Parere del Garante n. 297 del 17/04/2026

Parere sullo schema di decreto regolamentare per l'accesso alla professione di agente d'affari in mediazione

Il Garante per la protezione dei dati personali esprime parere, ai sensi dell'art. 36, par. 4, GDPR e dell'art. 154, comma 5, del Codice privacy, su uno schema di decreto ministeriale del Ministero delle Imprese e del Made in Italy volto a riformare l'accesso alla professione di agente d'affari in mediazione. Il decreto attua l'art. 2, comma 3, lett. e), della legge n. 39/1989 e sostituisce il D.M. 21 febbraio 1990, n. 300, disciplinando in modo organico titolo di formazione, esame, praticantato e registro dei praticanti.

Quadro normativo e contenuto dello schema

Lo schema si inserisce nel contesto della disciplina sulle professioni e sui servizi nel mercato interno, richiamando anche il d.lgs. n. 59/2010 e il d.lgs. n. 206/2007. Il nuovo impianto prevede un sistema di accesso a doppio binario: da un lato, corso di formazione di 150 ore con attestato di profitto ed esame presso le Camere di commercio; dall'altro, un periodo di pratica professionale continuativa di almeno dodici mesi, preceduto dall'iscrizione nel registro dei praticanti.

Registro telematico dei praticanti e fascicolo digitale

L'art. 5 dello schema introduce presso ciascuna Camera di commercio un registro telematico dei praticanti. Le Camere di commercio devono anche promuovere la disponibilità degli agenti già iscritti a svolgere il ruolo di soggetti ospitanti e pubblicare un elenco digitale dei mediatori disponibili e degli aspiranti praticanti. La domanda di iscrizione va presentata alla Camera di commercio della provincia di residenza, con dichiarazioni sostitutive sul titolo di studio e sulla residenza, prova del pagamento dei diritti di segreteria e documentazione relativa a una polizza assicurativa a copertura dei rischi del praticante, a carico del soggetto ospitante.

Una volta accolta l'istanza, viene generato un fascicolo digitale del praticante che raccoglie le generalità dell'iscritto, i titoli posseduti, le date di inizio e fine del praticantato, i soggetti ospitanti, il conseguimento dell'attestato del corso obbligatorio e le attestazioni periodiche e finali validate dal soggetto ospitante. Il fascicolo conserva anche traccia delle interruzioni del percorso fino alla cancellazione finale dal registro.

Interruzioni del praticantato e dati sanitari

L'art. 6, comma 10, consente l'interruzione del tirocinio fino a nove mesi per giustificati motivi, tra cui gravidanza, assistenza a familiari con handicap e gravi patologie. La norma richiede che tali eventi siano attestati da idonea documentazione, escludendo dichiarazioni sostitutive, da inserire nel registro telematico.

Sul punto, il Garante rileva che la documentazione richiesta rischia di comportare il trattamento di dati sanitari e di informazioni particolarmente sensibili, in contrasto con il principio di minimizzazione. Chiede pertanto che la disciplina sia riformulata in modo da limitare la documentazione ai soli dati relativi alla durata della prognosi o dell'impedimento, senza indicazione della specifica patologia o diagnosi clinica.

Ruoli privacy, sicurezza e decreto tecnico attuativo

Il Garante osserva che lo schema non disciplina in modo organico il trattamento dei dati personali connesso ai registri. Occorre quindi integrare il testo indicando espressamente:

• le finalità del trattamento e le categorie di dati raccolti;
• le operazioni eseguibili e le garanzie per gli interessati;
• le Camere di commercio, industria, artigianato e agricoltura quali titolari del trattamento;
• il gestore della piattaforma informatica centralizzata quale responsabile del trattamento ex art. 28 GDPR.

Inoltre, poiché le specifiche tecniche della piattaforma e le misure di sicurezza sono rimesse a un successivo decreto ministeriale, il Garante ritiene necessario che tale decreto sia sottoposto al proprio parere e che ne sia esteso l'oggetto anche alla disciplina di dettaglio del trattamento dati relativa al fascicolo del praticante.

Valutazione d'impatto e informativa

Considerata la gestione esclusivamente digitale del registro e il trattamento sistematico su larga scala di dati personali, inclusi dati rientranti nell'art. 9 GDPR, il Garante ritiene necessario che l'operatività del sistema sia subordinata a una previa valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35 GDPR.

Infine, segnala un'ulteriore criticità redazionale nell'allegato 4, dove l'informativa richiama erroneamente l'art. 13 del Codice privacy anziché l'art. 13 GDPR e non appare pienamente conforme ai contenuti richiesti dalla norma unionale, con particolare riferimento a basi giuridiche, tempi di conservazione e diritti degli interessati.

Esito del parere

Il parere è sostanzialmente favorevole, ma condizionato all'inserimento di specifiche modifiche. Il Garante chiede in particolare di integrare l'articolato sulla disciplina del trattamento, definire ruoli e garanzie, riformulare la disciplina delle interruzioni del praticantato in chiave di minimizzazione, prevedere la DPIA, adeguare l'informativa e sottoporre il futuro decreto tecnico al parere dell'Autorità.