VEDI ANCHE Newsletter del 12 novembre 2026

[doc. web n.  10315189]

Parere sullo schema di decreto del Capo del Dipartimento per la transizione digitale della Presidenza del Consiglio dei Ministri, volto all’aggiornamento degli allegati 1, 3, 4 e 5 al menzionato decreto 23 febbraio 2026 - 20 ottobre 2026

Registro dei provvedimenti
n. 799  del 20 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il d.lgs. 7 marzo 2005, n. 82 (di seguito, CAD), che, all’art. 64-ter, recante “Piattaforma di gestione deleghe”, stabilisce, in particolare, che:

“1. Il cittadino iscritto nell’ANPR può delegare l’accesso ai servizi in rete erogati dalle pubbliche amministrazioni che richiedono l’identificazione informatica a non più di due soggetti iscritti nell’ANPR, titolari dell’identità digitale di cui all’articolo 64, comma 2-quater, con livello di sicurezza almeno significativo.

2. Il cittadino presenta la delega di cui al comma 1 tramite la piattaforma di cui al comma 5,mediante una delle modalità previste dall’articolo 65, comma 1, o recandosi presso gli uffici del comune di residenza. La delega è revocabile in ogni momento. Il delegante viene puntualmente informato dalla piattaforma di cui al comma 5 dell’esercizio della delega da parte del delegato.

3. Per i soggetti sottoposti alle forme di tutela previste dal codice civile nei casi di incapacità totale o parziale a provvedere ai propri interessi, il Ministero della giustizia rende disponibile nella piattaforma di cui al comma 5, per il tramite della piattaforma di cui all’articolo 50-ter, le informazioni, ove disponibili in formato digitale idoneo, relative alla qualifica di tutore, di curatore o di amministratore di sostegno del soggetto che richiede l’accesso ai servizi in rete quale rappresentante del soggetto tutelato.

4. I gestori di identità digitale, tramite la piattaforma di cui al comma 5, verificano l’esistenza di eventuali deleghe conferite al cittadino che effettua l’accesso ai servizi in rete erogati dalle pubbliche amministrazioni.

5. Ai fini di cui al comma 1, l’Istituto Poligrafico e Zecca dello Stato S.p.A. realizza, gestisce e cura la manutenzione della piattaforma per la gestione delle deleghe. L’accesso ai dati attraverso la piattaforma non modifica la disciplina relativa alla titolarità del trattamento, ferme restando le specifiche responsabilità ai sensi dell’articolo 28 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, in capo all’Istituto Poligrafico e Zecca dello Stato S.p.A., nonché le responsabilità dei soggetti che trattano i dati in qualità di titolari autonomi del trattamento. La realizzazione della piattaforma di cui al primo periodo rientra nel programma «Servizi digitali e cittadinanza digitale» del PNC di cui all’articolo 1, comma 2, lettera a), numero 1), del decreto-legge 6 maggio 2021, n. 59, convertito, con modificazioni, dalla legge 1° luglio 2021, n. 101.

6. Con decreto del Presidente del Consiglio dei ministri ovvero dell’Autorità politica delegata in materia di innovazione tecnologica, ove nominata, adottato di concerto con il Ministro della giustizia, sentiti il Garante per la protezione dei dati personali e l’Agenzia per la cybersicurezza nazionale, sono definiti le caratteristiche tecniche, l’architettura generale, i requisiti di sicurezza, le modalità di funzionamento della piattaforma di cui al comma 5, nonché le tipologie di dati oggetto di trattamento e, in generale, le modalità e le procedure per assicurare il rispetto dell’articolo 5 del regolamento (UE) 2016/679 […]”;

VISTO il decreto del Ministro della salute e del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica, di concerto con il Ministro dell’economia e delle finanze, 7 settembre 2023, recante “Fascicolo sanitario elettronico 2.0” (su cui il Garante si è espresso con parere reso con provv. n. 256 dell'8 giugno 2023, disponibile su www.gpdp.it, doc. web n. 9900433), che, in particolare, all’art. 11, commi 8-12, stabilisce le regole per consentire l’accesso al Fascicolo sanitario elettronico (FSE) ai soggetti delegati volontariamente dall’assistito “Nelle more della realizzazione del Sistema gestione deleghe di cui all'art. 64-ter del CAD” (Sistema gestione deleghe divenuto, dopo novella legislativa, Piattaforma di gestione deleghe – PGD);

VISTO, in particolare, il comma 12 del menzionato art. 11 del decreto 7 settembre 2023, che stabilisce che “L'ambito di operatività della delega è ricompreso tra i seguenti: a) accesso completo in base al quale il delegato opera sul FSE dell'assistito delegante con i medesimi privilegi (consultazione dei dati e dei documenti relativi all'assistito, inserimento di dati e documenti nel taccuino personale dell'assistito, nonché accesso ai servizi, incluse le prestazioni dei consensi e le relative revoche, nonché oscuramenti e relative revoche); oppure, singolarmente o in combinazione tra loro: b) consultazione dei dati e dei documenti relativi all'assistito; c) accesso ai servizi, incluse le prestazioni dei consensi e le relative revoche, nonché oscuramenti e relative revoche; d) inserimento di dati e documenti nel taccuino personale dell'assistito”;

VISTO il decreto del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica, di concerto con il Ministro della giustizia, 23 febbraio 2026, recante “Disciplina delle modalità di funzionamento della Piattaforma di gestione deleghe” (su cui il Garante si è espresso con parere reso con provv. n. 66 del 12 febbraio 2026, doc. web n. 10226904), che dà attuazione all'art. 64-ter, comma 6, del CAD, disciplinando le modalità di funzionamento della PGD, definendone le caratteristiche tecniche, l'architettura generale, i requisiti di sicurezza, le tipologie di dati oggetto di trattamento, le categorie di interessati e, in generale, le modalità e le procedure per assicurare il rispetto dell'art. 5 del Regolamento;

VISTO, in particolare, l’art. 9 del decreto 23 febbraio 2026, e, nello specifico, i commi 5 e 6, che prevedono che:
“[…] 5. Ciascuna pubblica amministrazione classifica e mantiene aggiornato l'elenco dei propri servizi in rete ai fini dell'accesso mediante delega, valutati i presupposti normativi, il contesto, le finalità e le tipologie di dati trattati dai servizi, secondo almeno le seguenti categorie: servizi delegabili a tutti, mediante delega conferibile ai sensi del presente decreto; servizi delegabili nell'ambito delle deleghe di cui all'art. 3, comma 2, lettera c) (esercente la responsabilità genitoriale e tutore del minore); servizi delegabili nell'ambito delle deleghe di cui all'art. 3, comma 2, lettera d) (tutore dell'interdetto, curatore dell'inabilitato e amministratore di sostegno) ovvero al procuratore generale o speciale; servizi non delegabili tramite i servizi della piattaforma, in quanto soggetti a disciplina speciale ovvero a modalità di rappresentanza o di abilitazione diverse. Resta ferma la responsabilità delle pubbliche amministrazioni in ordine alla verifica di compatibilità dei servizi in rete con l'accesso in delega e alla determinazione delle conseguenti logiche di autorizzazione, inclusa l'eventuale limitazione delle funzionalità fruibili in delega, coerentemente con le informazioni messe a disposizione dai servizi della piattaforma previste nell'Allegato 5. In caso di servizi classificati quali delegabili a tutti, mediante delega conferibile ai sensi del presente decreto, che comportano il trattamento dei dati personali di cui agli articoli 9 e 10 del regolamento (UE) 2016/679, le pubbliche amministrazioni effettuano o aggiornano la valutazione d'impatto sulla protezione dei dati di cui all'art. 35 del medesimo regolamento (UE) 2016/679. 

6. Per i servizi in rete relativi al Fascicolo sanitario elettronico, all'Ecosistema dati sanitari e alla Piattaforma nazionale di telemedicina, l'integrazione con i servizi della piattaforma è realizzata, con riferimento alle fattispecie di cui all'art.  3, comma 2, lettere c) (esercente la responsabilità genitoriale e tutore del minore) e d) (tutore dell'interdetto, curatore dell'inabilitato e amministratore di sostegno), nonché per i soggetti muniti di procura generale o speciale, per i quali è consentito al delegato l'accesso completo ai predetti servizi e funzionalità. Con riferimento, inoltre, alle fattispecie di cui all'art. 3, comma 2, lettere a) e b), art. 4, comma 1 e art. 5, comma 1, primo periodo (relativi al delegato generico) l'ambito di operatività per l'accesso ai predetti servizi e funzionalità è limitato a quanto ricompreso dal delegante all'atto di conferimento della delega conformemente a quanto previsto nell'Allegato 5, fermo restando che in nessun caso il delegato accede ai dati soggetti a maggiore tutela, di cui all'art. 6 del decreto del  Ministero della salute del 7 settembre 2023. […]”;

