Privacy, i dati personali non possono essere consultati neppure “per curiosità”: il Garante richiama il principio di necessità

Consultare documenti personali senza una reale esigenza di servizio rappresenta una violazione della normativa sulla protezione dei dati. È il principio ribadito dal Garante per la protezione dei dati personali nel provvedimento, adottato il 29 aprile 2026 al termine di un’istruttoria nei confronti di una società che gestisce identità digitali SPID.

L’Autorità ha esaminato il funzionamento della piattaforma utilizzata dalla società per il rilascio e la gestione delle identità digitali, rilevando che migliaia di operatori distribuiti sul territorio potevano consultare dati anagrafici, documenti di identità, tessere sanitarie e informazioni sulle operazioni effettuate dagli utenti, anche quando tali accessi non erano strettamente necessari allo svolgimento delle loro mansioni.

L’accesso ai dati deve essere giustificato

L’episodio che ha fatto emergere le criticità riguarda un operatore che ha consultato la documentazione di 258 utenti senza alcun collegamento con attività di identificazione o assistenza. Durante gli accertamenti ha dichiarato di aver effettuato gli accessi esclusivamente “per mera curiosità”, senza diffondere le informazioni acquisite.

Per il Garante, proprio questa vicenda dimostra che il semplice possesso delle credenziali di accesso non autorizza la consultazione dei dati personali. Ogni accesso deve essere collegato a una finalità precisa, documentabile e coerente con le funzioni attribuite all’operatore.

I controlli del Garante

Nel corso dell’istruttoria è emerso che il sistema consentiva la consultazione di informazioni personali e il download di documenti anche da parte di operatori diversi da quelli che avevano seguito la procedura di identificazione dell’utente. Dall’analisi dei registri risultano migliaia di consultazioni e numerosi download di documenti effettuati da operatori appartenenti a sportelli differenti.

Secondo l’Autorità, un’organizzazione di questo tipo non rispettava i principi di minimizzazione dei dati, riservatezza e “privacy by design”, perché ampliava la platea di soggetti che potevano accedere alle informazioni senza adeguate limitazioni e controlli.

Le modifiche successive

Durante il procedimento la società ha comunicato di aver rivisto il sistema, limitando le possibilità di consultazione, riducendo le informazioni visibili agli operatori, introducendo nuovi criteri per la presa in carico delle pratiche e rafforzando le attività di controllo sugli accessi.

Per il Garante, tuttavia, tali interventi non eliminano le violazioni riscontrate nel periodo precedente, quando il sistema era stato progettato con autorizzazioni di accesso più ampie del necessario.