IT-Wallet, parere favorevole del Garante sulla privacy

Il Garante per la protezione dei dati personali ha espresso parere favorevole sullo schema di decreto che disciplina la privacy di IT-Wallet. Il provvedimento riguarda tutti gli operatori coinvolti nella gestione, nel rilascio e nel controllo dei documenti digitali.

Accesso limitato alle informazioni

Chi verifica un documento attraverso il portafoglio digitale non potrà consultare liberamente tutti i dati dell’utente. Dovrà dimostrare che le informazioni richieste sono indispensabili per il servizio offerto e non potrà raccogliere elementi ulteriori rispetto a quelli necessari.

La stessa regola si applicherà alla conservazione: i dati dovranno essere mantenuti soltanto per il periodo utile allo svolgimento dell’operazione. Sono previste inoltre restrizioni sulla condivisione e sull’archiviazione, per impedire che un unico soggetto possa ricostruire l’intera sequenza delle attività compiute da una persona, dal rilascio del documento al suo impiego.

Le informazioni raccolte tramite IT-Wallet non potranno essere collegate senza limiti ai dati ottenuti da altri servizi. Per le categorie particolari previste dal GDPR saranno richieste tutele aggiuntive, tra cui accessi regolati, separazione degli archivi e tempi ridotti di conservazione.

Chi risponde dei dati

Il decreto stabilisce anche come gestire le richieste di assistenza e di cancellazione. Il gestore del portafoglio, infatti, potrebbe non coincidere con il soggetto che determina le finalità e i mezzi del trattamento delle informazioni contenute nell’applicazione.

Le procedure dovranno quindi permettere di individuare l’operatore competente e comunicare al cittadino a chi presentare la richiesta. Per questo potrà essere utilizzato anche il registro amministrato da AgID.

Il parere del Garante, contenuto nel provvedimento n. 631 del 23 settembre 2026, arriva dopo altri interventi sull’argomento. L’Autorità aveva già chiesto modifiche nell’agosto 2025 e il 6 agosto 2026, soffermandosi in particolare sull’attribuzione delle responsabilità, sulle misure per proteggere i dati più delicati e sulle modalità per esercitare i diritti previsti dal GDPR.

Controlli e sicurezza degli operatori

Durante l’analisi è stata esaminata anche la valutazione d’impatto sulla protezione dei dati, elaborata con il contributo di PagoPA e dell’Istituto Poligrafico e Zecca dello Stato. Il documento censisce i rischi legati ai trattamenti effettuati tramite IT-Wallet e indica le misure pensate per contenerli.

La valutazione costituirà una base comune per gli operatori, ma ciascun soggetto continuerà a essere responsabile delle attività svolte direttamente. Se verranno introdotti nuovi trattamenti o modificati quelli esistenti, l’operatore interessato dovrà verificare l’eventuale comparsa di ulteriori rischi e adottare le protezioni necessarie.

Gli operatori dovranno conservare la documentazione delle verifiche, controllare periodicamente l’efficacia delle misure adottate e formare il personale autorizzato ad accedere alle informazioni. Il decreto prevede inoltre procedure per affrontare rapidamente gli incidenti informatici e le violazioni dei dati personali.

Il Garante ha chiuso l’esame senza presentare ulteriori osservazioni. Il parere favorevole completa un altro passaggio regolatorio per IT-Wallet, senza introdurre nell’immediato nuovi documenti digitali o modifiche operative per i cittadini.