In relazione al quesito formulato, il parere del Servizio GDP-RDPO Entionline è nei termini che seguono.

• Lo schema prevede a carico delle amministrazioni un obbligo di identificazione degli utenti e di conservazione dei dati, per disciplinare adeguatamente il trattamento dei dati personali degli utenti nell’esecuzione di un compito di interesse pubblico.

Il Garante con proprio parere sullo schema ha preso atto di tale impostazione ed ha richiesto l'adozione di maggiori indicazioni al fine di contenere il novero dei dati richiesti per l'accesso senza escludere che ciò resti un obbligo.

Dunuqe, non è corretto procedere a concedere la connessione senza nessun tipo di registrazione o autenticazione, tramite i social piuttosto che mail.

Gli utenti della rete Wi-Fi aperta al pubblico, in buona sostanza, non devono poter agire in regime di anonimato una possibile azione correttiva quindi consiste nell’imposizione di un obbligo di previa identificazione per ottenere l’accesso;

Il Garante privacy in relazione allo schema di linee guida di AGID, nel mese di dicembre 2020 ha emesso il proprio parere con ha richiesto numerose modifiche.

Il Garante prova a sgomberare il campo da un possibile equivoco distinguendo chiaramente i compiti e responsabilità dei soggetti di cui all’art. 2 comma 2 del CAD dai cc.dd. service provider.

In particolare, il Garante chiede che le Linee Guida chiariscano che le pubbliche amministrazioni non hanno obblighi di identificazione degli utenti e di conservazione dei dati di traffico telefonico che gravano esclusivamente in capo agli operatori di telecomunicazione in forza di norme primarie ed anche confermando che la messa a disposizione del servizio Wi-Fi free deriva automaticamente una assimilazione della PA ad un fornitore di servizi di comunicazione elettronica.

Nel merito del processo di accesso alla rete Wi-Fi, il Garante prende atto che lo schema delle Linee Guida AgID raccomanda alle amministrazioni di dotarsi di sistemi di identificazione (e autenticazione) dell’utente ovvero consentano l’accesso attraverso dispositivi personali il cui rilascio prevede l’identificazione e ciò per consentire di risalire all’autore di condotte illecite perpetrate attraverso l’utilizzo di una rete Wi-Fi free.

Sul punto però segnala che lo schema, pur prevedendo a carico delle amministrazioni un obbligo di identificazione degli utenti e di conservazione dei dati, per disciplinare adeguatamente il trattamento dei dati personali degli utenti nell’esecuzione di un compito di interesse pubblico debba essere integrato per fornire specifiche indicazioni per:

• individuare i dati personali da raccogliere e conservare nell’ambito del predetto processo di identificazione nel rispetto del principio di minimizzazione;
• minimizzare i dati conservati al fine di consentire la individuazione del responsabile solo in caso di condotte illecite senza quindi effettuare tracciamenti relativi al traffico;
• individuare le modalità che devono implementare per impedire l’accesso a determinate tipologie di siti o servizi in rete (c.d. URL filtering);
• individuare per ciascuna tipologia di dati adeguati tempi di conservazione;
• adottare misure che assicurino il rispetto di principio di trasparenza nei confronti degli interessati con indicazione puntuale delle finalità perseguite, tipologie di dati trattati e tempi di conservazione.

Anche dopo l'intervento del Garante, quindi, resta l'obbligo per le PA di identificazione degli utenti e di conservazione dei dati.