Parere del Garante n. 611 del 17/10/2024

Parere sullo schema di decreto relativo ai controlli in materia di lavoro e legislazione sociale

Il Garante per la protezione dei dati personali ha esaminato lo schema di decreto del Ministero del lavoro e delle politiche sociali attuativo dell’art. 7, comma 3, del d.l. 4 maggio 2023, n. 48, convertito dalla l. 3 luglio 2023, n. 85, come modificato anche dall’art. 2-ter del d.l. 15 maggio 2024, n. 63. Lo schema disciplina l’accesso dell’INL, del Comando Carabinieri per la tutela del lavoro e della Guardia di finanza alle banche dati INPS per i controlli connessi ad Assegno di inclusione, Supporto per la formazione e il lavoro, contrasto al lavoro irregolare, al caporalato e allo sfruttamento lavorativo.

Quadro normativo di riferimento

Il Garante richiama l’art. 7 del d.l. n. 48/2023, che prevede:

• i controlli ispettivi affidati a INL, Comando Carabinieri per la tutela del lavoro, INPS e Guardia di finanza;
• l’accesso del personale ispettivo di INL e Guardia di finanza alle informazioni e banche dati INPS già disponibili per gli ispettori INPS, ai fini di vigilanza sulla decadenza dai benefici e di contrasto a caporalato, sfruttamento e lavoro sommerso;
• l’adozione, con decreto ministeriale sentiti INL, INPS e Garante, delle categorie di dati, modalità di accesso, misure a tutela degli interessati e tempi di conservazione.

Il parere si colloca quindi nel quadro degli artt. 5, 6, 9, 10, 13, 14, 25, 32 e 35 GDPR, nonché delle norme del Codice privacy richiamate dal provvedimento.

Valutazione dello schema di decreto

Lo schema prevede che il personale abilitato acceda alle categorie di dati INPS indicate nell’allegato tecnico, sia in forma analitica sia aggregata, mediante applicazioni web con identità federata e autenticazione a due fattori, oppure tramite sistemi di interoperabilità AgID. Prevede inoltre rinvii alle politiche interne di INL e Guardia di finanza in materia di informativa e diritti degli interessati, misure tecniche e organizzative di sicurezza e un termine di conservazione fino a cinque anni per i dati acquisiti oggetto di provvedimenti sanzionatori.

Finalità perseguite e necessità di specificazione puntuale

Il principale rilievo riguarda l’indeterminatezza delle finalità attribuite ai diversi soggetti legittimati all’accesso. Il Garante osserva che lo schema riproduce in modo indifferenziato le finalità previste dalla legge, senza distinguere quelle riferibili a INL, Comando Carabinieri per la tutela del lavoro e Guardia di finanza, né chiarire le rispettive basi giuridiche e i compiti istituzionali che giustificano l’accesso ai dati.

Secondo l’Autorità, la base giuridica del trattamento deve specificare in modo chiaro e distinto:

• la finalità perseguita da ciascun soggetto;
• la tipologia di dati accessibili per ciascuna finalità;
• le banche dati INPS effettivamente consultabili.

Il Garante ritiene che l’accesso indiscriminato a un vastissimo patrimonio informativo, contenente anche dati particolarmente delicati e riferiti a soggetti vulnerabili, non sia compatibile con i principi di limitazione della finalità, minimizzazione, proporzionalità e privacy by design/by default.

Dati accessibili e profili di non necessità

L’Autorità rileva che non è stata adeguatamente dimostrata la necessità di accesso, tra l’altro, a:

• informazioni sui consulenti aziendali, specie rispetto ai controlli su ADI e SFL;
• dati sul lavoro domestico, anche perché il richiamo normativo prospettato esclude tale ambito;
• dati su Libretto famiglia e contratti di prestazione occasionale, tenuto conto dell’ampiezza e varietà delle collaborazioni comprese in tali strumenti;
• informazioni analitiche su malattia, aspettativa, permessi studio, congedi parentali e permessi ex l. 104/1992, specie in relazione alle funzioni di polizia economico-finanziaria della Guardia di finanza.

Il Garante richiede quindi una selezione selettiva e graduata delle informazioni, limitata a ciò che è strettamente necessario rispetto ai singoli compiti di legge.

Dati particolari e dati relativi a condanne e reati

Lo schema coinvolge dati rientranti negli artt. 9 e 10 GDPR, come dati sulla salute e informazioni relative a condanne penali e reati. Per tale ragione, l’Autorità osserva che il decreto deve contenere misure appropriate e specifiche per tutelare diritti e interessi degli interessati, in particolare dei beneficiari delle misure ADI e SFL e di altre categorie vulnerabili.

La presenza di dati così delicati rende necessario che la disciplina di accesso sia più rigorosa e puntuale, evitando formule generali o rinvii non sufficientemente determinati.

Trasparenza e informativa agli interessati

Sul piano della trasparenza, il Garante ritiene insufficiente il rinvio alle sole politiche interne di INL e Guardia di finanza. L’INPS, quale titolare dei dati custoditi nelle proprie banche dati, deve fornire un’informativa che dia conto dell’accessibilità prevista dalla disciplina in esame, in conformità all’art. 13, par. 1, lett. e), GDPR.

Per i dati non ottenuti presso l’interessato, trattati da INL, Comando Carabinieri per la tutela del lavoro e Guardia di finanza, lo schema deve inoltre prevedere misure appropriate per consentire l’operatività dell’esenzione dall’informativa prevista dall’art. 14, par. 5, lett. c), GDPR. In assenza di tali misure, la disciplina non garantisce adeguatamente correttezza e trasparenza.

Misure di sicurezza, tracciamento e incidenti di sicurezza

Il Garante considera i rischi del trattamento elevati per quantità e qualità dei dati, ampiezza della platea di interessati e numerosità degli operatori abilitati. Per questo ritiene necessario che le misure di sicurezza siano introdotte direttamente nella base giuridica e non demandate a future scelte dei singoli titolari.

In particolare, lo schema deve prevedere:

• tracciamento adeguato degli accessi e delle operazioni svolte, con identificazione univoca dell’operatore;
• alert per intercettare comportamenti anomali o a rischio;
• controlli a campione o a seguito di alert sulla liceità delle operazioni;
• misure per la gestione coordinata delle violazioni dei dati personali, con tempestivo scambio di informazioni tra i titolari coinvolti ai fini degli obblighi degli artt. 33 e 34 GDPR.

Il Garante non considera sufficiente il rinvio a future convenzioni o a standard minimi generici.

Valutazione d’impatto e conclusione

Alla luce dei rischi elevati per i diritti e le libertà fondamentali degli interessati, l’Autorità ritiene necessario che INPS, INL, Comando Carabinieri per la tutela del lavoro e Guardia di finanza effettuino la valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR.

Il parere è quindi favorevole con condizioni. Il decreto deve essere integrato prevedendo:

• le specifiche finalità perseguite da ciascun soggetto e le relative tipologie di dati accessibili;
• misure specifiche per i dati particolari e i dati ex art. 10 GDPR;
• misure idonee a garantire correttezza e trasparenza dei trattamenti;
• misure di prevenzione e rilevazione degli accessi non autorizzati e di gestione degli incidenti di sicurezza.

Solo con tali integrazioni lo schema potrà risultare conforme ai principi e agli obblighi del GDPR.