Parere del Garante n. 66 del 12/02/2026

Piattaforma di gestione deleghe ex art. 64-ter CAD

Il Garante per la protezione dei dati personali rende parere favorevole sullo schema di decreto del Presidente del Consiglio dei ministri che disciplina le modalità di funzionamento della Piattaforma di gestione deleghe. Il parere è reso ai sensi dell’art. 64-ter, comma 6, del d.lgs. 7 marzo 2005, n. 82, nonché degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Lo schema è trasmesso dal Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri ed è corredato da valutazione d’impatto, relazione illustrativa e relazione tecnica. Il provvedimento è indicato come funzionale all’attuazione del PNRR.

Quadro normativo di riferimento

Il parere si colloca nell’ambito dell’art. 64-ter CAD, che prevede la realizzazione di una piattaforma per la gestione delle deleghe per l’accesso ai servizi in rete delle pubbliche amministrazioni. Il Garante richiama anche il GDPR, il Codice privacy e le disposizioni sul CAD relative a identità digitale, ANPR, PDND, conservazione dei documenti informatici e responsabilità dei soggetti coinvolti.

In particolare, lo schema disciplina:

• le caratteristiche tecniche e di sicurezza della Piattaforma;
• le tipologie di dati trattati;
• le procedure per assicurare il rispetto dei principi di cui all’art. 5 GDPR;
• i ruoli privacy dei soggetti coinvolti, con specifico richiamo all’art. 28 GDPR.

Evoluzione rispetto al progetto precedente e valutazione generale

Il Garante osserva che il sistema delle deleghe è stato profondamente ridisegnato rispetto al progetto del 2022, sul quale l’Autorità aveva espresso rilievi critici con i provvedimenti n. 74 del 24 febbraio 2022 e n. 330 del 6 ottobre 2022. Le criticità precedenti riguardavano soprattutto il rischio che, mediante la delega, un terzo potesse accedere a una pluralità di servizi online con possibilità di consultare dati anche molto sensibili o compiere operazioni con rilevanti effetti giuridici o patrimoniali per il delegante.

Lo schema attuale viene ritenuto idoneo a recepire le osservazioni dell’Ufficio e a conformare i trattamenti ai principi di privacy by design e privacy by default di cui all’art. 25 GDPR.

Ambito soggettivo e oggettivo della delega

Uno dei profili centrali del parere è la delimitazione del perimetro applicativo della delega. Lo schema esclude:

• le deleghe professionali e i mandati conferiti a professionisti o intermediari abilitati, compresi gli incarichi d’opera intellettuale o di servizi e quelli conferiti a istituti di patronato e assistenza sociale;
• i servizi e le funzionalità destinati a professionisti, lavoratori dipendenti, collaboratori o soggetti che operano per compiti di interesse pubblico o in attuazione di un obbligo di legge.

Il Garante valorizza tale scelta perché impedisce che la Piattaforma sia usata per aggirare regole settoriali su liceità, sicurezza e condizioni di accesso ai servizi online. Viene inoltre chiarito che alcune tipologie di rappresentanza civilistica, come la procura generale o speciale, l’esercizio della responsabilità genitoriale, la tutela, la curatela e l’amministrazione di sostegno, sono oggetto di disciplina specifica.

Modalità di presentazione della delega

Lo schema prevede tre canali di presentazione della delega:

• tramite il Portale, con diverse varianti a seconda della situazione giuridica del delegante e del delegato;
• con l’assistenza remota del Gestore della Piattaforma, per cittadini anziani o persone con disabilità grave, con specifiche cautele procedurali;
• presso il Comune di residenza.

Nel dettaglio, il parere descrive le principali ipotesi:

• presentazione e accettazione sul Portale da parte di delegante e delegato, con registrazione alla data dell’accettazione;
• presentazione da parte del delegato di un documento informatico sottoscritto con firma digitale o altra firma elettronica qualificata o avanzata, anche generata tramite CIE, o autenticata da notaio o pubblico ufficiale;
• presentazione da parte di genitori esercenti la responsabilità genitoriale, tutori, curatori o amministratori di sostegno, previo controllo delle informazioni provenienti da ANPR e dal Ministero della giustizia;
• presentazione tramite assistenza remota, con compresenza di delegante e delegato, identificazione del documento, acquisizione dell’originale e controlli sul corretto svolgimento delle operazioni;
• presentazione presso il Comune con firma autografa in presenza del dipendente addetto, anche in casi di impossibilità sanitaria o ricovero, mediante attestazione sanitaria o certificazione di disabilità grave.

Il Garante evidenzia che il sistema è costruito in modo da assicurare verifiche preventive, tracciabilità e raccolta delle evidenze documentali necessarie.

Verifiche tramite ANPR, Ministero della giustizia e PDND

Per il funzionamento della Piattaforma, lo schema prevede l’interrogazione di servizi resi disponibili tramite ANPR e Ministero della giustizia, anche attraverso la PDND. In particolare:

• l’iscrizione dei cittadini deleganti e delegati è verificata tramite ANPR;
• la qualifica di tutore, curatore o amministratore di sostegno, nonché l’assenza di provvedimenti che incidano sulla responsabilità genitoriale, è verificata tramite servizi del Ministero della giustizia;
• in caso di perdita, sospensione o decadenza della responsabilità genitoriale, la delega viene revocata immediatamente.

Il Garante osserva che questi meccanismi sono funzionali a garantire la correttezza dell’autorizzazione e la coerenza tra poteri civilistici e accesso ai servizi digitali.

Limiti quantitativi, durata, revoca e rinuncia

Lo schema stabilisce che ciascun delegato possa registrare al massimo cinque deleghe, esclusi i casi di rappresentanza genitoriale, tutela, curatela, amministrazione di sostegno e procure generali o speciali. Al momento della richiesta, il delegato deve dichiarare di agire a titolo personale e non nell’esercizio di attività professionale o d’impresa, e che la delega non costituisce mandato professionale né è collegata a compenso o fatturazione.

La delega ha durata massima di due anni, salvo revoca anticipata. Il delegato può rinunciare in qualsiasi momento alle deleghe accettate. Sono inoltre previsti casi di cessazione automatica legati alla perdita della qualità che legittima la rappresentanza, alla revoca o estinzione della procura, al raggiungimento della maggiore età del minore e all’ordine dell’autorità giudiziaria.

Registro delle deleghe, tracciamento e accessi

Il Gestore della Piattaforma conserva le registrazioni delle richieste di utilizzo della delega da parte del delegato. Il registro è consultabile dal delegante e dal delegato, anche tramite Portale o presso il Comune di residenza, con limiti di accesso coerenti con il perimetro delle deleghe conferite.

I dati del registro possono essere estratti solo su richiesta dell’autorità giudiziaria e delle autorità vigilanti, tramite personale espressamente incaricato e dotato di credenziali personali. Ogni accesso è registrato in appositi log.

Il Garante valorizza anche la previsione di comunicazioni al delegante, via domicilio digitale o recapito di contatto, in occasione della registrazione della delega e di ogni richiesta di utilizzo della stessa, salvo alcune ipotesi di rappresentanza specifica.

Classificazione dei servizi online e responsabilità delle pubbliche amministrazioni

Un passaggio centrale del parere riguarda la responsabilità delle pubbliche amministrazioni nella classificazione dei propri servizi online ai fini dell’accesso mediante delega. Ogni amministrazione deve classificare e mantenere aggiornato l’elenco dei servizi in tre categorie:

• servizi delegabili a tutti;
• servizi delegabili solo per alcune tipologie di delega o per procuratori generali/speciali;
• servizi non delegabili.

Il Garante sottolinea che resta ferma la responsabilità della singola amministrazione nel verificare la compatibilità del servizio con l’accesso in delega e nell’impostare le logiche di autorizzazione, anche limitando le funzionalità fruibili. Viene richiamata l’esigenza di una policy formale per i log, con conservazione sicura per almeno 24 mesi e registrazione della motivazione di ogni accesso da parte degli operatori.

Regime speciale per i servizi sanitari digitali

Per i servizi relativi al Fascicolo sanitario elettronico, all’Ecosistema dati sanitari e alla Piattaforma nazionale di telemedicina, lo schema prevede un regime particolare. L’integrazione con la Piattaforma è ammessa, quanto alle figure di rappresentanza più forti, con accesso completo ai servizi e alle funzionalità; per il delegato generico, l’accesso è limitato a quanto specificamente conferito dal delegante.

In ogni caso, il delegato non può accedere ai dati soggetti a maggiore tutela previsti dall’art. 6 del decreto del Ministro della salute 7 settembre 2023. Il Garante evidenzia che tale disciplina speciale è coerente con la delicatezza dei dati sanitari e con la vulnerabilità dei soggetti interessati.

Ruoli privacy e affidamento a terzi

Lo schema identifica i ruoli privacy dei soggetti coinvolti. Il Gestore della Piattaforma è titolare del trattamento per i dati necessari a implementazione, gestione e manutenzione del sistema. Se affida a terzi il servizio di assistenza remota, questi ultimi devono essere nominati responsabili del trattamento ai sensi dell’art. 28 GDPR, con adeguate garanzie di selezione, formazione e controllo degli operatori.

Il Comune è titolare del trattamento per le attività di presentazione della delega nei casi previsti e per la consultazione dei dati del registro nei casi disciplinati dallo schema.

Esito del parere e riserva finale

Alla luce delle modifiche introdotte e delle garanzie previste, il Garante conclude che sullo schema di decreto non vi siano rilievi da formulare e rende parere favorevole.

Resta però espressamente ferma la possibilità per l’Autorità di effettuare successive valutazioni sui trattamenti concretamente posti in essere nell’ambito della Piattaforma di gestione deleghe, una volta che il sistema sarà entrato a regime.