Ordinanza ingiunzione o revoca n. 116 del 27/02/2025

Ministero dell’Interno – trattamento dei dati in CIE-Agenda Online e conservazione eccessiva dei profili

Il Garante ha esaminato il servizio "CIE-Agenda Online" del Ministero dell’Interno, utilizzato per prenotare gli appuntamenti presso i Comuni per il rilascio o rinnovo della carta di identità elettronica. Il procedimento è nato da un reclamo relativo all’invio di una ricevuta a un indirizzo email errato, ma l’istruttoria si è concentrata soprattutto sulla struttura del sistema e sui tempi di conservazione dei dati.

Origine del reclamo e anomalia segnalata

L’interessato aveva prenotato un appuntamento tramite il portale e lo aveva confermato con SPID. Al termine della procedura, la schermata di riepilogo indicava che la ricevuta PDF sarebbe stata inviata a un indirizzo email non suo. Il Ministero, nelle verifiche tecniche, ha riscontrato che l’utenza del reclamante era stata creata con un indirizzo email riferibile a un operatore comunale, che avrebbe probabilmente utilizzato la procedura riservata ai cittadini invece di quella per gli operatori di sportello.

Il Ministero ha poi riferito che, una volta contattata l’assistenza CIE, l’interessato aveva ottenuto la correzione dell’indirizzo e l’invio di una nuova ricevuta. Ha anche precisato che gli operatori comunali non possono modificare il profilo dei cittadini e che l’indirizzo email inserito in fase di prenotazione serve per le comunicazioni sul rilascio della CIE.

Istruttoria e difese del Ministero

Nelle memorie difensive il Ministero ha sostenuto che la conservazione dei dati era legittima perché prevista dalla disciplina tecnica sulla CIE, in particolare dal d.m. 23 dicembre 2015, Allegato B, punto 4.4.5, che consente al cittadino di fornire indirizzi di contatto per ricevere comunicazioni sullo stato di avanzamento del processo di rilascio. Ha affermato che i dati erano conservati per non più di due anni dalla registrazione o dall’ultimo appuntamento, e che nel caso concreto non erano ancora decorsi due anni tra i vari accessi e appuntamenti.

Il Ministero ha inoltre rappresentato di voler introdurre alcune misure correttive, tra cui:

• un avviso sul portale sulla necessità della creazione dell’utenza e sulla cancellazione automatica in assenza di appuntamenti attivi;
• la cancellazione delle utenze e dei dati degli appuntamenti fissati dopo il rilascio della CIE, se non vi fossero ulteriori appuntamenti;
• la cancellazione dello storico di tutti gli appuntamenti e di tutte le utenze entro una data indicata nelle difese.

Accertamenti del Garante sul funzionamento del sistema

L’Autorità ha accertato che il sistema consentiva l’accesso non solo con CIE e SPID, ma anche con una semplice registrazione tramite codice fiscale e password. Dall’informativa risultava che la cancellazione degli appuntamenti avveniva dopo 30 giorni dalla data prevista, indipendentemente dall’emissione della CIE, e che le utenze venivano cancellate solo quando non vi era alcun appuntamento associato. Era comunque prevista la possibilità di eliminare l’account dal portale.

Il Garante ha osservato che, nel periodo esaminato, il sistema conservava:

• l’utenza creata per prenotare l’appuntamento anche dopo la spedizione o il ritiro della CIE;
• lo storico di tutti gli appuntamenti, compresi quelli cancellati o scaduti;
• i dati di contatto e le informazioni inserite al momento della prenotazione per due anni dalla registrazione o dall’ultimo appuntamento.

Valutazione giuridica

Secondo il Garante, i dati acquisiti per la prenotazione di un appuntamento per la CIE devono essere utilizzati esclusivamente per la gestione dell’appuntamento e di eventuali contestazioni, e non conservati oltre un termine adeguato rispetto a tale finalità. La creazione obbligatoria di un account, e soprattutto il suo mantenimento anche in assenza di appuntamenti attivi o dopo la conclusione del procedimento di rilascio, è stata ritenuta non proporzionata e non necessaria.

L’Autorità ha richiamato i principi di cui all’art. 5, par. 1, lett. a), b) ed e) GDPR e il requisito di liceità dell’art. 6 GDPR, osservando che il trattamento non era supportato da una base adeguata nei termini di conservazione e riuso dei dati concretamente attuati. È stato inoltre richiamato il principio di protezione dei dati fin dalla progettazione, in quanto il sistema avrebbe dovuto essere impostato in modo da non conservare di default un profilo utente stabile oltre quanto necessario.

Esito del procedimento e sanzione

Il Garante ha ritenuto che le difese del Ministero non fossero sufficienti a giustificare l’archiviazione e ha confermato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), b) ed e), e 6 GDPR. Ha anche escluso, allo stato, la necessità di ulteriori misure correttive, prendendo atto degli interventi già dichiarati dal Ministero, in particolare la riduzione dei tempi di conservazione a 30 giorni dalla data prevista per l’appuntamento e la cancellazione dell’utenza in assenza di appuntamenti.

Ai fini sanzionatori, l’Autorità ha applicato l’art. 83, par. 5, GDPR, richiamando l’art. 83, par. 3 per la condotta unitaria. Ha ritenuto il livello di gravità basso, anche per la natura non particolarmente delicata dei dati trattati e per l’assenza di segnalazioni analoghe, ma ha considerato anche l’ampia platea potenzialmente interessata dal sistema. In favore del Ministero sono stati valorizzati la tempestiva gestione del reclamo, la cooperazione con l’Autorità e l’assenza di precedenti pertinenti.

L’importo della sanzione è stato determinato in euro 3.000. È stata inoltre disposta la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante e l’annotazione nel registro interno dell’Autorità.