Parere sullo schema di decreto del Ministro dell’interno recante l’erogazione del servizio dei certificati ANPR da parte degli sportelli degli uffici postali nell’ambito del Progetto Polis-Case dei servizi di cittadinanza digitale – 26 ottobre 2023
Registro dei provvedimenti
n. 493 del 26 ottobre 2023
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza, componente, e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);
VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito, “Codice”);
VISTO il decreto legge 17 maggio 2022, n. 50, convertito con modificazioni dalla legge 15 luglio 2022, n. 91, recante “Misure urgenti in materia di politiche energetiche nazionali, produttività delle imprese e attrazione degli investimenti, nonché in materia di politiche sociali e di crisi ucraina” e, in particolare, l’articolo 38, ai sensi del quale, al fine di attuare il progetto «Polis» – Case dei servizi di cittadinanza digitale, il Ministero dello sviluppo economico, in qualità di amministrazione titolare, limitatamente alle modalità di erogazione dei servizi digitali, stipula con le pubbliche amministrazioni, convenzioni a titolo gratuito per rendere accessibili i servizi di competenza delle predette amministrazioni per il tramite di uno «sportello unico» di prossimità nel territorio dei comuni con popolazione inferiore a quindicimila abitanti, affidando, anche in deroga all’articolo 7-vicies ter, comma 2-bis, terzo periodo, del decreto-legge 31 gennaio 2005, n. 7, l’erogazione dei suddetti servizi a Poste Italiane S.p.A. che utilizza, a tal fine, la propria infrastruttura tecnologica e territoriale;
VISTO il decreto legislativo 7 marzo 2005, n. 82, recante il Codice dell’Amministrazione Digitale (CAD) e, in particolare, gli articoli 50-ter e 62, commi 3 e 6-bis;
VISTO il decreto del Presidente del Consiglio dei Ministri 10 novembre 2014, n. 194, recante “Regolamento recante modalità di attuazione e di funzionamento dell’Anagrafe nazionale della popolazione residente (ANPR) e di definizione del piano per il graduale subentro dell’ANPR alle anagrafi della popolazione residente”;
VISTO il decreto del Ministero dell’interno del 18 ottobre 2022, recante “Aggiornamento della piattaforma di funzionamento dell’Anagrafe nazionale della popolazione residente per l’erogazione dei servizi resi disponibili ai comuni per l’utilizzo dell’Archivio nazionale informatizzato dei registri dello stato civile”, su cui il Garante ha espresso il prescritto parere con provvedimento n. 298 del 15 settembre 2022 (doc. web n. 9815094);
VISTO, altresì, il decreto del Ministro dell’interno del 17 ottobre 2022, recante “Modalità di integrazione nell’ANPR delle liste elettorali e dei dati relativi all’iscrizione nelle liste di sezione di cui al decreto del Presidente della Repubblica 20 marzo 1967, n. 223” su cui il Garante ha reso il prescritto parere con provvedimento n. 252 del 21 luglio 2022 (doc. web n. 9805346);
VISTO il decreto del Ministro dell’interno del 3 novembre 2021, di concerto con il Ministro per l’innovazione tecnologica e la transizione digitale e il Ministro per la pubblica amministrazione recante “Modalità di richiesta e rilascio dei certificati anagrafici in modalità telematica attraverso l’Anagrafe nazionale popolazione residente”;
VISTE le note del 5 settembre, del 9 ottobre e, da ultimo, del 16 ottobre 2023, con cui il Ministero dell’interno ha trasmesso all’Autorità, al fine di acquisire il prescritto parere, lo schema di decreto avente ad oggetto l’erogazione del servizio di rilascio dei certificati disponibili nell’Anagrafe nazionale della popolazione residente (ANPR) da parte degli sportelli degli uffici postali, nell’ambito del progetto «Polis» – Case dei servizi di cittadinanza digitale di cui all’art. 1, comma 2, lettera f), numero 1, del decreto legge 6 maggio 2021, n. 59, da adottarsi, ai sensi dell’art. 62, comma 6-bis, del decreto legislativo 7 marzo 2005, n. 82, di concerto con il Dipartimento della funzione pubblica e il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri, unitamente al disciplinare tecnico, che ne costituisce parte integrante, alla relazione illustrativa e alla valutazione d’impatto del trattamento;
