Dalla Newsletter del Garante del 3/10/2022
Sì condizionato del Garante per la privacy sullo schema di decreto del Ministro per la transizione digitale che disciplina una nuova piattaforma per l’erogazione dei benefici economici concessi dalle amministrazioni pubbliche ai cittadini. Lo schema regola un complesso di trattamenti di dati attraverso i quali assicurare l’erogazione di aiuti economici destinati a specifici acquisti da effettuare utilizzando strumenti di pagamento elettronici. L’obiettivo è quello di digitalizzare i pagamenti della Pa e consentire un più efficiente controllo della spesa pubblica, semplificando l’accesso alle diverse iniziative da parte dei cittadini attraverso l’uso della nuova piattaforma gestita da PagoPA.
Poiché i trattamenti effettuati tramite questa infrastruttura complessa presentano rischi elevati per i diritti e le libertà delle persone il Garante ha chiesto all’Amministrazione di integrare e modificare il testo del decreto, dettando precise condizioni.
Al fine di erogare i benefici ai cittadini, la piattaforma è destinata a raccogliere in modo massivo e generalizzato informazioni su tutti gli aspetti, anche i più delicati, della vita quotidiana dell’intera popolazione sulla base degli acquisti effettuati, nonché dati degli strumenti di pagamento (numero di carta di credito, ecc.) e dei conti correnti (IBAN) dei fruitori. Un patrimonio informativo così importante, riferibile anche categorie di persone vulnerabili, richiede – afferma il Garante – l’adozione di misure tecniche e organizzative in grado di mitigare i rischi di utilizzi impropri, oltre che di accessi non autorizzati, assicurando che i dati siano trattati solo per l’erogazione dei benefici richiesti.
La piattaforma dovrà quindi essere progettata, nel rispetto dei principi di privacy by design e by default, limitando la raccolta dei dati a quelli strettamente necessari allo scopo perseguito dalla singola iniziativa, senza accentrare presso PagoPa, i dati relativi a tutte le transazioni commerciali eseguite con gli strumenti di pagamento censiti nel sistema dagli utenti.
Particolare attenzione poi dovrà essere posta nella raccolta dei dati relativi ai codici merceologici dei beni acquistati, poiché da tali informazioni possono emergere anche riferimenti a opinioni politiche, convinzioni religiose, dati genetici, sulla salute o la vita sessuale.
L’amministrazione dovrà inoltre adottare misure tecniche e organizzative per verificare la titolarità dei conti correnti e l’intestazione degli strumenti di pagamento, tenendo conto che alcuni utenti potrebbero operare sulla piattaforma in favore di altri beneficiari (anziani, minori, disabili).
Mentre per prevenire accessi abusivi o illeciti, o usi impropri dei dati personali, i diversi canali di accesso alla piattaforma, fisici o digitali, che consentiranno di usufruire dei benefici offerti dalle PA, dovranno garantire una adeguata protezione dei dati con garanzie e misure di sicurezza adeguate al rischio. Il Garante ha chiesto infine che, anche eventualmente attraverso un successivo atto attuativo, siano individuati i tempi di conservazione dei dati, differenziati secondo le diverse tipologie e finalità per le quali sono trattati.
