Quando la PA non può “inventarsi” una base giuridica per trattare i dati personali
Con la sentenza n. 15273 del 4 agosto 2025 il TAR del Lazio ha annullato il decreto interministeriale n. 226 del 16 ottobre 2024, che intendeva regolare il cosiddetto foglio di servizio elettronico per i conducenti di NCC.
Secondo i giudici, il provvedimento ministeriale violava diverse norme in materia di protezione dei dati (GDPR e Codice privacy), perché introduceva obblighi sproporzionati e senza un’adeguata base giuridica che legittimasse il trattamento dei dati personali.
Secondo il suddetto decreto, i dati degli utenti e dei conducenti degli NCC (noleggio con conducente) sarebbero stati conservati centralmente dal Ministero dei Trasporti per tre anni, l’accesso sarebbe stato concesso a un’“amplissima platea di soggetti” come comuni, forze di polizia, motorizzazione civile etc. e la la giustificazione addotta era che il decreto, come atto amministrativo generale, fosse sufficiente a costituire la base giuridica del trattamento.
D’altra parte, la Legge n. 21/1992, come fonte primaria stabilisce invece che il foglio di servizio è compilato dal conducente, contiene dati specifici, e va conservato solo 15 giorni.
Il decreto interministeriale 226/2024 avrebbe pertanto potuto disciplinare solo aspetti tecnici, ma non cambiare la sostanza delle regole fissate dalla legge.
Il Tribunale amministrativo del Lazio ha quindi chiarito alcuni punti chiave sui paletti che devono rispettare gli atti amministrativi:
1. un decreto ministeriale non può derogare o modificare norme fissate dalla legge. Non può quindi diventare, da solo, una “base giuridica” per trattamenti invasivi di dati personali
2. passare da 15 giorni a 3 anni di conservazione dei dati sugli spostamenti degli utenti è sproporzionato e lesivo della privacy
3. assenza di garanzie: non c’è stata né una valutazione d’impatto (DPIA), né una motivazione specifica, né misure di tutela adeguate
4. limiti ai poteri dell’Amministrazione: il Ministero non aveva ricevuto dal legislatore il potere di imporre un sistema di controllo generalizzato.
La sentenza 15273/2025 ribadisce perciò un concetto fondamentale: la Pubblica Amministrazione non può crearsi da sola una base giuridica per trattare i dati personali oltre i limiti già stabiliti dalla legge primaria.
In altre parole, anche se un decreto ministeriale ha indubbiamente valore generale, non può però giustificare trattamenti di dati che violano i principi del GDPR (necessità, proporzionalità, limitazione della conservazione).
