Consultazione preventiva per adozione della DPIA n. 664 del 13/11/2025

Parere favorevole sulla DPIA del sistema di collegamento telematico per la videosorveglianza penitenziaria

Il Garante per la protezione dei dati personali ha espresso parere favorevole, ai sensi dell’art. 24 del d.lgs. 18 maggio 2018, n. 51, sulla valutazione di impatto presentata dal Ministero della giustizia - Dipartimento dell’amministrazione penitenziaria relativa a un sistema di collegamento telematico tra Ministero e istituti penitenziari per la visione delle immagini riprese dai sistemi di videosorveglianza interni. Il trattamento è finalizzato al mantenimento dell’ordine e della sicurezza nelle strutture penitenziarie.

Origine del procedimento e precedente parere non favorevole

La DPIA era stata trasmessa al Garante il 3 aprile 2025, con richiesta di valutazione preventiva. In esito al primo esame, il Collegio aveva reso parere non favorevole con provvedimento del 10 luglio 2025 n. 409, rilevando una serie di carenze nella valutazione presentata dall’Amministrazione.

Le criticità indicate riguardavano in particolare:

• la mancata indicazione della corretta base giuridica del trattamento, non essendo sufficiente il richiamo al pubblico interesse e non essendo applicabile il legittimo interesse;
• l’assenza di una corretta valutazione dell’impatto, con individuazione dei rischi specifici per le diverse categorie di interessati e delle misure di mitigazione;
• l’errata individuazione delle figure organizzative, non ricondotte a titolare, responsabile e autorizzati al trattamento come previsto dal decreto;
• il mancato completamento dell’informativa agli interessati, in attuazione degli artt. 10 e seguenti del d.lgs. 51/2018;
• l’assenza di sistemi di registrazione delle operazioni di trattamento tramite file di log, ai sensi dell’art. 21 del decreto;
• la mancata previsione di misure di tutela dei lavoratori coinvolti nel trattamento, secondo la legge n. 300/1970 o la normativa di settore;
• l’assenza di misure tecniche per garantire che la visione delle immagini fosse consentita solo ai soggetti del Dipartimento dell’amministrazione penitenziaria autorizzati;
• la mancata valutazione del rischio relativo all’eventuale trasferimento di dati all’estero mediante la piattaforma impiegata.

La nuova DPIA trasmessa dal Ministero

Il 20 ottobre 2025 il Ministero ha trasmesso una nuova versione della DPIA, dichiaratamente rielaborata sulla base delle indicazioni contenute nel parere del 10 luglio 2025. L’Autorità verifica che le osservazioni precedenti siano state recepite in modo sostanziale.

Valutazioni del Garante sui singoli profili

Sul primo profilo, il Garante ritiene ora correttamente individuata la base giuridica, con ampio riferimento alla normativa di settore, ed espunto il richiamo al legittimo interesse, non applicabile al caso.

Quanto alla valutazione dei rischi, la nuova DPIA contiene una descrizione adeguata dei rischi per gli interessati e delle misure adottate per la loro mitigazione, con indicazione del rischio residuo.

In relazione all’assetto organizzativo, sono state correttamente individuate le figure coinvolte:

• Ministero della giustizia, quale titolare del trattamento;
• soggetti interni dell’Amministrazione, quali soggetti che operano sotto l’autorità del titolare;
• Microsoft Ireland Operations Limited, con sede a Dublino, quale responsabile del trattamento per la gestione dei servizi Office 365 / Microsoft Teams.

Sul fronte dell’informativa, l’Amministrazione ha completato il contenuto dell’informazione da rendere agli interessati, con pubblicazione sul sito ministeriale. Il Garante suggerisce, inoltre, di prevedere una informativa di primo livello, con i dati essenziali, tramite apposita cartellonistica visibile a tutti gli interessati, con rinvio all’informativa estesa anche tramite QR Code.

Per quanto concerne la tracciabilità, la nuova DPIA descrive le soluzioni tecnologiche che consentiranno di tracciare il tipo di operazioni effettuate e le utenze che hanno effettuato l’accesso, specificando il contenuto dei log audit e prevedendo che chi condivide la sessione registri la motivazione in una nota o nella descrizione dell’evento, da salvare associata all’evento stesso.

In materia di tutela dei lavoratori, la DPIA chiarisce che le organizzazioni sindacali saranno rese edotte del sistema al completamento dell’iter di definizione, in un’ottica di trasparenza e di garanzia delle tutele previste dal d.P.R. 164/2002 e dallo Statuto dei lavoratori. Il Garante considera positivamente tale integrazione, ricordando che spetta comunque al Ministero verificare se il trattamento richieda procedure specifiche di tutela.

Quanto alle misure di accesso, la nuova versione prevede una disposizione organizzativa specifica per assicurare che la visione delle immagini sia consentita solo ai soggetti del Dipartimento dell’amministrazione penitenziaria autorizzati.

Infine, sul rischio di trasferimento all’estero, la nuova DPIA indica che il Ministero ha acquistato la soluzione di “Advanced Data Residency” e che i dati di Teams sono già stati migrati nel datacenter italiano.

Esito finale

Alla luce delle integrazioni apportate, il Garante esprime parere favorevole alla valutazione di impatto del Ministero della giustizia - Dipartimento dell’amministrazione penitenziaria, relativa al sistema di collegamento telematico per la visione delle immagini di videosorveglianza negli istituti penitenziari.

Non vengono irrogate sanzioni né impartite prescrizioni formali; resta soltanto un suggerimento organizzativo relativo all’informativa di primo livello.