Ordinanza ingiunzione o revoca n. 159 del 12/03/2026

INPS: illiceità del precaricamento nella DSU ISEE precompilata e accesso al servizio da parte di minori

Il provvedimento riguarda l’INPS e il servizio online di ISEE precompilato. L’Autorità è intervenuta a seguito di una segnalazione relativa alla visualizzazione, nella procedura di compilazione della DSU, dei dati anagrafici di soggetti appartenenti a una convivenza anagrafica.

Origine della vicenda e attività istruttoria

Il procedimento trae origine da una segnalazione del 17 aprile 2023, integrata il 19 aprile 2023, secondo cui, in occasione della richiesta di ISEE precompilato per un assistito, il sistema avrebbe proposto i nominativi dei soggetti afferenti al nucleo residenziale, mostrando i dati anagrafici dei ricoverati nella struttura. INPS ha notificato una violazione dei dati personali ai sensi dell’art. 33 GDPR il 21 aprile 2023, poi integrata il 19 maggio 2023.

L’Autorità ha svolto ulteriori approfondimenti mediante richieste di informazioni ex art. 157 Codice privacy del 31 maggio 2023, 24 giugno 2023, 27 luglio 2023 e 12 febbraio 2024. INPS ha fornito riscontri nel corso dell’istruttoria, indicando, tra l’altro, che la disfunzione aveva coinvolto migliaia di interessati e che il sistema era stato successivamente modificato con l’introduzione di un filtro per impedire il precaricamento nei nuclei fondati sulla convivenza.

Con nota del 9 luglio 2024 l’Ufficio ha notificato l’avvio del procedimento per l’adozione di provvedimenti correttivi e sanzionatori ex art. 58, par. 2, GDPR.

Quadro normativo richiamato

Il Garante richiama i principi di liceità, correttezza e trasparenza dell’art. 5, par. 1, lett. a), GDPR, il principio di integrità e riservatezza dell’art. 5, par. 1, lett. f), il principio di accountability dell’art. 5, par. 2, e gli artt. 24 e 25 GDPR su privacy by design e by default. Per i trattamenti svolti da pubbliche amministrazioni sono richiamati anche l’art. 6, parr. 1, lett. e), e 3, GDPR e l’art. 2-ter Codice privacy.

Per i trattamenti che coinvolgono categorie particolari di dati e dati relativi a condanne penali e reati, sono richiamati gli artt. 9 e 10 GDPR, nonché gli artt. 2-sexies e 2-octies Codice privacy.

Sul piano di settore, il provvedimento analizza:

• l’art. 4 d.P.R. 223/1989 sulla famiglia anagrafica;
• l’art. 5 d.P.R. 223/1989 sulla convivenza anagrafica;
• l’art. 3 d.P.C.M. 159/2013 sulla composizione del nucleo familiare ai fini ISEE;
• l’art. 10 d.lgs. 147/2017 sulla DSU precompilata;
• l’art. 3 del d.m. 9 agosto 2019, che consente il precaricamento, su richiesta del dichiarante, dei dati presenti nell’ultima DSU disponibile nel sistema informativo ISEE.

Precaricamento dei dati anagrafici acquisiti dall’ANPR

L’istruttoria ha accertato che il servizio "ISEE precompilato" acquisiva in modo automatizzato dall’ANPR i dati relativi ai componenti del nucleo del dichiarante, comprese le informazioni riferite sia alle famiglie anagrafiche sia alle convivenze anagrafiche. I dati trattati comprendevano codice fiscale, cognome, nome e data di nascita.

INPS ha giustificato la scelta con finalità di semplificazione e di miglioramento del servizio, sostenendo che il dichiarante potesse comunque modificare la composizione del nucleo precaricato. L’Istituto ha anche rappresentato che il nucleo anagrafico e il nucleo ISEE possono non coincidere.

Il Garante ha però osservato che il d.m. 9 agosto 2019 limita il precaricamento ai dati già presenti nell’ultima DSU disponibile nel sistema informativo ISEE, proprio per la particolare disciplina del nucleo familiare ai fini ISEE. Ne consegue che l’acquisizione di dati dall’ANPR per tale finalità è avvenuta in assenza di base giuridica idonea e in contrasto con la disciplina di settore.

