Il Garante per la protezione dei dati personali, con il provvedimento del 7 novembre 2018, n. 477 e la nota del 15 novembre 2018, n. 446, ha fornito un parere sullo schema di decreto del Presidente del Consiglio dei Ministri in materia di bonus cultura ai diciottenni.

Via libera del Garante per la protezione dei dati personali allo schema di decreto del Presidente del Consiglio dei Ministri concernente "Ulteriori modifiche al decreto 15 settembre 2016, n. 187, recante i criteri e le modalità di attribuzione e di utilizzo della carta elettronica prevista dall'articolo 1, comma 979, della legge 28 dicembre 2015, n. 208 e successive modificazioni".
Lo schema prevede che la concessione della carta sia estesa anche ai giovani che compiono diciotto anni di età nell'anno 2018 (fermi i requisiti già previsti dalla legge n. 208 del 2015 per i beneficiari, ossia l'essere residenti nel territorio nazionale e, ove previsto, in possesso di permesso di soggiorno in corso di validità), prevedendo, di conseguenza, l’integrazione delle disposizioni sui termini per la registrazione e per il suo utilizzo.
I giovani potranno ricevere la carta elettronica, che consentirà loro di spendere fino a 500 euro in acquisti culturali (mostre, libri, musei, spettacoli, ecc.), purché in possesso dei requisiti già previsti per i beneficiari: essere residenti nel territorio nazionale e, ove previsto, in possesso di permesso di soggiorno in corso di validità.
Il Garante non ha rilevato profili di criticità sulle modifiche al decreto che estende l’attribuzione e l’uso della carta elettronica al 2018, tuttavia ha richiamato l’attenzione su alcuni aspetti ancora irrisolti.
Già in precedenza ha espresso il parere di competenza in merito all’utilizzo della carta elettronica, una prima volta nel 2016 rispetto ai giovani che compivano diciotto anni di età nell'anno 2016, e successivamente all’estensione dei benefici economici della carta ai soggetti che compivano 18 anni nel 2017.
Nei suddetti pareri l’Autorità aveva posto quale condizione che l’Amministrazione indicasse "le modalità di realizzazione e gestione della «piattaforma informatica dedicata» e dei tempi di conservazione dei dati personali – eventualmente anche attraverso il rinvio a un atto amministrativo di carattere tecnico, da adottare sentito il Garante – nel rispetto dei principi di pertinenza e non eccedenza nel trattamento dei dati personali (... ) con l’adozione di idonee e preventive misure di sicurezza, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta".
Ciò considerato, il Garante richiama l’attenzione dell’Amministrazione sulla necessità che il trattamento dei dati personali in attuazione della carta dei diciottenni sia effettuato in presenza di un’adeguata base giuridica che risponda ai requisiti previsti dall’art. 6 , comma 3 del Regolamento UE 2016/679.
In conseguenza, ritiene necessario che le "modalità e i tempi della gestione e conservazione dei dati personali", con particolare riferimento alla realizzazione e gestione della "piattaforma informatica dedicata", siano individuati nello schema di decreto all’esame o, in alternativa e al più presto, negli atti di attuazione già previsti dalla normativa vigente e sopra indicati, i cui schemi - opportunamente coordinati - devono essere trasmessi al Garante per il prescritto parere.