IT-Wallet e Garante Privacy: il dossier sul portafoglio digitale italiano
- Il Garante Privacy ha espresso parere favorevole sullo schema di decreto per l'IT-Wallet tramite il provvedimento n. 631 del 23 settembre 2026.
- Il sistema, pilastro del PNRR, permette di digitalizzare documenti come patente, ISEE, tessera sanitaria e titoli di studio.
- L'Autorità ha imposto rigide misure sulla gestione delle richieste di cancellazione dati e sulla definizione dei ruoli dei soggetti coinvolti.
- Resta fermo l'obbligo di accountability per tutti gli operatori, che devono integrare la DPIA con valutazioni di rischio specifiche.
Un utente decide di interrompere l'utilizzo del portafoglio digitale. Non si tratta di una semplice disinstallazione di un'app, ma di un atto giuridico: la richiesta di cancellazione dei dati personali. Questo scenario, apparentemente banale, è stato uno dei nodi centrali dell'analisi condotta dal Garante per la protezione dei dati personali. La gestione di tali istanze non può essere lasciata all'improvvisazione tecnica, poiché tocca i diritti e le libertà fondamentali degli interessati.
Il Garante ha infatti concentrato le proprie indicazioni proprio sulla gestione delle richieste di cancellazione, insieme alla definizione dei ruoli dei soggetti coinvolti e alle misure di sicurezza per le categorie particolari di dati. La capacità del sistema di rispondere prontamente e correttamente a un ordine di oblio digitale è ciò che separa un'infrastruttura di Stato da un semplice servizio di storage.
Il provvedimento 631 e l'architettura della privacy
Il 23 settembre 2026 è stata fissata una data tecnica fondamentale: l'emissione del provvedimento n. 631. Con questo atto, l'Autorità ha reso parere favorevole sullo schema di decreto proposto dal Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri. Non è un via libera incondizionato, ma l'ultimo tassello di un percorso di garanzie iniziato con i provvedimenti n. 469 del 4 agosto 2025 e n. 580 del 6 agosto 2026.
L'analisi del Garante si è focalizzata sulle misure tecniche e organizzative necessarie per rendere l'IT-Wallet un ambiente sicuro. Per l'imprenditore e il manager, questo significa che l'infrastruttura non è solo un'interfaccia utente, ma un complesso sistema di governance del dato dove ogni attore deve avere un ruolo chiaramente definito. La precisione di queste definizioni serve a evitare zone grigie di responsabilità in caso di data breach o di trattamenti illeciti.
Analisi strategica: Il passaggio dal parere favorevole alla piena operatività indica che lo Stato italiano sta cercando di allineare la velocità dell'innovazione (spinta dai fondi PNRR) con il rigore normativo del GDPR. Per le aziende che integreranno servizi con l'IT-Wallet, questo riduce il rischio legale, ma innalza l'asticella dei requisiti tecnici di ingresso.
Chi comanda nei flussi di dati dell'identità digitale?
L'IT-Wallet non è un database unico, ma un ecosistema di flussi. La domanda cruciale è chi detenga il controllo e chi sia responsabile di cosa. Il Garante ha insistito sulla definizione dei ruoli dei vari soggetti coinvolti nel Sistema di portafoglio digitale italiano. In un'architettura simile, la distinzione tra titolare del trattamento, responsabile e soggetti terzi è vitale per stabilire chi debba rispondere a un utente che esercita i propri diritti.
Il flusso di dati prevede che l'utente possa digitalizzare documenti eterogenei. La complessità risiede nel fatto che i dati provengono da fonti diverse (Ministeri, INPS, Comuni) e convergono in un unico punto di accesso. Questo crea un punto di vulnerabilità strategica, ma anche un'opportunità di efficienza senza precedenti per la Pubblica Amministrazione.
Il principio di accountability tra le righe del decreto
Esiste un rischio concreto: che i soggetti coinvolti nell'IT-Wallet considerino la documentazione fornita dallo Stato come un 'kit di sopravvivenza' sufficiente a coprire ogni responsabilità. Il Garante ha smentito categoricamente questa possibilità, richiamando l'attenzione sul principio di accountability sancito dal GDPR.
L'Autorità è stata chiara: anche se esiste una valutazione d'impatto predefinita, ogni soggetto coinvolto ha l'obbligo di valutare eventuali ulteriori aspetti dei trattamenti da loro effettuati che potrebbero presentare rischi elevati. In termini business, l'accountability significa che la conformità non è un certificato statico, ma un processo dinamico di gestione del rischio.
'Anche se la DPIA identifica già le misure di sicurezza, tali soggetti hanno comunque l’obbligo di valutare eventuali ulteriori aspetti dei trattamenti da loro effettuati suscettibili di presentare rischi elevati'
Questa precisazione sposta l'onere della prova sull'operatore. Non basterà dire 'ho seguito lo schema di decreto', ma bisognerà dimostrare di aver analizzato i rischi specifici della propria implementazione.
