Decreto ministeriale n. 231 del 30/09/2025

Direttiva MIT sulla protezione dei dati personali e l’organizzazione dei trattamenti

La direttiva disciplina l’assetto interno del Ministero delle infrastrutture e dei trasporti per l’attuazione del Regolamento (UE) 2016/679 e della normativa nazionale di adeguamento. Definisce ruoli, responsabilità, procedure e strumenti organizzativi per il trattamento dei dati personali nelle strutture centrali e periferiche del Ministero.

Base normativa e finalità

Il provvedimento richiama il Regolamento (UE) 2016/679, il decreto legislativo 30 giugno 2003, n. 196, il decreto legislativo 10 agosto 2018, n. 101, il decreto legislativo 30 luglio 1999, n. 300, il decreto legislativo 30 marzo 2001, n. 165, il decreto del Ministro 11 ottobre 2021, n. 386, il DPCM 27 ottobre 2023, n. 198, il DPCM 30 ottobre 2023, n. 186 e il decreto ministeriale 30 maggio 2024, n. 151. La premessa chiarisce che, con l’entrata in vigore del GDPR, sono previsti nuovi obblighi per le amministrazioni pubbliche e che il Codice privacy deve essere applicato nelle parti compatibili con la disciplina europea.

Titolarità del trattamento

Il Ministero delle infrastrutture e dei trasporti è individuato come titolare del trattamento per tutte le proprie articolazioni organizzative, ai sensi dell’assetto previsto dall’articolo 43, comma 1, del d.lgs. n. 300/1999 e dagli atti organizzativi richiamati, con esclusione del Comando Generale del Corpo delle Capitanerie di Porto. Quest’ultimo è considerato titolare autonomo per i trattamenti effettuati nell’ambito delle proprie attribuzioni.

I soggetti mediante i quali il Ministero esercita le funzioni di titolare, ciascuno nel proprio ambito di competenza, sono:

• il Capo di Gabinetto, per gli uffici di diretta collaborazione con Ministro, Viceministri e Sottosegretari;
• i Capi Dipartimento;
• i responsabili degli uffici periferici, ossia Direzioni Generali Territoriali e Provveditorati interregionali;
• il Presidente del Consiglio Superiore dei Lavori Pubblici;
• i responsabili di altri organismi e istituzioni.

Tali soggetti devono assicurare il rispetto degli obblighi del titolare previsti dalla normativa privacy, adottando misure tecniche e organizzative adeguate a garantire e dimostrare la conformità del trattamento. Devono inoltre individuare un Referente per la privacy, con funzione di supporto e di collegamento con il Responsabile della protezione dei dati.

Soggetti designati per compiti e funzioni

I soggetti che esercitano le funzioni di titolare possono affidare specifici compiti e funzioni connessi al trattamento a dirigenti o capi struttura dipendenti, previa formale individuazione quale soggetti designati e previa assegnazione di istruzioni specifiche. I soggetti designati operano nell’ambito delle competenze attribuite e per i trattamenti riconducibili ai processi di cui sono responsabili.

Responsabile del trattamento

Il responsabile del trattamento è un soggetto esterno all’Amministrazione che tratta dati personali per conto del Dicastero. La designazione avviene mediante contratto o altro atto giuridico conforme al diritto dell’Unione o degli Stati membri, stipulato dal titolare o da un soggetto formalmente designato ai sensi dell’articolo 2 della direttiva.

Il contratto o l’atto di designazione può prevedere la facoltà del responsabile di ricorrere ad altro responsabile per specifiche attività, ma solo previa autorizzazione scritta, specifica o generale, del soggetto che ha stipulato l’atto. Il responsabile deve trattare i dati esclusivamente sulla base di istruzioni documentate e deve garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.

Autorizzati al trattamento

I dirigenti del Ministero sono autorizzati al trattamento dei dati personali in relazione alle competenze esercitate dai rispettivi uffici e nel rispetto delle misure e istruzioni adottate dall’Amministrazione. Essi devono assicurare che il personale assegnato abbia adeguata conoscenza delle modalità di trattamento e vigilare sull’osservanza delle misure adottate.

Il personale non dirigente è autorizzato nei limiti delle competenze attribuite nell’ambito dell’ufficio o struttura di appartenenza, ferma restando la possibilità di limitare il trattamento a determinati dipendenti con specifiche determinazioni. Tutto il personale autorizzato riceve istruzioni specifiche, comprese quelle sulle misure di sicurezza.

Responsabile della protezione dei dati

Il dirigente preposto alla Direzione generale per la digitalizzazione è individuato quale Responsabile della protezione dei dati del Ministero, ai sensi dell’articolo 7, comma 6, del DPCM 30 ottobre 2023, n. 186. Il titolare deve assicurare la massima collaborazione al RPD e garantirgli l’accesso ai dati personali e ai trattamenti nella misura necessaria all’esercizio delle sue funzioni.

