Parere del Garante n. 614 del 03/09/2026

Parere sullo schema di decreto di modifica delle modalità tecniche di emissione della CIE

Il Garante ha esaminato, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679, lo schema di decreto trasmesso dal Ministero dell’Interno il 24 luglio 2026. Lo schema modifica il decreto ministeriale 23 dicembre 2015 sulle modalità tecniche di emissione della carta d’identità elettronica e riguarda, in particolare, la migrazione e l’unificazione dell’infrastruttura informatica della CIE presso l’Istituto Poligrafico e Zecca dello Stato.

Il parere, adottato il 3 settembre 2026, è favorevole, ma subordinato al recepimento delle condizioni indicate dal Garante.

Atto e intervento normativo esaminato

Lo schema modifica gli artt. 1, 2, 8, 10, 11, 12 e 15 del decreto ministeriale 23 dicembre 2015, nonché l’allegato B. La modifica si inserisce nel quadro dell’art. 10 del decreto-legge 19 giugno 2015, n. 78, convertito dalla legge 6 agosto 2015, n. 125, che disciplina l’emissione della CIE e demanda a un decreto ministeriale la definizione delle relative caratteristiche tecniche, modalità di produzione, emissione, rilascio e gestione dell’archivio informatizzato.

L’intervento tiene conto anche della disciplina sulla sicurezza cibernetica e sulla migrazione delle infrastrutture digitali delle pubbliche amministrazioni, tra cui il decreto-legge 21 settembre 2019, n. 105, il decreto del Presidente del Consiglio dei ministri 30 luglio 2020, n. 131, e l’art. 33-septies del decreto-legge 18 ottobre 2012, n. 179, come modificato dal decreto-legge 16 luglio 2020, n. 76. È richiamato inoltre il Regolamento per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione adottato dall’Agenzia per la cybersicurezza nazionale il 17 giugno 2024.

Centralizzazione della Piattaforma Integrata CIE

L’infrastruttura della CIE è inserita nel Perimetro Nazionale di Sicurezza Cibernetica. Attualmente il circuito di emissione è collocato presso il Centro Nazionale per i Servizi demografici del Ministero dell’Interno, mentre il circuito di produzione e stampa è presso l’IPZS, partner tecnologico del Ministero.

Lo schema prende atto della necessità di migrare e unificare l’infrastruttura informatica relativa alla produzione e alla gestione della CIE presso le sedi dell’IPZS, per adeguarla alle misure di sicurezza cibernetica applicabili. A tal fine introduce la definizione di "Piattaforma Integrata CIE", intesa come l’insieme delle componenti hardware, software e dei servizi funzionali all’emissione e all’utilizzo della CIE, centralizzati presso i siti IPZS una volta completata la migrazione.

Tra le componenti della piattaforma sono inclusi anche i portali di supporto per i nuovi servizi di identità digitale della CIE e il centro di produzione e personalizzazione grafica ed elettrica della carta.

Funzioni del Ministero dell’Interno e monitoraggio

Il nuovo art. 10, comma 1-bis, prevede che il Ministero dell’Interno, attraverso il CNSD, svolga funzioni di indirizzo, monitoraggio e controllo sulla Piattaforma Integrata CIE.

L’allegato tecnico prevede inoltre che il monitoraggio a distanza sia effettuato mediante uno specifico sistema informatico, utilizzato esclusivamente da personale autorizzato dal Ministero dell’Interno. Nell’ambito di tali attività, il personale autorizzato può accedere ai sistemi di monitoraggio della piattaforma, ai log degli accessi, ai log applicativi, ai sistemi di sicurezza e al registro delle operazioni di manutenzione ordinaria e straordinaria.

Il Garante richiede che il punto 6.2 dell’allegato B sia integrato prevedendo la possibilità per il Ministero, anche tramite il CNSD, di effettuare audit periodici nei confronti dell’IPZS. Gli audit dovranno poter essere svolti sia in presenza sia da remoto e anche senza preavviso.

Qualificazione dell’IPZS come responsabile del trattamento

Lo schema introduce nell’art. 15, dedicato al trattamento dei dati personali, il comma 3-bis, che designa l’IPZS quale responsabile del trattamento ai sensi dell’art. 28 GDPR per i dati utilizzati ai fini della produzione, del rilascio e della gestione della CIE e dei servizi digitali correlati.

Il Garante ritiene necessario delimitare con maggiore precisione tale designazione. La titolarità del trattamento deve restare in capo al Ministero dell’Interno per le attività relative alla produzione, al rilascio, alla gestione della CIE e dei servizi digitali correlati. L’IPZS deve invece operare quale responsabile del trattamento limitatamente ai trattamenti connessi a:

• realizzazione della Piattaforma Integrata CIE;
• manutenzione della piattaforma;
• conduzione operativa della piattaforma;
• ulteriori funzioni specificamente previste dall’art. 12 del decreto.

La designazione normativa non deve quindi attribuire all’IPZS un ruolo generale o indeterminato rispetto a tutti i trattamenti effettuati nell’ambito della CIE, ma deve essere circoscritta alle attività operative affidate all’Istituto.

Trasparenza e diritti degli interessati

La disciplina deve prevedere adeguate garanzie di trasparenza nei confronti degli interessati, nel rispetto dei principi di liceità, correttezza e trasparenza e di limitazione della finalità previsti dall’art. 5, par. 1, lett. a) e b), GDPR.

Il Garante richiama inoltre gli artt. 13 e 14 GDPR, relativi alle informazioni da fornire agli interessati, e gli artt. 15-22 GDPR, concernenti i principali diritti dell’interessato. Le modifiche devono quindi consentire di individuare con chiarezza il titolare e il responsabile, le finalità dei trattamenti e le modalità per esercitare i diritti previsti dal Regolamento.

Gestione delle violazioni e delle minacce alla sicurezza

Il Garante richiede l’introduzione di procedure adeguate per la gestione delle violazioni di sicurezza e delle minacce che interessino i trattamenti effettuati tramite la Piattaforma Integrata CIE e i servizi digitali correlati.

La disciplina dovrà stabilire un obbligo di informazione reciproca e tempestiva tra i soggetti coinvolti, ossia:

• Ministero dell’Interno;
• Ministero degli affari esteri e della cooperazione internazionale;
• Comuni;
• IPZS, in qualità di responsabile del trattamento.

L’obiettivo è consentire una gestione coordinata degli incidenti che possano comportare rischi per la sicurezza o per i diritti e le libertà degli interessati, agevolando l’adempimento degli obblighi di notifica e comunicazione previsti dagli artt. 33 e 34 GDPR.

Log management e tempi di conservazione

Devono essere disciplinate procedure adeguate per la gestione dei log sistemistici relativi agli operatori dell’IPZS. Il riferimento ai log deve essere accompagnato da regole idonee a garantirne la sicurezza, l’accessibilità controllata e l’utilizzo coerente con le finalità perseguite.

Il Garante richiede inoltre di specificare i diversi tempi di conservazione dei dati personali trattati dall’IPZS e dei relativi log, distinguendoli in funzione delle finalità. Tale specificazione deve rispettare i principi di limitazione della finalità e di limitazione della conservazione di cui all’art. 5, par. 1, lett. b) ed e), GDPR.

Continuità operativa e disaster recovery

Lo schema deve individuare espressamente quale sito di disaster recovery sarà utilizzato dall’IPZS in sostituzione del sito di Bari. La precisazione è richiesta nell’ambito delle misure di resilienza, sicurezza e continuità operativa dell’infrastruttura CIE.

Coordinamento dell’allegato tecnico

Le modifiche al decreto devono essere recepite anche nelle disposizioni dell’allegato B. Il Garante richiede quindi un aggiornamento coordinato dell’allegato, in modo da allinearlo alla nuova organizzazione della Piattaforma Integrata CIE, ai ruoli dei soggetti coinvolti, alle attività di monitoraggio e audit, alle regole sui log, alla conservazione dei dati e alle soluzioni di disaster recovery.

Conclusioni del Garante

Il Garante ritiene che le modifiche, considerate in sé, non incidano sulle caratteristiche tecniche, sulle modalità di produzione, emissione e rilascio della CIE né, di conseguenza, sulle modalità sostanziali di gestione dei dati personali. Tuttavia, la migrazione dell’intera infrastruttura presso l’IPZS amplia il ruolo operativo dell’Istituto e rende necessario rafforzare le garanzie in materia di protezione dei dati e sicurezza.

Il parere è pertanto favorevole ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, a condizione che lo schema recepisca tutte le sette indicazioni formulate dal Garante: delimitazione del ruolo dell’IPZS e garanzie di trasparenza; procedure per violazioni e minacce; audit periodici anche non preannunciati; gestione dei log; tempi di conservazione; individuazione del sito di disaster recovery; aggiornamento dell’allegato B.