Parere del Garante n. 580 del 06/08/2026

Regolamento AgID per la registrazione al Sistema IT-Wallet e la sperimentazione

Il Garante per la protezione dei dati personali ha esaminato lo schema di regolamento predisposto dall’Agenzia per l’Italia digitale (AgID), previsto dall’art. 6, comma 3, del d.P.C.M. 17 giugno 2026, recante le modalità di registrazione al Sistema IT-Wallet e la presentazione di progetti di sperimentazione. Il parere, adottato il 6 agosto 2026, è favorevole e non contiene rilievi.

Quadro normativo e finalità del regolamento

Il Sistema IT-Wallet è previsto dall’art. 64-quater del d.lgs. 7 marzo 2005, n. 82 (CAD) e comprende una soluzione di portafoglio digitale pubblico e soluzioni private, finalizzate anche a rafforzare l’interoperabilità tra banche dati pubbliche e a favorire l’utilizzo di servizi in rete. Il sistema deve essere attuato nel rispetto del regolamento eIDAS, ossia del regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183, relativo anche al portafoglio europeo di identità digitale.

Il d.P.C.M. 17 giugno 2026 ha approvato le linee guida del Sistema IT-Wallet e le regole per la sperimentazione. Il relativo art. 6, comma 3, demanda ad AgID l’adozione di un regolamento contenente le procedure amministrative di registrazione, i contenuti della relazione tecnica sulla sicurezza delle soluzioni, i requisiti di onorabilità, affidabilità, tecnologici e organizzativi e le garanzie assicurative richieste ai soggetti partecipanti.

Contenuti dello schema esaminato

Lo schema disciplina, in sede di prima applicazione e per il periodo di sperimentazione:

• le procedure amministrative necessarie alla registrazione al Sistema IT-Wallet;
• i contenuti della relazione tecnica che deve dimostrare la sicurezza delle soluzioni tecniche rispetto alle specifiche tecniche applicabili;
• i requisiti di onorabilità, affidabilità, tecnologici e organizzativi dei soggetti richiedenti;
• le garanzie assicurative adeguate all’attività svolta;
• l’istituzione dello Spazio di sperimentazione IT-Wallet.

Lo Spazio di sperimentazione consente a soggetti pubblici e privati, su base volontaria e previa registrazione, di presentare progetti riguardanti soluzioni tecniche, funzionalità, servizi, casi d’uso o modalità operative non ancora contemplati dal quadro normativo applicabile al Sistema IT-Wallet.

Il regolamento individua inoltre i soggetti registrati di diritto, tra cui l’Istituto Poligrafico e Zecca dello Stato S.p.A., quale fornitore del Registro IT-Wallet e di specifiche categorie di attestati elettronici, e PagoPA S.p.A., quale fornitore della soluzione IT-Wallet pubblica. Sono inoltre individuate le categorie di soggetti interessati alla sperimentazione, tra cui fornitori di soluzioni IT-Wallet, fornitori e verificatori di attestati elettronici di attributi, soggetti aggregatori e titolari di fonti autentiche.

Trattamento dei dati relativi ai requisiti di onorabilità

Lo schema prevede che i soggetti privati alleghino alla domanda di registrazione una dichiarazione sostitutiva di certificazione, resa dal legale rappresentante ai sensi degli artt. 46, 75 e 76 del d.P.R. 28 dicembre 2000, n. 445.

La dichiarazione riguarda, tra l’altro, l’assenza di:

• condanne con sentenza definitiva o decreto penale di condanna irrevocabile;
• provvedimenti relativi all’applicazione di misure di sicurezza o di prevenzione;
• decisioni civili e provvedimenti amministrativi iscritti nel casellario giudiziale;
• procedimenti penali per i reati specificamente richiamati nello schema;
• provvedimenti giudiziari con applicazione delle sanzioni amministrative previste dal d.lgs. 8 giugno 2001, n. 231, in relazione ai reati di cui all’art. 24-bis del medesimo decreto, comprese le misure cautelari della sezione IV.

La veridicità delle dichiarazioni deve essere verificata tramite il certificato dei carichi pendenti e il certificato selettivo del casellario giudiziale. Il Garante ha considerato rilevante, sotto il profilo della protezione dei dati, il ricorso al certificato selettivo previsto dall’art. 28, comma 2, del d.P.R. 14 novembre 2002, n. 313, in quanto coerente con la minimizzazione dei dati trattati.

Le dichiarazioni sostitutive e la documentazione relativa ai controlli devono essere conservate per il tempo necessario alla gestione del procedimento di verifica, salvo i casi di contenzioso. Tale previsione è stata valutata in conformità al principio di limitazione della conservazione.

Principi GDPR applicati dal Garante

Il Garante ha rilevato che lo schema tiene conto delle osservazioni formulate dall’Ufficio durante le interlocuzioni informali e che i trattamenti sono stati impostati secondo i principi di privacy by design e privacy by default di cui all’art. 25 GDPR.

In particolare, l’Autorità ha considerato rispettati:

• i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• il principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), GDPR;
• il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR;
• le garanzie relative al trattamento di dati personali concernenti condanne penali e reati previste dall’art. 10 GDPR e dall’art. 2-octies del Codice privacy.

Per i trattamenti connessi ai controlli sui requisiti di onorabilità, il Garante ha quindi valutato positivamente la delimitazione dei dati utilizzabili, la previsione di verifiche documentali specifiche e la conservazione temporalmente limitata.

Monitoraggio, vigilanza e basi giuridiche

Lo schema disciplina gli obblighi dei soggetti registrati anche con riferimento alla messa a disposizione di informazioni agli organismi incaricati del monitoraggio e della vigilanza sul Sistema IT-Wallet.

Il Garante ha sottolineato l’importanza di individuare i soggetti istituzionali competenti a ricevere dati personali dai soggetti registrati, così da assicurare che tali comunicazioni siano fondate sul quadro normativo vigente e rispettino i principi di liceità, correttezza e trasparenza.

A tale riguardo, il parere richiama:

• l’art. 5, par. 1, lett. a), GDPR;
• l’art. 6, par. 1, lett. c), e par. 3, GDPR, in materia di trattamento necessario per adempiere un obbligo legale e di trattamento fondato sul diritto dell’Unione o dello Stato membro;
• l’art. 2-ter del Codice privacy, relativo ai trattamenti effettuati per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Sicurezza, gestione delle violazioni e valutazione d’impatto

Tra gli obblighi dei soggetti registrati rientrano la valutazione dei rischi associati alla soluzione oggetto di sperimentazione e l’adozione delle misure necessarie a mitigarli. Sono inoltre previsti obblighi relativi alla gestione delle violazioni dei dati personali e alla collaborazione informativa con gli organismi di monitoraggio e vigilanza.

Il Garante ha considerato positivamente la previsione secondo cui, quando ricorrono i presupposti dell’art. 35 GDPR, i soggetti coinvolti devono predisporre una valutazione d’impatto sulla protezione dei dati. Tale valutazione dovrà riguardare i trattamenti connessi ai progetti di sperimentazione proposti.

Esito del parere

Ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, il Garante ha espresso parere favorevole sullo schema di regolamento AgID, senza formulare rilievi ulteriori.

L’esito positivo riflette la valutazione secondo cui lo schema, anche grazie alle modifiche apportate durante le interlocuzioni con l’Ufficio, disciplina i trattamenti connessi alla registrazione e alla sperimentazione del Sistema IT-Wallet in modo coerente con il GDPR, il Codice privacy e i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.