Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell'interno;

Visto l'articolo 154, commi 4 e 5, del Codice in materia di protezione dei dati personali ( d.lgs. 30 giugno 2003, n. 196  );

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO

Il Ministero dell'interno ha richiesto il parere del Garante in ordine a uno schema di decreto direttoriale recante prescrizioni tecniche relative a "procedure e processi di produzione e di servizio per il procedimento di emissione e controllo del permesso di soggiorno".

Il decreto è adottato ai sensi dell'articolo 10, comma 1, lett. a), del decreto del Ministro dell'interno 23 luglio 2013 (di seguito DM) recante regole di sicurezza relative al permesso di soggiorno (di seguito anche PSE), con il quale il modello del permesso di soggiorno e del permesso di soggiorno per soggiornanti di lungo periodo (artt. 5, comma 8, e 9 d.lgs. 286/1998  ) è stato adeguato alle previsioni contenute nel regolamento CE n. 380/2008 del Consiglio del 18 aprile 2008, di modifica del regolamento (CE) n. 1030/2002 , istitutivo di un modello uniforme per i permessi di soggiorno rilasciati a cittadini di paesi terzi, e sul cui schema il Garante ha reso parere in data 5 giugno 2012.

Il medesimo articolo 10 prevede che siano adottati altri due decreti direttoriali per l'individuazione delle prescrizioni tecniche in materia, rispettivamente, di "infrastruttura di sicurezza PSE relativa al permesso di soggiorno" (comma 1, lett. b)) e di "modalità di acquisizione e di verifica degli elementi biometrici primari e secondari" del PSE (comma 1, lett. c)).

Anche gli schemi dei predetti decreti sono stati trasmessi al Garante e su di essi l'Autorità si esprimerà con separato parere.

RILEVATO

Il decreto in esame definisce i processi relativi ai procedimenti di rilascio e controllo del permesso di soggiorno con particolare riferimento agli aspetti di sicurezza e alle procedure adottate per il monitoraggio degli stessi, in conformità alle disposizioni contenute nel DM, cui dà attuazione sotto il profilo tecnico.

Il permesso di soggiorno è composto da un supporto fisico con gli elementi e i requisiti di sicurezza previsti dalle prescrizioni tecniche stabilite nell'Allegato I alla Decisione C(2009) 3770 (classificato "SECRET UE"), nonché da un microprocessore RF integrato contenente i dati del permesso di soggiorno, in conformità al Regolamento CE n. 380/2008  e alle prescrizioni tecniche stabilite nell'allegato II alla Decisione della Commissione C(2009) 3770 del 20 maggio 2009.

I dati e gli elementi biometrici primari (immagini del volto del titolare del PSE), specificati nell'Allegato A al decreto del 2013, sono stampati sul predetto supporto fisico. I dati e gli elementi biometrici primari e secondari (immagini delle impronte digitali del titolare), specificati nell'Allegato A al medesimo decreto, sono memorizzati all'interno del microprocessore RF. Quest'ultimo è costituito da un chip contactless, conforme alla normativa internazionale (paragrafo 2.1).

Al fine di garantire un elevato livello di sicurezza, il circuito di emissione e controllo si basa su un'architettura centralizzata che consente sia la tracciatura di tutte le operazioni effettuate da ciascun ente coinvolto, sia l'emissione di documenti con caratteristiche di sicurezza in grado di minimizzare i rischi di contraffazione e falsificazione. In particolare, la componente di governo dei processi è affidata all'Infrastruttura Centrale PSE, la gestione della sicurezza all'Infrastruttura di Sicurezza PSE e la fase di produzione dei permessi di soggiorno all'Istituto Poligrafico e Zecca della Stato (di seguito IPZS) (par. 2.2).

Il paragrafo 3.2.1 individua le fasi del procedimento di emissione del PSE nelle seguenti: pianificazione dei fabbisogni e produzione dei supporti dei permessi di soggiorno; gestione delle richieste di rilascio dei permessi di soggiorno, previa acquisizione elettronica dell'istanza di richiesta di rilascio del permesso; inizializzazione e personalizzazione dei permessi di soggiorno da parte dell'IPZS; spedizione, trasporto e presa in carico dei permessi di soggiorno da parte dell'Ufficio Immigrazione; consegna del permesso di soggiorno allo straniero da parte dell'Ufficio Immigrazione.

Nell'ambito della fase di gestione delle istanze di rilascio del PSE, assume particolare importanza la procedura per l'assunzione dei rilievi dattiloscopici, necessaria per l'identificazione dello straniero, composta, a sua volta, dalle seguenti fasi: acquisizione del riferimento univoco della pratica per la successiva associazione al cartellino fotosegnaletico; svolgimento dei rilievi fotodattiloscopici; acquisizione del cartellino fotosegnaletico da parte del sistema AFIS e generazione di un codice identificativo (CUI); associazione del CUI al riferimento univoco della pratica; trasmissione del CUI e numero univoco della pratica all'Infrastruttura Centrale PSE; messa a disposizione degli eventuali precedenti dattiloscopici per la consultazione dell'Ufficio immigrazione tramite l'Infrastruttura centrale PSE.

