[doc. web n. 10232024]

Parere sullo schema di decreto direttoriale concernente la formazione, tenuta ed aggiornamento dell'elenco degli enti e delle associazioni abilitati a organizzare percorsi di recupero destinati ai soggetti condannati per reati di violenza contro le donne e di violenza domestici - 18 dicembre 2025

Registro dei provvedimenti
n. 748 del 18 dicembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del professor Pasquale Stanzione, presidente, della professoressa Ginevra Cerrina Feroni, vicepresidente, dell’avvocato Guido Scorza e del dottor Agostino Ghiglia, componenti e del dottor Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito: “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore la professoressa Ginevra Cerrina Feroni;

PREMESSO

1. Il Ministero della giustizia (breviter Ministero), ha trasmesso al Garante uno schema di decreto direttoriale, con i relativi allegati, concernente la formazione, tenuta ed aggiornamento dell'elenco degli enti e delle associazioni abilitati a organizzare percorsi di recupero destinati ai soggetti condannati per reati di violenza contro le donne e di violenza domestica, ai fini e per gli effetti di cui agli articoli 165, quinto comma, del codice penale e 282-quater, comma 1, terzo periodo, del codice di procedura penale, articoli novellati dalla legge 24 novembre 2023, n. 168, recante "Disposizioni per il contrasto della violenza sulle donne e della violenza domestica ".

L'articolo 165, quinto comma, c.p., prevede che nei casi di condanna per i delitti di cui sopra, la sospensione condizionale della pena è sempre subordinata alla partecipazione, con cadenza almeno bisettimanale, e al superamento con esito favorevole di specifici percorsi di recupero presso enti o associazioni che si occupano di prevenzione, assistenza psicologica e recupero di soggetti condannati per i medesimi reati, accertati e valutati dal giudice.

L'articolo 282-quater, comma 1, terzo periodo, c.p.p., prevede, infatti, che quando l'imputato si sottopone positivamente ad un programma di prevenzione della violenza organizzato dai servizi socio-assistenziali del territorio, il responsabile del servizio ne dà comunicazione all’Autorità giudiziaria ai fini della eventuale modifica delle misure cautelari in corso di applicazione.

L’articolo 18 della citata legge n. 168 del 2023 ha stabilito che, ai fini e per gli effetti degli articoli 165, c.p. e 282-quater c.p.p., entro sei mesi dalla data della sua entrata in vigore il Ministro della giustizia e l'Autorità politica delegata per le pari opportunità stabiliscono, con proprio decreto, i criteri e le modalità per il riconoscimento e l'accreditamento degli enti e delle associazioni abilitati a organizzare percorsi di recupero destinati agli autori dei reati di violenza contro le donne e di violenza domestica e adottano linee guida per lo svolgimento dell'attività dei medesimi enti e associazioni.

In attuazione di tale disposizione è stato emanato il decreto del Ministro della giustizia e dell'Autorità politica delegata per le pari opportunità 22 gennaio 2025 (“Disciplina dei criteri e delle modalità per il riconoscimento e l'accreditamento degli enti e delle associazioni abilitati ad organizzare percorsi di recupero destinati agli autori dei reati di violenza contro le donne e di violenza domestica”).

L’articolo 3, comma 1, del predetto decreto 22 gennaio 2025 prevede che “i percorsi di recupero per i soggetti condannati per reati di violenza contro le donne e di violenza domestica, ai fini e per gli effetti di cui all'art. 165, quinto comma, del codice penale, e i programmi di prevenzione per gli imputati e gli indagati per i medesimi reati, ai fini e per gli effetti di cui all'art. 282-quater, comma 1, terzo periodo, del codice di procedura penale possono essere svolti esclusivamente presso i C.U.A.V. [centri per uomini autori o potenziali autori di violenza, di seguito C.U.A.V.] che sono inseriti nell'elenco di cui all'art. 4 e che sono costituiti ai sensi dell'art. 1, comma 663, della legge 30 dicembre 2021, n. 234 e gestiti dai seguenti soggetti: enti pubblici e locali; enti del servizio sanitario; enti ed organismi del terzo settore; soggetti di cui alle lettere a), b) e c) di concerto, intesa o in forma associata”.

L’articolo 4 stabilisce, tra l’altro, che “il Ministero della giustizia-Dipartimento per la giustizia minorile e di comunità, procede al riconoscimento, a mezzo di accreditamento, degli enti e delle associazioni di cui all'art. 3 e provvede al loro inserimento nell'elenco di cui al comma 2” (comma 1) e che “l'elenco dei C.U.A.V. accreditati è istituito e tenuto presso il Ministero della giustizia, Dipartimento per la giustizia minorile e di comunità. Presso il Dipartimento ne è responsabile il Capo dipartimento, o persona da lui delegata, con qualifica dirigenziale o con qualifica di magistrato” (comma 2).

L’articolo 7, comma 1, prevede che “i soci, gli associati, gli amministratori, i rappresentanti e i responsabili dell'ente o dell'organismo del terzo settore di cui all'art. 3, lettera c), anche nell'ipotesi prevista dalla lettera d), devono possedere i seguenti requisiti:

a) non trovarsi in stato di interdizione legale o di inabilitazione o non essere sottoposti ad amministrazione di sostegno;

b) non essere stati condannati con sentenza definitiva, per delitto non colposo, a pena detentiva, anche se sostituita da una delle pene indicate nell'art. 20-bis, primo comma, numeri 1), 2), e 3) del codice penale;

c) non essere stati destinatari di sentenza definitiva resa ai sensi dell'art. 444, comma 2, del codice di procedura penale, per delitto non colposo, a pena detentiva, anche se sostituita da una delle pene indicate nell'art. 20-bis, primo comma, numeri 1), 2) e 3), del codice penale, con la quale sono state altresì applicate pene accessorie;

d) non avere procedimenti penali in corso per delitti non colposi, fermo restando quanto previsto dall'art. 335-bis del codice di procedura penale;

e) non essere incorsi nell'interdizione perpetua o temporanea dai pubblici uffici;

f) non essere stati sottoposti a misure di prevenzione, salvi gli effetti della riabilitazione, né a misure di sicurezza personali;

g) non avere riportato, per gli iscritti ad un ordinamento professionale, negli ultimi cinque anni, una sanzione disciplinare più grave di quella minima prevista dal singolo ordinamento”.

Il medesimo articolo 7 prevede che “il possesso dei requisiti di cui al comma 1 è attestato dagli interessati mediante documentazione presentata ai sensi degli articoli 46 e 47 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445” (comma 3) e che “il responsabile dell'elenco verifica la sussistenza dei requisiti e ha facoltà di accertare la veridicità delle dichiarazioni rese dai richiedenti ai sensi dell'art. 71 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445” (comma 4).

L’articolo 8 dispone che “la domanda di accreditamento è presentata utilizzando il modello predisposto dal responsabile dell'elenco, reso disponibile sul sito del Ministero della giustizia ed è trasmessa al Ministero stesso, unitamente alla documentazione indicata dal modello, in via telematica, mediante utilizzo di posta elettronica certificata o altro servizio elettronico di recapito certificato qualificato” (comma 1) e che, con le medesime modalità, “i C.U.A.V. accreditati sono tenuti inoltre a comunicare al responsabile dell'elenco: a) il venir meno dei requisiti di cui agli articoli 6 e 7; b) l'avvio di procedimenti penali per delitti non colposi a carico di alcuno dei soci, associati, amministratori, rappresentanti e responsabili dell'ente o dell'organismo del terzo settore di cui all'art. 3, comma 1, lettera c); c) l'avvio di procedimenti disciplinari a carico dei medesimi soggetti” (comma 5).

Infine, l’articolo 15 del decreto 22 gennaio 2025 (rubricato “Trattamento dati personali”), stabilisce che il trattamento dei dati personali strettamente necessari all'esercizio delle competenze e al raggiungimento degli scopi connessi alla tenuta dell'elenco C.U.A.V. è disciplinato con decreto direttoriale, da adottarsi entro novanta giorni dalla data di adozione del presente decreto, sentito il Garante per la protezione dei dati personali, il cui schema è oggetto del presente parere.

RILEVATO

2. Occorre premettere che lo schema di decreto direttoriale in valutazione, inviato dal Ministero a questa Autorità in data 13 novembre 2025, costituisce la versione aggiornata di precedenti schemi rispetto ai quali l’Ufficio del Garante aveva rilevato alcune criticità, con riferimento agli aspetti attinenti alla protezione dei dati personali.

Lo schema di decreto direttoriale e l’annessa scheda, che ne costituisce parte integrante, individuano i tipi di dati personali e di operazioni eseguibili, anche in conformità a quanto previsto dagli articoli 2-sexies e 2-octies del Codice.

In particolare, lo schema prevede che il Ministero della giustizia-Dipartimento per la giustizia minorile e di comunità, nell’ambito del procedimento di accreditamento CUAV, tratti dati personali comuni e relativi a condanne penali e reati riferiti a soci, associati, amministratori, rappresentanti e responsabili dell’ente o dell’organismo del terzo settore da accreditare (o già accreditato) a operare come CUAV.

Nella scheda allegata allo schema è previsto che “la procedura è gestita con modalità informatiche non automatizzate. In particolare, le richieste di accreditamento dei C.U.A.V. (formulate tramite l’utilizzo dell’apposito modulo di richiesta che sarà reso disponibile sul sito del Ministero) e i documenti presentati, anche in fasi successive, vengono recepiti tramite la posta elettronica certificata integrata al sistema di protocollazione in uso. Il sistema di protocollazione (Calliope) già collaudato e acquisito dal personale autorizzato ad operarvi prevede delle profilazioni di utenze e dunque livelli di accesso (implicanti trattamento di dati personali) coerenti con i parametri autorizzatori e con le specifiche di sicurezza previsti nel Manuale di gestione dei flussi documentali del Ministero della giustizia […]. All’interno di Calliope viene creato per ciascun C.U.A.V. un fascicolo (ad accesso riservato ai soli soggetti abilitati), il quale riporta il riferimento al numero identificativo del C.U.A.V. presente in un database – anche questo ad accesso riservato – che sarà realizzato ad hoc e conterrà tutti i dati raccolti. La procedura di accreditamento avviene extra-sistema in modalità manuale, sulla base dello studio dei documenti presentati; l’esito della stessa è poi registrato nel database, contenente esclusivamente i dati necessari ai fini identificativi del C.U.A.V., comprensivi di codice fiscale o partita I.V.A., numero e data di iscrizione, […] per la pubblicazione sul sito giustizia.it. Le sospensioni e le cancellazioni vengono registrate in tabelle apposite del database che conterranno i dati storicizzati e le singole comunicazioni di sospensioni e cancellazioni sono inviate tramite la P.E.C. integrata al sistema di protocollazione […]. Rispetto alle attività di interconnessione e raffronto con altre banche dati, queste avvengono in modalità manuale. La pubblicazione degli aggiornamenti dell’elenco avviene trimestralmente sul sito del Ministero della Giustizia. Si precisa che la pubblicazione sul sito istituzionale del Ministero riguarda la ‘parte accessibile al pubblico’ dell’Elenco di cui all’art. 4 DM, e annovera soltanto dati riferibili ai CUAV come definiti nel comma 6 del medesimo articolo (‘dati identificativi del CUAV comprensivi di codice fiscale e partita IVA, numero e data di iscrizione all'elenco’)” (pagg. 4 e 5);  “con riguardo ai dati personali comuni riferiti a soci, associati, amministratori, rappresentanti e responsabili dei C.U.A.V., questi possono essere oggetto di interconnessione e confronti con altre informazioni detenute dalla Direzione Generale per la Giustizia di Comunità o da altri soggetti pubblici e di comunicazione a soggetti pubblici per l’adempimento delle finalità istituzionali” (pag. 5); ‘quanto ai “dati giudiziari’, nel significato estensivo del termine, comprendente sia i dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza sia quelli relativi all’applicazione, con provvedimento giudiziario, di misure di prevenzione, acquisiti in relazione agli enti e alle associazioni da abilitare o già abilitati all’organizzazione di percorsi di recupero e programmi di prevenzione di cui al Decreto 22 gennaio 2025, il loro trattamento avviene esclusivamente allo scopo di verificare il possesso dei requisiti di onorabilità dei soci, degli associati, degli amministratori, dei rappresentanti e dei responsabili dell’ente o dell’organismo del terzo settore […] ai fini dell’accreditamento e del conseguente inserimento dell’ente e/o dell’associazione nell’elenco di cui all’art. 4 del medesimo decreto nonché dell’emissione del provvedimento di sospensione e/o cancellazione dal predetto elenco. Tali dati saranno acquisiti direttamente dall’ente o associazione interessati all’accreditamento in questione che, poi, ne curerà la trasmissione – previa raccolta di un’apposita liberatoria ai sensi degli articoli 13 e 14 del Regolamento UE 679/2016– al momento dell’invio della richiesta di riconoscimento alla Direzione Generale per la Giustizia di Comunità. I dati personali relativi ai requisiti di onorabilità possono essere oggetto di interconnessione e raffronti con altre informazioni detenute dalla Direzione Generale per la Giustizia di Comunità o da altri soggetti pubblici e di comunicazione, in conformità a quanto disposto dall’art. 2-octies del d.lgs. 30 giugno 2003, n. 196, solo se ciò sia autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento che prevedano garanzia appropriate per i diritti e le libertà degli interessati, qualora non avvenga sotto il controllo dell’autorità pubblica; tali dati non sono però oggetto di diffusione tramite pubblicazione. Per le trasmissione dai soggetti richiedenti – che comportino trattamento di dati di natura giudiziaria o di informazioni ad essi riferibili (come l’autocertificazione prevista ai sensi dell’art. 7 del DM, sui requisiti di onorabilità) – potranno essere implementati, col supporto delle strutture tecniche del DGMC, canali di comunicazione suppletivi o meccanismi di cifratura fermo l’elevato livello delle misure tecnico-organizzative già attivabili e i requisiti stringenti per la visualizzazione delle informazioni su Calliope, associate ad utenze autorizzate e debitamente profilate. I dati contenuti nelle dichiarazioni sostitutive, rese ai sensi del D.P.R. n. 445/2000, sono sottoposti al controllo presso le amministrazioni certificanti” (pagg. 5 e 6).

Le misure tecniche e organizzative adottate nell’ambito dei trattamenti di dati personali effettuati ai fini dell’accreditamento dei CUAV sono descritte in un “sub-allegato” e riguardano la definizione dei ruoli e delle responsabilità dei soggetti a vario titolo coinvolti, la sensibilizzazione e formazione dei dipendenti, la minimizzazione, la qualità e l’esattezza dei dati, la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e servizi di trattamento, la capacità di ripristino in caso di incidente, le procedure per testare, verificare e valutare l’efficacia delle misure di sicurezza, le procedure di autenticazione informatica e di autorizzazione degli utenti, le misure di protezione dei dati, la sicurezza fisica e la registrazione delle operazioni di trattamento.

Nel sub-allegato si precisa, altresì, che l'estrazione manuale dei dati dai documenti conservati sul protocollo informatico Calliope per il loro trasferimento sul database, la pubblicazione sul sito istituzionale, l'invio ai CUAV via PEC di dati e atti richiesti e conservati nel database e nei fascicoli telematici di Calliope sono passaggi che, non prevedendo un adeguato livello di automazione, comportano una possibilità di errore di trascrizione da tenere in considerazione. Per garantire una maggiore accuratezza dei dati in termini di completezza e correttezza, verrà effettuata, sia prima dell'inizio della procedura di accreditamento, sia prima della pubblicazione sul sito del Ministero della Giustizia, un'attività di verifica attraverso operazioni di confronto tra i dati trascritti nel database e quelli contenuti nella documentazione conservata in Calliope. L'attività di verifica, coordinata dal Responsabile elenco CUAV, prevede forme di controllo anche incrociato e successivo, da parte di ulteriori unità in servizio, comunque autorizzate al trattamento dei dati personali implicati da tali operazioni.

CONSIDERATO

3. La tenuta del registro dei CUAV ed il relativo trattamento dei dati personali da parte degli uffici amministrativi del Ministero della Giustizia non costituisce direttamente una attività di law enforcement, onde ricade sotto la disciplina del Regolamento.

4. Il trattamento di dati relativi a condanne penali e reati connesso alla procedura di accreditamento  dei CUAV e la tenuta del relativo registro da parte del Ministero della giustizia rientrano nella fattispecie disciplinata dall’articolo 2-octies, comma 5, del Codice, ai sensi del quale ai trattamenti effettuati sotto il controllo dell'autorità pubblica si applicano le disposizioni previste dall'articolo 2-sexies; quest’ultimo prevede che il trattamento dei dati necessari per motivi di interesse pubblico rilevante ai sensi del paragrafo 2, lettera g), dell’articolo 9 del Regolamento, sono ammessi qualora siano previsti dal diritto dell'Unione europea ovvero, nell'ordinamento interno, da disposizioni di legge o di regolamento o da atti amministrativi generali che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato.

Si ritiene che il combinato disposto di cui alla legge 24 novembre 2023, n. 168 e al decreto del Ministro della giustizia e dell'Autorità politica delegata per le pari opportunità 22 gennaio 2025, costituiscano base giuridica idonea al trattamento dei dati personali in oggetto.

5. Il precedente schema di decreto direttoriale inviato a questa Autorità presentava, come premesso, alcune criticità.

In particolare:

• non erano indicate in modo puntuale le amministrazioni e le banche dati presso le quali effettuare controlli sui dati contenuti nelle dichiarazioni sostitutive;

• non erano indicati correttamente i ruoli e le responsabilità dei soggetti coinvolti, sotto il profilo protezione dati;

• non era specificato il coordinamento normativo tra lo schema di decreto direttoriale ed il “sub allegato”;

• quanto ai "dati giudiziari" trattati allo scopo di verificare il possesso dei requisiti di onorabilità da parte dei soci, degli associati, degli amministratori, dei rappresentanti e dei responsabili dell'ente o dell'organismo del terzo settore, la scheda allegata allo schema di decreto prevedeva che “Tali dati saranno acquisiti direttamente dall'ente o associazione interessati all'accreditamento in questione che, poi, ne curerà la trasmissione - previa raccolta di un'apposita liberatoria ai sensi degli articoli 13 e 14 del Regolamento UE 679/2016 - al momento dell'invio della richiesta di riconoscimento alla Direzione Generale per la Giustizia di Comunità.”. Appariva opportuno integrare la scheda, nella parte sopra riportata, precisando che il possesso dei requisiti di onorabilità è attestato dagli interessati mediante documentazione presentata ai sensi degli articoli 46 e 47 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, conformemente a quanto previsto dall’art. 7 del decreto ministeriale 22 gennaio 2025 già citato e limitatamente alle sole informazioni indicate nella predetta disposizione. Inoltre, la formulazione della scheda non appariva corretta, in quanto gli articoli 13 e 14 del Regolamento riguardano gli obblighi di informativa da fornire agli interessati e non una non meglio definita “liberatoria”, termine atecnico con il quale si presume ci si volesse riferire al consenso degli interessati, di cui all’art. 6, paragrafo 1, lettera a) del Regolamento. Pertanto, la disposizione andava riformulata, precisando che gli interessati riceveranno l’informativa in ordine al trattamento dei loro dati personali in argomento e la richiesta di consenso, con l’indicazione espressa delle conseguenze di un eventuale rifiuto del consenso stesso.

RITENUTO

6. L’attuale schema di decreto direttoriale appare in linea con le osservazioni precedentemente formulate dall’Ufficio del Garante, tese a renderlo conforme alla normativa in materia di tutela dei dati personali.

In particolare:

• sono state indicate in modo puntuale le amministrazioni e le banche dati presso le quali verranno effettuati controlli sui dati contenuti nelle dichiarazioni sostitutive (art. 2);

• è stata modificata la scheda allegata allo schema di decreto, in ordine alle modalità di verifica del possesso dei requisiti di onorabilità degli interessati, da effettuarsi nelle forme e nei modi di cui agli artt. 46 e 47 del d.P.R. 28 dicembre 2000, n. 445 e solo con riferimento alle informazioni rilevanti alla luce della normativa di riferimento e sono stati precisati gli obblighi di informativa da espletare nei confronti dei medesimi;

• il coordinamento normativo tra lo schema di decreto direttoriale ed il “sub allegato” è indicato nell’articolo 7 dello schema di decreto ( rubricato "Misure tecnico-organizzative di protezione e sicurezza dei dati trattati”), secondo cui “Le caratteristiche operative, i ruoli organizzativi, i soggetti coinvolti, i meccanismi di mitigazione dei rischi e gli strumenti tecnici e di sicurezza per attuare i principi di protezione e le garanzie adeguati al rispetto del GDPR e della normativa di settore sono analiticamente descritti in specifico sub-allegato tecnico, redatto a cura del Dipartimento per la Giustizia Minorile e di Comunità.”;

• sono state correttamente indicati i ruoli e le responsabilità dei soggetti coinvolti nel trattamento, in conformità alle posizioni di responsabilità previste dal Regolamento e dal Codice (art. 3, commi 4-6).

TUTTO CIO’ PREMESSO

IL GARANTE

ai sensi dell’articolo 57, par. 1, lett. c), del Regolamento, esprime parere favorevole sullo schema di decreto direttoriale concernente la formazione, tenuta ed aggiornamento dell'elenco degli enti e delle associazioni abilitati a organizzare percorsi di recupero destinati ai soggetti condannati per reati di violenza contro le donne e di violenza domestica.

Roma, 18 dicembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori