[doc. web n. 10286736]

Parere sullo schema di regolamento, redatto dall’Agenzia per l’Italia digitale, recante le modalità di registrazione al Sistema IT-Wallet e la presentazione di progetti di sperimentazione - 6 agosto 2026

Registro dei provvedimenti
n. 580 del 6 agosto 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il regolamento (UE) 910/2014 del Parlamento europeo e del Consiglio del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE (di seguito, regolamento eIDAS), come modificato dal regolamento (UE) 2024/1183 del Parlamento europeo e del Consiglio dell’11 aprile 2024, e, in particolare, le disposizioni concernenti il portafoglio europeo di identità digitale (cfr. spec.: capo II, sezione 1; capo III, sezione 9; art. 46-bis);

VISTO il d.lgs. 7 marzo 2005, n. 82 (di seguito, CAD), che, all’art. 64-quater, recante “Sistema di portafoglio digitale italiano - Sistema IT-Wallet”, stabilisce, in particolare, che:

“1. Al fine di valorizzare e rafforzare l'interoperabilità tra le banche dati pubbliche attraverso la Piattaforma Digitale Nazionale Dati (PDND) di cui all'articolo 50-ter, nonché di favorire la diffusione e l'utilizzo di servizi in rete erogati da soggetti pubblici e privati, è istituito il Sistema di portafoglio digitale italiano (Sistema IT-Wallet).

2. Il Sistema IT-Wallet è costituito da una soluzione di portafoglio digitale pubblico (IT-Wallet pubblico), resa disponibile mediante il punto di accesso telematico di cui all'articolo 64-bis, nonché da soluzioni di portafoglio digitale private (IT-Wallet privato), rese disponibili dai soggetti privati interessati, previo accreditamento da parte dell'AgID, secondo le modalità di cui al comma 3.

3. Al fine di garantire la necessaria celere evoluzione del Sistema IT-Wallet, con decreto del Presidente del Consiglio dei ministri ovvero dell'Autorità politica delegata in materia di innovazione tecnologica, ove nominata, adottato su proposta dell'AgID e di concerto con il Ministro dell'economia e delle finanze e con il Ministro per la pubblica amministrazione, sentite l'Agenzia per la cybersicurezza nazionale, per i profili di competenza, e la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, sono approvate apposite linee guida. Le linee guida di cui al primo periodo, adottate entro sessanta giorni dalla data di entrata in vigore della presente disposizione e periodicamente aggiornate, definiscono:

a) le caratteristiche tecniche e le modalità di adozione dell'IT-Wallet pubblico e delle soluzioni di IT-Wallet privato da parte di cittadini e imprese, nonché la tipologia di servizi resi disponibili dalle soluzioni IT-Wallet;

b) le modalità di accreditamento presso l'AgID dei soggetti privati fornitori delle soluzioni IT- Wallet privato;

c) i servizi resi disponibili alle pubbliche amministrazioni e ai soggetti privati accreditati, sia in qualità di erogatori di servizi, sia in qualità di erogatori di attestazioni elettroniche relative a prerogative, deleghe, caratteristiche, licenze o qualità di persone fisiche e giuridiche, per il tramite della piattaforma di cui all'articolo-50-ter;

d) gli standard tecnici adottati per garantire l'interoperabilità del Sistema IT-Wallet con le banche dati e i sistemi informativi della pubblica amministrazione e dei soggetti privati accreditati, inclusa la piattaforma di cui all'articolo 50-ter, anche al fine di garantire la compatibilità dell'IT-Wallet pubblico e delle soluzioni di IT-Wallet privato con precedenti sistemi di identità digitale e con i relativi sistemi di autenticazione per l'accesso in rete già predisposti;

e) le misure da adottare sul piano tecnico e organizzativo per assicurare livelli di affidabilità, disponibilità e sicurezza adeguati al Sistema IT-Wallet;

f) le modalità per la messa a disposizione del codice sorgente di tutte le componenti dell'IT- Wallet pubblico e delle soluzioni di IT-Wallet privato, ai sensi dell'articolo 69.

4. La società di cui all'articolo 8, comma 2, del decreto-legge 14 dicembre 2018, n. 135, convertito, con modificazioni, dalla legge 11 febbraio 2019, n. 12, e la società di cui all'articolo 1 del decreto legislativo 21 aprile 1999, n. 116 provvedono, nel rispetto delle linee guida di cui al comma 3 del presente articolo, alla realizzazione e gestione della infrastruttura organizzativa e tecnologica necessaria per l'attuazione del Sistema IT-Wallet, assicurando, in particolare, la disponibilità dell'IT-Wallet pubblico e dei servizi necessari ai soggetti privati interessati a rendere disponibili soluzioni di IT-Wallet privato. Alla società di cui all'articolo 1 del decreto legislativo 21 aprile 1999, n. 116, sono affidate la progettazione, la realizzazione, l'implementazione e la gestione dell'infrastruttura tecnologica dei sistemi di rilascio nonché la certificazione e la verifica delle attestazioni elettroniche di identità digitale, di quelle relative a prerogative, deleghe, caratteristiche, licenze o qualità presenti nelle banche dati della pubblica amministrazione e dei registri fiduciari per l'accreditamento dei soggetti coinvolti nei processi di rilascio, certificazione e verifica nonché per la verifica della validità e la gestione del ciclo di vita delle attestazioni elettroniche. Agli oneri occorrenti per rendere disponibili da parte degli Identity provider pubblici i servizi di verifica di cui al secondo periodo del presente comma si provvede a valere sulle risorse disponibili a legislazione vigente.

5. Con decreto del Presidente del Consiglio dei ministri ovvero dell'Autorità politica delegata in materia di innovazione tecnologica, ove nominata, adottato di concerto con il Ministro dell'economia e delle finanze e con il Ministro per la pubblica amministrazione, sentito il Garante per la protezione dei dati personali per gli aspetti di competenza, sono definiti:

a) i compiti e le funzioni attribuiti a ciascuna delle società di cui al comma 4;

b) la data a decorrere dalla quale l'IT-Wallet pubblico è reso disponibile, nonché il termine entro il quale i soggetti di cui all'articolo 2, comma 2, sono tenuti a rendere disponibili i dati e i documenti relativi a prerogative, deleghe, caratteristiche, licenze o qualità di persone fisiche e giuridiche sotto forma di attestazioni elettroniche ovvero a rendere disponibili i dati e i documenti per la generazione di attestazioni elettroniche, nonché ad avvalersi delle attestazioni elettroniche presenti nelle istanze e nelle dichiarazioni formulate nei loro confronti con esenzione dei controlli di cui al capo V del testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa, di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445;

c) la data a decorrere dalla quale i soggetti privati accreditati possono rendere disponibili soluzioni di IT-Wallet privato;

d) al fine di concorrere alla sostenibilità economica del Sistema IT-Wallet a regime e ferma restando la gratuità dell'emissione dell'IT-Wallet pubblico per cittadini e imprese, la tipologia di servizi che possono essere oggetto di remunerazione da parte del titolare del Wallet e dei soggetti privati accreditati in qualità di erogatori di servizi, incluse le relative indicazioni di costo […]”;

VISTO il decreto del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all'innovazione tecnologica, di concerto con il Ministro dell’economia e delle finanze e il Ministro per la pubblica amministrazione, 17 giugno 2026, recante “Approvazione delle Linee guida del Sistema IT-Wallet e regole per la sperimentazione”, di cui all’art. 64-quater, comma 3, del CAD (su cui il Garante ha espresso parere con provv. n. 469 del 4 agosto 2025 – disponibile su www.gpdp.it, doc. web n. 10162651), che adotta, in sede di prima applicazione, le linee guida del Sistema IT-Wallet, definisce le modalità di sperimentazione, adozione e aggiornamento delle specifiche tecniche e le modalità di registrazione al Sistema IT-Wallet per assicurarne adeguati livelli di affidabilità, disponibilità e sicurezza nel rispetto del regolamento eIDAS;

VISTO, in particolare, l’art. 6, comma 3, del menzionato d.P.C.M. 17 giugno 2026, ai sensi del quale “Entro trenta giorni dall’adozione delle Specifiche Tecniche di cui al comma 1, AgID definisce, in sede di prima applicazione, con proprio regolamento sentita la Presidenza del Consiglio dei ministri – Dipartimento per la trasformazione digitale e l’ACN, le procedure amministrative necessarie alla registrazione al Sistema IT-Wallet, comprensive dei contenuti della relazione tecnica che i soggetti che domandano la registrazione al Sistema IT-Wallet sono tenuti ad allegare al fine di dimostrare la sicurezza delle proprie Soluzioni Tecniche coerentemente con quanto previsto dalle Specifiche Tecniche, nonché i requisiti di onorabilità, affidabilità, tecnologici e organizzativi compatibili con la disciplina europea dei Soggetti Privati e le garanzie assicurative adeguate rispetto all'attività svolta. Il Regolamento IT-Wallet è progressivamente adeguato in coerenza con gli aggiornamenti di cui al comma 2”;

CONSIDERATO, al riguardo, che, nel menzionato parere, il Garante ha ritenuto che il regolamento dell’Agenzia per l’Italia digitale (di seguito, AgID) previsto dal menzionato art. 6, comma 3, del d.P.C.M. 17 giugno 2026, dovesse essere previamente sottoposto alla consultazione del Garante, stante, in particolare, la circostanza che esso è chiamato a disciplinare anche i requisiti di onorabilità delle persone fisiche di riferimento dei soggetti che intendono aderire al Sistema IT-Wallet;

VISTE le note inviate, da ultimo, il 24 luglio 2026, con cui l’AgID ha trasmesso all’Autorità, ai fini dell’acquisizione del relativo parere, lo schema di regolamento recante le modalità di registrazione al Sistema IT-Wallet e la presentazione di progetti di sperimentazione, previsto dall’art. 6, comma 3, del d.P.C.M. 17 giugno 2026, redatto previo coinvolgimento del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri;

RILEVATO, preliminarmente, che lo schema di regolamento in questione:

- definisce, in sede di prima applicazione per il periodo di sperimentazione, le procedure amministrative necessarie alla registrazione al Sistema IT-Wallet, comprensive dei contenuti della relazione tecnica che i soggetti richiedenti la registrazione al Sistema IT-Wallet sono tenuti ad allegare al fine di dimostrare la sicurezza delle proprie soluzioni tecniche coerentemente con quanto previsto dalle specifiche tecniche, nonché i requisiti di onorabilità, affidabilità, tecnologici e organizzativi compatibili con la disciplina europea e le garanzie assicurative adeguate rispetto all’attività svolta (art. 2);

- istituisce altresì il c.d. Spazio di sperimentazione IT-Wallet, cui i soggetti pubblici e i soggetti privati possono partecipare su base volontaria previa registrazione al Sistema IT-Wallet, volto alla presentazione di un progetto di sperimentazione concernente soluzioni tecniche, funzionalità, servizi, casi d’uso o modalità operative non ancora contemplati dal quadro normativo applicabile nell’ambito del Sistema IT-Wallet (art. 2);

- individua i soggetti registrati di diritto nel Sistema IT-Wallet (Istituto Poligrafico e Zecca dello Stato S.p.A. in qualità di unico fornitore del Registro IT-Wallet, di unico fornitore di attestati elettronici di dati di identificazione personale e di unico fornitore di attestati elettronici di interesse pubblico; PagoPA S.p.A. in qualità di unico fornitore di soluzione IT-Wallet pubblica) e le categorie di soggetti pubblici e privati interessati a partecipare alla sperimentazione (fornitori di soluzioni di IT-Wallet, fornitori di attestati elettronici di attributi, verificatori di attestati elettronici, soggetti aggregatori, titolari di fonti autentiche) (artt. 3-6);

RILEVATO che, con particolare riferimento ai profili di competenza in materia di protezione dei dati personali, tale schema di regolamento prevede che:

- con riferimento ai requisiti di onorabilità, i soggetti privati alleghino alla domanda di registrazione, tra le altre cose, una dichiarazione sostitutiva di certificazione ove il legale rappresentante è tenuto a dichiarare, ai sensi degli artt. 46, 75 e 76 del d.P.R. 28 dicembre 2000, n. 445, di non aver riportato condanne con sentenza definitiva o decreto penale di condanna divenuto irrevocabile, di non essere destinatario di provvedimenti che riguardano l’applicazione di misure di sicurezza e di misure di prevenzione, di decisioni civili e di provvedimenti amministrativi iscritti nel casellario giudiziale e di non essere a conoscenza di essere sottoposto a procedimenti penali per una serie specifica di reati (tutti espressamente richiamati), nonché di non essere destinatario di provvedimenti giudiziari in cui sono applicate le sanzioni amministrative di cui al d.lgs. 8 giugno 2001, n. 231 in relazione ai reati di cui all’art. 24-bis del medesimo d.lgs. 231/2001, comprese le misure cautelari di cui alla sezione IV. La veridicità di tali dichiarazioni concernenti i requisiti di onorabilità è verificata mediante controlli sul certificato dei carichi pendenti e sul certificato selettivo del casellario giudiziale. Le dichiarazioni sostitutive di certificazione e la documentazione inerente al controllo sulla veridicità di quanto ivi dichiarato sono conservati per il tempo necessario alla gestione del procedimento di verifica, salvo i casi di contenzioso, nel rispetto del principio di limitazione della conservazione (art. 3 e all. 3);

- gli obblighi dei soggetti registrati, tra cui quelli concernenti la valutazione dei rischi associati alla soluzione da sperimentare e la conseguente adozione delle misure volte a mitigarli, la gestione delle violazioni dei dati personali, nonché la messa a disposizione di informazioni agli organismi che si occupano di monitoraggio e vigilanza nel Sistema IT-Wallet (art. 11 e all. 6);

CONSIDERATO che lo schema di regolamento in esame tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali, al fine di rendere conformi alla normativa in materia di protezione dei dati personali, in ossequio ai principi di privacy by design e privacy by default (art. 25 del Regolamento), i trattamenti ivi disciplinati, che hanno riguardato, in particolare:

- la raccolta, la conservazione e le modalità di verifica, da parte dell’AgID, della veridicità delle dichiarazioni sostitutive di certificazione concernenti il possesso dei requisiti di onorabilità dei legali rappresentanti dei soggetti privati che fanno domanda di registrazione al Sistema IT-Wallet, con particolare riferimento al ricorso al certificato selettivo di cui all’art. 28, comma 2, del d.P.R. 14 novembre 2002, n. 313, e ai tempi di conservazione dei dati attinenti a tali dichiarazioni, nel rispetto dei principi di liceità, correttezza e trasparenza, minimizzazione dei dati e limitazione della conservazione (art. 5, par. 1, lett. a), c) ed e), del Regolamento), nonché di quanto previsto dall’art. 10 del Regolamento e dall’art. 2-octies del Codice;

- l’individuazione dei soggetti istituzionali chiamati a compiti di monitoraggio e vigilanza sul Sistema IT-Wallet, ai fini della messa a disposizione di dati personali da parte dei soggetti registrati al medesimo Sistema IT-Wallet, in conformità al quadro normativo vigente in materia, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), e art. 6, parr. 1, lett. c), e 3, del Regolamento, nonché art. 2-ter del Codice);

- la valutazione dei rischi relativi ai trattamenti di dati personali connessi ai progetti di sperimentazione proposti, con la redazione della valutazione d’impatto sulla protezione dei dati laddove ricorrano i presupposti di cui all’art. 35 del Regolamento;

RITENUTO, pertanto, che sullo schema di regolamento in esame non vi siano rilievi da formulare;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di regolamento, redatto dall’Agenzia per l’Italia digitale, recante le modalità di registrazione al Sistema IT-Wallet e la presentazione di progetti di sperimentazione, previsto dall’art. 6, comma 3, del decreto del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all'innovazione tecnologica, di concerto con il Ministro dell’economia e delle finanze e il Ministro per la pubblica amministrazione, 17 giugno 2026.

Roma, 6 agosto 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi