R E P U B B L I C A I T A L I A N A. Consiglio di Stato. Sezione Consultiva per gli Atti Normativi. Adunanza di Sezione del 26 settembre 2013

Transcript

1 Numero 04471/2013 e data 31/10/2013 R E P U B B L I C A I T A L I A N A Consiglio di Stato Sezione Consultiva per gli Atti Normativi Adunanza di Sezione del 26 settembre 2013 NUMERO AFFARE 03199/2013 OGGETTO: Ministero dell'economia e delle finanze Schema di regolamento di attuazione dell art. 30-octies, comma 1, del decreto legislativo 11 aprile 2011, n. 64, recante Istituzione di un sistema pubblico di prevenzione, sul piano amministrativo, delle frodi nel settore del credito al consumo, con specifico riferimento al furto d identità. LA SEZIONE Vista la relazione trasmessa con nota prot. ACL/65/DGT/11061 del 9 settembre 2013, con la quale il Ministero dell economia e delle finanze - Ufficio legislativo economia - ha chiesto al Consiglio di Stato il parere sullo schema di regolamento in oggetto; esaminati gli atti e udito il relatore, consigliere Elio Toscano. Premesso.

2 Riferisce l Amministrazione che l art. 30-ter del decreto legislativo 13 agosto 2010, n. 141, come introdotto dall art. 1 del decreto legislativo 11 aprile 2011, n. 64, ha istituito, nell ambito del Ministero dell economia e delle finanze, un sistema centralizzato di riscontro dei dati e di condivisione di informazioni, volto a prevenire, sul piano amministrativo, le frodi nel settore del credito al consumo e dei pagamenti dilazionati o differiti, con specifico riferimento al furto d identità. Il sistema è basato su due componenti: - un archivio informatico, che consente di verificare, tramite l interrogazione di database pubblici, i dati forniti da chi richiede una dilazione o un differimento di pagamento, un finanziamento o altra analoga facilitazione finanziaria, un servizio a pagamento differito o una prestazione di carattere assicurativo, nonché di memorizzare e condividere informazioni, fornite dagli aderenti, sulle frodi subite e sui casi che configurano un rischio di frode; - un gruppo di lavoro, preposto alla definizione delle strategie di prevenzione delle frodi identitarie e delle linee guida per l elaborazione statistica dei dati archiviati, composto da rappresentanti del Ministero dell economia e delle finanze, del Ministero dell interno, del Ministero della giustizia, del Ministero dello sviluppo economico, della Banca d Italia e della Guardia di Finanza, nonché da rappresentanti delle associazioni di categoria dei soggetti aderenti, degli operatori commerciali e delle Forze di polizia. Il sopracitato art. 30-octies dispone, altresì, che con decreto del Ministro dell economia e delle finanze, da adottare previa acquisizione del parere del Garante per la protezione dei dati personali, sono stabiliti i termini, le modalità e le condizioni per la gestione del sistema di prevenzione. Nello specifico, al regolamento è demandata la disciplina dei seguenti aspetti: struttura e livelli di accesso dell archivio; modalità del collegamento informatico dell archivio con le banche dati degli organismi pubblici; modalità, termini di

3 comunicazione e procedura di riscontro dei dati; criteri di determinazione e modalità di riscossione del contributo a carico dei soggetti aderenti. In relazione a tali prescrizioni, il Ministero riferente ha approntato lo schema di regolamento in esame, che si compone di 21 articoli e due allegati. L art. 2, in particolare, distingue i soggetti che partecipano al sistema di prevenzione, definiti aderenti dall art. 30-ter, comma 5, del d.lgs. n. 141 del 2010, in due categorie aderenti diretti e aderenti indiretti. Gli aderenti diretti, che corrispondono ai soggetti individuati dal comma 5, lettere a), b) e c) dell art. 30-ter detto, comprendono le banche, comunitarie e extracomunitarie, i fornitori di servizi di comunicazione elettronica, i fornitori di servizi interattivi associati o di servizio di accesso condizionato, i fornitori di servizi assicurativi. Agli aderenti diretti è richiesto di redigere e trasmettere al Ministero dell economia e delle finanze, titolare dell archivio, un apposito formulario finalizzato al censimento degli stessi, di stipulare una convenzione con l ente gestore del sistema di prevenzione (Consap s.p.a.) e di versare un contributo, ripartito in misura eguale tra tutti gli aderenti, per l attivazione del sistema. Rientrano, poi, nella categoria degli aderenti indiretti i soggetti indicati dal comma 5, lettera d), dell art. 30-ter del d.lgs. n. 141 del 2010 quali gestori di sistemi di informazioni creditizie e imprese che offrono agli aderenti diretti servizi assimilabili alla prevenzione, sul piano amministrativo, delle frodi in base ad apposita convenzione con il Ministero dell economia e delle finanze. La relazione ministeriale pone, altresì, in risalto di essersi conformata alle osservazioni del Garante per la protezione dei dati personali e di aver rimarcato che l accesso al sistema e il suo utilizzo è consentito entro i limiti riconducibili all ambito commerciale di appartenenza di ciascuna categoria degli aderenti diretti.

4 Il testo, infine, è completato da due allegati: il primo contiene il formulario di adesione; il secondo disciplina le modalità relative al collegamento informatico dell archivio con le banche dati detenute dagli organismi pubblici. Considerato. Lo schema di decreto ministeriale in esame si propone di dare attuazione al decreto legislativo 11 aprile 2011, n. 64, che ha istituito un sistema centralizzato di riscontro di dati e di condivisione di informazioni, volto ad arginare il fenomeno delle frodi identitarie, con specifico riferimento al cosiddetto furto d identità di persone fisiche o giuridiche (utilizzo indebito di dati personali di altri e occultamento parziale della propria identità). Si tratta di una materia particolarmente delicata, sia perché occorre rendere operativo il sistema di prevenzione, sul piano amministrativo, ottemperando alla disposizione di legge, sia perché il funzionamento del sistema comporta una interrelazione tra i soggetti aderenti e le banche dati detenute dagli enti e dalle amministrazioni pubbliche. Ciò richiede, come posto anche in luce dal Garante per la protezione dei dati personali, che l interrelazione debba svolgersi entro limiti ben circoscritti, in modo che sia sempre garantito, anche attraverso idonee procedure operative e di controllo, un equo bilanciamento tra l obiettivo di prevenire i comportamenti fraudolenti e il rischio che la diffusione di dati personali possa risultare lesiva per i soggetti ai quali le informazioni si riferiscono. Quanto considerato induce a una prima osservazione di natura sostanziale sul regolamento proposto, scorrendo il testo del quale si avverte la necessità di una norma di apertura (in atto mancante) che definisca i confini di operatività del provvedimento, ne precisi le finalità e sottolinei la funzione strumentale del trattamento dei dati personali rispetto alle stesse.

5 Si tratta in sostanza di disposizioni di principio, che seppure rinvenibili qua e là nello schema proposto, è opportuno siano riunite e precisate in un articolo introduttivo dedicato, anche al fine di agevolare la corretta e univoca interpretazione delle norme che seguono. Passando, quindi, all esame delle disposizioni concernenti i soggetti che partecipano al sistema, si considera che l adesione è obbligatoria per gli operatori che rientrano nella categoria degli aderenti diretti, i quali sono tenuti ad alcuni adempimenti: a) trasmettere al Ministero dell economia e delle finanze, anche per finalità ricognitive, il formulario di cui all allegato 1 dello schema; b) stipulare con la Concessionaria servizi assicurativi pubblici s.p.a. (Consap), ente gestore del sistema, un apposita convenzione; c) contribuire pro quota alle spese di progettazione e di realizzazione dell archivio centrale informatizzato. L articolato proposto non reca tuttavia disposizioni né in ordine all eventuale contributo d ingresso da richiedere, come sembrerebbe equo, agli operatori che in ragione dell oggetto di impresa dovessero in prosieguo aderire al sistema (fatto salvo il pagamento di 0,30 per ciascuna richiesta di verifica di dati previsto per tutti gli aderenti), né sull obbligo degli operatori di concorrere in futuro alle eventuali spese di adeguamento tecnologico del sistema. Ai sensi dell allegato 1, gli aderenti diretti sono tenuti, altresì, a indicare in apposito spazio della scheda di adesione gli aderenti indiretti dei quali intendono avvalersi per il riscontro dei dati dei soggetti che richiedono di effettuare le operazioni. A loro volta gli aderenti indiretti per poter operare (art. 2) devono sottoscrivere un apposita convenzione con il Ministero dell economia e delle finanze, nella quale sono precisate le modalità di partecipazione al sistema e di trattamento dei dati personali. Ritiene la Sezione che sul punto sia conveniente che già nel testo del regolamento, e non soltanto quindi nell atto di adesione, siano precisati taluni comportamenti

6 inderogabili - come ad esempio in materia di garanzie della privacy - che gli aderenti indiretti sono tenuti ad osservare. E ciò anche per la considerazione, che, ai sensi dell art. 30-ter, comma 5, lettera d), rientrano nella categoria che lo schema di regolamento classifica come aderenti indiretti sia i gestori di sistemi informazioni creditizie (SIC), sia le imprese che offrono ai soggetti aderenti servizi assimilabili alla prevenzione, sul piano amministrativo, delle frodi. Al riguardo va tenuto presente che, mentre le SIC sono banche dati che raccolgono e gestiscono informazioni relative a richieste di rapporto di credito e dal 1 gennaio 2005 sono assoggettate all osservanza del Codice di deontologia e buona condotta per i sistemi informativi gestiti da soggetti privati in tema di credito al consumo, affidabilità e puntualità dei pagamenti, pubblicato sulla Gazzetta ufficiale n. 300 del 23 dicembre 2004, analogo strumento di autoregolazione non è riscontrabile per le imprese che forniscono servizi per la prevenzione delle frodi. Manca, altresì, nel testo una disposizione di coordinamento, che chiarisca, se, in attesa del perfezionamento della convenzione tra MEF e aderenti indiretti, gli aderenti diretti possano avvalersi delle prestazioni delle imprese indicate nel formulario di adesione al sistema. Suscita, poi, talune perplessità il comma 4 dell art. 2, nella parte in cui si afferma che dette prestazioni hanno lo scopo di fornire agli aderenti diretti servizi inerenti all analisi della qualità e del grado di affidabilità dei dati detenuti nelle banche dati degli organismi pubblici di cui all art. 8. Considerato, infatti, che l interrelazione ha luogo con le banche dati detenute dai Ministeri dell interno, dell economia e finanze, dei trasporti e delle infrastrutture, dall Agenzia delle entrate, dall INPS e dall INAIL (art. 2, comma 4 e art. 8, comma11), i riscontri non possono che riferirsi all accertamento della corrispondenza dei dati indicati dal soggetto che richiede la prestazione con quelli contenuti nelle banche dati delle amministrazioni e degli enti pubblici suddetti.

