Parere del Garante n. 748 del 18/12/2025

Parere sullo schema di decreto direttoriale relativo all'elenco degli enti e delle associazioni abilitati ai percorsi di recupero per reati di violenza contro le donne e violenza domestica

Il Garante per la protezione dei dati personali rende parere, ai sensi dell'art. 57, par. 1, lett. c), del Regolamento (UE) 2016/679, sullo schema di decreto direttoriale del Ministero della giustizia volto a disciplinare la formazione, la tenuta e l'aggiornamento dell'elenco degli enti e delle associazioni abilitati a organizzare percorsi di recupero destinati ai soggetti condannati per reati di violenza contro le donne e di violenza domestica.

Il parere si inserisce nel quadro della legge 24 novembre 2023, n. 168, e del decreto ministeriale 22 gennaio 2025 che ha definito criteri e modalità per il riconoscimento e l'accreditamento dei soggetti abilitati, rinviando a un decreto direttoriale la disciplina del trattamento dei dati personali strettamente necessario alla gestione dell'elenco CUAV.

Quadro normativo e finalità del trattamento

L'Autorità richiama innanzitutto le disposizioni che fondano l'intervento amministrativo: l'art. 165, quinto comma, c.p., che subordina la sospensione condizionale della pena alla partecipazione e al superamento di specifici percorsi di recupero; l'art. 282-quater, comma 1, terzo periodo, c.p.p., relativo ai programmi di prevenzione per imputati e indagati; e l'art. 18 della legge n. 168/2023, che ha previsto criteri di riconoscimento e accreditamento degli enti e delle associazioni e linee guida per la loro attività.

Il decreto ministeriale 22 gennaio 2025 stabilisce che i percorsi di recupero e i programmi di prevenzione possano essere svolti esclusivamente presso i C.U.A.V. inseriti nell'elenco ministeriale e accreditati secondo le regole fissate dal Ministero della giustizia.

Oggetto del decreto direttoriale e dati trattati

Lo schema esaminato disciplina i trattamenti effettuati dal Dipartimento per la giustizia minorile e di comunità nell'ambito del procedimento di accreditamento dei CUAV e della gestione del relativo elenco.

Il Garante evidenzia che i dati interessati comprendono:

• dati personali comuni riferiti agli enti e alle associazioni richiedenti;
• dati relativi ai soci, associati, amministratori, rappresentanti e responsabili;
• dati relativi a condanne penali, reati, misure di prevenzione e altri elementi rilevanti ai fini dei requisiti di onorabilità.

Le operazioni previste includono acquisizione, verifica, interconnessione, raffronto con altre informazioni detenute da amministrazioni pubbliche, registrazione nell'elenco, pubblicazione della parte accessibile al pubblico, sospensione e cancellazione dall'elenco.

Valutazione sulla base giuridica e sulla qualificazione del trattamento

Il Garante precisa che la tenuta del registro dei CUAV e il trattamento dei dati effettuato dagli uffici amministrativi del Ministero non costituiscono direttamente attività di law enforcement e ricadono pertanto nella disciplina del GDPR.

Per i dati relativi a condanne penali e reati, l'Autorità richiama l'art. 2-octies, comma 5, del Codice privacy, che rinvia all'art. 2-sexies per i trattamenti effettuati sotto il controllo dell'autorità pubblica e per motivi di interesse pubblico rilevante. Secondo il Garante, il combinato disposto della legge n. 168/2023 e del decreto ministeriale 22 gennaio 2025 costituisce base giuridica idonea, perché individua finalità, tipi di dati, operazioni eseguibili e misure appropriate di garanzia.

Recepimento delle precedenti osservazioni dell'Ufficio del Garante

Il parere dà atto che lo schema trasmesso nel novembre 2025 è una versione aggiornata di precedenti bozze sulle quali l'Ufficio aveva segnalato criticità.

Le principali correzioni intervenute riguardano:

• l'indicazione puntuale delle amministrazioni e delle banche dati da interrogare per i controlli sulle dichiarazioni sostitutive;
• la chiara individuazione dei ruoli e delle responsabilità dei soggetti coinvolti nel trattamento;
• il coordinamento espresso tra il decreto direttoriale e il sub-allegato tecnico;
• la riscrittura delle disposizioni sulla verifica dei requisiti di onorabilità, ora ricondotta correttamente agli artt. 46 e 47 del d.P.R. 28 dicembre 2000, n. 445.

Disciplina dei requisiti di onorabilità e superamento dell'impropria "liberatoria"

Un rilievo centrale della precedente interlocuzione con il Garante riguardava il trattamento dei dati giudiziari necessari a verificare i requisiti di onorabilità dei soggetti dell'ente o dell'associazione.

L'Autorità aveva evidenziato che la precedente formulazione era impropria nella parte in cui evocava una "liberatoria" ai sensi degli artt. 13 e 14 GDPR, termini che attengono agli obblighi informativi e non al consenso. La nuova stesura viene considerata conforme perché prevede che il possesso dei requisiti sia attestato dagli interessati con documentazione resa ai sensi degli artt. 46 e 47 del d.P.R. n. 445/2000, limitatamente alle informazioni rilevanti, e chiarisce gli obblighi di informativa verso gli interessati.

Misure tecnico-organizzative e sicurezza dei dati

Lo schema e il sub-allegato tecnico descrivono un impianto di trattamento impostato su modalità informatiche non automatizzate, con uso della PEC integrata al sistema di protocollazione Calliope. Ogni CUAV dispone di un fascicolo riservato e di un corrispondente riferimento in un database ad accesso ristretto, realizzato ad hoc e contenente i dati necessari ai fini identificativi e gestionali.

Sono previste misure organizzative e di sicurezza che includono:

• definizione di ruoli e responsabilità;
• formazione e sensibilizzazione del personale;
• minimizzazione ed esattezza dei dati;
• riservatezza, integrità, disponibilità e resilienza dei sistemi;
• capacità di ripristino in caso di incidente;
• procedure di autenticazione e autorizzazione degli utenti;
• protezione fisica e registrazione delle operazioni.

Il sub-allegato segnala anche il rischio di errori di trascrizione nei passaggi manuali di estrazione e trasferimento dei dati. Per questo sono previste verifiche incrociate prima dell'avvio della procedura e prima della pubblicazione sul sito del Ministero, con controlli successivi da parte di ulteriori unità autorizzate.

Conclusioni

Alla luce delle modifiche apportate e delle garanzie previste, il Garante ritiene che lo schema di decreto direttoriale sia ormai allineato alle precedenti osservazioni e conforme alla disciplina in materia di protezione dei dati personali.

Il parere è quindi favorevole sullo schema di decreto direttoriale concernente la formazione, tenuta e aggiornamento dell'elenco degli enti e delle associazioni abilitati a organizzare percorsi di recupero destinati ai soggetti condannati per reati di violenza contro le donne e di violenza domestica.