Parere del Garante n. 746 del 25/12/2025

Schema di decreto sulla piattaforma telematica per i contrassegni dei monopattini elettrici

Il Garante per la protezione dei dati personali esprime parere ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR sullo schema di decreto della Direzione generale per la motorizzazione del Ministero delle infrastrutture e dei trasporti, relativo alla disciplina della piattaforma telematica per la richiesta e il rilascio dei contrassegni identificativi dei monopattini a propulsione prevalentemente elettrica, nonché sul relativo allegato tecnico. Il parere è favorevole, ma subordinato a specifiche condizioni e accompagnato da osservazioni di adeguamento.

Quadro normativo di riferimento

Nel provvedimento vengono richiamati il Regolamento (UE) 2016/679, il d.lgs. 196/2003, il Codice dell’amministrazione digitale, l’art. 1, comma 75-vicies quater, della legge n. 160/2019, come modificato dalla legge n. 177/2024, e il decreto ministeriale 6 ottobre 2025 che prevede l’adozione di un successivo decreto direttoriale per definire le modalità di funzionamento della piattaforma. Sono inoltre richiamate le norme sul servizio di polizia stradale di cui all’art. 12 del d.lgs. n. 285/1992.

Contenuto dello schema e trattamenti previsti

Lo schema, composto da quattordici articoli e un allegato tecnico, disciplina:

• l’accesso alla piattaforma da parte di cittadini, imprese, studi di consulenza automobilistica, personale del Ministero e autorità di polizia;
• la richiesta e il rilascio del contrassegno identificativo, anche tramite intermediari;
• l’associazione tra contrassegno e codice fiscale del proprietario;
• la cancellazione del contrassegno in caso di cessione del monopattino;
• il sistema di logging, monitoraggio, cifratura e pseudonimizzazione;
• i tempi di conservazione dei dati.

La piattaforma tratta dati anagrafici, dati di contatto, credenziali di accesso e dati connessi alle richieste di rilascio e cancellazione, con modalità differenziate a seconda del soggetto che accede e del ruolo svolto.

Valutazioni del Garante su ruoli e base organizzativa

Il Ministero è qualificato come titolare autonomo dei trattamenti svolti per le finalità indicate nello schema, anche quando si avvale di responsabili esterni. Gli uffici della motorizzazione civile sono individuati come soggetti autorizzati al trattamento ai sensi dell’art. 2-quaterdecies del Codice privacy. Gli studi di consulenza automobilistica sono invece titolari autonomi per i trattamenti svolti per il tramite della piattaforma rispetto alla propria utenza di riferimento. Analogamente, le autorità di cui all’art. 12 del Codice della strada sono titolari autonomi per i trattamenti necessari allo svolgimento dei servizi di polizia stradale.

Il Garante evidenzia l’importanza di una chiara delimitazione dei ruoli e delle responsabilità, soprattutto quando l’istanza è presentata da uno studio di consulenza per conto del richiedente, anche minorenne, e quando il trattamento coinvolge dati di terzi o soggetti rappresentati.

Interoperabilità con ANPR, SPID/CIE e banche dati CCIAA

Uno dei punti centrali del parere riguarda l’interoperabilità con ANPR. Lo schema prevedeva la verifica automatica, tramite collegamento con ANPR, dei dati dei richiedenti che accedono con SPID o CIE. Il Garante ritiene che tale passaggio non sia necessario né proporzionato, perché l’autenticazione tramite SPID o CIE è già sufficiente a identificare digitalmente il richiedente; inoltre, l’interrogazione di ANPR comporterebbe una comunicazione al Ministero dell’interno anche per meri accessi alla piattaforma, senza che l’istanza sia necessariamente finalizzata.

Per questa ragione, il Garante chiede di espungere il riferimento al collegamento con ANPR per i richiedenti autenticati con SPID o CIE, prevedendo invece l’acquisizione dei dati attraverso i medesimi strumenti di autenticazione.

Con riferimento alle imprese e alle verifiche sui poteri di rappresentanza, il Garante osserva che lo schema non specifica quali banche dati delle CCIAA sarebbero utilizzate. Chiede quindi di indicarle espressamente, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, integrità e riservatezza.

Informativa, diritti degli interessati e competenza del Ministero

Lo schema prevede che i titolari del trattamento forniscano informativa ai sensi degli artt. 13 e 14 GDPR e garantiscano l’esercizio dei diritti degli interessati ai sensi degli artt. 15 e seguenti. Il Garante rileva però che, nella struttura delineata, i trattamenti nell’ambito della piattaforma sono governati dal Ministero, che cura anche gestione, manutenzione tecnica, accessi e monitoraggio. Ne deriva che gli adempimenti informativi e la gestione dei diritti devono essere attribuiti al solo Ministero per i trattamenti svolti nell’ambito della piattaforma.

Principi GDPR e formulazioni da correggere

Lo schema afferma che il trattamento è conforme alla disciplina privacy e ai principi di liceità, correttezza, trasparenza, limitazione delle finalità, limitazione della conservazione e minimizzazione. Il Garante osserva che il rispetto di tutti i principi del GDPR non può essere oggetto di una valutazione preventiva “di conformità” in sede normativa da parte del titolare, ma deve essere garantito nell’esecuzione concreta del trattamento. Per questo chiede di richiamare i principi pertinenti senza formulare un giudizio anticipato di conformità.

Sicurezza, logging, pseudonimizzazione e conservazione

Lo schema e l’allegato tecnico prevedono misure di sicurezza rilevanti: autenticazione a più fattori, access management, reti private virtuali, logging, monitoraggio, cifratura at rest e in transito, backup, pseudonimizzazione dei dati quando il contrassegno cessa di essere associato al titolare. I dati relativi alle richieste e ai rilasci sono conservati pseudonimizzati per 35 anni dalla cancellazione del contrassegno, per consentire gli accertamenti di legge di competenza dell’autorità giudiziaria; i log di accesso sono conservati per 24 mesi dall’ultimo accesso.

Il Garante apprezza l’impianto di sicurezza ma rileva una contraddizione sui log: un punto dell’allegato parla di conservazione per un anno, mentre un altro prevede 24 mesi. Chiede quindi di allineare i termini al periodo biennale, precisando che la conservazione deve avvenire nell’ambito della medesima piattaforma.

Esito del parere

Alla luce delle osservazioni accolte e delle condizioni indicate, il Garante esprime parere favorevole sullo schema di decreto e sul relativo allegato tecnico, subordinandolo a:

• espunzione del collegamento automatico con ANPR per i richiedenti autenticati con SPID o CIE;
• specificazione delle banche dati utilizzate per le verifiche su impresa e rappresentanza;
• attribuzione al solo Ministero degli adempimenti informativi e della gestione dei diritti degli interessati.

Formula inoltre l’osservazione di richiamare tutti i principi del GDPR senza riferimenti a una preventiva valutazione di conformità e di allineare il termine di conservazione dei log a due anni.