RILEVATO che lo schema di decreto in esame, che si compone di sei articoli, prevede, in particolare, che:
– il sistema ANPR metta a disposizione di Poste Italiane S.p.A. (Poste Italiane) i servizi di emissione dei certificati, mediante servizi resi fruibili per il tramite della Piattaforma Digitale Nazionale dei Dati (PDND) (art. 2);
– i certificati anagrafici degli iscritti nell’ANPR, riguardanti il richiedente e i componenti della propria famiglia anagrafica, possano essere richiesti in modalità telematica attraverso i servizi di Poste Italiane, secondo le modalità descritte nel disciplinare tecnico (art. 3);
– siano implementate misure di sicurezza per l’erogazione dei servizi, a garanzia dell’integrità, della riservatezza dei dati, della sicurezza dei servizi e dell’accesso ad essi nonché del tracciamento delle operazioni effettuate (art. 4);
– il Ministero dell’interno è titolare del trattamento con riferimento ai dati contenuti in ANPR, sotto i profili della conservazione, della comunicazione e dell’adozione delle relative misure di sicurezza (art. 5, comma 1);
– siano nominati responsabili del trattamento Poste Italiane S.p.A., al fine di fornire ai cittadini il servizio di richiesta e rilascio dei certificati anagrafici disponibili nell’ANPR, e Sogei S.p.A. per la realizzazione delle funzionalità di ANPR e la gestione dell’infrastruttura (art. 5, commi 2 e 3);
RILEVATO che il disciplinare tecnico prevede, in particolare, che:
– l’erogazione del servizio per il rilascio dei certificati anagrafici relativi al cittadino richiedente e alla sua famiglia anagrafica avvenga per il tramite della piattaforma di Poste Italiane denominata “Polis” (di seguito indicata “Piattaforma Polis”) che offre agli operatori di sportello le funzionalità per richiedere e stampare i certificati da consegnare al cittadino, richiamando i servizi resi disponibili dal sistema ANPR tramite PDND (par. 3.1);
– l’accesso a tali servizi da parte della Piattaforma Polis avvenga secondo le modalità di autenticazione e autorizzazione applicativa previste dalla PDND e descritte nelle “Linee Guida sull’interoperabilità tecnica delle Pubbliche Amministrazioni” adottate dall’Agenzia per l’Italia digitale (AgID) con determinazione n. 547 del 1° ottobre 2021, e da ultimo aggiornate con determinazione n. 128 del 23 maggio 2023 (par. 3.1);
– il personale abilitato a erogare i servizi previsti da ANPR sia individuato tra quello con rapporto di lavoro a tempo indeterminato alle dirette dipendenze di Poste Italiane, con qualifiche espressamente individuate, e possieda, pertanto, i requisiti richiesti dalla regolamentazione di settore applicabile a Poste Italiane, compresi quelli relativi all’assenza di condanne penali (par. 3.2);
– il cittadino richiedente il certificato presso gli uffici postali sia identificato attraverso il codice fiscale e un documento di riconoscimento in corso di validità, in modo da poter procedere con il riconoscimento de visu e con la registrazione, ai fini della tracciabilità delle operazioni, del codice fiscale e degli estremi del documento con il quale è stato identificato (par. 4);
– il personale preposto di Poste Italiane effettui la verifica dell’esistenza del codice fiscale dal sistema ANPR, tramite i servizi resi disponibili tramite la PDND, quale condizione necessaria per l’erogazione del servizio; se la risposta del servizio è positiva, il cittadino può richiedere i certificati per se stesso o per un componente della sua famiglia anagrafica e il sistema ANPR restituisce il certificato richiesto in formato pdf; in caso di risposta negativa, il sistema restituisce un messaggio da comunicare al cittadino richiedente (par. 4);
