Il Garante per la protezione dei dati personali ha inflitto una sanzione amministrativa di 100 mila euro a Lepida S.c.p.A., uno dei principali gestori di identità digitale SPID in Italia (servizio LepidaID). Il provvedimento, adottato il 29 aprile 2026 e ripreso dalle testate specializzate tra fine giugno e inizio luglio, fotografa una gestione dei dati personali con diverse criticità di fondo e offre un caso di studio prezioso per chiunque tratti documenti di identità dei cittadini.

I fatti

L'aspetto più grave riguarda il controllo degli accessi. Secondo quanto accertato dall'Autorità, oltre 7.000 operatori degli sportelli abilitati all'identificazione potevano consultare informazioni personali e scaricare copie di documenti di identità e tessere sanitarie riferite a più di 1,5 milioni di cittadini, molti dei quali emiliano-romagnoli. L'accesso era disponibile in maniera sostanzialmente indiscriminata, anche in assenza di una concreta necessità operativa legata all'attività del singolo operatore. Durante l'istruttoria sono emersi casi di "consultazione non autorizzata dei dati effettuata per mera curiosità" e di "download di documentazione privi di collegamento con attività di assistenza o verifica dell'identità": uno di questi episodi ha portato alla notifica di una violazione dei dati e a una denuncia alle autorità.

Non è l'unico difetto. Le copie dei documenti caricati dai richiedenti restavano archiviate sulle postazioni degli operatori anche dopo il completamento delle procedure di riconoscimento, senza cancellazione automatica. I log delle transazioni SPID venivano in alcuni casi conservati oltre il limite di 24 mesi previsto dalla normativa di settore, in contrasto con il principio di limitazione della conservazione. Il Garante ha inoltre rilevato carenze nella verifica dell'identità — in parte manuale e non pienamente basata sulle banche dati autoritative — e informazioni non corrette sulla titolarità del trattamento dei dati derivanti dal sistema FedERa, con Lepida qualificatasi come contitolare in modo non conforme al reale assetto delle responsabilità.

Nel quantificare la sanzione, l'Autorità ha valorizzato alcune attenuanti: la piena collaborazione della società nel corso dell'istruttoria, l'immediata adozione di misure correttive, l'assenza di precedenti e persino l'impegno di Lepida nella promozione della cultura della protezione dei dati. Da qui l'importo relativamente contenuto rispetto alla gravità dei fatti.

Cosa significa per le aziende (e le PA) italiane

Il messaggio che conta va oltre Lepida. La violazione più seria non è tecnologica ma organizzativa: migliaia di persone con accesso a dati sensibili di milioni di cittadini, senza che il sistema limitasse quell'accesso a ciò che serviva davvero. È l'esatto opposto dei principi di minimizzazione e di privacy by design e by default (artt. 5 e 25 del GDPR). Qualsiasi organizzazione che gestisca uno sportello, un help desk o un back office con accesso a documenti dei clienti — banche, assicurazioni, sanità, utility, pubblica amministrazione, ma anche PMI con un CRM ricco di dati — dovrebbe leggere il provvedimento come uno specchio: quanti dei miei collaboratori possono vedere e scaricare dati che non riguardano la pratica su cui stanno lavorando?

La vicenda pesa anche per il ruolo sistemico degli identity provider. In vista del portafoglio europeo di identità digitale previsto dal regolamento eIDAS 2.0 e dell'IT-Wallet, la fiducia nell'infrastruttura di identità dipende non solo dalla robustezza tecnologica ma dal rigore con cui viene gestito l'intero ciclo di vita del dato. Che a essere sanzionato sia proprio un soggetto storicamente attento alla cultura della privacy rende il richiamo ancora più netto: la conformità non si dà per acquisita, va progettata e verificata sul campo.

Il quadro normativo

Il provvedimento contesta la violazione di principi cardine del GDPR: minimizzazione e limitazione della conservazione (art. 5), integrità e riservatezza e sicurezza del trattamento (artt. 5 e 32), protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25) e trasparenza verso gli interessati (art. 13). È l'applicazione concreta del principio di accountability: non basta adottare misure, occorre poterne dimostrare l'adeguatezza rispetto al rischio effettivo del trattamento.

Cosa fare subito

  • Rivedere i profili di accesso secondo il principio del need to know: ogni operatore deve poter vedere solo i dati strettamente necessari alla pratica che sta trattando.
  • Attivare cancellazione automatica dei documenti di identità una volta completata la verifica, evitando che restino sulle postazioni di lavoro.
  • Definire e applicare i tempi di conservazione di log e documenti, con procedure di eliminazione verificabili.
  • Monitorare e registrare gli accessi con alert sui comportamenti anomali (consultazioni massive, download non collegati a una pratica).
  • Condurre una DPIA sui trattamenti di identità e documenti, formare il personale e chiarire con precisione ruoli e titolarità del trattamento.