VISTO, inoltre, l’allegato 5 al decreto 23 febbraio 2026, volto a definire il profilo implementativo dei protocolli di scambio tra Service provider (SP), Identity provider (IdP) e PGD per l'ottenimento, da parte di un SP, di una delega di un utente, che, con riferimento ai livelli di operatività in ambito Fascicolo sanitario elettronico (FSE), Ecosistema dati sanitari (EDS) e Piattaforma nazionale di telemedicina (PNT), prevede che:

“In conformità all'art. 11, comma 12 del "Decreto del Ministero della Salute del 7 settembre 2023" pubblicato in Gazzetta Ufficiale Serie Generale n. 249 del 24 ottobre 2023, per Fascicolo Sanitario Elettronico (FSE), Ecosistema Dati Sanitari (EDS), Piattaforma Nazionale di Telemedicina (PNT) è previsto un oggetto informativo separato, applicabile esclusivamente alle deleghe di tipo general_delegate. Il delegante, in fase di creazione della delega, PUÒ specificare uno dei seguenti livelli di delega per l’accesso ai servizi in ambito FSE/EDS/PNT:

- Delega di tipo “0” (non delegato): Il delegante decide esplicitamente di escludere FSE/EDS/PNT dall’operatività del delegato.

- Delega di tipo “A”: Accesso completo al FSE dell’assistito delegante con i massimi privilegi (consultazione, accesso completo ai servizi e inserimento dati)

- Delega di tipo “B”: Consultazione dei dati e dei documenti relativi all’assistito.

- Delega di tipo “C”: Accesso ai servizi, incluse le prestazioni dei consensi e le relative revoche, nonché oscuramenti e relative revoche.

- Delega di tipo “D”: Inserimento dei dati e documenti nel taccuino personale dell’assistito.

Le deleghe di tipo B, C e D possono essere selezionate singolarmente o in combinazione tra loro, in base alla volontà del delegante e in conformità con l'art. 11, comma 12, lettere b), c) e d) del DM Salute del 7 settembre 2023. Per le seguenti tipologie di delega, il livello di delega per l'ambito FSE/EDS/PNT è SEMPRE di tipo A (accesso completo):

- Esercente la responsabilità genitoriale (parental_authority_holder)

- Tutore del minore (minor_legal_guardian)

- Tutore dell'interdetto (incapacitated_person_guardian)

- Curatore (incapacitated_person_curator)

- Amministratore di sostegno (support_administrator)

- Procuratore generale (general_power_of_attorney_holder)

- Procuratore speciale (special_power_of_attorney_holder)

Durante la fase di onboarding il SP che fornisce servizi in ambito FSE/EDS/PNT DEVE aggiungere il seguente parametro nella richiesta di onboarding definita in sezione Endpoint di Onboarding:

- health_delegation_type_required: [OPZIONALE]. Booleano. Se true la PGD DEVE consentire all’utente di indicare il livello di delega desiderato per l’ambito FSE/EDS/PNT”;

VISTO, infine, l’art. 11, comma 3, del decreto 23 febbraio 2026, ai sensi del quale “Le specifiche tecniche di integrazione sono descritte nell'Allegato 5. Al fine di assicurare l'allineamento costante dell'Allegato 5 alle continue evoluzioni tecnologiche o alla normativa di settore, eventuali successivi aggiornamenti delle specifiche tecniche in esso contenute sono adottati con decreto del Capo del Dipartimento per la trasformazione digitale, sentita l'Autorità garante per la protezione dei dati personali, e sono pubblicati nell'apposita sezione dedicata del portale. Col medesimo decreto sono aggiornati gli allegati da 1 a 4, ove necessario in conseguenza delle modifiche all'Allegato 5”;

VISTA la nota del 1° ottobre 2026, con cui il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri (di seguito, DTD) ha trasmesso all’Autorità, ai fini dell’acquisizione del parere di competenza, lo schema di decreto del Capo del DTD di cui all’art. 11, comma 3, del decreto 23 febbraio 2026, comprensivo di 4 allegati, nonché della relazione illustrativa, della relazione tecnica e di una versione aggiornata della valutazione d’impatto sulla protezione dei dati relativa alla PGD;

RILEVATO che lo schema di decreto in esame adotta le modifiche all’allegato 5 del decreto 23febbraio 2026, nonché le modifiche conseguenti agli allegati 1, 3 e 4, con particolare riferimento all’introduzione di una maggiore granularità nella definizione delle deleghe in ambito FSE/EDS/PNT, prevedendo, a questo riguardo, che, in alternativa alla delega di tipo “0” volta a escludere esplicitamente FSE, EDS e PNT dall’operatività del delegato, per ciascuno di tali tre ambiti il delegante possa scegliere di diversificare il perimetro dell’ambito di operatività della delega conferita nelle seguenti modalità:

- per l’accesso ai servizi FSE, in alternativa all’accesso completo con i massimi dei privilegi, la possibilità di scegliere tra singole funzioni come: la sola consultazione di dati e documenti; la sola gestione di consensi e revoche, oscuramenti e revoche nonché l’ulteriore diritto di accesso alle informazioni relative alle operazioni relative a dati e documenti del FSE; l’accesso ai servizi sanitari online resi disponibili da Regioni e Province autonome; inserimento di dati e documenti nel taccuino personale;

- sia per l’accesso ai servizi EDS che per l’accesso ai servizi PNT, in alternativa all’accesso completo con i massimi dei privilegi, la possibilità di scegliere tra singole funzioni come: il solo accesso ai servizi e consultazione dei dati relativi all’assistito; la sola gestione di consensi e revoche;

CONSIDERATO che lo schema di decreto in esame, unitamente ai relativi allegati, tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intercorse al fine di individuare – in ossequio ai principi di privacy by design e privacy by default (art. 25 del Regolamento) – soluzioni per rendere conformi alla normativa in materia di protezione dei dati personali i trattamenti disciplinati;

CONSIDERATO che tali osservazioni hanno riguardato, in particolare, la definizione del livello di granularità delle funzionalità di delega per l’accesso ai servizi online resi in ambito FSE, EDS e PNT, al fine di assicurare la coerenza con il quadro normativo di settore e le relative garanzie, nel rispetto dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati (art. 5, par. 1, lett. a) e c), e art. 9 del Regolamento, nonché art. 2-sexies del Codice);

CONSIDERATO, inoltre, che lo schema di decreto in esame, unitamente ai relativi allegati, apporta altresì ulteriori modifiche agli allegati del decreto 23 febbraio 2026, prevedendo, in particolare:

- l’esplicitazione del ruolo di autonomi titolari del trattamento in capo agli IdP, in linea con quanto previsto dall’art. 13, comma 2, del decreto 23 febbraio 2026 e in conformità a quanto già previsto nelle discipline SPID e CIEId, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), del Regolamento);

- l’adeguatezza delle informazioni fornite da parte dell’IdP all’utente prima che questi acceda come delegato, al fine di renderlo edotto sul trattamento dei dati personali e sulle implicazioni dell’accesso in qualità di delegato, nel rispetto del principio di liceità, correttezza e trasparenza e degli obblighi informativi (art. 5, par. 1, lett. a), e artt. 12 e ss. del Regolamento);

- l’introduzione di nuovi campi nella richiesta di autorizzazione all’accesso ai servizi online, al fine di consentire alla PGD di ricostruire e verificare autonomamente, a partire dalla richiesta originale e firmata del SP, l’identità del SP stesso e i parametri della richiesta, senza più affidarsi esclusivamente alle sole informazioni riferite dall’IdP, in questo modo elevando il livello di garanzia concernente le misure in materia di tracciabilità delle operazioni e di controlli sull’affidabilità della fonte, nel rispetto dei principi di integrità e riservatezza e degli obblighi di sicurezza (art. 5, par. 1, lett. f), e art. 32 del Regolamento);

RITENUTO, pertanto, che sullo schema di decreto in esame, unitamente ai relativi allegati, non vi siano rilievi da formulare;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, nonché dell’art. 11, comma 3, del decreto del Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica, di concerto con il Ministro della giustizia, 23 febbraio 2026, esprime parere favorevole sullo schema di decreto del Capo del Dipartimento per la transizione digitale della Presidenza del Consiglio dei Ministri, volto all’aggiornamento degli allegati 1, 3, 4 e 5 al menzionato decreto 23 febbraio 2026.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori