Parere del Garante n. 631 del 23/09/2026

Misure privacy per il Sistema IT-Wallet

Il Garante si è pronunciato sullo schema di decreto del Capo del Dipartimento per la trasformazione digitale, trasmesso il 25 agosto 2026, relativo alle misure tecniche e organizzative per i trattamenti di dati personali nell’ambito del Sistema IT-Wallet. Il parere è stato reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, in attuazione dell’art. 8, comma 5, del d.P.C.M. 19 marzo 2026.

Quadro normativo e documentazione esaminata

Il Sistema IT-Wallet è disciplinato dall’art. 64-quater del d.lgs. 7 marzo 2005, n. 82 (CAD), oltre che dal regolamento eIDAS (regolamento UE 910/2014, come modificato dal regolamento UE 2024/1183). Il quadro attuativo comprende le Linee guida approvate con decreto del 17 giugno 2026 e il d.P.C.M. 19 marzo 2026, che richiede la definizione delle misure privacy all’esito di una valutazione d’impatto ai sensi dell’art. 35, par. 10, GDPR.

Il Dipartimento ha trasmesso lo schema insieme alle relazioni illustrativa e tecnica, alla valutazione d’impatto predisposta con l’ausilio di PagoPA S.p.A. e dell’Istituto Poligrafico e Zecca dello Stato S.p.A. e al relativo Privacy Risk Assessment. Lo schema e la DPIA hanno recepito le osservazioni formulate dall’Ufficio nel corso di interlocuzioni informali.

Soggetti obbligati e carattere delle misure

L’art. 3 dello schema individua i soggetti tenuti al rispetto delle misure secondo i rispettivi ruoli e ambiti di competenza: fornitori di soluzioni IT-Wallet, fornitori di attestati elettronici di dati di identificazione personale e di attributi, titolari di fonte autentica, fornitore del Registro IT-Wallet, verificatori di attestati, soggetti aggregatori, AgID e ulteriori soggetti pubblici o privati coinvolti.

Ai sensi dell’art. 4, le misure contenute nelle Specifiche Tecniche adottate ai sensi dell’art. 6, comma 1, del d.P.C.M. 17 giugno 2026 sono obbligatorie e costituiscono il presidio minimo per i trattamenti del Sistema. Restano fermi gli obblighi previsti dall’art. 8, commi 8-10, del d.P.C.M. 19 marzo 2026: tra questi, la tutela contro il tracciamento o la correlazione delle transazioni dopo il rilascio degli attestati, salvo esplicita autorizzazione dell’utente; la possibilità di tecniche che impediscano collegamenti quando non occorre identificarlo; il divieto, per i fornitori di wallet e di attestati, di raccogliere o combinare dati non necessari, nonché la separazione logica dei dati relativi a tali servizi dagli altri trattamenti.

DPIA, minimizzazione e separazione dei ruoli

L’art. 7 prevede che la DPIA sia resa disponibile ai soggetti coinvolti e costituisca riferimento per le misure di loro competenza. Ciascun soggetto conserva tuttavia l’obbligo di valutare i trattamenti ulteriori, specifici o locali e le modifiche dei propri trattamenti suscettibili di presentare un rischio elevato per i diritti e le libertà degli interessati.

Le misure individuate nella DPIA sono dirette a evitare la raccolta o la messa a disposizione di attributi e dati identificativi eccedenti rispetto al servizio o all’operazione richiesta, nel rispetto dei principi di limitazione della finalità e minimizzazione (art. 5, par. 1, lett. b) e c), GDPR) e della protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR). La separazione delle informazioni in base alle funzioni è necessaria perché i fornitori di wallet, i fornitori di attestati e i verificatori trattino solo i dati indispensabili alle rispettive attività, evitando che un singolo soggetto possa ricostruire l’intero percorso di emissione, conservazione, presentazione e verifica delle attestazioni riferite a un utente. Devono essere prevenute commistioni, accessi trasversali non necessari, correlazioni indebite e usi incompatibili, anche quando un soggetto possa operare in più ruoli.

Categorie particolari di dati

L’art. 6 dello schema richiede, quando siano trattate categorie particolari di dati ai sensi dell’art. 9 GDPR, misure tecniche e organizzative rafforzate e specifiche, proporzionate alla natura dei dati, alle finalità e ai rischi, nel rispetto dell’art. 2-sexies del Codice privacy. In particolare, devono essere assicurati:

• adeguatezza, pertinenza e limitazione degli attributi e dei dati identificativi richiesti o resi disponibili;
• separazione logica dei dati e conservazione limitata secondo le Specifiche Tecniche;
• accesso selettivo e tracciato;
• prevenzione di correlazioni, profilazioni e trattamenti ulteriori non autorizzati.

I verificatori devono inoltre documentare, per ciascun servizio, la necessità e la proporzionalità degli attributi e degli eventuali dati identificativi richiesti, con particolare attenzione a quelli idonei a rivelare categorie particolari di dati personali.

Diritti degli utenti e obblighi organizzativi

Ai sensi dell’art. 5 dello schema, le richieste di esercizio dei diritti e di assistenza relative ai dati personali devono essere gestite tempestivamente, correttamente e in coerenza con le competenze dei soggetti coinvolti. Le misure organizzative devono consentire di individuare il soggetto potenzialmente competente, anche tramite il Registro del Sistema IT-Wallet gestito da AgID, e di fornire all’utente i relativi canali di contatto. Le interlocuzioni con l’Ufficio hanno riguardato anche la gestione delle richieste di cancellazione, nel rispetto dei presupposti e dei limiti dell’art. 17 GDPR.

L’art. 8 richiede ai soggetti coinvolti di documentare le misure applicabili, le valutazioni e le decisioni assunte, verificare periodicamente l’efficacia delle misure, formare e autorizzare il personale, gestire tempestivamente gli incidenti di sicurezza e le violazioni di dati personali, cooperare con le autorità competenti e mantenere aggiornate le informazioni. Prima dell’erogazione di ciascun servizio tramite IT-Wallet, i verificatori devono documentare gli attributi richiesti, la loro necessità e proporzionalità, le basi giuridiche applicabili, i tempi di conservazione e le misure che impediscono richieste eccedenti o trattamenti ulteriori incompatibili. Tali obblighi attuano i principi di accountability degli artt. 5, par. 2, e 24 GDPR e si affiancano alla valutazione dei rischi prevista dall’art. 35 GDPR.

Conclusione

Considerati lo schema e la relativa DPIA, nonché il recepimento delle osservazioni dell’Ufficio, il Garante non ha formulato rilievi ed ha espresso parere favorevole sul decreto. Il provvedimento è stato adottato il 23 settembre 2026.