Parere del Garante n. 353 del 20/10/2022

Parere favorevole sullo schema di delibera ANPAL sul trattamento dati del Programma GOL

Il Garante per la protezione dei dati personali esamina lo schema di delibera del Commissario straordinario di ANPAL in materia di trattamento dei dati personali del Programma GOL nell’ambito del PNRR, insieme al relativo Allegato A sul Piano tecnico di attivazione dei servizi ANPAL per la fase di assessment. Il parere è reso ai sensi degli artt. 36, par. 4, e 57, par. 1, lett. c), del GDPR.

Quadro normativo di riferimento

L’Autorità richiama il Regolamento (UE) 2016/679, il d.lgs. 30 giugno 2003, n. 196, e il d.lgs. 14 settembre 2015, n. 150, che disciplina il riordino dei servizi per il lavoro e delle politiche attive.

In particolare, vengono richiamati:

• l’art. 1, comma 4, del d.lgs. n. 150/2015, sul ruolo di coordinamento della rete dei servizi per le politiche del lavoro attribuito ad ANPAL;
• l’art. 9, comma 1, lett. b) ed e), sulle funzioni di definizione degli standard di servizio e delle metodologie di profilazione degli utenti;
• l’art. 13, sul sistema informativo unitario delle politiche del lavoro;
• l’art. 18, sui servizi e le misure di politica attiva del lavoro;
• l’art. 19, comma 5, sulla classe di profilazione degli utenti e sulla procedura automatizzata di elaborazione dei dati.

È inoltre richiamato il decreto ministeriale 11 novembre 2021, con cui è stato adottato il Programma Nazionale GOL, il cui Allegato A prevede strumenti comuni di profilazione e una valutazione multidimensionale dei beneficiari.

Contenuto dello schema di delibera esaminato

Lo schema disciplina i trattamenti dei dati personali dei beneficiari del Programma GOL nell’ambito del Sistema informativo unitario delle politiche del lavoro e della piattaforma MyANPAL.

Secondo lo schema:

• il trattamento è svolto per assicurare i livelli essenziali delle prestazioni e per consentire l’attivazione e la gestione dei Patti di servizio e dei Patti per il lavoro, nonché per finalità di verifica e controllo;
• MyANPAL è lo strumento per gestire le varie fasi del Programma GOL, inclusa la fase di assessment, la sottoscrizione dei Patti e l’erogazione delle politiche attive;
• ANPAL utilizza i dati della piattaforma nell’esercizio delle proprie funzioni istituzionali;
• i trattamenti sono effettuati da ANPAL, Regioni e Province autonome, Agenzie regionali o altri enti regionali, Agenzie per il lavoro, soggetti autorizzati all’intermediazione e soggetti accreditati ai servizi per il lavoro, ciascuno in qualità di titolare del trattamento per le proprie attività.

Raccolta dei dati, basi operative e categorie di dati trattati

Lo schema prevede che i dati dei beneficiari siano raccolti esclusivamente presso gli interessati dal servizio per il lavoro territorialmente competente, in sede di sottoscrizione del patto di servizio o del patto per il lavoro.

Ai fini della valutazione del livello di occupabilità e della classe di profilazione quantitativa, possono essere utilizzati anche i dati dell’archivio delle comunicazioni obbligatorie dei datori di lavoro.

Il Piano tecnico allegato descrive inoltre:

• le tipologie di dati trattati;
• le operazioni eseguibili;
• le modalità di trasmissione dei dati;
• gli accessi selettivi alle informazioni necessarie;
• le misure specifiche a tutela di categorie particolari di dati personali e dei dati relativi a condanne penali e reati, ai sensi degli artt. 9 e 10 GDPR.

Valutazione del Garante sulle garanzie privacy

Il Garante rileva che lo schema tiene conto delle indicazioni emerse nelle interlocuzioni con l’Ufficio dell’Autorità e apprezza le garanzie predisposte in relazione a diversi profili.

In particolare, vengono considerati coerenti con il GDPR:

• le misure per assicurare correttezza e trasparenza verso i beneficiari, anche tramite la pubblicazione di informazioni sul sito istituzionale e la veicolazione delle informative ex artt. 13 e 14 GDPR;
• le garanzie in materia di profilazione e trattamenti automatizzati, con verifiche periodiche sulla qualità dei dati e intervento umano nella definizione dei percorsi di politica attiva, in coerenza con l’art. 22, par. 1, GDPR;
• l’uso di tecniche di pseudonimizzazione e anonimizzazione per finalità di analisi, monitoraggio e controllo, in attuazione dei principi di minimizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita, ex artt. 5, par. 1, lett. c), e 25, par. 2, GDPR;
• la disciplina dei tempi di conservazione, limitati al periodo necessario al perseguimento delle finalità, in coerenza con il principio di limitazione della conservazione.

Uso dei dati per monitoraggio, controllo e rendicontazione

Lo schema consente ad ANPAL di utilizzare i dati dei beneficiari in forma aggregata o anonimizzata per analisi, monitoraggio e valutazione, nonché per la verifica e il controllo del rispetto dei livelli essenziali delle prestazioni.

Inoltre, le informazioni contenute nella DID e nella SAP sono rese disponibili alle autorità di gestione e di controllo degli strumenti finanziari utilizzati per le misure di politica attiva. È previsto anche l’accesso ai competenti servizi della Commissione europea per verifiche campionarie sui beneficiari del Programma GOL, privilegiando l’uso di tecniche di pseudonimizzazione. Analogo accesso è assicurato all’Unità di missione istituita presso il Ministero del lavoro e delle politiche sociali per il coordinamento, monitoraggio, rendicontazione e controllo degli interventi PNRR.

I dati possono inoltre essere elaborati e trasmessi in forma anonima al sistema di monitoraggio del PNRR gestito dalla Ragioneria Generale dello Stato – Servizio Centrale per il PNRR.

Conservazione dei dati

Lo schema prevede che i dati personali acquisiti siano conservati per cinque anni decorrenti dalla data dell’evento di revoca della DID.

Per gli interessati alle misure di politica attiva finanziate dal Fondo sociale europeo PLUS, la conservazione è invece estesa per tutto il periodo di programmazione e per ulteriori cinque anni a decorrere dal 31 dicembre dell’anno in cui è effettuato l’ultimo pagamento dell’autorità di gestione.

Esito del parere

Alla luce delle garanzie previste nello schema di delibera e nel Piano tecnico allegato, il Garante ritiene di non dover formulare osservazioni e esprime parere favorevole sullo schema di delibera del Commissario straordinario di ANPAL in materia di trattamento dei dati personali del Programma GOL nell’ambito del PNRR e sul relativo Allegato A.