INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI DEI BENEFICIARI NELL’AMBITO DELL’INIZIATIVA “CARTA DELLA CULTURA”

ai sensi degli articoli 13 e 14 del Reg. (UE) 2016/679

Gentile Beneficiario del Carta della Cultura,

La presente informativa descrive le modalità del trattamento dei dati personali di coloro ("Beneficiari") che, in possesso dei requisiti, partecipano all’iniziativa Carta della Cultura ("Iniziativa") prevista dall’art. 6 della L. 13 febbraio 2020, n. 15, come attuato dal Decreto n. 73 del 10 febbraio 2021, adottato dal Ministro per i beni e le attività culturali e per il turismo di concerto con il Ministro dell’economia e delle finanze e ss.mm.ii. ("Decreto"), richiedendo la Carta della Cultura ("CdC") tramite l'app IO, ed è resa ai sensi degli artt. 13 e 14 del Regolamento Generale sulla Protezione dei Dati n. 679/2016 ("GDPR").

La validità della presente informativa è limitata alla sola Iniziativa, si aggiunge alle altre informative eventualmente applicabili, in particolare all'informativa dell'app IO, e non si estende ad altre risorse web eventualmente consultabili mediante collegamento ipertestuale.

1. Titolare del trattamento dei dati

Titolare del trattamento dei dati è il Ministero della Cultura (“MiC” o semplicemente “Titolare”), con sede in Via del Collegio Romano, 27 – 00186 Roma, per il tramite del CENTRO PER IL LIBRO E LA LETTURA (“CEPELL”) al quale ci si potrà rivolgere per esercitare i diritti degli interessati al seguente indirizzo PEC c-ll@pec.cultura.gov.it .

2. Responsabile della protezione dei dati

Il Responsabile per la protezione dei dati personali di cui all’art. 37 GDPR, è stato individuato dal MiC con D.M. 15 ottobre 2021, rep. 362, nella persona di Antonio Francesco Artuso; email: rpd@cultura.gov.it; PEC: rpd@pec.cultura.gov.it.

3. Responsabili del trattamento

Il Titolare ha nominato quali Responsabili del trattamento, ai sensi dell'art. 28 del GDPR:

• SOGEI S.p.A. (Società Generale d’Informatica) con sede in Roma, Via Mario Carucci n. 99, di cui il Titolare si avvale per l’attuazione e monitoraggio dell’Iniziativa, in particolare per la consultazione dei dati riferiti ai Beneficiari presso INPS e l’individuazione della graduatoria, nonché per l’individuazione degli esercenti convenzionati (“Esercenti”), le gestione del processo di convenzionamento e l’assistenza agli Esercenti. Il responsabile della protezione dei dati di SOGEI S.p.A. può essere contattato all’indirizzo dpo@sogei.it o dpo@pec.sogei.it;
• PagoPA S.p.A., con sede legale in Roma, Piazza Colonna 370, di cui il Titolare si avvale per l'attuazione dell’Iniziativa, in particolare per le attività di richiesta e ottenimento della CdC da parte dei Beneficiari attraverso l'app IO, per la gestione dei relativi voucher e del credito residuo, per le attività di comunicazione e promozione dell’Iniziativa, l’assistenza di primo livello ai Beneficiari, nonché per il supporto al monitoraggio dell’Iniziativa. L'elenco dei fornitori di cui PagoPA S.p.A. si avvale per la gestione dell'app IO è disponibile all'indirizzo https://io.italia.it/app-content/fornitori. Il responsabile della protezione dei dati di PagoPA S.p.A. può essere contattato attraverso l'apposito modulo web;
• CONSAP S.p.A. con sede in Roma, Via Yser 14, di cui il Titolare si avvale per la liquidazione delle fatture in favore degli esercenti e per gli adempimenti connessi alla fatturazione.

4. Categorie di soggetti ai quali i dati personali possono essere comunicati

Il Titolare potrà comunicare, per il perseguimento delle finalità sopra indicate, alcuni dati personali:

• ai soggetti cui la comunicazione dei dati debba essere effettuata in adempimento di un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria, ovvero per adempiere ad un ordine dell'Autorità Giudiziaria;
• ai soggetti designati dal Titolare, in qualità di Responsabili, ovvero alle persone autorizzate al trattamento dei dati personali che operano sotto l'autorità diretta del titolare o del singolo responsabile;
• ad altri eventuali soggetti terzi, nei casi espressamente previsti dalla legge, ovvero ancora se la comunicazione si renderà necessaria per la tutela del MiC in sede giudiziaria, nel rispetto delle vigenti disposizioni in materia di protezione dei dati personali.

5. Base giuridica del trattamento

La base giuridica del trattamento è da rinvenirsi:

• nell'esecuzione di un compito di interesse pubblico ai sensi dell'art. 6, comma 1, lett. e) del GDPR e dell'art. 2-ter del Codice Privacy, come individuato dall’art. 6 della L. 13 febbraio 2020, n. 15 e dal Decreto n. 73 del 10 febbraio 2021 e ss.mm.ii.;
• nell'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso ai sensi dell'art. 6, comma 1, lett. b) del GDPR ovvero sul consenso (art. 6, comma 1, lett. a) del GDPR) laddove i Beneficiari richiedano volontariamente di partecipare all’Iniziativa;
• nell'adempimento di obblighi di legge, ai sensi dell'art. 6, comma 1, lett. c) del GDPR, in particolare con riferimento alle disposizioni normative in materia di gestione e rendicontazione della spesa pubblica, tutela dei diritti, attribuzione di benefici economici e prevenzione delle frodi, e dunque nell'obbligo di monitoraggio dell’Iniziativa come individuato dall'art. 8 del Decreto.

6. Finalità del trattamento

I dati oggetto del trattamento sono trattati dal MiC ai sensi del Decreto, per le finalità relative all’assegnazione, rilascio e utilizzo della CdC, nonché per le finalità connesse, collegate e strumentali allo svolgimento dell'Iniziativa, con particolare riguardo al riconoscimento e all'erogazione dei voucher connessi all’attivazione della CdC, secondo le convenzioni attivate su tutto il territorio nazionale dagli Esercenti.

I dati personali dei Beneficiari sono trattati dal Titolare, anche avvalendosi dei Responsabili, al fine di verificare la veridicità dei dati e delle informazioni fornite dai Beneficiari al momento della richiesta della CdC. Il Titolare verifica inoltre il funzionamento e corretto utilizzo della CdC da parte dei Beneficiari e presso gli Esercenti, anche in virtù dei controlli previsti dalla normativa applicabile. In particolare, sulla base delle richieste e/o segnalazioni pervenute, ovvero all'esito dei controlli previsti, in caso di abusi od usi difformi della CdC accertati, il Titolare può procedere alla revoca della CdC attivata da un Beneficiario e/o al voucher utilizzato presso un Esercente di cui abbia accertato una condotta illecita o comunque non conforme alle condizioni di utilizzo della CdC, salvo ogni altro rimedio. I dati personali, inoltre, possono essere utilizzati dal Titolare in giudizio o nelle fasi propedeutiche alla sua eventuale instaurazione per la difesa da abusi e illeciti perpetrati dagli interessati.

Tutti i dati relativi all’Iniziativa, compresi i dati relativi alla diffusione dell’Iniziativa presso i Beneficiari (tra cui la fascia d'età e la distribuzione territoriale) e ai voucher erogati, verranno altresì trattati in forma aggregata, eventualmente elaborati per finalità di reportistica e successivamente conservati senza limiti di tempo, al fine della verifica dell'attuazione, del funzionamento e dell'andamento dell’Iniziativa, nonché per finalità di trasparenza rispetto allo svolgimento dell’Iniziativa. Tali dati sono aggregati in modo che non si possa trarre alcun riferimento relativamente a persone identificate o identificabili. Le finalità dei trattamenti effettuati dall'app IO nel suo complesso, con particolare riferimento ai dati trattati per finalità di identificazione, debug, diagnostica e assistenza, sono dettagliate nella relativa informativa.

7. Categorie di dati trattati

Il MiC, per le finalità sopra richiamate e in conformità con la presente informativa privacy, tratta i seguenti dati:

• i dati acquisiti dall’app IO e direttamente dall’utente al momento della richiesta della CdC: nome, cognome, codice fiscale, anni per cui è effettuata la richiesta;
• i dati forniti dall’INPS ai fini della definizione della graduatoria e dell’attivazione della CdC: valore ISEE, protocollo della Dichiarazione Sostitutiva Unica (DSU) e codici fiscali dei componenti del nucleo familiare per ciascun anno di riferimento;
• i dati relativi ai buoni generati (identificativo univoco, importo, stato);
• i dati relativi all’interazione degli utenti con i servizi dell’app IO relativi all’Iniziativa;
• dati di navigazione, dati relativi al dispositivo e dati diagnostici raccolti tramite sistemi di tracciamento integrati nell’app IO e nei sistemi ad essa preposti;
• i dati contenuti nelle comunicazioni inviate dal Titolare del trattamento o dagli altri soggetti di cui si avvale per l’attuazione dell’Iniziativa;
• i dati forniti in caso di richiesta di informazioni e di assistenza.

8. Conferimento dei dati

I dati personali necessari per la richiesta e l'attivazione della CdC devono essere forniti obbligatoriamente per poter partecipare all’Iniziativa e beneficiare dei voucher legati all’attivazione della CdC.

L'omissione e/o l'indicazione non veritiera di dati può far incorrere in sanzioni amministrative o, in alcuni casi, penali.

I dati relativi alle ricerche effettuate dai Beneficiari rispetto agli Esercenti e alle categorie merceologiche di appartenenza sono trattati dai Responsabili, per conto del Titolare, esclusivamente al fine di restituire i risultati di ricerca e consentire la spendita del credito della CdC. È espressamente esclusa la possibilità di risalire alle abitudini di acquisto del Beneficiario che effettua la ricerca.

Il trattamento dei dati personali connesso alla fruizione dei voucher tramite gli acquisti effettuati presso gli Esercenti è regolato dalle informative privacy che gli Esercenti (quali autonomi Titolari del relativo trattamento) mettono a disposizione dei propri clienti. Tali dati non vengono mai condivisi con l'app IO né con il Titolare, ad eccezione dei casi previsti dalla normativa applicabile (es. in caso di usi difformi ai sensi dell’art. 8 del Decreto).

L'invio facoltativo, esplicito e volontario di messaggi agli indirizzi di contatto del Titolare e dei Responsabili indicati nella presente informativa, comprese le richieste di assistenza effettuate tramite l’app IO, comporta l'acquisizione dei dati di contatto del mittente necessari a rispondere alle richieste inoltrate, nonché di tutti i dati personali inclusi nelle comunicazioni, il cui trattamento è effettuato nell’esecuzione dei compiti di interesse pubblico che sono affidati al Titolare e, ove applicabile, ai Responsabili, al fine di fornire all’utente i servizi o le informazioni richieste, ai sensi dell’art. 6, par. 1, lett. e) del GDPR. Il Titolare invita gli utenti, nella formulazione di tali richieste, a non inviare altri dati personali, inclusi dati sensibili, che non siano strettamente necessari alla partecipazione all’Iniziativa.

9. Modalità di trattamento dei dati

I trattamenti connessi all’Iniziativa sono effettuati da parte del Titolare del trattamento e dei Responsabili del trattamento e sono curati solo da personale tecnico autorizzato ed istruito al trattamento.

I dati personali sono trattati e conservati nel rispetto dei principi previsti dall'articolo 5 del GDPR e, in particolare, alla luce dei principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, integrità e riservatezza.

Sono trattati esclusivamente per le finalità di cui alla presente informativa e per un periodo di tempo non superiore al conseguimento delle stesse e comunque nel rispetto della normativa vigente.

Il trattamento è posto in essere con strumenti automatizzati; sono implementate misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dei Beneficiari. E' espressamente escluso qualsiasi trattamento a scopo di profitto o di profilazione. Per garantire che i dati forniti vengano trattati in modo adeguato e conforme alla normativa sulla protezione dei dati, il Titolare e i Responsabili del trattamento hanno adottato idonee misure di sicurezza, organizzative, tecniche e fisiche, per tutelare le informazioni dall'alterazione, dalla distruzione, dalla perdita, dal furto e/o dall'utilizzo improprio o illegittimo.

L'app IO utilizza strumenti di tracciamento per finalità di diagnostica, debug, troubleshooting che permettono di raccogliere dati relativi all'utilizzo dell'app da parte degli utenti. Alcuni dei dati acquisiti con questi strumenti sono associati univocamente all'utente, ma non sono mai utilizzati per finalità di marketing o profilazione. Alcuni di questi dati vengono aggregati e successivamente utilizzati per consentire l'elaborazione di statistiche. È richiesto il consenso dell'utente all'utilizzo di tali strumenti di tracciamento, e può essere revocato in ogni momento nella sezione Impostazioni dell'app IO.

L'app IO raccoglie automaticamente alcuni dati relativi al dispositivo al momento di una richiesta di assistenza inoltrata attraverso le apposite funzionalità presenti in app, compresi alcuni dati personali necessari per trasmettere la segnalazione al team di assistenza e risolvere il ticket. In caso di richiesta di assistenza tramite tali funzionalità, non è possibile escludere la raccolta automatica di tali dati, ma è sempre possibile utilizzare gli altri canali di assistenza messi a disposizione da PagoPA S.p.A. (ad esempio email) che non prevedono tale raccolta automatica, tenendo presente che gli operatori potrebbero comunque avere bisogno di richiedere tali dati per risolvere la problematica.

Sono escluse le attività di profilazione dei Beneficiari quanto alle scelte d'acquisto e dunque escluso il trattamento con finalità di tracciamento, anche tramite incrocio con altri dati, delle abitudini di spesa/acquisto dei Beneficiari, salvo il rischio residuo derivante da potenziali condotte degli Esercenti o di terzi.

In ogni caso, gli Esercenti aderenti all’Iniziativa hanno l'obbligo di trattare le informazioni nel rispetto della normativa vigente in materia di protezione dei dati personali, con particolare riguardo al divieto di creare banche dati che consentano un'associazione diretta fra il codice legato al voucher e il nominativo o il codice fiscale del soggetto che lo ha utilizzato.

10. Trasferimento dati fuori dall’UE

Alcuni dei fornitori terzi di cui PagoPA S.p.A. si avvale per l’operatività dei suoi prodotti e servizi risiedono all’estero, anche negli Stati Uniti. Con essi PagoPA S.p.A. ha stipulato accordi conformi all’art. 28 GDPR. Inoltre, PagoPA S.p.A. utilizza uno o più meccanismi che garantiscono adeguati livelli di tutela dei dati. Ad esempio, verifica che i fornitori aderiscano al Data Privacy Framework o stipula Clausole Contrattuali Standard della Commissione Europea. Se possibile, vengono selezionate opzioni che consentono di mantenere i dati nell’Unione Europea e vengono negoziate misure aggiuntive per garantire un livello di protezione adeguato.

PagoPA S.p.A. applica rigorosamente il principio di minimizzazione nell’ambito dei trattamenti affidati ai suoi fornitori, comunicando solo i dati strettamente necessari. È possibile consultare la lista dei responsabili e le misure adottate all’indirizzo io.italia.it/app-content/fornitori.

11. Conservazione dei dati personali

I dati dei Beneficiari raccolti ai fini della partecipazione all’Iniziativa sono trattati per il tempo strettamente necessario allo svolgimento delle attività previste dal Decreto e successivamente conservati per un arco di tempo non superiore a 7 anni, che decorrono a partire dalla data di chiusura dell’iniziativa per ogni anno di riferimento, salvo nel frattempo non intervenga un reclamo o contenzioso (compreso il caso di revoca della CdC precedentemente rilasciata per accertati usi o abusi difformi della stessa), nel qual caso verranno conservati fino a definizione della relativa controversia (vale a dire, fino ad esaurimento dei termini per proporre e definire eventuali impugnazioni).

Si applicano, per le altre attività di trattamento, i termini di conservazione previsti dall'informativa dell'app IO (paragrafo 5).

I dati trattati in forma aggregata sono conservati senza limiti di tempo.

La conservazione e l'archiviazione avvengono attraverso l'adozione di idonee misure destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi

12. Diritti degli interessati

In relazione all’esercizio da parte dell’interessato dei diritti di accesso, rettifica, cancellazione, limitazione e opposizione al trattamento dei propri dati personali si rinvia a quanto previsto, rispettivamente, dagli articoli 15, 16, 17, 18 e 21 del GDPR.

Gli interessati hanno, altresì, il diritto di contestare i trattamenti automatizzati, effettuati dal Titolare, che consistono nei controlli preventivi necessari per verificare l’idoneità dei richiedenti ad accedere all’Iniziativa, effettuati sulla base degli attributi risultanti nelle banche dati delle amministrazioni competenti (art. 21 GDPR).

L’apposita istanza, ove riferita all’Iniziativa, potrà essere inviata al MiC, Titolare del trattamento, ai recapiti indicati in intestazione della presente informativa. In relazione ai trattamenti effettuati tramite app IO, diversi da quelli relativi alla CdC, i relativi diritti possono essere esercitati, nei casi previsti dall’informativa dell'app IO, tramite l’apposito modulo web.

13. Diritto di Reclamo

Gli interessati che ritengano che il trattamento dei dati personali a loro riferiti sia compiuto in violazione di quanto previsto dal GDPR hanno il diritto di proporre reclamo al Garante per la protezione dei dati personali, come previsto dall’articolo 77 del GDPR, o di adire le opportune sedi giudiziarie ai sensi dell’articolo 79 del GDPR;

Ulteriori informazioni in ordine ai diritti degli interessati sono reperibili sul sito web del Garante per la protezione dei dati personali all’indirizzo www.garanteprivacy.it.