Ordinanza ingiunzione o revoca n. 303 del 29/04/2026

Lepida S.c.p.A. - violazioni nella gestione del servizio LepidaID/SPID e sanzione pecuniaria

Il provvedimento riguarda Lepida S.c.p.A., gestore di identità digitale SPID, nell’ambito di un programma di verifiche del Garante sui provider di identità digitale. L’istruttoria ha riguardato, in particolare, l’assetto del servizio LepidaID, le funzionalità dell’applicativo "Backoffice LepidaID - Operatore", la conservazione dei documenti degli utenti, le verifiche presso banche dati autoritative, la conservazione dei log di transazione e la chiarezza delle informative rese agli interessati.

Origine del procedimento e attività ispettiva

Il Garante ha effettuato controlli ispettivi e richieste di informazioni ai sensi degli artt. 157 e 158 del Codice. Nel corso dell’istruttoria è emerso che Lepida aveva gestito in precedenza il sistema FedERa e poi, come gestore SPID accreditato da AgID, aveva consentito il riuso di identità pregresse per il rilascio di identità LepidaID. La platea di trattamento era molto ampia: oltre 1,5 milioni di identità rilasciate, circa 1.800 sportelli LepidaID e oltre 7.000 operatori abilitati.

Accesso ai dati e ai documenti degli utenti

L’Autorità ha accertato che l’applicativo "Backoffice LepidaID - Operatore" consentiva a tutti gli operatori di accedere a informazioni personali di qualsiasi utente LepidaID e di estrarre copia della documentazione caricata in fase di richiesta o utilizzata per l’identificazione, tra cui modulo di adesione, tessera sanitaria e documento di identità. L’accesso era possibile previa ricerca con diversi criteri, ma senza che fosse richiesta una causale dell’accesso e senza un’effettiva limitazione ai soli operatori coinvolti nel procedimento di attivazione o di assistenza strettamente necessaria.

Il Garante ha valorizzato anche i riscontri dei log e degli audit: più di 3.000 operatori avevano consultato le informazioni sulle transazioni di circa 10.000 utenti; circa 1.800 operatori avevano estratto documenti di circa 4.500 utenti. In alcuni casi sono emersi accessi non autorizzati, inclusa una vicenda in cui un operatore aveva scaricato documenti di 258 utenti per mera curiosità, determinando notifica ex art. 33 GDPR e denuncia-querela.

Conservazione dei documenti presso le postazioni degli sportelli

Il procedimento ha evidenziato che, nelle procedure di identificazione a vista in presenza e in modalità assistita, i documenti venivano scaricati o caricati sulla postazione di lavoro dell’operatore e rimanevano lì conservati fino alla cancellazione manuale. Lepida aveva impartito istruzioni agli operatori affinché eliminassero i file il prima possibile, ma il Garante ha ritenuto tale misura insufficiente, perché non idonea a prevenire la conservazione accidentale o prolungata su postazioni ad uso promiscuo, spesso collocate presso Comuni, farmacie, CAF o associazioni.

Secondo l’Autorità, in fase di progettazione sarebbero state necessarie misure più incisive, ad esempio:

• sola visualizzazione dei documenti senza download sulla postazione;
• meccanismi tecnici di blocco o controllo della cancellazione;
• azioni che rendessero l’operatore effettivamente consapevole e verificabile nell’adempimento dell’obbligo di cancellazione.

Verifiche presso banche dati e fonti autoritative

Il provvedimento affronta anche le verifiche che gli operatori erano tenuti a svolgere al momento dell’identificazione, tramite servizi dell’Agenzia delle entrate e CRIMNET del Ministero dell’interno. Il Garante ha rilevato che l’assetto adottato non prevedeva, fin dalla progettazione e per impostazione predefinita, controlli automatizzati adeguati, in particolare con riguardo alla tessera sanitaria e alla corrispondenza con il codice fiscale mediante SCIPAFI.

L’Autorità ha ritenuto che, in un contesto caratterizzato da molti operatori terzi e da un controllo diretto limitato da parte del titolare, l’assenza di automatismi aumentasse il rischio di errori o di condotte infedeli, in violazione dei principi di minimizzazione, sicurezza e privacy by design/by default.

Conservazione dei log di transazione

Per quanto riguarda i log delle transazioni effettuate con identità LepidaID, il Garante ha accertato che Lepida li conservava oltre il limite dei 24 mesi previsto dalla disciplina SPID, almeno fino al momento degli interventi successivamente adottati. Su questo profilo è stata dunque accertata la violazione del principio di limitazione della conservazione.

Diversamente, sotto il profilo delle modalità tecniche di conservazione, Lepida aveva riversato i registri su ParER con marca temporale, assicurando disponibilità, integrità e non ripudio; per tale specifico aspetto il procedimento è stato archiviato.

Trasparenza e informativa sul ruolo del titolare

Un ulteriore profilo di illegittimità ha riguardato l’informativa resa agli interessati in relazione alle identità LepidaID derivate da FedERa. Lepida si era presentata come contitolare con gli enti CNER ai sensi dell’art. 26 GDPR, mentre la disciplina di settore attribuisce il ruolo di gestore e titolare del trattamento alla sola società accreditata. L’informazione fornita poteva indurre gli interessati a una errata comprensione di chi determinasse finalità e mezzi del trattamento.

Nel corso dell’istruttoria, Lepida ha aggiornato la relazione e l’informativa, qualificandosi come unico titolare. Il Garante ha considerato la correzione come elemento attenuante, ma ha comunque confermato la violazione dell’art. 13, par. 1, lett. a), GDPR per il periodo precedente all’aggiornamento.

Valutazioni del Garante sulle difese della società

Lepida ha sostenuto di aver operato in buona fede, facendo affidamento sui controlli svolti da AgID in sede di accreditamento e richiamando anche una giurisprudenza della CGUE sulla possibilità di non adottare misure correttive in casi particolari. Il Garante ha respinto tali argomentazioni, ribadendo che i gestori SPID restano autonomi titolari e devono comunque garantire accountability, misure tecniche e organizzative adeguate, nonché il rispetto della disciplina privacy.

L’Autorità ha ritenuto che l’ampiezza dei privilegi concessi agli operatori, la mancanza di selettività nell’accesso e l’insufficienza delle misure di controllo non fossero proporzionate alla finalità perseguita, esponendo gli interessati a rischi di accesso e utilizzo non autorizzato dei loro dati e delle copie dei documenti di identità.

Esito: violazioni accertate, archiviazione parziale e sanzione

Il Garante ha dichiarato l’illiceità dei trattamenti per violazione di:

• art. 5, par. 1, lett. c), e f), GDPR, e artt. 25 e 32 GDPR, per l’accesso e la gestione dei documenti degli utenti;
• art. 5, par. 1, lett. e) e f), GDPR, e artt. 25 e 32 GDPR, per la conservazione dei documenti presso gli sportelli;
• art. 5, par. 1, lett. f), GDPR, e artt. 25 e 32 GDPR, per le modalità di verifica presso banche dati e fonti autoritative;
• art. 5, par. 1, lett. e), GDPR, per la conservazione oltre 24 mesi dei log di transazione;
• art. 13, par. 1, lett. a), GDPR, per l’informativa non corretta sul ruolo di titolare/contitolare.

È stata invece disposta l’archiviazione limitatamente al profilo delle modalità tecniche di conservazione dei log, ritenute adeguate.

Sanzione, criteri di quantificazione e pubblicazione

Pur prendendo atto delle misure correttive adottate nel corso dell’istruttoria, il Garante ha ritenuto che non ricorressero i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR e ha applicato una sanzione amministrativa pecuniaria di euro 100.000,00, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 Codice.

Nella quantificazione sono stati considerati, tra gli altri, la numerosità degli interessati coinvolti, la natura dei dati trattati, la durata e la gravità delle violazioni, il numero elevato di operatori coinvolti, l’adozione successiva di misure correttive, la cooperazione della società e l’assenza di precedenti rilevanti. Il Garante ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale;
• la pubblicazione del provvedimento;
• l’annotazione nel registro interno delle violazioni.

È stata riconosciuta a Lepida la facoltà di definire la controversia con pagamento in misura ridotta, ai sensi dell’art. 166, comma 8, del Codice.