Parere del Garante n. 31 del 29/01/2026

Modalità e tempi di conservazione dei certificati del casellario giudiziale europeo richiesti dai soggetti critici

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Presidente del Consiglio dei ministri recante le "Modalità e tempi di conservazione dei certificati del casellario giudiziale europeo richiesto dai soggetti critici ai sensi dell’articolo 15 del decreto legislativo 4 settembre 2024, n. 134". Il provvedimento è esaminato ai sensi dell’art. 57, par. 1, lett. c), GDPR e dell’art. 154, comma 5, del Codice privacy, in attuazione della disciplina nazionale di recepimento della direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici.

Quadro normativo di riferimento

La direttiva CER disciplina, tra l’altro, i controlli relativi ai precedenti personali dei soggetti che operano in contesti sensibili, rimettendo agli Stati membri la definizione delle condizioni per autorizzare le richieste di controllo in casi debitamente motivati e tenendo conto della valutazione del rischio dello Stato membro. In attuazione di tale previsione, l’art. 15 del d.lgs. 4 settembre 2024, n. 134 consente al soggetto individuato come critico, previa autorizzazione dell’Autorità settoriale competente, di richiedere il certificato del casellario giudiziale europeo per determinate categorie di persone che rivestono ruoli sensibili, accedono ad aree o siti particolari, oppure sono candidate a tali incarichi, limitatamente ai reati rilevanti per la funzione.

Il Garante ricorda che, in sede di esame dello schema di decreto legislativo, aveva formulato osservazioni solo parzialmente recepite dal legislatore, in particolare sul richiamo ai "reati ritenuti rilevanti ai fini del ruolo da ricoprire" e sulla mancata specificazione delle categorie di precedenti e delle condizioni legittimanti le richieste di controllo. È stata invece recepita integralmente la previsione di una disciplina regolamentare sulle modalità e sui tempi di conservazione dei certificati.

Oggetto dello schema di DPCM

Lo schema di DPCM, adottato in attuazione dell’art. 15, comma 3, del d.lgs. n. 134/2024, disciplina le modalità di trattamento e i tempi di conservazione dei certificati del casellario giudiziale europeo nel rispetto della normativa nazionale ed europea. Le definizioni di "soggetti critici" e di "certificati del casellario giudiziale europeo" sono richiamate per relationem rispettivamente all’art. 8, comma 4, del d.lgs. n. 134/2024 e all’art. 28-bis del d.P.R. 14 novembre 2002, n. 313.

Conservazione in formato digitale e misure di sicurezza

L’art. 3 prevede che i certificati siano acquisiti in formato digitale e conservati in sistemi informatici protetti, conformemente all’art. 44, comma 1-ter, del CAD, così da garantire autenticità, integrità, affidabilità, leggibilità e reperibilità del contenuto.

Sono richieste specifiche misure tecniche e organizzative, tra cui:

• cifratura dei documenti e dei supporti di memorizzazione;
• autenticazione forte degli utenti autorizzati;
• tracciamento e registrazione dei log di accesso e delle operazioni compiute;
• separazione logica e fisica dei dati rispetto agli altri archivi del soggetto critico;
• procedure di backup e ripristino proporzionate al livello di rischio.

L’accesso ai certificati è riservato a personale formalmente autorizzato e limitato alle funzioni di selezione e controllo. Alla scadenza dei termini di conservazione, i certificati devono essere cancellati con tecniche che ne garantiscano la non recuperabilità, con registrazione dell’avvenuta distruzione e dell’autore dell’operazione.

Conservazione in formato cartaceo

L’art. 4 disciplina i casi in cui, per esigenze operative o su specifica richiesta delle competenti autorità, i certificati siano acquisiti o prodotti su supporto cartaceo. In tale ipotesi, la sicurezza è assicurata mediante la conservazione in locali idonei a garantire protezione fisica e riservatezza, con misure per prevenire smarrimenti, sottrazioni o deterioramenti.

La disciplina prevede inoltre:

• separazione delle copie cartacee dagli altri documenti amministrativi;
• identificazione secondo procedure interne idonee a evitare consultazioni non autorizzate;
• rispetto della disciplina applicabile alla gestione delle informazioni digitalizzate;
• distruzione dei certificati, una volta scaduto il termine di conservazione, mediante procedure che garantiscano la non ricostruibilità dei dati personali, con annotazione dell’operazione eseguita.

Tempi di conservazione

L’art. 5 distingue i termini di conservazione in base alla posizione dell’interessato.

Per il personale effettivamente impiegato in ruoli sensibili, inclusi gli esperti in materia di resilienza, i soggetti autorizzati all’accesso a siti e sistemi informatici critici e i candidati che assumono effettivamente tali posizioni, la conservazione è ammessa per l’intera durata dell’esercizio delle funzioni e, dopo la cessazione dell’incarico, per un ulteriore periodo non superiore a dodici mesi, a fini di verifica.

Per i candidati non assunti, il termine massimo è di tre mesi dalla conclusione della procedura di selezione; decorso tale termine, è obbligatoria la cancellazione o distruzione secondo le procedure tecniche già previste. Il Garante considera tale termine congruo anche in relazione ai tempi di eventuale contenzioso.

Se la normativa prevede verifiche periodiche dei requisiti di idoneità, i certificati possono essere conservati fino alla sostituzione con documentazione aggiornata, fermo restando il limite massimo di dodici mesi dalla cessazione definitiva del rapporto. La conservazione oltre tali limiti è consentita solo in presenza di obblighi di legge o di esplicita richiesta dell’autorità giudiziaria, e comunque per il tempo strettamente necessario all’adempimento richiesto.

Valutazione del Garante e conclusione

Pur ricordando che la norma primaria ha recepito solo parzialmente i rilievi da esso formulati sul decreto legislativo di attuazione, il Garante rileva che lo schema di DPCM in esame si limita a definire modalità e tempi di conservazione dei certificati, senza presentare criticità sotto il profilo della protezione dei dati personali. Ritenendolo conforme al contenuto della norma attributiva del potere, l’Autorità non formula rilievi ed esprime parere favorevole sullo schema di decreto.