IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. XX, presidente, della dott.ssa XX, vicepresidente, della dott.ssa XX e della prof.ssa XX, componenti, e del dott. XX, segretario generale;

VISTO il Regolamento UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (di seguito, Regolamento);

Vista la richiesta di parere del Ministero dell’economia e delle finanze di parere sul nuovo schema di Convenzione quadro tra il medesimo Ministero e la Soluzioni per il Sistema Economico – SOSE S.p.A.;

Vista la documentazione in atti;

Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa XX;

PREMESSO

Il Ministero dell’economia e delle finanze (di seguito Mef), con le note n. 10917 del 20 dicembre 2017 e n. 9770 del 28 giugno 2018, ha chiesto il parere del Garante sullo schema di convenzione quadro da stipularsi tra il medesimo Ministero e la Soluzioni per il Sistema Economico - SOSE S.p.A. (di seguito SOSE), società costituita dal Mef, ai sensi della legge 8 maggio 1998, n. 146, che ne detiene una quota di capitale pari all’88,89%, e dalla Banca d’Italia, che ne detiene il restante 11,11%.

Con il provvedimento del 14 marzo 2001 (doc. web n. 1075581), il Garante ha fornito il proprio parere sulla precedente convenzione quadro, volta a disciplinare, in via generale, l’attività svolta dalla SOSE in favore dell’Amministrazione finanziaria, relativa all’elaborazione degli studi di settore e all’effettuazione di studi e ricerche in materia tributaria (cfr., in particolare, l’art. 62-bis del decreto legge 30 agosto 1993, n. 331, convertito con modificazioni nella legge 29 ottobre 1993, n. 427 e la legge n. 146 citata).

Il quadro normativo vigente, oggetto di successivi interventi normativi che hanno progressivamente ampliato l’ambito delle attività da affidare a SOSE, prevede che la società provveda a:

• elaborare gli studi di settore, oggi indici sintetici di affidabilità (ISA), nonché ogni altra attività di studio e ricerca in materia tributaria (art. 10, comma 12, della legge n. 146 del 1998 e art. 9-bis del decreto legge 24 aprile 2017, n. 50, convertito, con modificazioni dalla legge 21 giugno 2017, n. 96);

• sviluppare innovative tecniche di elaborazione dei dati, volte a potenziare le attività di analisi per contrastare la sottrazione all’imposizione delle basi imponibili, anche di natura contributiva, ad aggiornare la mappa del rischio di evasione e a individuare le relative aree territoriali e settoriali di intervento (art. 9-bis cit.);

• svolgere le attività necessarie per l’attuazione del federalismo fiscale (art. 4 e 5 del decreto legislativo 26 novembre 2010, n. 216; art. 1, comma 23, lett. a), della legge 13 dicembre 2010, n. 220; artt. 13, comma 6, e 31, comma 3, del decreto legislativo 6 maggio 2011, n. 68);

• effettuare la rilevazione necessaria per la determinazione dei costi e dei fabbisogni standard dei comuni della Regione Siciliana (art. 1, comma 513, della legge 11 dicembre 2016, n. 232);

• definire le metodologie per la determinazione dei fabbisogni standard e capacità fiscali standard delle Regioni a statuto ordinario (art. 24 del citato decreto legge n. 50 del 2017).

I sopra descritti maggiori incarichi affidati alla SOSE, nonché l’intercorso cambiamento del quadro normativo in materia di protezione dei dati personali, hanno indotto il Mef a sottoporre all’attenzione del Garante il nuovo schema di convenzione quadro.

Come la precedente convenzione, anche lo schema in esame fa riferimento, in generale, agli incarichi affidati a SOSE dalla legge, rimettendo a successivi atti esecutivi, da stipularsi tra la SOSE e le competenti strutture organizzative (centri di responsabilità amministrativa cui sono assegnati i programmi in cui è ripartito lo stato di previsione della spesa del Mef, nonché le agenzie fiscali), la regolamentazione, nel dettaglio, degli obiettivi da raggiungere, nonché la tempistica e le modalità relative al loro conseguimento (art. 1 dello schema).

Lo schema di convenzione stabilisce, in particolare, che, per lo svolgimento delle attività sopradescritte la SOSE potrà avvalersi, oltre che dei dati detenuti e raccolti nel sistema informativo della fiscalità (SIF, istituito dal decreto legislativo 30 luglio 1999, n. 300), anche di dati, notizie e informazioni fornite dalle associazioni di categoria, da enti, istituzioni e organismi privati e pubblici, raccolti direttamente dalla società, su indicazione delle competenti strutture organizzative e sulla base degli atti esecutivi, in base alle istruzioni documentate, con particolare riferimento all’esatta individuazione delle categorie di interessati e dei dati personali trattati, nel rispetto di quanto previsto dagli articoli 28 e 29 del Regolamento (art. 3, commi 2 e 3 dello schema).

Viene, inoltre, previsto che la SOSE assuma la funzione di responsabile del trattamento dei dati, ai sensi dell’articolo 28 del Regolamento, relativamente a tutti i dati, notizie e informazioni trattati per il raggiungimento degli obiettivi assegnatile (art. 3, comma 1, dello schema). Al riguardo, viene previsto, altresì che, a ciascun atto esecutivo debba essere allegato il contratto, o altro atto giuridico di designazione di SOSE, quale responsabile del trattamento, unitamente alle istruzioni impartite dalle strutture organizzative con riferimento al trattamento dei dati personali e alle misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio (art. 4 dello schema).

La SOSE, inoltre, è tenuta a utilizzare i dati forniti per l’espletamento degli incarichi nell’esclusivo interesse delle strutture organizzative, compresa - analogamente a quanto previsto al riguardo nella precedente convenzione, in conformità alle pertinenti indicazioni fornite dal Garante nel parere del 2001 - l’eventuale commercializzazione, in forma anonima e comunque nel rispetto del Regolamento, dei servizi e dei prodotti realizzati in attuazione degli atti esecutivi, previa apposita autorizzazione delle strutture organizzative competenti (artt. 3, comma 5, e 14 dello schema).

Con riferimento ai principi in materia di protezione dei dati personali e alle misure di sicurezza, viene richiamato il necessario rispetto del Regolamento sia in relazione alle misure tecniche e organizzative che SOSE è tenuta ad adottare per garantire un livello di sicurezza adeguato al rischio che ai dati e alle informazioni necessarie, rese disponibili da parte delle strutture organizzative, per l’esecuzione delle attività affidati a tale società, assicurando, in particolare, la minimizzazione dei dati (artt. 3, comma 8, e 5 dello schema).

RILEVATO

La versione dello schema di convenzione in esame tiene conto degli approfondimenti e delle indicazioni fornite dall’Ufficio del Garante nel corso dell’istruttoria, volti ad assicurare la conformità alle indicazioni a suo tempo fornite dal Garante nel parere del 2001 sulla precedente convenzione quadro e anche al Regolamento.

In particolare, le osservazioni fornite hanno riguardato:

• la necessità di individuare, negli atti esecutivi da stipularsi in esecuzione della convenzione quadro, attraverso istruzioni documentate del titolare del trattamento, le specifiche categorie di interessati e di dati messi a disposizione da SOSE, per l’espletamento degli incarichi affidati, nonché le relative modalità di minimizzazione degli stessi, nel rispetto dei principi di esattezza, di limitazione della finalità e della conservazione, di integrità e riservatezza;

• le corrette modalità di individuazione del ruolo di assunto da SOSE in relazione al trattamento dei dati personali, prevedendo la designazione quale responsabile del trattamento nell’ambito di un contratto o altro atto giuridico da allegare a ciascun atto esecutivo, in conformità all’art. 28 del Regolamento;

• la possibilità di utilizzare, esclusivamente, dati e informazioni che le strutture organizzative raccolgono e detengono in base a specifiche disposizioni normative e di acquisire direttamente ulteriori informazioni solo su indicazione delle stesse, previa esatta individuazione delle categorie di interessati e delle categorie di dati personali trattati.

TUTTO CIO’ PREMESSO IL GARANTE

esprime, ai sensi dell’art. 58, par. 3, lettera b) del Regolamento (UE) 2016/679, parere favorevole sullo schema di “Convenzione Quadro tra Il Ministero dell’Economia e delle Finanze e la Soluzioni per il Sistema Economico – SOSE S.p.A.”.

Fonte: Garante - Parere su uno schema di convenzione quadro da stipularsi tra MEF e SOSE - 26 luglio 2018