nei termini di cui in motivazione (punto2);

c) al comma 9 dell'articolo 4, le parole da: "canale dicomunicazione cifrata", fino alla fine, siano sostituite dalleseguenti: "canale sicuro protetto da un meccanismo di crittografia aisensi di quanto previsto dall'articolo 20" (punto 3);

d) all'articolo 5, comma 2, le parole: "accessolibero" siano sostituite dalle seguenti: "accesso senzal'impiego di apposite credenziali, sistemi di identificazione e requisiti dilegittimazione" (punto 4.1); siano elencate tassativamente letipologie d'informazione rese disponibili e si precisi ulteriormente che i datiidentificativi dei procedimenti di cui alla lettera c) del medesimo comma 2,non solo non devono contenere riferimenti "in chiaro" ai nomio ai dati personali delle parti, ma non devono neppure consentire di risalireall'identità dell'interessato (punto 4.2.);

e) all'articolo 6, comma 5, si precisi che i dispositivi ammessi,pur non conformi alle specifiche disciplinate dai commi precedenti, devonocomunque garantire un livello equivalente di sicurezza per i dati e per ilsistema (punto 5);

f) all'articolo 10, al comma 1, sia soppresso il riferimento agliassistenti dei soggetti abilitati interni (punto 6.1) e, al comma 2, siaprevista la possibilità di dotare anche i soggetti abilitati interni di sistemidi "autenticazione forte" (punto 6.2.);

g) agli articoli 4, comma 6; 11, comma 3; 18, comma 3; 25, comma3, sia prevista la conservazione dei soli dati effettivamente necessari aidentificare l'autore dell'accesso ai dati e al sistema e agli articoli 11,comma 3, lettera b) e 18, comma 4, lettere a), b) e d), si disponga laconservazione dei log inerenti non solo al prelievo di documenti, maanche alla loro mera consultazione (punto 7.1);

h) agli articoli 11, comma 3; 18, comma 4; 25, comma 3, siaprevisto un termine certo e non già il solo limite minimo di conservazione deidati (punto 7.2).

Roma, 10 giugno 2011

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale
De Paoli