RILEVATO altresì che, con riferimento alle misure tecniche e organizzative, il predetto disciplinare prevede, in particolare, che:
– le informazioni relative al cittadino e ai certificati richiesti, trattate nell’ambito dell’erogazione del servizio, siano gestite temporaneamente sulla Piattaforma Polis sino alla chiusura della sessione; un sottoinsieme di tali informazioni, specificamente individuate, venga registrato nei log di tracciatura sulla piattaforma di conservazione dei log di Poste Italiane (par. 3.1);
– per la gestione dei profili e l’autorizzazione agli accessi del personale preposto di Poste Italiane, la piattaforma di Identity & Access Management di Poste Italiane garantisca la sicurezza dei processi di identificazione e autenticazione anche attraverso robusti meccanismi basati sull’utilizzo di smart card crittografiche, come doppio fattore di autenticazione, prevedendo altresì l’utilizzo di un processo di gestione dei ruoli e dei profili autorizzativi, congiuntamente a meccanismi di tracciabilità della gestione delle identità del personale preposto, oltre che la piena tracciabilità delle operazioni effettuate per il rilascio dei certificati ANPR (par. 3.2);
– l’integrità e il non ripudio siano garantiti dall’apposizione di firma ai messaggi scambiati nell’interazione tra la Piattaforma Polis e il sistema ANPR, secondo le modalità previste dalle citate “Linee Guida sull’interoperabilità tecnica delle Pubbliche Amministrazioni” (par. 5.1);
– la riservatezza dell’accesso ai dati sia garantita da un lato dai meccanismi implementati dalla PDND relativi al controllo e alla tracciabilità degli accessi applicativi eseguiti dalla Piattaforma Polis verso i servizi di ANPR, dall’altro dal meccanismo di autenticazione a due fattori previsto per l’accesso del personale preposto alla Piattaforma Polis. Tali meccanismi, insieme alle misure di tracciamento delle operazioni effettuate, garantiscono anche il non ripudio delle attività svolte dal personale preposto; inoltre, la cifratura del canale contribuisce a garantire la riservatezza dei dati in transito nell’interazione tra le due suddette piattaforme (par. 5.1);
– al fine di minimizzare il rischio di abuso derivante dall’utilizzo di documenti di riconoscimento, sia reso disponibile agli interessati, all’interno dell’area riservata di ANPR, lo storico dei certificati emessi nell’ultimo anno tramite il servizio Polis, e sia implementato da parte di Poste Italiane un sistema di controlli e di gestione dei rischi a vari livelli (par. 5.1);
– siano messe in atto e mantenute costantemente aggiornate misure adeguate per proteggere i sistemi da attacchi informatici (par. 5.2);
– il meccanismo di strong authentication, basato su smart card con pin, previsto per il personale preposto, sia utilizzato anche in condizioni di eccezione (ad esempio, in caso di perdita o smarrimento della smart card); l’accesso possa essere garantito in emergenza esclusivamente con equivalenti meccanismi di autenticazione forte (per esempio con una smart card sostitutiva associata univocamente al dipendente preposto) (par. 5.2);
– considerato che il servizio Polis richiede la presenza fisica del cittadino allo sportello, sia inibito l’accesso da remoto al servizio da parte del personale abilitato all’emissione dei certificati (par. 5.2);
– le operazioni effettuate dal personale di Poste Italiane siano oggetto di tracciatura sia nella piattaforma Polis (codice fiscale del cittadino che richiede il servizio; gli estremi del documento d’identità del cittadino che richiede il servizio; data, ora, minuti, secondi e millisecondi della richiesta; identificativo dell’ufficio postale e della postazione di sportello; UserID dell’operatore pseudonimizzato; operazione richiesta; esito della richiesta; identificativo della richiesta; modalità/estremi del token di autenticazione dell’operatore di sportello che eroga il servizio) sia in ANPR (codice fiscale del cittadino e/o dei componenti della famiglia anagrafica; informazioni derivanti dal token di sicurezza utilizzato dall’operatore; data, ora, minuti, secondi, millisecondi della richiesta; operazione richiesta; esito della richiesta; identificativo della richiesta; modalità di autenticazione) (par. 5.3);