7 Nel senso occorre che siano apportati i conseguenti aggiustamenti alla specifica disposizione e che, nel contempo, sia sostituita l espressione organismi pubblici con enti e amministrazioni pubbliche, più appropriata sotto il profilo ordinamentale per identificare i soggetti pubblici considerati. Passando all esame della struttura dell archivio informatico, articolato su sei livelli, l art. 6 disciplina l accesso degli aderenti diretti a ciascun livello, ma nulla dispone per gli aderenti indiretti. Sulla base del testo proposto è ragionevole ritenere che gli aderenti indiretti non possano accedere oltre il terzo livello, che contiene l interfaccia informatica per riscontrare le richieste di verifica dei dati personali, indicati nel successivo art. 7. Al fine di dirimere ogni possibile dubbio, è opportuno che l Amministrazione aggiunga una specifica disposizione volta ad escludere esplicitamente che gli aderenti indiretti possano accedere ai tre livelli superiori (quarto, quinto e sesto), che attengono rispettivamente al trattamento delle informazioni relative alle frodi subite, al rischio di frodi e alle segnalazioni di allerta originate dal titolare dell archivio. Per quanto concerne le modalità del collegamento informatico tra l archivio e le banche dati degli enti e delle amministrazioni pubbliche, l art. 5, comma 3, rinvia al documento tecnico di cui all allegato 2, che è parte integrante del regolamento proposto, precisando tuttavia che le successive modificazioni a detto allegato sono stabilite con decreto direttoriale del Ministero dell economia e delle finanze, sentito il Garante per la protezione dei dati personali. La Sezione osserva che il procedimento indicato introduce una deregolamentazione non consentita dalla norma primaria di riferimento, sicché occorre che l Amministrazione operi una selezione delle disposizioni contenute nell allegato, mantenendo nello stesso quelle che disegnano l organigramma del sistema e trasferendo nel manuale operativo, già previsto nel successivo comma 4, i profili strettamente tecnici prevedibilmente

8 destinati a variare nel tempo, in ragione del rapido progresso delle tecnologie informatiche. Per una maggiore chiarezza del testo si suggerisce ancora di precisare all art. 7, comma 2, lettera h), che il reddito delle persone fisiche è riscontrabile limitatamente alle fascia di reddito entro la quale il soggetto interessato si colloca. Relativamente alle informazioni attinenti alle frodi subite e al rischio di frodi, essendo le stesse connesse a comportamenti che potrebbero essere oggetto di valutazione da parte dell Autorità giudiziaria, vorrà valutare l Amministrazione se acquisire sullo schema di regolamento anche il preventivo avviso dei Ministeri dell interno e della giustizia. L acquisizione dei suddetti pareri appare opportuna anche alla luce della previsione, espressa nell art. 19, in virtù della quale il titolare dell archivio può avvalersi della collaborazione del Nucleo speciale di polizia valutaria della Guardia di finanza per specifiche finalità di indagini di polizia, aspetto ribadito nella relazione illustrativa del provvedimento. L Adunanza rileva, infine, che l art. 30-ter, comma 8 del d.lgs. n. 64 del 2011 nell ambito del sistema di prevenzione ha istituito, presso l ente gestore, un servizio gratuito, telefonico e telematico, che consente di ricevere segnalazioni da parte di soggetti che hanno subito o temono di aver subito frodi configuranti ipotesi di furto d identità. Per rendere operativo il servizio è necessario che siano regolamentate le attività di ricezione delle segnalazioni, le procedure di trattamento dei dati e le modalità di inserimento degli stessi nell archivio centrale informatizzato. In conclusione, la Sezione ritiene necessario che l Amministrazione rivaluti lo schema proposto alla stregua di quanto innanzi rilevato. Sul piano formale, infine, si suggerisce di anteporre, nell ambito del preambolo, il riferimento al parere del Garante per la protezione dei dati personali, inserendolo prima della citazione del parere del Consiglio di Stato.

9 P.Q.M. la Sezione sospende l emissione del parere e rimette all Amministrazione lo schema in oggetto per la valutazione delle considerazioni sopra illustrate. L'ESTENSORE Elio Toscano IL PRESIDENTE Franco Frattini IL SEGRETARIO Maria Luisa Salvini