IT-Wallet, via libera del Garante privacy e cosa cambia con i Sic

Il Garante della Privacy ha dato parere favorevole allo schema di decreto sulle misure tecniche e organizzative dell’IT-Wallet. Arrivano anche le Faq sui sistemi di informazione creditizia (Sic)

Segui Money.it su Google Aggiungici alle fonti preferite per vedere più spesso le nostre notizie nei risultati di ricerca.

Il Garante per la protezione dei dati personali ha dato parere favorevole, con il provvedimento n. 631 del 23 settembre 2026, alle misure tecniche e organizzative che regoleranno la gestione dei dati personali nell’IT-Wallet, il portafoglio digitale italiano integrato nell’app IO. Le misure sono contenute in uno schema di decreto del Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio, che deve ancora essere adottato in via definitiva.

Secondo il sottosegretario all’Innovazione Alessio Butti, a fine luglio lo strumento contava 12 milioni di attivazioni in un anno e mezzo. Il 23 ottobre il Garante ha pubblicato anche le Faq sui sistemi di informazione creditizia, i cosiddetti Sic, le banche dati private che banche e finanziarie consultano prima di concedere un prestito o un mutuo. Le Faq non introducono regole nuove. Spiegano chi può vedere i dati, per quanto tempo restano registrati e come si contesta una segnalazione.

Cosa prevede l’IT-Wallet sul piano privacy

Chi ha già caricato patente, tessera sanitaria o Carta europea della disabilità nell’app IO non deve fare nulla. Il decreto riguarda gli operatori del sistema: fissa le regole di sicurezza che dovranno rispettare nel trattare i dati degli utenti, come previsto dal decreto del 19 marzo 2026 che disciplina l’IT-Wallet.

Il Garante ha chiesto anzitutto di chiarire chi fa cosa. Nel sistema lavorano PagoPA, che gestisce l’app IO, l’Istituto Poligrafico e Zecca dello Stato, che cura l’infrastruttura, gli enti che forniscono i dati (ad esempio il Ministero delle Infrastrutture e dei Trasporti per la patente) e i soggetti che verificano i documenti. Per l’utente non è un dettaglio: sapere chi è responsabile di ogni passaggio significa sapere a chi rivolgersi per accedere ai propri dati, correggerli o chiederne la cancellazione.

Le altre indicazioni riguardano i dati sanitari e le altre informazioni particolarmente delicate tutelate dal GDPR, come quelle legate alla Carta europea della disabilità, e la gestione delle richieste di cancellazione presentate dagli utenti. Il Garante ha esaminato anche la valutazione d’impatto sulla protezione dei dati (Dpia) che accompagna il decreto: farà da riferimento comune, ma ogni operatore dovrà comunque valutare i rischi dei trattamenti di cui è responsabile. Resta fermo un principio già fissato dal decreto del 19 marzo: i dati che identificano la persona non possono essere incrociati con quelli provenienti da altri servizi.

Le Faq sui Sic

I Sic sono archivi gestiti da società private come CRIF, Experian, CTC e Assilea. Raccolgono le informazioni che banche e finanziarie comunicano su richieste di prestito, rate pagate e ritardi, e servono a valutare l’affidabilità creditizia di chi chiede un finanziamento. Non contengono solo dati negativi. Registrano anche i dati positivi: chi paga con regolarità costruisce una storia creditizia che può aiutarlo nelle richieste successive. Per i tempi di cancellazione nel più noto di questi archivi c’è l’approfondimento su come funziona la segnalazione al CRIF e quanto dura.

Diversa è la Centrale dei Rischi della Banca d’Italia, che è un archivio pubblico. Qui si viene segnalati solo per debiti pari o superiori a 30.000 euro, oppure da 250 euro se il credito è classificato «in sofferenza». La sofferenza non scatta per un semplice ritardo: si ha quando la banca ritiene il cliente in uno stato di insolvenza. Nei Sic, invece, può comparire anche una singola richiesta di finanziamento. Le altre differenze tra Centrale Rischi e Sic sono spiegate nella guida dedicata. Le regole dei Sic sono fissate da un Codice di condotta approvato dal Garante con il provvedimento n. 324 del 6 ottobre 2022.

Chi può consultare i Sic e con quali basi

Banche e finanziarie che aderiscono a un Sic inviano i dati dei propri clienti e possono consultare quelli inseriti dagli altri, ma solo con un motivo concreto: una richiesta di prestito in corso o un rapporto già attivo. Le Faq ricordano che possono consultare i Sic, senza però inserire dati, anche compagnie telefoniche, assicurazioni e fornitori di luce e gas. La propria storia creditizia, quindi, può essere verificata anche quando si sottoscrive uno di questi contratti.

Per tutto questo non serve il consenso del cliente: il trattamento si basa sul legittimo interesse previsto dal GDPR. Al momento della richiesta, però, la banca deve consegnare un’informativa che indichi a quali Sic comunicherà i dati e per quanto tempo resteranno registrati. Conviene conservarla, perché è lì che si trova il nome del gestore a cui rivolgersi in caso di problemi.

Diritti e tutele per i cittadini

Al primo ritardo nel pagamento di una rata, la banca o la finanziaria deve inviare un preavviso, anche insieme ai solleciti o con un messaggio sullo smartphone. Il ritardo diventa visibile agli altri operatori solo dopo almeno 15 giorni dalla spedizione dell’avviso: se in quel periodo si paga quanto dovuto, la segnalazione non scatta.

Quando la segnalazione c’è, non è per sempre. Questi i tempi massimi di conservazione fissati dal Codice:

richiesta di prestito: fino a 180 giorni mentre è in valutazione, 90 giorni se viene rifiutata o ritirata;
ritardi fino a due rate (o due mesi), poi pagati: 12 mesi dalla regolarizzazione;
ritardi superiori a due rate, poi pagati: 24 mesi dalla regolarizzazione;
debiti mai saldati: 36 mesi dalla scadenza del contratto e comunque non oltre 60 mesi;
prestiti rimborsati senza problemi: fino a 60 mesi dalla chiusura.

I termini di 12 e 24 mesi valgono solo se nel frattempo non si registrano nuovi ritardi.

Chi si vede rifiutare un finanziamento e sospetta un errore può chiedere gratuitamente al gestore del Sic l’accesso ai propri dati, la cosiddetta visura. Se qualcosa non torna, può chiederne la correzione o la cancellazione, rivolgendosi anche alla banca che ha fatto la segnalazione. Una segnalazione corretta, invece, resta registrata fino alla scadenza dei termini. Se la risposta non arriva o non convince, si può presentare reclamo all’Organismo di monitoraggio dei Sic oppure al Garante privacy, e rivolgersi al primo non impedisce di rivolgersi anche al secondo.