Decreto dirigenziale n. 202 del 03/07/2025

Introduzione dell’autenticazione a due fattori per l’accesso ai sistemi informativi della Motorizzazione

Il decreto disciplina l’adozione di un sistema di autenticazione a due fattori per l’accesso ai sistemi informativi della Direzione generale per la motorizzazione, rivolto agli operatori professionali dei servizi telematici connessi alle funzioni del Dipartimento per i trasporti e la navigazione. La misura si colloca nel quadro del CAD, del GDPR, del codice privacy e della disciplina SPID/CIE, con l’obiettivo di rafforzare sicurezza, affidabilità e qualità dei servizi digitali del MIT.

Base normativa e finalità

Il provvedimento richiama il decreto legislativo 7 marzo 2005, n. 82 (CAD), il Regolamento (UE) 2016/679 (GDPR), il decreto legislativo 30 giugno 2003, n. 196, il Regolamento (UE) n. 910/2014, il Regolamento di esecuzione (UE) 2015/1502, il decreto legislativo 10 agosto 2018, n. 101 e il DPCM 24 ottobre 2014, come modificato dal DPCM 19 ottobre 2021 in materia di SPID. Le premesse evidenziano la volontà dell’Amministrazione di migliorare tempestività, accessibilità e trasparenza dei servizi, anche in considerazione della riduzione delle risorse umane negli uffici territoriali e della necessità di contrastare rischi informatici crescenti.

Oggetto e ambito di applicazione

L’articolo 1 delimita l’oggetto del decreto alla disciplina del sistema di autenticazione basato sulla verifica dell’identità a due fattori per l’accesso ai sistemi informativi della Direzione generale per la motorizzazione. Il perimetro soggettivo riguarda gli operatori professionali dei servizi telematici connessi all’esercizio delle funzioni del Dipartimento per i trasporti e la navigazione.

Modalità di accesso

L’articolo 2 stabilisce che l’accesso ai sistemi informativi avviene tramite il Portale del Trasporto con SPID di secondo livello oppure con carta di identità digitale. La scelta conferma l’impostazione di identificazione elettronica conforme al quadro nazionale ed europeo e si orienta verso strumenti digitali standardizzati per l’utenza professionale.

Protezione dei dati personali e sicurezza

L’articolo 3 precisa che la procedura di autenticazione e accesso deve avvenire nel rispetto del GDPR, del codice privacy e del CAD. Il Ministero delle infrastrutture e dei trasporti, per il tramite della Direzione generale per la motorizzazione, è titolare del trattamento dei dati personali acquisiti per l’identificazione e l’autenticazione informatica. Il trattamento deve rispettare i principi di liceità, correttezza, trasparenza, limitazione delle finalità e minimizzazione di cui all’articolo 5 GDPR.

Il decreto impone misure di sicurezza appropriate e specifiche ai sensi dell’articolo 32 GDPR, con attenzione a integrità e riservatezza dei dati, sicurezza del sistema, tracciamento delle operazioni e protezione dei dati fin dalla progettazione e per impostazione predefinita. Le misure devono inoltre essere periodicamente aggiornate e verificate alla luce dello stato dell’arte tecnologico. È escluso il trasferimento dei dati fuori dallo Spazio economico europeo, salvo quanto consentito dal GDPR.

Dati trattati, conservazione e diritti degli interessati

L’articolo 4 specifica che vengono trattati i dati personali raccolti in fase di autenticazione per l’accesso ai sistemi informativi della Motorizzazione, in particolare:

• dati anagrafici: nome, cognome, data e luogo di nascita, codice fiscale e dati desumibili dal documento di riconoscimento;
• dati riferiti agli operatori professionali: ragione o denominazione sociale, sede legale, partita IVA, domicilio digitale.

Il decreto chiarisce che non sono richiesti dati rientranti nelle categorie particolari di cui agli articoli 9 e 10 GDPR. I dati sono conservati in un’apposita banca dati presso il Ministero per il tempo strettamente necessario al perseguimento delle finalità di raccolta e trattamento. Il titolare deve fornire l’informativa ex articoli 13 e 14 GDPR e garantire l’esercizio dei diritti degli interessati ai sensi degli articoli 15 e seguenti del GDPR.

Disposizioni transitorie e attuazione

L’articolo 5 prevede un periodo transitorio di 12 mesi dall’entrata in vigore entro il quale gli operatori professionali dovranno accedere ai sistemi informativi tramite Multi-Factor Authentication secondo le modalità indicate dall’articolo 2. Successivi atti del Direttore generale della Direzione generale per la motorizzazione stabiliranno le tempistiche per ciascuna categoria di operatore professionale.

Le richieste di assistenza tecnica relative all’accesso con Multi-Factor Authentication dovranno essere inoltrate tramite il Portale dell’Automobilista, nella sezione "contatti".

Entrata in vigore e neutralità finanziaria

L’articolo 6 stabilisce che dall’attuazione del decreto non derivano nuovi o maggiori oneri per la finanza pubblica. Il provvedimento è pubblicato sul sito internet del Ministero delle infrastrutture e dei trasporti ed entra in vigore il giorno della pubblicazione.