– venga resa un’informativa ai lavoratori preposti in merito alla circostanza che le attività svolte sulla Piattaforma Polis sono oggetto di monitoraggio e audit da parte di Poste Italiane (par. 5.3);
– ANPR registri gli accessi alle applicazioni da parte di Poste Italiane e l’esito delle operazioni, conservandoli per 36 mesi, mentre Poste Italiane gestisca i log delle operazioni di rilascio dei certificati ANPR sulla piattaforma di conservazione e analisi dei log dedicata a Polis e garantisca la conservazione dei dati per la durata di 36 mesi dall’erogazione del servizio ANPR, secondo i criteri di confidenzialità e integrità (par. 5.3);
– Poste Italiane, tramite i propri sistemi trasversali, tracci gli accessi effettuati dagli amministratori di sistema e conservi sempre aggiornata la lista di questi ultimi (par. 5.3);
– per entrambe le piattaforme (ANPR e la citata piattaforma di conservazione e analisi dei log), sia previsto un sistema di log analysis per l’analisi periodica delle informazioni registrate dagli applicativi, in grado di individuare eventi potenzialmente anomali che possano configurare trattamenti illeciti (par. 5.3);
CONSIDERATO che la versione in esame dello schema di decreto è stata elaborata anche tenendo conto delle indicazioni fornite dall’Ufficio nell’ambito delle interlocuzioni informali intercorse durante l’istruttoria, tese ad assicurare il rispetto della normativa in materia di protezione dei dati personali, con particolare riferimento ai requisiti e ai criteri di individuazione del personale preposto, nonché alle misure tecniche e organizzative volte, anche in un’ottica di responsabilizzazione, a minimizzare il rischio di trattamenti non autorizzati, nel rispetto di quanto previsto dall’art. 5, parr. 1, lett. f), e 2, nonché artt. 24, 25 e 32 del Regolamento;
CONSIDERATO che, nell’ambito della valutazione di impatto trasmessa, le misure previste per il contenimento dei rischi sono state valutate come accettabili;
RITENUTO che, fermo restando il rispetto della vigente disciplina in materia di lavoro (art. 4, della legge 20 maggio 1970, n. 300), il complesso delle misure e garanzie previste nello schema di decreto in esame risulti conforme al Regolamento e al Codice, tenendo in adeguata considerazione i rischi per i diritti e le libertà dei diversi interessati coinvolti (soggetti richiedenti, personale preposto, ecc.) che comportano i trattamenti effettuati in tale contesto;
RITENUTO, su tali basi, che non vi siano rilievi da formulare in quanto lo schema di decreto in esame non presenta profili di criticità in materia di protezione dei dati personali;
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali;
RELATORE la prof.ssa Ginevra Cerrina Feroni;
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi dell’art. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro dell’interno, ai sensi dell’art. 62, comma 6-bis, del decreto legislativo 7 marzo 2005, n. 82, recante “L’erogazione del servizio dei certificati ANPR da parte degli sportelli degli uffici postali nell’ambito del Progetto Polis-Case dei servizi di cittadinanza digitale di cui all’articolo 1, comma 2, lettera f), numero 1, del decreto legge 6 maggio 2021, n. 59, convertito, con modificazioni, dalla legge 1 luglio 2021, n. 101 e art. 38 del decreto legge 17 maggio 2022, n. 50, convertito, con modificazioni, dalla legge 15 luglio 2022, n. 91”.
Roma, 26 ottobre 2023
IL PRESIDENTE
Stanzione
IL RELATORE
Cerrina Feroni
IL SEGRETARIO GENERALE
Mattei
