Accessi ai dati personali: il principio che fa la differenza
Il Garante per la protezione dei dati personali ha chiuso un'istruttoria relativa a una piattaforma che gestisce identità digitali SPID con una presa di posizione netta: chi possiede credenziali non può consultare liberamente anagrafiche, documenti di identità, tessere sanitarie o le informazioni sulle operazioni degli utenti se non esiste una finalità strettamente necessaria e documentabile.
Che cosa è emerso dall'istruttoria
L'autorità ha verificato che il sistema in uso alla società permetteva a un'ampia platea di operatori distribuiti sul territorio di visualizzare e perfino scaricare dati personali anche quando tali accessi non erano collegati alle mansioni svolte. Tra gli episodi più gravi, un operatore ha ammesso di aver consultato la documentazione di 258 utenti senza rapporto con attività di identificazione o assistenza.
"per mera curiosità"
Questa stessa espressione, dichiarata dall'operatore durante gli accertamenti, è stata richiamata dal Garante come prova dell'errata percezione secondo cui il possesso di credenziali autorizzerebbe consultazioni a fini personali. L'Autorità ha ricordato che ogni accesso deve essere giustificato da una finalità specifica, coerente con le funzioni attribuite all'operatore e documentabile.
Le carenze riscontrate e le raccomandazioni
Nel corso dell'istruttoria sono emerse criticità strutturali: il sistema consentiva consultazioni e download anche da sportelli diversi da quelli che avevano seguito la procedura di identificazione dell'utente. Secondo il Garante, questo modello non rispettava i principi di minimizzazione dei dati, riservatezza e privacy by design, ampliando indebitamente la platea di soggetti con accesso ai dati senza adeguati limiti e controlli.
- Accessi non collegati alle mansioni: violazione del principio di necessità.
- Download di documenti da sportelli diversi: rischio di diffusione non controllata.
- Mancanza di adeguati controlli e limitazioni tecniche: violazione della privacy by design.
Conseguenze pratiche e possibili sviluppi
Il provvedimento, adottato il 29 aprile 2026, spinge verso adeguamenti organizzativi e tecnici per le piattaforme che gestiscono identità digitali: occorre introdurre restrizioni più stringenti sugli accessi, logging più accurati e procedure che colleghino ogni consultazione a una finalità verificabile. Le amministrazioni e i gestori SPID dovranno rivedere i propri processi per prevenire accessi non autorizzati e garantire la tutela dei dati dei cittadini.
Una lezione chiara
La vicenda sottolinea un punto semplice ma spesso trascurato: credenziali e pulsanti non sono sinonimo di diritto. Anche in contesti digitali nati per semplificare la vita dei cittadini, la sicurezza e il rispetto della privacy passano per regole operative chiare e controlli efficaci. Il Garante ha mostrato ancora una volta che la protezione dei dati non può essere sacrificata sull'altare della praticità.
In tempi in cui l'identità digitale diventa centrale per rapportarsi a servizi pubblici e privati, il monito è chiaro: la curiosità non è una legittimazione.
