| Garante per la protezione dei dati personali Trasmissione per via telematica didati e informazioni sul ritiro dalla circolazione di banconote e monete eurosospette di falsità – PROVVEDIMENTO DEL 4 OTTOBRE 2012 Registro dei provvedimenti n. 263 del 4 ottobre 2012 IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI Nellariunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano edella dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia,segretario generale; Vistala richiesta di parere del Ministero dell'economia e delle finanze; Vistol'art. 154, comma 4 del Codice in materia di protezione dei dati personali(d.lgs. 30 giugno 2003, n. 196); Vistala documentazione in atti; Vistele osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; Relatorela dott.ssa Augusta Iannini; PREMESSO 1.Il Ministero dell'economia e delle finanze ha richiesto il parere delGarante in ordine a uno schema di decreto ministeriale in materia ditrasmissione per via telematica dei dati e delle informazioni relativi alritiro dalla circolazione di banconote e di monete metalliche in euro sospettedi falsità. Alriguardo, il regolamento (CE) n. 1338/2001 del Consiglio del 28 giugno 2001,come modificato dal regolamento (CE) n. 44/2009 del 18 dicembre 2008, definiscetalune misure necessarie alla protezione dell'euro contro la falsificazione,prevedendo, fra l'altro, che gli Stati membri designino "autoritànazionali competenti" a individuare le banconote e le monete false e araccogliere e analizzare i dati tecnici e statistici ad esse relativi (art. 2,reg. CE n. 1338/2001). Lamateria è disciplinata in Italia dal decreto-legge 25 settembre 2001, n. 350,convertito, con modificazioni, dalla legge 23 novembre 2001, n. 409, recantedisposizioni urgenti in vista dell'introduzione dell'euro, il quale prevede chele predette autorità nazionali trasmettano al Ministero dell'economia e dellefinanze i dati e le informazioni di cui dispongono, riguardanti lefalsificazioni delle banconote e delle monete metalliche denominate in eurononché degli altri mezzi di pagamento, secondo le modalità e i terministabiliti dallo stesso Ministero (art. 7, d.l. n. 350/2001). In proposito, sonostati adottati il decreto 26 settembre 2002 recante modalità e termini perl'invio delle segnalazioni riguardanti le banconote e le monete sospette difalsità ritirate o sequestrate da parte delle Forze di polizia e il decreto 1°marzo 2002 sul ritiro dalla circolazione delle monete metalliche. Successivamente,l'articolo 2, comma 152, del decreto-legge 3 ottobre 2006, n. 262, convertito,con modificazioni, dalla legge 24 novembre 2006 n. 286, recante disposizioniurgenti in materia tributaria e finanziaria, ha stabilito che i gestori delcontante debbano trasmettere, per via telematica, al Ministero dell'Economia edelle finanze i dati e le informazioni relativi al ritiro dalla circolazione dibanconote e di monete metalliche in euro sospette di falsità, secondo ledisposizioni applicative stabilite dal predetto Ministero. L'odiernoschema di decreto ministeriale intende dare attuazione a tale disposizionenormativa. RILEVATO 2.Lo schema di decreto individua i "gestori del contante" -obbligati alritiro dalla circolazione di banconote e monete sospette di falsità- nellebanche, in Poste Italiane S.p.a., negli istituti di moneta elettronica e inaltri operatori economici che partecipano alla gestione e distribuzione delle banconoteal pubblico (art. 2 dello schema). Igestori del contante devono trasmettere i dati e le informazioni in loropossesso (specificamente individuati nell'articolo 5 dello schema), alMinistero dell'economia e delle finanze, esclusivamente per via telematica, peril tramite del sistema SIRFE (acronimo di Sistema informatizzato rilevazionefalsi euro), vale a dire l'archivio informatizzato per la raccolta dei datirelativi ai casi di sospetta falsità di banconote e monete, istituito presso ilDipartimento del Tesoro/UCAMP di quel Ministero. Igestori del contante adempiono ai propri obblighi compilando i verbali diritiro e inserendo i dati e le informazioni nel SIRFE: in particolarel'archivio è alimentato con dati identificativi del gestore del contante; datiidentificativi delle banconote/monete ritirate; dati identificativi dellapersona che ha presentato la banconota/moneta (art. 5). Al fine di migliorarnela funzionalità, il sistema può essere alimentato anche da altri dati oinformazioni a carattere tecnico, con esclusione, tuttavia, di ulteriori datipersonali. 3.L'Ufficio del Garante ha, altresì, esaminato la nota tecnica trasmessa con larichiesta di parere nella quale è descritta l'architettura tecnica del SIRFE. Nellanota sono descritte due modalità distinte di accesso al sistema: la primaprevede la classica procedura di login attraverso una credenziale composta dauserid e password, mentre la seconda prevede un'autenticazione di tipo c.d.federato. Quest'ultima presuppone il mutuo riconoscimento informatico fra i duesoggetti interessati (gestore del sistema e gestore del contante) e lacifratura del canale di comunicazione, mediante meccanismi di sicurezza basatisullo scambio di chiavi fra l'application server del SIRFE e i gateway dei gestoridel contante. In caso di autenticazione di tipo federato, l'operatore chealimenta o consulta il sistema SIRFE viene autenticato dai sistemi informatividel gestore del contante ed effettua in SIRFE un "login silente",ovvero un accesso senza superare ulteriori procedure di autenticazione. RITENUTO 4.Lo schema di decreto reca disposizioni volte ad assicurare specificaapplicazione ai principi e alle regole in materia di protezione dei datipersonali. Inparticolare, i gestori del contante sono responsabili dell'esattezza e dellacompletezza dei dati che inseriscono nel SIRFE (art. 5, comma 2). Essi sonodefiniti dallo schema titolari del trattamento dei dati comunicati al Ministerodelle finanze/Dipartimento del Tesoro e, in tale veste, devono assicurare,nell'ambito dei loro sistemi, l'osservanza delle disposizioni contenute nelCodice in materia di protezione dei dati personali e, in particolare, devonoinformare le persone che presentano le banconote e/o le monete (interessati),ai sensi dell'articolo 13 del Codice, che i loro dati sono trasmessi alMinistero dell'economia e delle finanze per essere inseriti nel SIRFE (art. 7,comma 3). IlMinistero dell'economia e delle finanze – Dipartimento del Tesoro è,invece, titolare del trattamento dei dati contenuti nel SIRFE (art. 7, comma2). Igestori del contante accedono al sistema SIRFE tramite procedura diaccreditamento gestita dal Ministero dell'Economia e delle finanze/UCAMP,assicurata tramite protocollo cifrato con modalità di identificazione utente/chiaved'accesso. A tal fine devono richiedere le credenziali d'accesso al sistema.Essi, nell'ambito dei propri sistemi informatici, devono adottare procedureidonee al riconoscimento diretto e alla identificazione certa del proprioutente (art. 4, commi 1 e 2). CONSIDERATO 5.Il parere è reso su di una versione dello schema di decreto che tiene contodegli approfondimenti e delle indicazioni suggeriti dall'Ufficio del Garante aicompetenti uffici dell'Amministrazione interessata nel corso di una riunione edi contatti informali, volti a perfezionare il testo e a renderlo pienamenteconforme alla disciplina in materia di protezione dei dati personali. Leosservazioni dell'Ufficio hanno riguardato, in particolare, la necessitàdell'adozione, da parte dei gestori del contante, nell'ambito dei proprisistemi informatici, di specifiche regole di gestione delle credenziali diautenticazione al proprio sistema informativo, termini di scadenza nonchècriteri di robustezza delle credenziali utilizzate, profili di autorizzazionespecifici per l'utilizzo del sistema SIRFE nel caso di meccanismi di accesso ditipo federato. In relazione a quest'ultima ipotesi, si è richiesto di prevedereche i gestori del contante, al fine di garantire l'effettiva rispondenza delleabilitazioni correnti degli utenti alle funzioni effettivamente svolte,adottino una procedura per la verifica sistematica e la revisione periodicadelle utenze e dei relativi profili di autorizzazione, conservando i log ditracciamento degli accessi al proprio sistema informativo, con possibilità diindividuare l'utente interno che abbia effettuato un determinato accesso alSIRFE nel caso di rilevamento di anomalie anche da parte dell'UCAMP. Leindicazioni rese sono state recepite dall'Amministrazione interessata nei commi4 e 5 dell'articolo 4 dello schema. 6.Residua solo un'ultima esigenza di perfezionamento del testo. Sirichiama cioè l'attenzione dell'Amministrazione interessata sulla circostanzache lo schema fa riferimento a volte al "Ministero dell'economia e dellefinanze/Dipartimento del Tesoro" (definito, peraltro, titolare deltrattamento dei dati); a volte al Ministero dell'economia e dellefinanze/UCAMP, a volte ancora direttamente e soltanto all'UCAMP. Sichiede pertanto di valutare se i riferimenti adottati negli articoli delloschema rispondano effettivamente a diverse, specifiche qualità o competenze deisoggetti interessati, anche dal punto di vista del trattamento dei datipersonali, adottando, se necessario, le pertinenti precisazioni. Roma, 4 ottobre 2012
|