Prescrizioni del Garante n. 124 del 26/02/2026

Ministero del Lavoro e delle Politiche Sociali - trattamento statistico delle comunicazioni obbligatorie nel sistema SISCO

Il provvedimento riguarda il trattamento di dati personali effettuato dal Ministero del Lavoro e delle Politiche Sociali, ufficio di statistica, nell’ambito del sistema informativo statistico SISCO relativo alle comunicazioni obbligatorie. L’istruttoria trae origine da accertamenti ispettivi del Garante sulle modalità di acquisizione, elaborazione, conservazione e diffusione dei dati per finalità statistiche.

Attività ispettiva e quadro del trattamento

Nel corso dell’ispezione l’Ufficio ha esaminato il flusso dei dati dal repository XML all’area di staging e al database statistico SISCO. Il Ministero ha descritto un sistema che riceve le comunicazioni obbligatorie, ricostruisce i rapporti di lavoro e utilizza i dati per statistiche ufficiali, con conservazione di lungo periodo prevista nel PSN 2023-2025. È emerso che i dati elementari venivano estratti e poi aggregati, ma in fase di staging rimanevano informazioni direttamente o indirettamente riferibili ai lavoratori, compresi dati sulla disabilità ex legge n. 68/1999.

Violazioni contestate dall’Ufficio

Con atto di avvio del procedimento, l’Ufficio ha contestato al Ministero la violazione di:

• principio di minimizzazione, in relazione all’art. 5, par. 1, lett. c) GDPR;
• obbligo di adottare misure tecniche e organizzative adeguate ai sensi dell’art. 89 GDPR;
• principio di esattezza, art. 5, par. 1, lett. d) GDPR;
• principio di limitazione della conservazione, art. 5, par. 1, lett. e) GDPR;
• accountability e privacy by design/by default, artt. 5, par. 2 e 25 GDPR.

L’Ufficio ha rilevato, in particolare, la presenza di codici progressivi univoci facilmente ripristinabili, la possibile reidentificazione tramite combinazioni di attributi con cardinalità pari a 1, e l’assenza, all’epoca degli accertamenti, di soglie minime efficaci per prevenire singolarità.

Difese del Ministero

Il Ministero ha sostenuto che i dati sulla disabilità non fossero eccedenti, poiché utili per elaborare statistiche sul mercato del lavoro e sulle politiche di inclusione sociale e lavorativa. Ha inoltre rappresentato l’esistenza di controlli ex ante sui dati, l’avvio di una pseudonimizzazione più robusta basata su hashing e chiavi segregate, e la futura implementazione di una procedura automatizzata per rilevare le singolarità. Sul tema della conservazione ha spiegato che il periodo di 192 mesi più 60 mesi aggiuntivi era necessario per ricostruire l’intera vita lavorativa degli individui e garantire la continuità delle serie storiche.

Valutazioni del Garante

Il Garante ha ritenuto che le informazioni sulla disabilità fossero pertinenti e non eccedenti rispetto alle finalità statistiche perseguite, richiamando l’art. 17 del d.lgs. n. 276/2003 e la funzione istituzionale del Ministero nel Sistan. Ha invece confermato la violazione del principio di minimizzazione, osservando che al momento degli accertamenti le misure di pseudonimizzazione e le cautele contro le singolarità non erano ancora adeguate rispetto al rischio di reidentificazione e alla natura dei dati trattati.

In relazione al principio di esattezza, l’Autorità ha preso atto dei controlli semantici già effettuati e delle misure aggiuntive programmate, ritenendo superata la contestazione. Quanto alla conservazione, ha considerato adeguatamente motivato il periodo indicato nella scheda PSN e ha valorizzato la policy del Ministero che prevede anonimizzazione e conservazione aggregata al termine del periodo di retention.

Sul piano dell’accountability e del privacy by design/by default, il Garante ha sottolineato che il titolare deve dimostrare in modo continuo l’idoneità delle misure adottate, soprattutto quando i dati sono aggregati e diffusi, poiché il rischio di reidentificazione può variare e richiede controlli dinamici sulle singolarità e sulle statistiche pubblicate.

Esito del procedimento e misure ordinate

Alla luce della collaborazione prestata e delle misure correttive avviate, il Garante ha qualificato il caso come violazione minore, ma ha comunque dichiarato l’illiceità del trattamento per la violazione degli artt. 5, par. 1, lett. c), par. 2, 25 e 89 GDPR. Ha quindi:

• ammonito il Ministero ai sensi dell’art. 58, par. 2, lett. b) GDPR;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), di comunicare entro 120 giorni dalla notifica l’esito delle iniziative per completare la pseudonimizzazione secondaria e per rilevare automaticamente le singolarità nel dataset statistico;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione nel registro interno delle violazioni.

Non è stata irrogata una sanzione pecuniaria; il Garante ha ritenuto sufficiente l’ammonimento, anche in ragione dell’assenza di precedenti pertinenti, della collaborazione del Ministero e del fatto che non risultavano effetti negativi significativi sugli interessati.