Il RPD svolge i compiti previsti dall’articolo 39 del Regolamento (UE) 2016/679 e vigila sulla tenuta del Registro delle attività di trattamento. A tal fine effettua verifiche periodiche, in coordinamento con gli organi di controllo interno del Ministero, documenta i risultati e li comunica ai soggetti interessati per l’adozione di eventuali misure correttive entro termini prestabiliti. Le verifiche devono essere condotte secondo criteri di proporzionalità e non interferenza con l’attività amministrativa. Per tali attività il RPD può avvalersi di personale di supporto con competenze giuridiche, informatiche, di analisi dei processi e di valutazione e gestione del rischio.

Registro delle attività di trattamento

Il Registro delle attività di trattamento del Ministero deve essere redatto in forma scritta, anche elettronica, e suddiviso in sezioni corrispondenti a ciascuna struttura organizzativa. I soggetti che esercitano le funzioni di titolare sono responsabili della tenuta del Registro per la sezione di competenza e devono condividerlo tempestivamente con il RPD.

Formazione del personale

La direttiva impone la predisposizione di un piano di formazione mirato a promuovere la conoscenza dei principi in materia di protezione dei dati personali e a sensibilizzare il personale sui diritti tutelati dalla normativa. Il titolare, o il soggetto da questi formalmente designato, deve prevedere formazione specifica sugli adempimenti richiesti dalla disciplina vigente, definendo modalità e periodicità dei corsi. La formazione è qualificata come misura generale necessaria per garantire il corretto trattamento dei dati.

Gestione delle violazioni dei dati personali

Il titolare deve adottare procedure interne per l’identificazione tempestiva e la valutazione delle violazioni dei dati personali, in conformità agli articoli 33 e 34 del Regolamento. Ogni violazione che presenti un rischio per i diritti e le libertà delle persone fisiche deve essere immediatamente comunicata al RPD, che valuta la necessità di notifica all’autorità di controllo e, se del caso, di comunicazione agli interessati.

Il titolare deve mantenere un registro documentale di tutte le violazioni, contenente circostanze, conseguenze e provvedimenti adottati, secondo quanto previsto dall’articolo 33, paragrafo 5, del Regolamento.

Valutazioni d’impatto sulla protezione dei dati

Il titolare, o il soggetto formalmente designato ai sensi dell’articolo 2, deve adottare procedure interne per svolgere valutazioni d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del Regolamento, nei casi in cui i trattamenti possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Quando la valutazione evidenzi un rischio residuo elevato, deve essere consultata preventivamente l’autorità di controllo prima di procedere al trattamento, avvalendosi, se opportuno, del supporto del RPD.

Privacy by design e privacy by default

Il titolare deve adottare procedure interne e misure tecniche e organizzative, incluse quelle di sicurezza, coerenti con i principi della protezione dei dati fin dalla progettazione e per impostazione predefinita. Le misure devono ridurre al minimo il trattamento, prevedere la pseudonimizzazione dei dati quando non necessari, garantire trasparenza sulle modalità di trattamento e consentire all’interessato di controllare i trattamenti sui propri dati.

In fase di sviluppo, progettazione, selezione e utilizzo di applicazioni, servizi e prodotti basati sul trattamento di dati personali, devono essere considerati tali principi. Tra le misure di sicurezza sono richiamate la pseudonimizzazione e cifratura, la capacità di garantire riservatezza, integrità e disponibilità dei sistemi, il ripristino tempestivo dell’accesso ai dati in caso di incidente e procedure di verifica periodica dell’efficacia delle misure implementate.

Diritti degli interessati

Il titolare deve assicurare l’esercizio dei diritti degli interessati previsti dagli articoli 12 e seguenti del Regolamento, adottando procedure standardizzate per la gestione delle richieste. Può designare referenti specifici per tali richieste. Le informazioni e le comunicazioni agli interessati devono essere fornite in forma concisa, trasparente e intelligibile, con linguaggio semplice e chiaro; quando tecnicamente possibile e richiesto, devono essere rese con mezzi elettronici.

Trasferimenti di dati verso paesi terzi

La direttiva impone procedure interne per la gestione dei trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali, in conformità al Capo V del Regolamento. Devono essere verificate la presenza di una decisione di adeguatezza della Commissione europea ai sensi dell’articolo 45 oppure di garanzie adeguate ai sensi dell’articolo 46.

Il titolare deve consultare l’elenco delle decisioni di adeguatezza vigente sul sito del Garante per la protezione dei dati personali. Prima di procedere a trasferimenti basati su garanzie adeguate, deve consultare il RPD per la verifica della conformità. Tutti i trasferimenti devono essere documentati nel Registro, indicando la presenza della decisione di adeguatezza o delle garanzie adeguate.

Conservazione e cancellazione dei dati

Il titolare deve adottare procedure interne per definire criteri chiari di determinazione dei tempi di conservazione dei dati personali, nel rispetto del principio di limitazione della conservazione previsto dall’articolo 5 del Regolamento. Devono essere considerate le specifiche normative di settore e le esigenze amministrative.

Disposizioni finanziarie finali

È espressamente previsto che dall’attuazione della direttiva non debbano derivare nuovi o maggiori oneri per la finanza pubblica. La direttiva è trasmessa agli organi di controllo secondo la normativa vigente.