Lo schema individua poi i soggetti coinvolti nelle varie fasi, abilitati ad operare sull'archivio di cui all' articolo 2, comma 1, lett. g), del DPR n. 242/2004  (c.d. "archivio immigrazione") con le connesse qualità e responsabilità in punto di protezione dei dati personali (par. 3.1.1).

In particolare: titolare del trattamento dei dati è il Ministero dell'Interno - Dipartimento della P.S., secondo quanto stabilito dall'art. 12 comma 2 del DM, in quanto Pubblica Amministrazione a cui competono le decisioni concernenti le procedure e le determinazioni in ordine alle finalità ed alle modalità del trattamento dei dati personali per le finalità di rilascio e controllo del permesso di soggiorno, nonché agli strumenti utilizzati, ivi compreso il profilo della sicurezza; responsabile del trattamento dei dati è il Centro Elettronico Nazionale della Polizia di Stato secondo quanto stabilito dall'art. 12, comma 2 del DM; incaricati del trattamento dei dati, sono gli operatori degli enti designati dal titolare o dal responsabile del trattamento (personale delle Questure e degli Uffici di Frontiera, dei Gabinetti Interregionali / Regionali di Polizia Scientifica limitatamente alle attività finalizzate ai rilievi foto-dattiloscopici; personale dell'IPZS esclusivamente ai fini della personalizzazione del PSE; personale degli uffici competenti del Dipartimento per le Libertà Civili e l'Immigrazione del Ministero dell'interno, in relazione a quanto previsto dall'articolo 2, commi 2 e 4, del D.P.R. 242/2004  ; personale degli enti che hanno stipulato con il Ministero dell'Interno convenzioni ai sensi della legge 271/2004  , limitatamente alla raccolta e trasmissione dei dati personali contenuti nelle richieste di rilascio del permesso di soggiorno).

Poste Italiane S.p.A. è responsabile del trattamento dei dati personali effettuato per le finalità di cui al presente decreto, in base alla convenzione stipulata con il Ministero dell'Interno ai sensi della predetta legge 271/2004  .

I soggetti ed il personale sopra indicati trattano i soli dati pertinenti e non eccedenti necessari al perseguimento delle finalità del presente decreto in relazione alle loro specifiche competenze.

Lo schema disciplina poi i sistemi e i flussi informativi fra i diversi soggetti coinvolti, necessari per il procedimento di rilascio e rinnovo del PSE. A tal riguardo, l'Infrastruttura Centrale PSE prevede collegamenti telematici, in particolare, con: le postazioni di lavoro presso le Questure, l'IPZS, il sistema AFIS, l'archivio SDI del Centro elaborazione dati del Dipartimento della P.S., il già citato archivio immigrazione.

I flussi informativi (messaggi XML) scambiati in modalità sicura tra gli Enti avvengono tramite la rete ministeriale ed eventuali collegamenti dedicati tra Infrastruttura Centrale PSE ed altri Enti.

Infine, si prevede che alcune informazioni sull'impronta digitale rilevata siano memorizzate in forma anonima, cioè senza che possano essere riconducibili al titolare, al fine di elaborare dati statistici sulla qualità delle impronte acquisite (par. 5).

CONSIDERATO

Lo schema di decreto è stato elaborato nell'ambito di un tavolo di lavoro istituito presso il Dipartimento della pubblica sicurezza del Ministero dell'interno, incaricato di redigere lo schema di decreto ministeriale sul PSE e i correlati decreti direttoriali, cui ha partecipato, a richiesta e in via collaborativa, anche l'Ufficio del Garante fin dalla sua costituzione risalente al 2011.

L'Ufficio ha fornito il proprio contributo in relazione agli aspetti del provvedimento suscettibili di incidere sul diritto alla protezione dei dati personali, così come aveva a suo tempo fatto in relazione allo schema del decreto ministeriale, fornendo indicazioni per elevare il livello delle garanzie per gli interessati che sono state integralmente recepite dall'Amministrazione.

Per quanto sopra esposto, le disposizioni dello schema di decreto in esame non presentano profili di criticità sotto il profilo della protezione dei dati personali e, pertanto, il Garante non ha osservazioni da formulare sull'articolato.

IL GARANTE

esprime parere favorevole sullo schema di decreto direttoriale del Ministero dell'interno recante prescrizioni tecniche relative a "procedure e processi di produzione e di servizio per il procedimento di emissione e controllo del permesso di soggiorno".