Prescrizioni del Garante n. 204 del 26/03/2026

Dipartimento della Pubblica Sicurezza – conservazione oltre termine e tardiva cancellazione di dati nel CED interforze relativi a provvedimenti giudiziari del reclamante

Il provvedimento riguarda un reclamo presentato da un interessato nei confronti del Dipartimento della Pubblica Sicurezza – Direzione Centrale della Polizia Criminale – Servizio per il Sistema Informativo Interforze, in relazione alla conservazione nel CED di dati personali riferiti a procedimenti giudiziari molto risalenti. Il procedimento è stato avviato a seguito della contestata mancata cancellazione dei dati, poi avvenuta solo nel novembre 2025.

Origine del reclamo e oggetto del trattamento

L’interessato aveva chiesto l’aggiornamento e, se necessario, la cancellazione o la trasformazione in forma anonima di dati concernenti:

• una declaratoria di estinzione del reato emessa dal Tribunale Militare di Roma il 9 maggio 1997;
• un provvedimento di archiviazione emesso dal G.I.P. del Tribunale di Roma l’8 aprile 2002.

Il reclamo lamentava che, nonostante fosse decorso un lungo lasso di tempo, tali informazioni risultassero ancora conservate nel CED, con conseguente trattamento illecito.

Istruttoria preliminare e riscontro del Dipartimento

L’Autorità ha chiesto chiarimenti alla Direzione Centrale della Polizia Criminale in merito alla conservazione dei dati nel CED e ai termini applicabili. Nel riscontro, il Dipartimento ha riferito che:

• l’interessato aveva presentato istanza di accesso/aggiornamento il 13 dicembre 2021 ai sensi dell’art. 10, comma 3, della legge n. 121/1981;
• i dati risultavano presenti e aggiornati nella banca dati;
• la cancellazione non era stata inizialmente disposta, in quanto l’Amministrazione riteneva non ancora applicabili, al CED, i termini di conservazione previsti dal d.P.R. n. 15/2018 in assenza del regolamento specifico richiamato dall’art. 11 della legge n. 121/1981.

Successivamente, il Dipartimento ha comunicato di aver attivato interlocuzioni con l’ufficio territoriale competente, proprietario del dato, e di aver ottenuto la cancellazione delle informazioni nel novembre 2025.

Avvio del procedimento e contestazione

Con nota del 23 dicembre 2025, il Garante ha avviato il procedimento nei confronti del Ministero dell’Interno – Dipartimento della Pubblica Sicurezza, contestando il trattamento illecito dei dati personali dell’interessato per conservazione oltre i termini previsti dalla normativa di settore.

L’Autorità ha ricondotto la fattispecie alle ipotesi dell’art. 10, comma 3, d.P.R. n. 15/2018, e in particolare:

• alla lettera d), relativa ai dati su provvedimenti che dichiarano l’estinzione della pena o del reato, con termine di 8 anni dall’inoppugnabilità del provvedimento;
• alla lettera f), relativa ai dati su attività di polizia giudiziaria conclusa con provvedimento di archiviazione, con termine di 20 anni dall’emissione del provvedimento.

Poiché la cancellazione era stata effettuata solo nel novembre 2025, il Garante ha rilevato che i termini di conservazione erano già ampiamente spirati.

Difese del titolare e valutazione delle stesse

Nella memoria difensiva, il Dipartimento ha insistito sulla presunta difficoltà interpretativa dovuta alla mancata entrata in vigore del regolamento specifico del CED e ha sostenuto di essersi comunque conformato al più recente orientamento giurisprudenziale e al provvedimento del Garante n. 237 del 10 aprile 2025, applicando nelle nuove istanze il d.P.R. n. 15/2018.

Ha inoltre sostenuto che:

• alla data del 25 gennaio 2022 i dati erano ancora legittimamente conservati;
• le due iscrizioni derivavano dallo stesso fatto storico e la seconda informativa avrebbe “superato” la precedente nel rispetto del principio di esattezza;
• i dati erano collocati nella sezione "archivio storico", accessibile solo a operatori muniti di apposite credenziali, come misura organizzativa per ridurre il rischio di utilizzo oltre i termini.

Il Garante ha ritenuto tali argomentazioni non idonee a superare i rilievi contestati.

Violazioni accertate e quadro normativo

L’Autorità ha affermato che il trattamento era illecito per violazione di:

• art. 3, comma 1, lett. e), d.lgs. 51/2018, sul principio di limitazione della conservazione;
• art. 12, comma 2, d.lgs. 51/2018, sull’obbligo di cancellazione dei dati quando non più necessari;
• in relazione all’art. 10, comma 3, lett. d) e f), d.P.R. n. 15/2018.

Il Garante ha inoltre espresso perplessità sulla tesi secondo cui l’inserimento nell’archivio storico e l’accesso limitato agli “utenti investigativi” fossero misure sufficienti a legittimare la conservazione oltre termine. Secondo l’Autorità, una simile soluzione rischia di vanificare l’obbligo di cancellazione e di esporre l’interessato a pregiudizi, soprattutto se i dati restano disponibili, sia pure in un archivio a consultazione limitata.

Esito finale: ammonimento e annotazione nel registro

Nel motivare la misura, il Garante ha valorizzato:

• la cooperazione del titolare nel corso dell’istruttoria;
• l’assenza di fattori aggravanti;
• la circostanza che la condotta illecita abbia cessato i propri effetti per l’avvenuta cancellazione dei dati;
• la complessità del quadro normativo e la necessità di un aggiornamento della disciplina dei trattamenti per finalità di polizia relativi al CED.

In conclusione, il Garante ha:

• dichiarato l’illiceità del trattamento;
• ammonito il Dipartimento della pubblica sicurezza per la violazione dell’art. 3, comma 1, lett. e), e dell’art. 12, comma 2, d.lgs. 51/2018;
• disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019.

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.