[doc. web n. 10286784]

Parere sullo schema di Disciplinare riguardante l'individuazione delle tipologie di dati soggetti a trattamento e delle operazioni eseguibili necessarie al funzionamento della Carta Europea della disabilità - 6 agosto 2026

Registro dei provvedimenti
n. 581 del 6 agosto 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, Vice Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO l’art. 1, comma 563, della l. 30 dicembre 2018, n. 145 e ss.mm., ai sensi del quale, “Al fine di agevolare l'accesso a benefici, supporti ed opportunità utili alla promozione dei diritti delle persone con disabilità, con decreto del Ministro per la famiglia e le disabilità, di concerto con i Ministri del lavoro e delle politiche sociali, delle infrastrutture e dei trasporti e per i beni e le attività culturali, entro novanta giorni dalla data di entrata in vigore della presente legge, sono definiti i criteri per il rilascio della Carta europea della disabilità in Italia e sono determinate le modalità per l'individuazione degli aventi diritto e per la realizzazione e la distribuzione della stessa a cura dell'INPS. Esclusivamente per le medesime finalità, l'INPS consente ai soggetti pubblici e privati e alle associazioni di tutela delle persone con disabilità maggiormente rappresentative e capillarmente diffuse a livello territoriale, che erogano beni o servizi in favore delle persone con disabilità, l'accesso, temporaneo e limitato al solo disbrigo delle pratiche connesse all'erogazione di detti beni o servizi, su richiesta dell'interessato, alle informazioni strettamente necessarie contenute nei verbali di accertamento dello stato di invalidità o disabilità in tutti i casi stabiliti dalla legge, attraverso l'utilizzo anche in via telematica dello strumento della Carta. L'INPS, sentito il Garante per la protezione dei dati personali, individua la tipologia di dati soggetti al trattamento e le operazioni eseguibili necessarie al funzionamento della Carta e all'accesso alle predette informazioni nonché le misure necessarie alla tutela dei diritti fondamentali dell'interessato […]”;

VISTO il d.P.C.M. 6 novembre 2020, recante “Definizione dei criteri per il rilascio della Carta europea della disabilità in Italia”, adottato ai sensi del menzionato art. 1, comma 563, primo periodo, della l. 145/2018, che, in particolare, disciplina i criteri per il rilascio della Carta europea della disabilità (di seguito, Carta), nonché le modalità per la realizzazione, la distribuzione e lo sviluppo della medesima;

VISTO il disciplinare dell’INPS recante “Individuazione delle tipologie di dati soggetti a trattamento delle operazioni eseguibili necessarie al funzionamento della Carte della disabilità e all’accesso alle predette informazioni, e delle misure necessarie alla tutela dei diritti fondamentali dell’interessato” (cfr. il messaggio dell’INPS n. 853 del 22 febbraio 2022), adottato ai sensi del menzionato art. 1, comma 563, terzo periodo, della l. 145/2018, su cui il Garante ha reso parere con provv. n. 368 del 14 ottobre 2021 (disponibile su www.gpdp.it, doc. web n. 9716806);

VISTO il d.lgs. 7 marzo 2005, n. 82 e ss.mm. (di seguito, CAD) e, in particolare:

- l’art. 64-bis, ai sensi del quale i soggetti di cui all'art. 2, comma 2, del CAD medesimo (pubbliche amministrazioni, gestori di servizi pubblici e società a controllo pubblico) rendono fruibili i propri servizi in rete tramite il PAT (commi 1 e 1-ter), in conformità alle “Linee guida sul punto di accesso telematico ai servizi della Pubblica Amministrazione” adottate dall’Agenzia per l’Italia digitale con determinazione n. 598 dell'8 novembre 2021 (su cui il Garante ha espresso il parere con provv. n. 394 del 1° novembre 2021, doc. web n. 9714315);

- l’art. 64-quater, comma 7, ai sensi del quale, nelle more della piena funzionalità del Sistema IT-Wallet di cui ai commi precedenti, sono rese disponibili, a richiesta, attraverso il PAT, le versioni digitali di taluni documenti, tra cui la predetta Carta;

VISTO l’art. 8, commi 2 e 3, del d.l. 14 dicembre 2018, n. 135, convertito con modificazioni dalla l. 11 febbraio 2019, n. 12, ai sensi del quale la Presidenza del Consiglio dei Ministri si avvale di PagoPA S.p.A. (di seguito, PagoPA), tra le altre cose, per la progettazione, lo sviluppo, la gestione e l'implementazione del PAT;

VISTA la nota del 2 aprile 2026 con la quale l’INPS ha rappresentato che, “Di concerto con il Dipartimento per le politiche in favore delle persone con disabilità, […] intende dare corso alla digitalizzazione della procedura di richiesta della Carta europea della disabilità (CED) tramite il Punto di Accesso Telematico (App IO)”, e che “la Carta venga resa disponibile anche in versione digitale ai sensi dell’art. 64-quater, comma 7, del d. lgs. n. 82/2005, attraverso il punto di accesso telematico di cui all'articolo 64-bis del medesimo decreto (IT Wallet)”, e, pertanto, “per la consultazione preventiva ai sensi dell’art. 36 del citato Regolamento”, ha sottoposto al Garante uno schema di “Disciplinare riguardante l'individuazione delle tipologie di dati soggetti a trattamento e delle operazioni eseguibili necessarie al funzionamento della Carta Europea della disabilità ai sensi dell'art. 1, comma 563, della legge 30 dicembre 2018, n. 145, come modificato dall'art. 66, comma 2, del decreto-legge 31 maggio 2021, n. 77, convertito, con modificazioni, dalla legge 29 luglio 2021, n. 108”, recante le necessarie modifiche alla versione vagliata nel 2021, unitamente all’allegato tecnico e alla valutazione d’impatto sulla protezione dei dati;

RILEVATO che, a questo riguardo, rispetto a quella sottoposta al Garante nel 2021, il nuovo disciplinare trasmesso introduce, in particolare, le seguenti novità:

- la possibilità per l’interessato di presentare la domanda per il rilascio della Carta, oltre che tramite l’applicazione web presente sul portale dell'INPS, anche per il tramite del PAT;

- la disciplina del processo di presentazione della domanda per il tramite del PAT, analogamente a quanto già stabilito in caso di domanda effettuata sul portale dell’INPS, realizzato, tecnicamente, con la messa a disposizione, in favore di PagoPA, di alcune interfacce di programmazione applicativa (API) utili alla presentazione della domanda in più passaggi (inserimento della domanda in bozza, con l’acquisizione, da parte del richiedente, dei suoi dati anagrafici e dell’indirizzo di recapito della Carta; allegazione della foto conforme alle specifiche richieste; conferma di acquisizione della domanda ed eventuale allegazione di documentazione aggiuntiva utile alle verifiche svolte dalla sede territoriale INPS di riferimento); anche il processo di lavorazione della domanda, ai fini dell’accertamento dei requisiti, è analogo a quello già stabilito in caso di domanda effettuata sul portale dell’INPS;

- la possibilità per l’interessato di verificare, nell’ambito del PAT, lo stato di lavorazione di una domanda di rilascio della Carta effettuata tramite il PAT medesimo;

- la designazione di PagoPA S.p.A., da parte dell’INPS, quale responsabile del trattamento, ai sensi dell'art. 28 del Regolamento, in relazione alla presentazione della richiesta della Carta (in versione fisica e/o digitale) tramite il PAT;

- infine, la circostanza che la Carta sia resa disponibile in versione digitale – anch’essa realizzata dall’Istituto Poligrafico e Zecca dello Stato S.p.A., al pari della relativa versione fisica – su richiesta dell’interessato, all'interno della soluzione “Portafoglio di IO” (gestita sempre da PagoPA), ai sensi dell’art. 64-quater, comma 7, del CAD; ciò, a prescindere dall’esito della consegna materiale della versione fisica al medesimo interessato;

VISTE le note del 22 giugno e del 10 luglio 2026, con le quali l’INPS ha fornito il “documento di analisi di conformità relativa alla protezione dei dati personali per il flusso di richiesta della Carta Europea della Disabilità (CED) tramite l'applicazione IO, predisposto da PagoPA”, nonché talune precisazioni, che hanno riguardato, in particolare, i casi in cui l’utente, all’atto della domanda, debba procedere con l’allegazione dei verbali sanitari attestanti la propria condizione di disabilità, nonché le modalità con le quali si intende dare conoscenza delle nuove modalità di richiesta della Carta;

CONSIDERATO, in primo luogo, che il provvedimento dell’INPS rappresenta l’atto previsto dall’art. 1, comma 563, della l. 145/2018 con il quale disciplinare le operazioni eseguibili necessarie al funzionamento della Carta e le misure necessarie alla tutela dei diritti fondamentali dell’interessato, tra cui rientrano anche quelle concernenti le nuove procedure per la richiesta della Carta medesima tramite il PAT, oggetto dello schema di disciplinare oggetto di esame, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), art. 6, parr. 1, lett. e), e 3), e art. 9, par. 2, lett. g), del Regolamento, nonché artt. 2-ter e 2-sexies del Codice); ciò, anche tenuto conto delle discipline di settore concernenti il medesimo PAT e il Sistema IT-Wallet (rispettivamente, artt. 64-bis e 64-quater, comma 7, del CAD);

CONSIDERATO, in secondo luogo, quanto precisato dall’INPS in ordine alla necessità di assicurare il rispetto dei principi di minimizzazione dei dati e di privacy by design e by default (art. 5, par. 1, lett. c), e art. 25 del Regolamento) – anche tenuto conto del fatto che oggetto di trattamento sono dati relativi alla salute di cui agli artt. 4, n. 15), e 9 del Regolamento – con particolare riferimento a:

- l’avvio di iniziative volte consentire l’instaurazione di flussi che consentano all’Istituto di acquisire direttamente dalla Regione Valle D’Aosta o dalle Province autonome di Trento e Bolzano i relativi verbali sanitari attestanti la condizione di disabilità, al fine di evitare, nel caso di specie, che spetti al cittadino produrre tale documentazione in sede di richiesta di rilascio della Carta, anche per il tramite del PAT;

- la valutazione circa l’opportunità di procedere, da parte dell’Istituto medesimo, all’inoltro di una comunicazione, rivolta esclusivamente agli interessati che, in modo libero e consapevole, abbiano scelto di aderire ai cc.dd. “servizi proattivi” dell’INPS, al fine di renderli edotti circa la possibilità di presentare la domanda per ottenere la Carta, indicandone altresì i diversi canali disponibili, tra cui rientra anche il PAT; 

CONSIDERATO, infine, che resta fermo l’obbligo di applicare misure appropriate e specifiche per il trattamento delle categorie particolari di dati che viene effettuato, nell’ambito del PAT, ai fini della gestione delle domande di rilascio della Carta, nel rispetto dell’art. 9, par. 2, lett. g), del Regolamento e dell’art. 2-sexies del Codice, anche tenuto conto di quanto stabilito dal par. 7.3 delle menzionate “Linee guida sul punto di accesso telematico ai servizi della Pubblica Amministrazione”;

RITENUTO, pertanto, di esprimere parere favorevole sullo schema di “Disciplinare riguardante l'individuazione delle tipologie di dati soggetti a trattamento e delle operazioni eseguibili necessarie al funzionamento della Carta Europea della disabilità ai sensi dell'art. 1, comma 563, della legge 30 dicembre 2018, n. 145, come modificato dall'art. 66, comma 2, del decreto-legge 31 maggio 2021, n. 77, convertito, con modificazioni, dalla legge 29 luglio 2021, n. 108” dell’INPS, anche alla luce dei chiarimenti forniti nel corso dell’istruttoria;

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, e par. 3, lett. b), del Regolamento, nonché dell’art. 1, comma 563, della l. 30 dicembre 2018, n. 145, esprime parere favorevole sullo schema di “Disciplinare riguardante l'individuazione delle tipologie di dati soggetti a trattamento e delle operazioni eseguibili necessarie al funzionamento della Carta Europea della disabilità ai sensi dell'art. 1, comma 563, della legge 30 dicembre 2018, n. 145, come modificato dall'art. 66, comma 2, del decreto-legge 31 maggio 2021, n. 77, convertito, con modificazioni, dalla legge 29 luglio 2021, n. 108” dell’INPS.

Roma, 6 agosto 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi