Legge 145/2026, art. 13: Eurodac, e i decreti entro il 9 dicembre

Oggi, 8 agosto 2026, la Gazzetta Ufficiale (Serie Generale n. 183) pubblica la legge 7 agosto 2026, n. 145, di conversione del decreto-legge 12 giugno 2026, n. 100, «recante misure urgenti in materia di giustizia e per l’attuazione del Patto dell’Unione europea sulla migrazione e l’asilo del 14 maggio 2024». Conversione senza modificazioni; stesso fascicolo, il testo coordinato del decreto-legge, già in vigore dal 12 giugno. Dentro un provvedimento intitolato alla giustizia e al Patto UE, l’articolo 13 fa una cosa che vale la pena leggere per conto proprio: interconnette banche dati esistenti e le collega a un unico punto di accesso nazionale verso un sistema europeo. Qui guardiamo l’architettura dei dati — non la politica migratoria.

Che cosa dispone l’articolo 13

Il comma 1: il sistema automatizzato di identificazione delle impronte e delle immagini facciali, risultante dalla digitalizzazione del casellario nazionale d’identità del Ministero dell’interno, «è interconnesso con il centro elaborazione dati» della legge 121/1981 — il CED del Ministero dell’interno.

Il comma 2: presso il Dipartimento della pubblica sicurezza è allocato il punto di accesso nazionale, che «assicura la comunicazione ad Eurodac dei dati e delle informazioni previste dallo stesso regolamento». Vi confluiscono sei fonti: (1) il CED; (2) il sistema impronte e immagini facciali; (3) il sistema dell’art. 12, comma 9-septies, d.lgs. 286/1998; (4) l’archivio dei permessi di soggiorno; (5) i sistemi della commissione nazionale per il diritto di asilo; (6) i sistemi del Dipartimento per le libertà civili e l’immigrazione, per notizie su minori, status e cittadinanza.

Il regolamento, art. 3 par. 4: «Ciascuno Stato membro dispone di un unico punto di accesso nazionale. Europol dispone di un punto di accesso unico (punto di accesso Europol).» L’infrastruttura: «utilizza la rete esistente dei “servizi transeuropei sicuri per la telematica tra amministrazioni” (TESTA)» e «i dati personali trasmessi all’Eurodac o dall’Eurodac sono cifrati».

Quello che ancora non c’è

L’interconnessione è disposta dalla norma; le regole restano rinviate. Il comma 3, lettera c), affida ai decreti attuativi «le procedure di adozione delle misure necessarie a garantire la sicurezza dei dati, nonché del relativo piano di sicurezza», «le procedure di trasferimento di dati a paesi terzi ai fini di rimpatrio» e «le procedure di registrazione e documentazione». La lettera d) aggiunge «le modalità tecniche di accesso, inserimento, aggiornamento, consultazione, modifica e cancellazione dei dati».

Il comma 4: i decreti «sono emanati, sentito il Garante per la protezione dei dati personali, entro centottanta giorni dalla data di entrata in vigore del presente decreto». Centottanta giorni dal 12 giugno 2026 cadono il 9 dicembre 2026 — calcolo nostro, non una data scritta nella norma. Una precisazione che cambia la lettura: gli articoli 48, 50 e 51 del regolamento sono già direttamente applicabili, e i decreti servono a darne attuazione nazionale. Non manca l’obbligo. Manca la procedura scritta con cui lo si adempie qui.

Che cosa chiede il regolamento a chi tiene i dati

L’articolo 48, «Sicurezza dei dati», impone «le misure necessarie, compreso un piano di sicurezza dei dati». Fra i controlli nominati: «proteggere fisicamente i dati, tra l’altro mediante l’elaborazione di piani di emergenza per la protezione delle infrastrutture critiche»; «impedire che i supporti di dati siano letti, copiati, modificati o rimossi senza autorizzazione (controllo dei supporti di dati)»; «impedire che persone non autorizzate utilizzino sistemi di trattamento automatizzato di dati mediante attrezzature per la trasmissione di dati (controllo dell’utente)»; «impedire l’inserimento di dati senza autorizzazione e la consultazione, la modifica o la cancellazione senza autorizzazione di dati personali conservati (controllo della conservazione)».

L’articolo 51 impone la registrazione di ogni operazione di confronto con Eurodac a fini di contrasto, per verificarne ammissibilità e liceità. Contenuto minimo tassativo: «lo scopo esatto della richiesta di confronto»; «il numero del fascicolo nazionale»; «la data e l’ora esatta della richiesta di confronto inviata all’Eurodac dal punto di accesso nazionale»; «il nome dell’autorità che ha chiesto l’accesso per il confronto e il responsabile che ha presentato la richiesta ed elaborato i dati»; «i dati usati per il confronto» — lista pubblica di cosa significa, tecnicamente, tracciare gli accessi a basi dati interconnesse.

Come lo verifichiamo noi

Quando un cliente interconnette due archivi che prima erano separati, la domanda che facciamo per prima non è se si può fare, ma quale registro dimostrerà — a mesi di distanza, davanti a un’ispezione — chi ha interrogato che cosa, con quale scopo, in quale momento esatto, e come si cancella quel dato quando lo scopo viene meno. È lo schema dell’articolo 51: scopo, fascicolo, data e ora, responsabile, dati usati. Lo costruiamo prima che l’interconnessione vada in produzione, non dopo.

Vedi il servizio · Parlane con un tecnico

I paesi terzi, e il capo V

L’articolo 50, par. 2, ancora i trasferimenti a paesi terzi a fini di rimpatrio al quadro generale: «sono effettuati in conformità delle pertinenti disposizioni del diritto dell’Unione, in particolare delle disposizioni in materia di protezione dei dati, compreso il capo V del regolamento (UE) 2016/679, e, se del caso, degli accordi di riammissione, nonché del diritto nazionale dello Stato membro che trasferisce i dati». Unico punto in cui Eurodac rimanda esplicitamente alla disciplina generale dei trasferimenti extra-UE.

Le persone, e i minori

Il testo, riportato senza commento. Art. 14 del regolamento: «I dati biometrici dei minori a partire dai sei anni di età sono rilevati da funzionari specificamente formati per effettuare tali operazioni con modalità adatte ai minori e che tengano conto delle loro sensibilità, nel pieno rispetto dell’interesse superiore del minore e delle tutele previste dalla Convenzione delle Nazioni Unite sui diritti […]».

Art. 10 del decreto-legge: accertamenti e trasmissione a Eurodac si concludono «comunque entro il termine massimo di settantadue ore». Per i minori, «le comunicazioni […] sono inviate alla procura della Repubblica presso il tribunale per i minorenni e le operazioni hanno luogo alla presenza di un familiare adulto oppure, se si tratta di minore straniero non accompagnato o se non è reperibile un familiare adulto, alla presenza di un rappresentante o, se non designato, di una persona formata».

Il rinvio che evita di riscrivere tutto

Il comma 5: «Quando leggi, regolamenti, decreti o altre norme o provvedimenti, fanno riferimento al sistema Eurodac di cui al regolamento (UE) n. 603/2013 […], il riferimento si intende al “sistema Eurodac” di cui al regolamento (UE) 2024/1358». Rinvio dinamico: ogni richiamo al vecchio Eurodac si legge come richiamo al nuovo, senza riscrivere gli atti che lo citano — tecnica utile a chi mantiene un corpus normativo interno, ma che sposta il lavoro su chi tiene i riferimenti.

Che cosa ne ricava chi non si occupa di questo

Per un’organizzazione qualunque che stia unificando archivi separati, l’articolo 13 offre uno schema riusabile:

scrivere il piano di sicurezza prima dell’interconnessione, non dopo che i sistemi già si parlano;
decidere in anticipo il contenuto minimo di ogni registrazione: scopo, fascicolo, data e ora esatta, autorità e responsabile, dati usati;
disciplinare la cancellazione insieme all’inserimento, non come ripensamento;
trattare i trasferimenti fuori dall’Unione come capitolo a sé;
datare la valutazione: un’architettura si giudica anche su quando è stata decisa.

I due assi, applicati

Piano di sicurezza, contenuto minimo delle registrazioni, regole di cancellazione e procedure per i trasferimenti diventano un controllo che gira sui sistemi del cliente, con la traccia datata da esibire a un’ispezione o al Garante — non un parere che si chiude in una PEC. È l’asse dell’adempiere.

È l’asse del decidere: sei fonti, un unico punto di accesso, su scala nazionale — lo stesso lavoro che facciamo su scala di organizzazione, dove archivi, gestionali, sensori e documenti sparsi diventano un modello operativo unico, il data lake dell’ente che diventa una cosa sola, su cui agenti AI eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità. La lista dell’articolo 51 va letta come un capitolato, non una curiosità.

Vale qui il principio che abbiamo già visto con i sistemi RESTREINT UE nei programmi di difesa: ciò che si accredita è il sistema, non solo il soggetto che lo usa. Sempre in due modalità: on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato con data center in Italia — sempre con gestione condivisa.

Per capire quale registro servirebbe alla vostra organizzazione quando due archivi si interconnettono, la prima sessione è senza costi. Parlatene con noi.