Dietro le quinte della DPIA dell'IT-Wallet
La Data Protection Impact Assessment (DPIA) è il documento tecnico che ha accompagnato lo schema di decreto. Non è un semplice allegato, ma la mappa dei rischi del sistema. Il Garante l'ha esaminata e ha stabilito che sarà messa a disposizione di tutti i soggetti coinvolti nel Sistema IT-Wallet.
La DPIA funge da riferimento per l'adozione delle misure tecniche e organizzative di rispettiva competenza. Questo approccio 'standardizzato' serve a garantire che, indipendentemente da chi gestisca un modulo del portafoglio, il livello di protezione rimanga uniforme. È, di fatto, un framework di sicurezza imposto dall'alto per evitare che l'anello più debole della catena comprometta l'intera identità digitale del cittadino.
Per approfondire i dettagli della sperimentazione, è possibile consultare le analisi su IlSoftware.it o i report di Il Sole 24 Ore.
Lo smartphone come unico ufficio pubblico
L'obiettivo finale dell'IT-Wallet, come evidenziato nei documenti del PNRR, è la trasformazione radicale del rapporto tra cittadino e PA. Lo smartphone cessa di essere un dispositivo di comunicazione per diventare l'unico ufficio pubblico necessario. La sperimentazione permette di digitalizzare una gamma vastissima di documenti:
- Patente di guida e titoli di studio
- ISEE e certificati di residenza
- Tessera sanitaria e carta europea della disabilità
Questa convergenza elimina la necessità di esibire supporti fisici e semplifica l'accesso ai servizi. Tuttavia, l'interoperabilità richiesta per rendere possibile questo ecosistema espone i dati a una superficie di attacco più ampia, motivo per cui il Garante ha richiesto garanzie stringenti prima di dare il via libera.
Analisi di scenario: Se l'IT-Wallet diventerà lo standard unico, assisteremo a una drastica riduzione della burocrazia cartacea, ma a un aumento della dipendenza tecnologica.
Indicatore verificabile: Il numero di amministrazioni pubbliche che integrano nativamente l'IT-Wallet nei loro processi di verifica entro il 2027.
L'identità digitale italiana tra eIDAS 2.0 e il mercato UE
L'IT-Wallet non nasce in un vuoto normativo, ma si inserisce nel contesto europeo. La spinta verso un portafoglio digitale interoperabile è coerente con le direttive UE e il regolamento eIDAS 2.0, che mira a creare un'identità digitale europea riconosciuta in tutti gli Stati membri.
Per le imprese italiane, questo significa che l'IT-Wallet non sarà solo uno strumento per interagire con lo Stato, ma potenzialmente una chiave d'accesso per servizi transfrontalieri. Se l'Italia riesce a implementare un sistema che soddisfa i requisiti del Garante e le norme GDPR, si posiziona come leader nell'adozione di standard di identità digitale sicura.
L'integrazione con il mercato UE implica che i fornitori di servizi digitali dovranno adattare i propri sistemi per accettare l'IT-Wallet come metodo di autenticazione forte. Questo apre un mercato per le società di cybersecurity e software house specializzate in identity management.
In conclusione, l'approvazione del provvedimento 631, come riportato da Federprivacy, segna il passaggio dalla teoria alla sperimentazione controllata. Per l'imprenditore, l'IT-Wallet rappresenta l'infrastruttura su cui poggerà la futura digitalizzazione dei rapporti tra business e pubblica amministrazione in Italia.
Per le imprese, l'impatto sarà duplice: da un lato, una semplificazione nei processi di verifica dell'identità dei clienti (KYC - Know Your Customer) se l'IT-Wallet verrà aperto al settore privato; dall'altro, l'obbligo di allinearsi a standard di protezione dati estremamente elevati per non incorrere in sanzioni GDPR, specialmente considerando che l'accountability resta in capo a chi tratta il dato.
Domande frequenti
Cos'è l'IT-Wallet e a cosa serve?
È il portafoglio digitale italiano, progetto legato al PNRR, che permette ai cittadini di conservare e gestire documenti digitali (patente, ISEE, tessera sanitaria, ecc.) direttamente sullo smartphone.
Qual è l'importanza del provvedimento 631 del Garante Privacy?
Con questo provvedimento del 23 settembre 2026, il Garante ha dato parere favorevole allo schema di decreto che definisce le misure tecniche e organizzative per l'IT-Wallet, garantendo la tutela dei dati personali.
Cosa significa accountability per i soggetti coinvolti nell'IT-Wallet?
Significa che ogni ente o azienda coinvolta non può limitarsi a seguire le linee guida generali (DPIA), ma deve valutare e dimostrare di aver gestito i rischi specifici legati ai propri trattamenti di dati.
Fonti: News, Ilsole24ore, Ilsoftware ·
glacom · IA per studi legali: i fascicoli non escono dallo studio →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
