Parere del Garante n. 284 del 21/05/2025

Schema di decreto INL sulle modalità di ostensione della patente a crediti

Il Garante per la protezione dei dati personali esprime parere sullo schema di decreto dell’Ispettorato Nazionale del Lavoro che disciplina le modalità di ostensione delle informazioni relative alla patente a crediti per imprese e lavoratori autonomi operanti nei cantieri temporanei o mobili. Il parere è reso ai sensi dell’art. 2, comma 2, del d.m. 18 settembre 2024, n. 132, e degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR.

Quadro normativo di riferimento

Il procedimento si inserisce nel sistema delineato dall’art. 27 del d.lgs. 9 aprile 2008, n. 81, che prevede l’istituzione della patente, i suoi contenuti informativi, i presupposti della sospensione cautelare e i criteri di attribuzione e recupero dei crediti. Il Garante richiama inoltre il Regolamento (UE) 2016/679 e il d.lgs. 196/2003.

Struttura del trattamento e ruoli privacy

Lo schema qualifica l’INL come titolare autonomo del trattamento per il servizio denominato "patente a crediti", erogato tramite il Portale dei servizi dell’Ispettorato. L’INL può avvalersi di soggetti terzi nominati responsabili del trattamento ai sensi dell’art. 28 GDPR. Il Garante prende atto che l’INL ha svolto una valutazione d’impatto e che le misure tecniche e organizzative elaborate sono confluite nello schema di decreto e nei relativi allegati.

Dati trattati e categorie di soggetti abilitati all’accesso

Le informazioni sulla patente sono suddivise in sezioni e comprendono, in sintesi:

• dati identificativi dell’impresa o del lavoratore autonomo;
• dati anagrafici del richiedente;
• numero e data di rilascio della patente;
• punteggio iniziale e punteggio aggiornato;
• stato della patente, compresa l’eventuale sospensione;
• esito di eventuali provvedimenti definitivi con indicazione dei crediti decurtati e della data di decurtazione.

L’accesso è differenziato per categorie di soggetti. Possono consultare le informazioni i titolari della patente o i loro delegati, le pubbliche amministrazioni, i rappresentanti dei lavoratori per la sicurezza e territoriali, gli organismi paritetici iscritti nel Repertorio nazionale, il responsabile dei lavori, i coordinatori per la sicurezza e i soggetti che intendono affidare lavori o servizi nei cantieri temporanei o mobili.

Finalità e principio di minimizzazione

Il Garante valorizza la selezione delle informazioni accessibili in relazione alle specifiche finalità dei diversi soggetti. Per le pubbliche amministrazioni, l’accesso alle sole informazioni di riepilogo e al punteggio serve alla verifica del possesso e del mantenimento del titolo abilitativo nelle procedure di appalto. Per i rappresentanti dei lavoratori per la sicurezza la consultazione serve a verificare, in caso di sospensione, la possibilità di completare le attività oggetto di appalto. Analoghe finalità sono previste per i soggetti affidatari, il responsabile dei lavori, gli organismi paritetici e i coordinatori per la sicurezza.

L’Autorità evidenzia che lo schema non riporta gli estremi dei provvedimenti amministrativi o giurisdizionali alla base della sospensione o della decurtazione dei punti, in modo da mantenere il trattamento entro i limiti di adeguatezza, pertinenza e necessità di cui all’art. 5, par. 1, lett. c), GDPR.

Conservazione dei dati e consultabilità

La consultazione delle informazioni è consentita per il tempo di vigenza della patente. Per i dati relativi ai crediti decurtati per ciascuna violazione e alla data della decurtazione, il termine massimo di conservazione è di cinque anni dall’iscrizione nella piattaforma. Il Garante considera tale impostazione coerente con il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR.

Misure di sicurezza e tracciamento degli accessi

L’allegato allo schema disciplina diverse misure di sicurezza: protezione perimetrale della rete, filtri contro siti potenzialmente pericolosi, monitoraggio continuo, autenticazione forte tramite SPID, SPID Professionale, CIE, CNS ed eIDAS, infrastruttura cloud ospitata sul Polo Strategico Nazionale.

Particolare rilievo è attribuito al logging delle operazioni, previsto per ricostruire le attività svolte sul sistema e per consentire verifiche a campione sull’effettiva abilitazione dei soggetti che hanno consultato le informazioni. Il Garante ritiene questa misura essenziale ai fini dell’integrità e della riservatezza e richiama gli artt. 5, par. 1, lett. f), e 32 GDPR.

Rilievi del Garante su password e log

L’Autorità osserva che l’allegato prevede requisiti minimi di robustezza delle password e la loro conservazione mediante sistemi di cifratura non reversibile, ma ritiene necessario specificare che le funzioni crittografiche devono garantire un livello di sicurezza adeguato secondo lo stato dell’arte, anche alla luce delle proprie Linee guida sulle funzioni crittografiche per la conservazione delle password.

Quanto al tracciamento, il Garante rileva che lo schema non dettaglia adeguatamente le informazioni da registrare né le misure a garanzia dell’immodificabilità e dell’integrità dei log. Inoltre, la registrazione dell’indirizzo di posta elettronica ordinaria viene ritenuta eccedente rispetto alle finalità di tracciamento, poiché non strettamente necessaria.

Esito del parere

Il parere è favorevole, ma con condizioni. In particolare, lo schema e il relativo allegato devono essere integrati per:

• specificare che le funzioni crittografiche per la conservazione delle password garantiscano un livello di sicurezza adeguato allo stato dell’arte;
• precisare le misure e le garanzie per assicurare l’immodificabilità e l’integrità dei file di log;
• dettagliare, per ogni operazione di tracciamento, le informazioni effettivamente registrate, limitandole a quelle strettamente necessarie e senza includere l’indirizzo di posta elettronica ordinaria.

Solo a tali condizioni il Garante esprime parere favorevole sullo schema di decreto e sul relativo allegato.