Parere del Garante n. 34 del 29/01/2026

Trattamento dei dati personali per l'elenco delle strutture residenziali per l'accoglienza e il reinserimento sociale delle persone detenute adulte

Il Garante per la protezione dei dati personali ha espresso parere sullo schema di decreto direttoriale del Ministero della giustizia che disciplina il trattamento dei dati personali necessari alla tenuta dell'elenco delle strutture residenziali destinate all'accoglienza e al reinserimento sociale delle persone detenute adulte. Il parere è reso ai sensi dell'articolo 15 del regolamento del Ministero della giustizia n. 1/2000 e dell'articolo 57, paragrafo 1, lettera c), del GDPR.

Quadro normativo di riferimento

L'elenco è stato istituito dall'articolo 8, comma 1, del decreto-legge 4 luglio 2024, n. 92, convertito con modificazioni dalla legge 8 agosto 2024, n. 112, con l'obiettivo di semplificare l'accesso alle misure penali di comunità e favorire il reinserimento sociale delle persone detenute adulte. Il decreto-legge prevede che l'elenco sia tenuto dal Dipartimento per la giustizia minorile e di comunità, che ne cura l'aggiornamento e la vigilanza.

L'articolo 2 del medesimo decreto-legge demanda a un decreto del Ministro della giustizia la disciplina della formazione e dell'aggiornamento dell'elenco, delle modalità di vigilanza e dei requisiti qualitativi dei servizi necessari all'iscrizione. In attuazione di tale previsione è stato emanato il decreto ministeriale 24 luglio 2025, n. 128, il quale all'articolo 15 prevede che il trattamento dei dati personali strettamente necessari sia disciplinato con decreto direttoriale, sentito il Garante.

Dati trattati e finalità del trattamento

Lo schema esaminato stabilisce che il Dipartimento per la giustizia minorile e di comunità tratti solo i dati personali necessari all'esercizio delle competenze e al raggiungimento delle finalità connesse alla tenuta dell'elenco, vale a dire:

• formazione dell'elenco;
• aggiornamento dell'elenco;
• vigilanza sulle strutture iscritte;
• cancellazione e sospensione delle strutture accreditate;
• eventuale contenzioso relativo alla procedura.

I dati trattati sono dati comuni e dati relativi a condanne penali e reati riferiti a soci, associati, amministratori, rappresentanti e responsabili dell'ente o dell'organismo del terzo settore richiedente l'iscrizione. Tali dati sono utilizzati per verificare il possesso dei requisiti di onorabilità richiesti per l'accreditamento, previsti dagli articoli 3, comma 3, e 8 del regolamento ministeriale n. 128/2025. Il possesso di tali requisiti è attestato mediante dichiarazioni sostitutive rese ai sensi degli articoli 46 e 47 del d.P.R. 28 dicembre 2000, n. 445, e il DGMC può in ogni momento accertarne la veridicità.

Banche dati consultabili e modalità di trattamento

Per le verifiche sulle dichiarazioni, lo schema consente al DGMC di consultare banche dati di diversi titolari del trattamento, tra cui:

• le Procure della Repubblica presso gli Uffici locali del casellario;
• le Regioni;
• le Province autonome di Trento e Bolzano;
• gli enti locali presso cui sono tenuti elenchi e registri di strutture già autorizzate o accreditate;
• il Ministero del lavoro e delle politiche sociali, in relazione al RUNTS.

Le operazioni di trattamento sono svolte con modalità informatiche non automatizzate. Le manifestazioni di interesse e la documentazione successiva sono acquisite tramite posta elettronica certificata integrata con il sistema di protocollazione in uso. La pubblicazione dell'elenco sul sito del Ministero avviene con cadenza semestrale e riguarda esclusivamente dati non riferibili a persone fisiche: denominazione della struttura, ente gestore, tipologia della struttura, provincia e comune.

Il testo prevede inoltre un disclaimer per chiarire agli utenti che eventuali attività di ricerca o rielaborazione ulteriori, idonee a ricostruire l'identità di persone fisiche collegate all'ente, non sono imputabili al Ministero e ricadono nella responsabilità autonoma degli utenti in quanto titolari autonomi del trattamento.

Ruoli privacy, misure di sicurezza e organizzazione interna

Lo schema attribuisce al Dipartimento per la giustizia minorile e di comunità funzioni di titolarità del trattamento e prevede che il trattamento sia affidato a dipendenti interni autorizzati ai sensi dell'articolo 2-quaterdecies del Codice e dell'articolo 29 del GDPR. Gli autorizzati ricevono istruzioni dal titolare o dal responsabile del trattamento. È inoltre prevista la formazione del personale coinvolto nelle procedure di iscrizione, aggiornamento e pubblicazione dell'elenco.

Sono richiamate anche misure tecniche e organizzative che riguardano in particolare:

• definizione di ruoli e responsabilità;
• sensibilizzazione e formazione del personale;
• minimizzazione, qualità ed esattezza dei dati;
• riservatezza, integrità, disponibilità e resilienza dei sistemi;
• capacità di ripristino in caso di incidente;
• test, verifica e valutazione periodica dell'efficacia delle misure di sicurezza;
• autenticazione e autorizzazione degli utenti;
• protezione dei dati, sicurezza fisica e registrazione delle operazioni.

Valutazioni del Garante sulla disciplina applicabile

Il Garante osserva che l'attività di tenuta dell'elenco e il relativo trattamento dei dati da parte degli uffici amministrativi del Ministero della giustizia non costituiscono attività di law enforcement. Di conseguenza, si applica correttamente il GDPR, come già previsto dallo schema.

L'Autorità ritiene che i dati siano trattati esclusivamente per finalità istituzionali connesse alla tenuta dell'elenco, in coerenza con l'articolo 6, paragrafo 1, lettere c) ed e), del Regolamento. Quanto ai dati relativi a condanne penali e reati, il trattamento rientra nell'articolo 2-octies, comma 5, del Codice; per i trattamenti effettuati sotto il controllo dell'autorità pubblica si applica anche l'articolo 2-sexies, che richiede una base normativa idonea e la specificazione di tipi di dati, operazioni, motivi di interesse pubblico rilevante e misure di garanzia.

Il Garante ritiene che il combinato disposto del d.l. n. 92/2024 e del d.m. n. 128/2025 costituisca una base giuridica adeguata per il trattamento dei dati personali oggetto dello schema.

Titolare del trattamento: correzione necessaria

Il punto critico individuato riguarda la corretta individuazione del titolare del trattamento. L'articolo 3 dello schema attribuisce al Dipartimento per la giustizia minorile e di comunità l'esercizio delle funzioni di titolarità del trattamento, formulazione ritenuta non conforme all'articolo 4, paragrafo 7, del GDPR, secondo cui titolare è il soggetto che determina finalità e mezzi del trattamento.

Il Garante richiama le linee guida EDPB 07/2020, secondo cui, negli organismi pubblici, il titolare è normalmente l'organizzazione nel suo complesso e non il singolo dipartimento o unità operativa. Richiama inoltre la comunicazione del Responsabile della protezione dei dati del Ministero, la privacy policy istituzionale e un precedente recente in cui una formulazione analoga era stata corretta nel senso indicato dall'Autorità.

Ne consegue che lo schema deve essere modificato per indicare il Ministero della giustizia quale titolare del trattamento.

Conclusioni

Il Garante esprime parere favorevole sullo schema di decreto direttoriale, ma a condizione che l'articolo 3 sia riformulato con l'indicazione corretta del titolare del trattamento, ossia il Ministero della giustizia. Il parere, quindi, è favorevole condizionato alla correzione della disposizione in materia di titolarità.