Parere del Garante n. 232 del 26/03/2026

Parere sullo schema di decreto MIT relativo al ReAT

Il Garante per la protezione dei dati personali esprime parere sullo schema di decreto della Direzione generale per la motorizzazione del Ministero delle infrastrutture e dei trasporti che disciplina la piattaforma telematica istituita presso il CED per la presentazione delle istanze di iscrizione delle agenzie telematiche nel Registro elettronico delle Agenzie Telematiche (ReAT). Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR ed è favorevole con condizioni e osservazioni.

Quadro normativo di riferimento

Il provvedimento si inserisce nel sistema delineato dalla legge n. 264/1991 sull’attività di consulenza per la circolazione dei mezzi di trasporto e dalla legge n. 177/2024, che ha istituito il registro delle agenzie telematiche rinviando a un decreto ministeriale la disciplina delle modalità di iscrizione, dei corsi di formazione e dei casi di revoca o cancellazione.

Il Garante richiama i principi e le disposizioni del GDPR, in particolare gli artt. 5, 6, 13, 14, 15 e seguenti, 24, 25, 28, 32 e 35, nonché l’art. 2-ter del Codice privacy. Viene sottolineato che gli elementi essenziali del trattamento devono essere definiti in una fonte normativa idonea, con basi giuridiche chiare, proporzionate e sufficientemente determinate.

Struttura del trattamento e categorie di dati

Lo schema disciplina la raccolta e gestione di una pluralità di dati personali nel ReAT. In particolare, sono acquisiti i dati anagrafici e di contatto dell’agenzia telematica, del titolare e del responsabile professionale, le informazioni sulle sedi operative, gli ambiti di operatività autorizzati, gli estremi dell’autorizzazione provinciale, i dati relativi alle certificazioni di formazione e aggiornamento e i dati relativi ai provvedimenti sanzionatori di sospensione o revoca, limitati all’indicazione dell’effetto del provvedimento e senza acquisizione del testo integrale.

L’accesso al sistema è differenziato: le agenzie e i responsabili professionali accedono tramite SPID di livello 2 o CIE, mentre UMC, DGT e DGMOT utilizzano credenziali istituzionali con autenticazione a più fattori; le province accedono tramite SPID o CIE. Lo schema prevede inoltre funzioni di verifica delle istanze, gestione dei corsi, sospensione, revoca, cancellazione, annullamento d’ufficio e monitoraggio.

Rilievi del Garante su interoperabilità e minimizzazione

Il Garante rileva che l’istanza di iscrizione prevede, ai fini della verifica dell’identità e della rappresentanza, l’interoperabilità con i sistemi di InfoCamere, ma lo schema non individua con sufficiente precisione le banche dati CCIAA da utilizzare. Per questo chiede di specificare esattamente quali banche dati siano consultabili, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, integrità e riservatezza.

Inoltre, il Garante ritiene necessario limitare al minimo indispensabile l’acquisizione dell’autorizzazione provinciale, imponendo che nel ReAT siano conservati solo gli estremi del provvedimento e non una copia integrale, per evitare duplicazioni di dati già trattati dall’amministrazione che ha rilasciato l’autorizzazione.

Verifiche sui corsi di formazione e base giuridica

Lo schema prevede controlli automatici sui dati inseriti in merito ai corsi di formazione e aggiornamento, confrontandoli con le informazioni rese disponibili dagli enti erogatori. Il Garante osserva che la base giuridica di tali verifiche deve essere definita con chiarezza e con i necessari connotati di determinatezza, anche alla luce dell’art. 2-ter del Codice privacy. Il controllo deve restituire solo l’esito della verifica, senza accesso ad altri dati non necessari.

Conservazione dei dati e limiti temporali

Lo schema prevede due distinti regimi di conservazione. Da un lato, i dati relativi all’istanza di iscrizione sono conservati per 5 anni dalla conclusione del procedimento amministrativo; il Garante chiede di precisare con esattezza quali dati siano interessati e da quale momento decorra il termine, tenendo conto delle diverse fasi del procedimento.

Dall’altro lato, i dati personali soggetti a pseudonimizzazione possono essere conservati per 35 anni dalla cessazione dell’iscrizione dell’agenzia, anche per consentire eventuali accertamenti dell’autorità giudiziaria. Su questo punto il Garante ritiene necessario restringere la previsione alla sola finalità di accertamento di specifiche fattispecie di reato, che devono essere puntualmente indicate, e bilanciare la durata con i relativi termini di prescrizione, considerato l’elevato rischio per integrità e riservatezza derivante da una conservazione così protratta.

Misure di sicurezza, pseudonimizzazione e accountability

Il Garante prende atto della previsione di cifratura, logging, backup e altre misure tecniche, ma ritiene opportuno che siano adottate misure adeguate per tutti i dati oggetto di ulteriore conservazione, con riferimento alle diverse categorie di interessati coinvolti. Chiede inoltre che lo schema richiami espressamente il complesso dei principi in materia di protezione dei dati personali, inclusi esattezza, integrità, riservatezza e responsabilizzazione.

Quanto alla valutazione dei rischi, il Garante osserva che nell’allegato tecnico è già presente un’analisi dei rischi, ma invita il Ministero a valutare la necessità di una valutazione d’impatto ai sensi dell’art. 35 GDPR, in coerenza con il principio di accountability.

Esito del parere

Il parere è favorevole, ma subordinato a specifiche condizioni e accompagnato da osservazioni. In sintesi, il Garante chiede:

• di specificare le banche dati CCIAA utilizzabili;
• di limitare ai soli estremi l’acquisizione dell’autorizzazione provinciale;
• di definire con precisione la base giuridica delle verifiche sui corsi;
• di chiarire oggetto e decorrenza della conservazione quinquennale;
• di circoscrivere la conservazione trentacinquennale all’accertamento di reati specifici e proporzionati;
• di rafforzare le misure di sicurezza per la conservazione a lungo termine;
• di richiamare tutti i principi GDPR rilevanti;
• di valutare l’effettuazione di una valutazione d’impatto.