Prescrizioni del Garante n. 158 del 12/03/2026

Ministero dell'interno: ammonimento per informativa CIE con recapito RPD non aggiornato e ritardo nel riscontro a istanza di cancellazione

Il provvedimento riguarda il Ministero dell’interno, quale titolare del trattamento connesso alla Carta d’Identità Elettronica (CIE). Il procedimento è stato avviato a seguito di reclamo dell’interessato per il mancato tempestivo riscontro a un’istanza di cancellazione ex art. 17 GDPR e per la gestione non corretta dei contatti indicati nell’informativa online.

Origine del reclamo e oggetto dell’istanza

L’interessato aveva chiesto:

• la rimozione della propria numerazione cellulare dai sistemi del Ministero e della CIE;
• la rimozione dell’obbligo di indicare un numero telefonico per l’attivazione di credenziali SPID di livello 1 associate alla CIE.

Secondo il reclamante, la richiesta era stata inviata all’indirizzo indicato nell’informativa del Portale CIE, ma non aveva ricevuto un riscontro idoneo.

Attività istruttoria svolta dal Garante

L’Autorità ha chiesto al Ministero di fornire un riscontro puntuale all’istanza dell’interessato e di chiarire le azioni intraprese. Il Ministero ha rappresentato che:

• la richiesta era stata inizialmente inviata a un indirizzo e-mail errato, poi sostituito con un indirizzo PEC valido;
• l’attivazione delle credenziali di livello 1 non può avvenire in via esclusiva, ma solo contestualmente a quelle di livello 2, per le quali è necessario certificare un numero di telefonia mobile;
• la possibilità di attivare credenziali di livello 1 e 2, operativa dal 27 marzo 2023, dipende da una scelta del titolare, che consente anche la modifica o cancellazione del numero di telefono e la revoca delle credenziali.

A seguito di ulteriori verifiche, il Garante ha rilevato che nell’informativa pubblicata sul sito del Ministero, nella sezione dedicata alla CIE, era presente un dato di contatto del RPD non aggiornato, con conseguente difficoltà per gli interessati nell’esercizio dei diritti.

Norme richiamate e quadro giuridico

Il Garante ha richiamato in particolare:

• art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• art. 12, parr. 1, 3 e 4, GDPR, sui modi e i termini di riscontro alle richieste dell’interessato;
• art. 13, par. 1, lett. b), GDPR, relativo ai dati di contatto del responsabile della protezione dei dati;
• art. 6, par. 1, lett. e), GDPR, per la legittimità dei trattamenti svolti dai soggetti pubblici per compiti di interesse pubblico;
• art. 58, par. 2, GDPR, per i poteri correttivi dell’Autorità.

È stato ribadito che il titolare deve fornire un riscontro completo, esauriente e comprensibile entro un mese, anche quando l’istanza non possa essere accolta, e che, se non ottempera, deve informare senza ritardo l’interessato dei motivi e delle possibilità di reclamo e ricorso.

Valutazioni del Garante

Dall’istruttoria è emerso che il mancato aggiornamento dell’informativa, in particolare del contatto del RPD, ha determinato il ritardo nel riscontro all’istanza presentata dall’interessato. Il Garante ha quindi ritenuto integrata la violazione:

• del principio di trasparenza ex art. 5, par. 1, lett. a), GDPR;
• dell’art. 13, par. 1, lett. b), GDPR;
• dell’art. 12, parr. 1, 3 e 4, GDPR.

Il Ministero ha sostenuto che non vi fosse stata alcuna violazione di dati personali e che il dato inserito nel sistema non fosse accessibile a terzi; tuttavia tali difese non sono state ritenute sufficienti a superare i rilievi dell’Autorità.

Qualificazione della fattispecie e misura adottata

Il Garante ha considerato la vicenda una “violazione minore” ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie, valorizzando:

• il fatto che la violazione dell’art. 12 ha riguardato un solo interessato;
• l’assenza di danni comprovati;
• la natura colposa dell’errore di aggiornamento;
• la circoscrizione dell’errore alla sola informativa del Portale CIE;
• la piena collaborazione del titolare;
• l’aggiornamento successivo dell’informativa e delle istruzioni per l’esercizio dei diritti.

Per tali ragioni, l’Autorità ha ritenuto sufficiente un ammonimento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, GDPR, senza disporre ulteriori misure correttive, anche perché la condotta aveva già esaurito i propri effetti.

Dispositivo e tutela giurisdizionale

Il Garante ha quindi:

• dichiarato illecita la condotta del Ministero dell’interno;
• ammonito il Ministero per la violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 3 e 4, e 13, par. 1, lett. b), GDPR.

È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.