Parere del Garante n. 597 del 21/12/2023

Schema di decreto sull’attuazione dell’Assegno di inclusione (ADI)

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali recante l’attuazione della misura dell’Assegno di inclusione (ADI), prevista dal d.l. 4 maggio 2023, n. 48, convertito dalla l. 3 luglio 2023, n. 85. Il parere è reso ai sensi dell’art. 4, comma 7, del decreto-legge e degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR.

Quadro normativo di riferimento

L’ADI è qualificato dal legislatore come misura di sostegno economico e di inclusione sociale e professionale, condizionata alla prova dei mezzi e all’adesione a un percorso personalizzato di attivazione. Il decreto prende in considerazione, in particolare, gli artt. 1, 2, 3, 4, 5, 6, 8, 11 e 12 del d.l. 48/2023, con attenzione alla disciplina delle domande, delle verifiche sui requisiti, del SIISL, dei patti di attivazione e di servizio, del monitoraggio e delle sanzioni.

Il Garante richiama inoltre il Regolamento (UE) 2016/679 e il d.lgs. 196/2003, sottolineando la necessità di conformità ai principi di privacy by design e by default di cui all’art. 25 GDPR.

Contenuto dello schema esaminato

Lo schema di decreto delimita il proprio ambito alle attività di segretariato sociale, alle modalità di richiesta della misura, alla sottoscrizione del patto di attivazione digitale e del patto di inclusione, e alle modalità di conferma della condizione del nucleo familiare.

Prevede inoltre:

• i requisiti per l’accesso all’ADI, compresi quelli relativi ai soggetti in condizione di svantaggio inseriti in programmi di cura e assistenza dei servizi socio-sanitari territoriali certificati dalla pubblica amministrazione;
• la possibilità di presentare la domanda anche tramite patronati e CAF, mediante convenzione con INPS;
• le verifiche da parte di INPS sul possesso dei requisiti, mediante interrogazione di banche dati pubbliche e sistemi di interoperabilità;
• la gestione dell’erogazione del beneficio economico, anche con eventuale suddivisione tra componenti maggiorenni del nucleo;
• le modalità di assistenza agli interessati nella presentazione della domanda;
• le operazioni consentite sulla piattaforma SIISL ai richiedenti e ai componenti del nucleo beneficiario;
• gli obblighi dei beneficiari nell’ambito del percorso personalizzato di inclusione sociale e lavorativa;
• il collegamento con il Programma nazionale GOL per i componenti attivabili al lavoro;
• la disciplina dei controlli, delle sanzioni e delle misure informative verso i beneficiari;
• il trattamento dei dati da parte del Ministero del lavoro per monitoraggio, valutazione dell’efficacia e coordinamento dei livelli essenziali delle prestazioni sociali;
• la titolarità del trattamento in capo a INPS per acquisizione e gestione della domanda, nonché per riconoscimento, erogazione, sospensione e revoca della prestazione.

Valutazioni del Garante sui trattamenti di dati personali

Il Garante osserva che lo schema recepisce le indicazioni fornite dall’Ufficio nelle interlocuzioni informali, con particolare riferimento a:

• l’individuazione dei ruoli di patronati e CAF;
• la definizione dei dati trattati da INPS per le verifiche dei requisiti e l’uso dell’interoperabilità;
• la configurazione delle operazioni eseguibili sulla piattaforma SIISL;
• le garanzie sui trattamenti automatizzati e sulla profilazione, con attenzione alle verifiche periodiche della qualità dei dati e all’intervento umano nei processi decisionali sui percorsi di politica attiva;
• le misure di trasparenza e informazione ai beneficiari sugli obblighi e sulle conseguenze dell’inadempimento;
• le misure volte a evitare la re-identificazione degli interessati nelle attività di monitoraggio e valutazione del Ministero.

L’Autorità evidenzia che i trattamenti riguardano dati personali trattati su larga scala, anche appartenenti alle categorie particolari di cui all’art. 9 GDPR e ai dati di cui all’art. 10 GDPR, e coinvolgono soggetti vulnerabili, come anziani, persone con disabilità, persone senza occupazione, persone inserite in percorsi di protezione o vittime di violenza, anche minori. Per questo motivo richiede una particolare attenzione alla valutazione dei rischi e alle misure di mitigazione.

Interoperabilità, dati particolari e garanzie richieste

Le verifiche sui requisiti prevedono l’interrogazione di numerose basi dati pubbliche, anche tramite sistemi di interoperabilità. Il Garante ricorda che, per le tipologie di informazioni trattate, devono essere assicurati i principi di liceità, correttezza, trasparenza, minimizzazione, esattezza e integrità e riservatezza, nonché misure di sicurezza adeguate ai sensi degli artt. 5 e 32 GDPR.

Poiché i dati trattati comprendono anche categorie particolari e dati giudiziari, il decreto deve essere letto in coerenza con le previsioni del Codice privacy, in particolare con gli artt. 2-sexies e 2-octies, richiamati nel parere.

DPIA e condizione posta dal Garante

Il punto centrale del parere riguarda l’obbligo di condurre una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR, tenuto conto dell’elevato rischio per i diritti e le libertà degli interessati.

Il Garante ritiene quindi che i trattamenti di dati personali effettuati nell’ambito delle verifiche sul possesso dei requisiti, ove non già disciplinati da altre fonti normative, debbano essere avviati solo dopo:

• l’effettuazione della DPIA da parte dell’INPS;
• l’individuazione, nel provvedimento da adottarsi sentito il Garante ai sensi dell’art. 4, commi 5 e 8, dello schema, di misure adeguate a tutela dei diritti e delle libertà fondamentali degli interessati.

Esito finale

Il parere è favorevole. È tuttavia accompagnato da una specifica osservazione prescrittiva sulle verifiche dei requisiti, che condiziona l’avvio dei relativi trattamenti alla conclusione della DPIA e alla definizione di misure adeguate di protezione. Il provvedimento è adottato con urgenza, in considerazione della necessità di completare l’iter entro il 1° gennaio 2024, data di decorrenza dell’ADI.