Prescrizioni del Garante n. 234 del 26/03/2026

Ministero della giustizia - ammonimento urgente sulla conservazione dei dati dei sottoscrittori di referendum e leggi popolari scadute

Il Garante per la protezione dei dati personali interviene nei confronti del Ministero della giustizia, titolare della Piattaforma per la raccolta digitale delle firme, a seguito di un’istruttoria d’ufficio avviata nell’ambito delle valutazioni su un possibile aggiornamento del d.P.C.M. 9 settembre 2022. L’Autorità rileva che, nella sezione privata accessibile ai sottoscrittori, restano conservati e consultabili i dati relativi a proposte referendarie e iniziative di legge popolare la cui raccolta è ormai scaduta, con conseguente rischio di conservazione non giustificata e centralizzata di dati di particolare delicatezza.

Contesto normativo e precedenti interventi

La Piattaforma è stata istituita dalla legge n. 178/2020, come modificata dal d.l. n. 144/2023, per consentire la sottoscrizione digitale delle proposte referendarie e dei progetti di legge di iniziativa popolare. Il d.P.C.M. 9 settembre 2022 ne disciplina l’architettura, distinguendo tra area pubblica e area privata. Il Garante richiama i precedenti provvedimenti n. 106 del 24 marzo 2022 e n. 331 del 28 maggio 2024, nei quali aveva già evidenziato criticità e prescritto di limitare il trattamento alla verifica della validità delle sottoscrizioni, di definire un termine massimo di conservazione e di introdurre un meccanismo di cancellazione automatica.

Accertamenti svolti e criticità riscontrate

Dagli accertamenti effettuati sul portale https://firmereferendum.giustizia.it/referendum/open è emerso che, una volta autenticato, il sottoscrittore può accedere alla sezione "Ricerca iniziative" e visualizzare non solo le iniziative aperte, ma anche quelle scadute. Selezionando le iniziative non più in raccolta, la piattaforma conserva lo storico di tutte le proposte sottoscritte dall’interessato, con il relativo testo, il codice identificativo e la possibilità di scaricare gli attestati di sottoscrizione. L’informativa privacy indica una conservazione dei dati pari a 10 anni.

Il Garante osserva inoltre che, secondo il d.P.C.M. e la valutazione d’impatto, la cancellazione dovrebbe avvenire al completamento delle attività di verifica e trasferimento dei dati, salvo specifiche esigenze comunicate dagli altri titolari. Proprio tale riferimento, già criticato nei precedenti provvedimenti, era stato ritenuto eccessivamente generico e idoneo a legittimare una conservazione priva di sufficiente base giuridica.

Richiesta di informazioni e insufficienza del riscontro

Con richiesta del 12 febbraio 2026, ai sensi dell’art. 157 del Codice, l’Autorità ha chiesto al Ministero di chiarire:

• la finalità della conservazione e visualizzazione dei dati relativi alle proposte scadute;
• le ragioni del termine decennale di conservazione;
• le misure adottate o da adottare per evitare conservazioni eccedenti rispetto alle finalità.

La risposta del Ministero, del 28 febbraio 2026, si è limitata ad affermare che sarebbe stato ridefinito il termine di visualizzazione delle proposte scadute, senza affrontare il nodo della conservazione dei dati. Per il Garante, tale riscontro conferma una valutazione inadeguata dei rischi e non chiarisce la base giuridica del trattamento continuativo dei dati delle iniziative scadute.

Qualificazione dei dati e base giuridica del trattamento

L’Autorità qualifica i dati dei sottoscrittori come particolari categorie di dati personali ai sensi dell’art. 9, par. 1, GDPR, poiché la sottoscrizione di referendum e leggi popolari può rivelare opinioni o posizione politica. Si tratta dunque di trattamenti con elevati rischi per i diritti e le libertà fondamentali, anche per l’incidenza su istituti di democrazia diretta.

Per i soggetti pubblici, il trattamento è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR e dell’art. 2-ter del Codice. In ogni caso, devono essere rispettati i principi di cui all’art. 5 GDPR, in particolare:

• liceità, correttezza e trasparenza;
• limitazione delle finalità;
• limitazione della conservazione.

Nel caso esaminato, il Garante ritiene che la conservazione dei dati dei sottoscrittori delle proposte scadute non risulti sorretta da un’idonea base giuridica e si ponga in contrasto con i principi sopra richiamati.

Provvedimento urgente adottato

Ai sensi dell’art. 58, par. 2, lett. b), GDPR, il Garante adotta in via d’urgenza nei confronti del Ministero della giustizia la misura dell’ammonimento. La misura impone che i dati dei sottoscrittori delle proposte referendarie e delle iniziative di legge popolare scadute, attualmente conservati nella Piattaforma, siano resi inaccessibili e protetti mediante misure tecniche idonee a prevenire accessi illeciti o abusivi.

La misura ha effetto immediato dalla notifica del provvedimento, ferma restando la riserva di ogni ulteriore determinazione all’esito della conclusione dell’istruttoria avviata sul caso.

Obbligo di riscontro e ulteriori effetti

Il Ministero è inoltre invitato, ai sensi degli artt. 58, par. 1, GDPR e 157 del Codice, a comunicare entro tre mesi dalla notifica le misure che intende adottare per conformare il trattamento al quadro normativo e ai precedenti provvedimenti del Garante, indicando anche il numero degli interessati coinvolti. Il provvedimento ricorda che il mancato riscontro alla richiesta di informazioni è sanzionabile ai sensi dell’art. 83, par. 5, lett. e), GDPR.

Infine, il Garante dispone la pubblicazione del provvedimento sul proprio sito internet e l’annotazione nel registro interno delle violazioni e delle misure adottate. Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione.