[doc. web n. 10302261]

Parere sullo schema di decreto del Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri recante “Definizione delle misure tecniche e organizzative da adottarsi con riferimento ai trattamenti di dati personali effettuati nell’ambito del Sistema IT-Wallet - 23 settembre 2026

Registro dei provvedimenti
n. 631 del 23 settembre 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il regolamento (UE) 910/2014 del Parlamento europeo e del Consiglio del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE (di seguito, regolamento eIDAS), come modificato dal regolamento (UE) 2024/1183 del Parlamento europeo e del Consiglio dell’11 aprile 2024, e, in particolare, le disposizioni concernenti il portafoglio europeo di identità digitale (cfr. spec.: capo II, sezione 1; capo III, sezione 9; art. 46-bis);

VISTO il d.lgs. 7 marzo 2005, n. 82 (di seguito, CAD), che, all’art. 64-quater, recante “Sistema di portafoglio digitale italiano - Sistema IT-Wallet”, stabilisce, in particolare, che:

“1. Al fine di valorizzare e rafforzare l'interoperabilità tra le banche dati pubbliche attraverso la Piattaforma Digitale Nazionale Dati (PDND) di cui all'articolo 50-ter, nonché di favorire la diffusione e l'utilizzo di servizi in rete erogati da soggetti pubblici e privati, è istituito il Sistema di portafoglio digitale italiano (Sistema IT-Wallet).

2. Il Sistema IT-Wallet è costituito da una soluzione di portafoglio digitale pubblico (IT-Wallet pubblico), resa disponibile mediante il punto di accesso telematico di cui all'articolo 64-bis, nonché da soluzioni di portafoglio digitale private (IT-Wallet privato), rese disponibili dai soggetti privati interessati, previo accreditamento da parte dell'AgID, secondo le modalità di cui al comma 3.

3. Al fine di garantire la necessaria celere evoluzione del Sistema IT-Wallet, con decreto del Presidente del Consiglio dei ministri ovvero dell'Autorità politica delegata in materia di innovazione tecnologica, ove nominata, adottato su proposta dell'AgID e di concerto con il Ministro dell'economia e delle finanze e con il Ministro per la pubblica amministrazione, sentite l'Agenzia per la cybersicurezza nazionale, per i profili di competenza, e la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, sono approvate apposite linee guida. Le linee guida di cui al primo periodo, adottate entro sessanta giorni dalla data di entrata in vigore della presente disposizione e periodicamente aggiornate, definiscono:

a) le caratteristiche tecniche e le modalità di adozione dell'IT-Wallet pubblico e delle soluzioni di IT-Wallet privato da parte di cittadini e imprese, nonché la tipologia di servizi resi disponibili dalle soluzioni IT-Wallet;

b) le modalità di accreditamento presso l'AgID dei soggetti privati fornitori delle soluzioni IT- Wallet privato;

c) i servizi resi disponibili alle pubbliche amministrazioni e ai soggetti privati accreditati, sia in qualità di erogatori di servizi, sia in qualità di erogatori di attestazioni elettroniche relative a prerogative, deleghe, caratteristiche, licenze o qualità di persone fisiche e giuridiche, per il tramite della piattaforma di cui all'articolo-50-ter;

d) gli standard tecnici adottati per garantire l'interoperabilità del Sistema IT-Wallet con le banche dati e i sistemi informativi della pubblica amministrazione e dei soggetti privati accreditati, inclusa la piattaforma di cui all'articolo 50-ter, anche al fine di garantire la compatibilità dell'IT-Wallet pubblico e delle soluzioni di IT-Wallet privato con precedenti sistemi di identità digitale e con i relativi sistemi di autenticazione per l'accesso in rete già predisposti;

e) le misure da adottare sul piano tecnico e organizzativo per assicurare livelli di affidabilità, disponibilità e sicurezza adeguati al Sistema IT-Wallet;

f) le modalità per la messa a disposizione del codice sorgente di tutte le componenti dell'IT- Wallet pubblico e delle soluzioni di IT-Wallet privato, ai sensi dell'articolo 69.

4. La società di cui all'articolo 8, comma 2, del decreto-legge 14 dicembre 2018, n. 135, convertito, con modificazioni, dalla legge 11 febbraio 2019, n. 12, e la società di cui all'articolo 1 del decreto legislativo 21 aprile 1999, n. 116 provvedono, nel rispetto delle linee guida di cui al comma 3 del presente articolo, alla realizzazione e gestione della infrastruttura organizzativa e tecnologica necessaria per l'attuazione del Sistema IT-Wallet, assicurando, in particolare, la disponibilità dell'IT-Wallet pubblico e dei servizi necessari ai soggetti privati interessati a rendere disponibili soluzioni di IT-Wallet privato. Alla società di cui all'articolo 1 del decreto legislativo 21 aprile 1999, n. 116, sono affidate la progettazione, la realizzazione, l'implementazione e la gestione dell'infrastruttura tecnologica dei sistemi di rilascio nonché la certificazione e la verifica delle attestazioni elettroniche di identità digitale, di quelle relative a prerogative, deleghe, caratteristiche, licenze o qualità presenti nelle banche dati della pubblica amministrazione e dei registri fiduciari per l'accreditamento dei soggetti coinvolti nei processi di rilascio, certificazione e verifica nonché per la verifica della validità e la gestione del ciclo di vita delle attestazioni elettroniche. Agli oneri occorrenti per rendere disponibili da parte degli Identity provider pubblici i servizi di verifica di cui al secondo periodo del presente comma si provvede a valere sulle risorse disponibili a legislazione vigente.

5. Con decreto del Presidente del Consiglio dei ministri ovvero dell'Autorità politica delegata in materia di innovazione tecnologica, ove nominata, adottato di concerto con il Ministro dell'economia e delle finanze e con il Ministro per la pubblica amministrazione, sentito il Garante per la protezione dei dati personali per gli aspetti di competenza, sono definiti

a) i compiti e le funzioni attribuiti a ciascuna delle società di cui al comma 4;

b) la data a decorrere dalla quale l'IT-Wallet pubblico è reso disponibile, nonché il termine entro il quale i soggetti di cui all'articolo 2, comma 2, sono tenuti a rendere disponibili i dati e i documenti relativi a prerogative, deleghe, caratteristiche, licenze o qualità di persone fisiche e giuridiche sotto forma di attestazioni elettroniche ovvero a rendere disponibili i dati e i documenti per la generazione di attestazioni elettroniche, nonché ad avvalersi delle attestazioni elettroniche presenti nelle istanze e nelle dichiarazioni formulate nei loro confronti con esenzione dei controlli di cui al capo V del testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa, di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445;

c) la data a decorrere dalla quale i soggetti privati accreditati possono rendere disponibili soluzioni di IT-Wallet privato;

d) al fine di concorrere alla sostenibilità economica del Sistema IT-Wallet a regime e ferma restando la gratuità dell'emissione dell'IT-Wallet pubblico per cittadini e imprese, la tipologia di servizi che possono essere oggetto di remunerazione da parte del titolare del Wallet e dei soggetti privati accreditati in qualità di erogatori di servizi, incluse le relative indicazioni di costo […]”;

VISTI i decreti del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all'innovazione tecnologica, di concerto con il Ministro dell’economia e delle finanze e il Ministro per la pubblica amministrazione, rispettivamente del 17 giugno 2026 (recante “Approvazione delle Linee guida del Sistema IT-Wallet e regole per la sperimentazione”) e del 19 marzo 2026 (recante “Disciplina del Sistema IT-Wallet e dei relativi servizi ai sensi dell'articolo 64-quater, comma 5, del decreto legislativo 7 marzo 2005, n. 82”), di cui all’art. 64-quater, rispettivamente commi 3 e 5, del CAD (su cui il Garante ha espresso parere con provv. n. 469 del 4 agosto 2025 – disponibile su www.gpdp.it, doc. web n. 10162651);

VISTO, in particolare, l’art. 8, commi 5-6 e 8-10, del menzionato d.P.C.M. 19 marzo 2026, ai sensi dei quali:

“5. Con decreto del Capo del Dipartimento per la trasformazione digitale, sentito il Garante per la protezione dei dati personali, sono definite, all'esito di una valutazione d'impatto sulla protezione dei dati effettuata con l'ausilio di PagoPA e IPZS, ai sensi dell'articolo 35, paragrafo 10, del regolamento (UE) 2016/679, le misure tecniche e organizzative da adottarsi con riferimento ai trattamenti di dati personali effettuati ai sensi del presente decreto, assicurando che, in conformità ai principi di cui al regolamento (UE) 2016/679:

a. i trattamenti di dati personali siano effettuati esclusivamente per le finalità di cui al presente decreto; 

b. siano trattati solamente i dati personali necessari per il perseguimento delle predette finalità; 

c. i dati siano conservati per un arco di tempo non superiore al conseguimento delle predette finalità; 

d. sia assicurato un livello di sicurezza adeguato ai rischi; 

e. siano adottate misure appropriate e specifiche in caso di trattamento di categorie particolari di dati personali. 

6. I soggetti coinvolti nei trattamenti di dati personali effettuati ai sensi del presente decreto adottano le misure tecniche e organizzative volte ad assicurare gli obblighi di sicurezza di cui al regolamento (UE) 2016/679, incluse quelle di cui al comma 5.

[…] 8. I gestori dell'infrastruttura del sistema IT-Wallet implementano misure di sicurezza appropriate e specifiche per tutelare i diritti fondamentali e gli interessi delle persone fisiche. In particolare e fermo restando gli specifici compiti attribuiti a PagoPA e IPZS e compatibilmente con le esigenze di sicurezza del sistema IT-Wallet, il quadro tecnico dell'IT-Wallet: a. non consente ai fornitori di attestati elettronici di attributi o a qualsiasi altra parte, dopo il rilascio dell'attestato elettronico di attributi, di ottenere dati che consentano di tracciare, collegare o correlare le transazioni o il comportamento dell'utente o di venirne in altro modo a conoscenza, salvo esplicita autorizzazione dell'utente; b. rende possibili tecniche di tutela della vita privata che impediscono i collegamenti, laddove l'attestato elettronico di attributi non richieda l'identificazione dell'utente.

9. Il fornitore di soluzione IT-Wallet non raccoglie informazioni relative all'uso delle soluzioni IT-Wallet che non sono necessarie per la prestazione della soluzione IT-Wallet stessa, ne' combina i dati di identificazione personale o gli attributi conservati nella soluzione IT-Wallet o relativi al suo uso con i dati personali provenienti da altri servizi offerti da tale fornitore o da servizi di terzi che non sono necessari per la  prestazione della  soluzione IT-Wallet, a meno che l'utente non l'abbia richiesto espressamente. I dati personali relativi alla fornitura della soluzione IT-Wallet sono tenuti logicamente separati dagli altri dati detenuti dal fornitore della soluzione IT-Wallet. 

10. I fornitori di attestati elettronici di attributi non combinano i dati personali relativi alla prestazione di tali servizi con i dati personali provenienti da qualsiasi altro servizio prestato da loro o dai loro partner commerciali. Tali dati sono mantenuti logicamente separati dagli altri trattamenti effettuati dal medesimo fornitore, anche quando il fornitore di attestati elettronici di attributi svolga ulteriori servizi fiduciari”;

VISTO, inoltre, lo schema di regolamento, redatto dall’Agenzia per l’Italia digitale (di seguito, AgID), recante le modalità di registrazione al Sistema IT-Wallet e presentazione di progetti di sperimentazione, previsto dall’art. 6, comma 3, del d.P.C.M. 17 giugno 2026 (su cui il Garante ha espresso parere con provv. n. 580 del 6 agosto 2026);

VISTA la nota inviata il 25 agosto 2026 con cui il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri ha trasmesso all’Autorità, ai fini dell’acquisizione del relativo parere, lo schema di decreto del Capo del Dipartimento recante “Definizione delle misure tecniche e organizzative da adottarsi con riferimento ai trattamenti di dati personali effettuati nell’ambito del Sistema IT-Wallet, ai sensi dell’articolo 8, comma 5, del decreto del Presidente del Consiglio dei ministri adottato in attuazione dell’articolo 64-quater del decreto legislativo 7 marzo 2005, n. 82”, unitamente alle relazioni illustrativa e tecnica, alla valutazione d’impatto sulla protezione dei dati redatta ai sensi dell’art. 35, par. 10, del Regolamento e all’allegato Privacy Risk Assessment;

RILEVATO che tale schema di decreto, nel definire le misure tecniche e organizzative da adottarsi con riferimento ai trattamenti di dati personali effettuati nell’ambito del Sistema IT-Wallet, tenendo conto della menzionata valutazione d’impatto sulla protezione dei dati (art. 1), prevede, in particolare, che:

- i soggetti obbligati all’adozione delle misure tecniche e organizzative per i trattamenti di dati personali nell’ambito del Sistema IT-Wallet, e quindi al rispetto della disciplina in materia di protezione dei dati personali, siano, secondo i rispettivi ruoli e ambiti di competenza, i Fornitori di Soluzione IT-Wallet, il Fornitore di Attestati Elettronici di Dati di Identificazione Personale, i Fornitori di Attestati Elettronici di Attributi, i Titolari di Fonte Autentica, il Fornitore del Registro IT-Wallet, i Verificatori di Attestati Elettronici, i Soggetti Aggregatori, l'AgID e gli ulteriori Soggetti Pubblici o Soggetti Privati coinvolti nel Sistema IT-Wallet (art. 3);

- le misure tecniche e organizzative previste dalle Specifiche Tecniche adottate ai sensi dell’art. 6, comma 1, del d.P.C.M. 17 giugno 2026 siano obbligatorie, costituendo il presidio minimo obbligatorio per i trattamenti di dati personali effettuati nell’ambito del Sistema IT-Wallet, fermi restando, per i rispettivi soggetti obbligati, gli obblighi e le misure previsti dall’art. 8, commi 8-10, del d.P.C.M. 19 marzo 2026 (art. 4);

- la valutazione d’impatto sulla protezione dei dati redatta con l’ausilio di PagoPA S.p.A. e dell’Istituto Poligrafico e Zecca dello Stato S.p.A. ai sensi dell’art. 35, par. 10, del Regolamento, sia messa a disposizione dei soggetti coinvolti nel Sistema IT-Wallet e costituisca il riferimento per l’adozione delle misure tecniche e organizzative di rispettiva competenza, per i quali resta in ogni caso fermo l’obbligo di valutare, eventuali trattamenti ulteriori, specifici o locali, nonché eventuali modifiche dei trattamenti di propria competenza suscettibili di presentare un rischio elevato per i diritti e le libertà degli interessati (art. 7 dello schema);

- qualora, nell’ambito del Sistema IT-Wallet, siano trattate categorie particolari di dati di cui all’art. 9 del Regolamento, i soggetti competenti adottino misure tecniche e organizzative rafforzate e specifiche, proporzionate alla natura dei dati, alle finalità del trattamento e ai rischi per i diritti e le libertà degli interessati, nel rispetto dell’art. 2-sexies del Codice (art. 6): in particolare, occorre assicurare che gli Attributi e i Dati di Identificazione Personale richiesti o resi disponibili siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite, nonché la separazione logica dei dati, la limitazione della conservazione secondo quanto previsto dalle Specifiche Tecniche, l’accesso selettivo e tracciato e l’adozione di misure idonee a prevenire correlazioni, profilazioni o trattamenti ulteriori non autorizzati; inoltre, i Verificatori di Attestati Elettronici documentano, per ciascun servizio, la necessità e la proporzionalità degli Attributi e, ove richiesti, dei Dati di Identificazione Personale, con particolare riguardo a quelli idonei a rivelare categorie particolari di dati personali;

- le richieste degli Utenti di esercizio dei diritti in materia di protezione dei dati personali o di assistenza connesse al trattamento dei dati personali siano gestite in modo tempestivo, corretto e coerente con le rispettive competenze, grazie a misure organizzative idonee a individuare, anche avvalendosi del Registro del Sistema IT-Wallet (gestito dall’AgID), il soggetto potenzialmente competente e a fornire all’Utente le indicazioni necessarie per contattarlo tramite i relativi canali di contatto (art. 5);

- i soggetti coinvolti nei trattamenti effettuati nell’ambito del Sistema IT-Wallet rispettino una serie di obblighi (documentazione delle misure applicabili, evidenzia di valutazioni svolte e decisioni assunte, verifica periodica dell’efficacia delle misure, formazione e autorizzazione del personale coinvolto, gestione tempestiva degli incidenti di sicurezza e delle violazioni dei dati personali, cooperazione con le autorità competenti, aggiornamento delle informazioni) e, in particolare, i Verificatori di Attestati Elettronici documentino, prima dell’erogazione dei servizi tramite il Sistema IT-Wallet, gli Attributi richiesti per ciascun servizio, la relativa necessità e proporzionalità, le basi giuridiche applicabili, i tempi di conservazione e le misure adottate per evitare richieste eccedenti o trattamenti ulteriori non compatibili (art. 8);

RILEVATO, inoltre, quanto documentato all’interno della valutazione d’impatto sulla protezione dei dati di cui all’art. 35, par. 10, del Regolamento in relazione all’individuazione dei rischi presentati dai trattamenti effettuati nell’ambito del Sistema IT-Wallet, da parte di tutti i soggetti coinvolti, e alle conseguenti misure adottate per mitigarle, volte, in particolare, a evitare la raccolta o la messa a disposizione di Attributi o Dati di Identificazione Personale eccedenti rispetto allo specifico servizio o alla specifica operazione richiesta, nel rispetto dei principi di limitazione della finalità, di minimizzazione dei dati e di privacy by design e privacy by default (art. 5, par. 1, lett. b) e c), e art. 25 del Regolamento);

RILEVATO, a questo riguardo, che tali misure sono necessarie al fine di limitare le informazioni trattate dai Fornitori di Soluzione IT-Wallet, dai Fornitori di Attestati Elettronici di Attributi e dai Verificatori di Attestati Elettronici a quanto strettamente necessario per l’esecuzione delle rispettive funzioni (affinché un singolo soggetto non possa ricostruire, direttamente o indirettamente, l’intero percorso di emissione, conservazione, presentazione e verifica degli Attestati riferibili a un Utente) e di prevenire commistioni di dati, accessi trasversali non necessari, correlazioni indebite e utilizzi ulteriori – anche nei casi in cui uno stesso soggetto possa operare, anche potenzialmente, in più ruoli all’interno del Sistema IT-Wallet – incompatibili con le finalità assegnate a ciascun ruolo;

CONSIDERATO che lo schema di decreto in esame e la relativa valutazione d’impatto sulla protezione dei dati di cui all’art. 35, par. 10, del Regolamento tengono conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intercorse, al fine di rendere conformi alla normativa in materia di protezione dei dati personali, i trattamenti ivi disciplinati, che hanno riguardato, in particolare:

- la definizione dei ruoli dei vari soggetti coinvolti nei trattamenti di dati personali effettuati nell’ambito del Sistema IT-Wallet, compresi quelli relativi alla gestione delle richieste di assistenza e di esercizio dei diritti da parte degli Utenti, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), e art. 6, parr. 1, lett. c) ed e), e 3, del Regolamento, nonché art. 2-ter del Codice);

- le misure appropriate e specifiche che i soggetti coinvolti nel Sistema IT-Wallet devono adottare qualora trattino categorie particolari di dati, nel rispetto dell’art. 9 del Regolamento e dell’art. 2-sexies del Codice;

- gli obblighi, in capo ai soggetti coinvolti nel Sistema IT-Wallet, affinché garantiscano e siano in grado di dimostrare la conformità dei trattamenti alla disciplina in materia di protezione dei dati personali, nel rispetto del principio di accountability (artt. 5, par. 2, e 24 del Regolamento), anche con riferimento all’analisi dei rischi e all’individuazione delle misure volte a mitigarli con riferimento ai trattamenti di cui ciascuno di essi è specificamente titolare (art. 35 del Regolamento);

- la gestione delle richieste di cancellazione di dati personali da parte degli Utenti, nel rispetto dei presupposti e dei limiti di cui all’art. 17 del Regolamento;

RITENUTO, pertanto, che non vi siano rilievi da formulare sullo schema di decreto del Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri, sottoposto all’esame dell’Autorità, anche tenuto conto della relativa valutazione d’impatto sulla protezione dei dati di cui all’art. 35, par. 10, del Regolamento;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri recante “Definizione delle misure tecniche e organizzative da adottarsi con riferimento ai trattamenti di dati personali effettuati nell’ambito del Sistema IT-Wallet, ai sensi dell’articolo 8, comma 5, del decreto del Presidente del Consiglio dei ministri adottato in attuazione dell’articolo 64-quater del decreto legislativo 7 marzo 2005, n. 82”, previsto dall’art. 8, comma 5, del decreto del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all'innovazione tecnologica, di concerto con il Ministro dell’economia e delle finanze e il Ministro per la pubblica amministrazione, 19 marzo 2026.

Roma, 23 settembre 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori