/ Nunzio RAGNO e Giuseppe QUARTICELLI Sabato, 28 aprile 2018
4-6 minuti
Con un parere del 12 aprile 2018, pubblicato nella newsletter di ieri, il Garante per la privacy ha indicato al Ministero dell’Economia e delle finanze misure e accorgimenti per rendere pienamente conformi alla normativa sulla protezione dei dati personali le modalità tecniche di invio dei dati al registro degli operatori compro oro.
Il parere riguarda, in particolare, lo schema di decreto volto a definire le modalità tecniche di invio dei dati e di alimentazione del nuovo registro degli operatori compro oro, tenuto e gestito dall’Organismo degli agenti in attività finanziarie e mediatori creditizi (OAM).
Si ricorda che la prima sezione del Registro istituito dall’art. 3 del DLgs. 25 maggio 2017 n. 92 conterrà dati generici dei commercianti del settore (ossia dati anagrafici, indirizzo PEC, numero del conto dedicato ecc.) e sarà ad accesso libero, mentre la seconda sezione accoglierà le informazioni sulle sanzioni e sui provvedimenti notificati agli operatori economici iscritti e sarà ad accesso riservato alle sole forze dell’ordine e alle autorità pubbliche preposte alle attività di controllo.
Lo schema di decreto ministeriale trasmesso al Garante Privacy, contenente le modalità tecniche di invio dei dati e di alimentazione del registro previsto dal DLgs. 92/2017, risulta composto di dieci articoli e prevede, inoltre, la struttura del registro nonché l’obbligo della tempestiva messa a disposizione dei dati a MEF, UIF, Guardia di finanza, Autorità giudiziaria.
Il Garante, rispetto al decreto ministeriale e ai sensi dell’art. 11 del Codice della Privacy, ha chiesto al MEF di effettuare una selezione attenta dei dati da inserire nel registro, al fine di assicurare il pieno rispetto dei principi di finalità e proporzionalità del trattamento e pertinenza degli stessi.
Nella sezione del registro compro oro ad accesso pubblico, infatti, lo schema di decreto prevede che siano annotate e consultabili, indiscriminatamente, tutte le informazioni trasmesse dall’operatore al momento dell’iscrizione (dati anagrafici, residenza, codici fiscali anche dei preposti, estremi dei conti correnti dedicati, indirizzi PEC). A parere del Garante, le informazioni della prima sezione non dovrebbero essere tutte liberamente accessibili, come, ad esempio, gli indirizzi PEC, utili all’OAM per comunicare con gli operatori, ma potrebbero essere conservate nell’archivio dell’Organismo senza essere resi “pubblici” tramite il Registro.
Per la sottosezione ad accesso riservato, invece, in cui sono registrati gli estremi di provvedimenti sanzionatori, di sospensione dell’attività e/o di cancellazione dal registro, il Garante ha chiesto al MEF di specificare che l’accesso avvenga su connessione protetta e previa procedura di autenticazione e autorizzazione e rileva che, contrariamente a quanto previsto dal DLgs. n. 92/2017 (art. 3, comma 4, lett. d), lo schema di decreto non indica le eventuali modalità di interfaccia tra la sottosezione ad accesso riservato del registro dei compro oro con gli altri elenchi o registri tenuti dall’OAM.
Quanto, inoltre, alle procedure di registrazione, accreditamento e utilizzo del servizio di iscrizione al registro, nonché alle modalità di accreditamento e di accesso alla sezione riservata, lo schema rimanda a specifiche tecniche da individuarsi in appositi atti dell’OAM, sui quali l’Autorità non potrà esprimere il proprio parere.
A tal riguardo, il Garante ritiene necessario integrare i contenuti di tali specifiche tecniche con:
- idonee e preventive misure adottate a protezione dei dati personali contenuti nel registro e, per tale aspetto, il riferimento è al provvedimento n. 393 del 2 luglio 2015, con cui il Garante ha individuato misure standardizzate per l’accesso a banche dati di soggetti pubblici;
- il rispetto del tempo massimo di conservazione dei dati personali;
- la registrazione delle operazioni di accesso alla banca dati nonché i tempi di conservazione degli stessi, ai fini della liceità del trattamento dei dati;
- le informazioni sugli accessi e le misure contro ogni uso improprio dei medesimi dati.
Oltre a ciò, il Garante ritiene opportuno eliminare l’improprio utilizzo del termine “condivisione” in relazione alle credenziali univoche di accesso alla banca dati.