Impatto sui dati delle convivenze anagrafiche

La violazione è stata ritenuta particolarmente rilevante per i soggetti appartenenti a convivenze anagrafiche, poiché la loro appartenenza può rivelare informazioni sensibili, ad esempio:

• convinzioni religiose;
• dati sulla salute;
• dati relativi a condanne penali o misure di sicurezza.

In concreto, i dati di 47.464 persone appartenenti a 1.989 convivenze anagrafiche sono stati resi visibili a 2.919 soggetti terzi che hanno acceduto alla procedura, direttamente o tramite delegati dell’identità digitale. Tra gli interessati vi erano 1.526 minorenni.

Il Garante ha quindi ritenuto integrata la violazione degli artt. 5, par. 1, lett. a) e f), 6, parr. 1, lett. e), e 3, 9, 10 e 25 GDPR, nonché degli artt. 2-ter, 2-sexies e 2-octies Codice privacy.

Accesso al servizio da parte di minori

Il secondo profilo riguarda l’accesso al servizio online ISEE da parte di minori tramite proprie credenziali SPID o CIE. L’Autorità ha accertato che, fino a fine marzo 2023, INPS aveva consentito a dichiaranti minorenni di presentare la DSU con tali strumenti.

INPS ha sostenuto che, in precedenza, le credenziali potevano essere utilizzate facendo affidamento sul fatto che fossero rilasciate e controllate da soggetti esercenti la responsabilità genitoriale o la rappresentanza legale; ha inoltre evidenziato che la disciplina delle identità digitali è stata successivamente aggiornata, introducendo limiti all’uso da parte dei minori. Nel frattempo, il servizio è stato riconfigurato, impedendo l’accesso diretto dei minori.

Il Garante ha ritenuto che spettasse al titolare del trattamento configurare il servizio in modo conforme all’ordinamento, verificando se la presentazione della DSU a fini ISEE potesse essere effettuata direttamente dal minore con la propria identità digitale. È stato inoltre richiamato il fatto che la DSU comporta dichiarazioni sostitutive con possibili responsabilità anche penali ex d.P.R. 445/2000.

La condotta è stata qualificata come violazione degli artt. 5, parr. 1, lett. a), e 2, 6, parr. 1, lett. e), e 3, 24 e 25 GDPR, nonché dell’art. 2-ter Codice privacy.

Valutazioni finali del Garante

Il Garante ha ritenuto che gli scritti difensivi dell’INPS non fossero sufficienti per l’archiviazione. Ha però distinto i rimedi da adottare:

• per il precaricamento illegittimo dei dati anagrafici da ANPR, ha disposto la sanzione amministrativa pecuniaria;
• per l’accesso del servizio ai minori, ha ritenuto sufficiente un ammonimento, considerata la complessità del quadro regolatorio e l’assenza di precedenti violazioni pertinenti.

L’Autorità ha anche preso atto delle misure già adottate da INPS per ridurre o eliminare le criticità riscontrate.

Sanzione amministrativa pecuniaria

Per la violazione relativa al precaricamento dei dati nella DSU precompilata, il Garante ha determinato la sanzione in euro 40.000.

Nella quantificazione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione;
• il carattere non doloso ma comunque imputabile della condotta organizzativa;
• le categorie di dati coinvolte, incluse informazioni particolari e dati su reati;
• l’ampiezza della platea degli interessati e dei terzi che hanno avuto accesso ai dati;
• l’errata configurazione del servizio rispetto alla disciplina di settore.

In senso favorevole a INPS sono stati considerati:

• l’assenza di precedenti violazioni pertinenti;
• la tempestiva notificazione della violazione;
• le misure adottate per attenuare il danno e correggere il servizio.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva e ha disposto anche la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale.

Ammonimento per l’accesso dei minori

Con riguardo al secondo profilo, il Garante ha qualificato la violazione come minore ai sensi del considerando 148 GDPR, tenendo conto:

• della complessità del quadro normativo al momento dei fatti;
• delle successive evoluzioni regolatorie su SPID e CIE per i minori;
• dell’assenza di precedenti pertinenti;
• della circostanza che il servizio è stato poi corretto.

Per tali ragioni è stato disposto un ammonimento ex art. 58, par. 2, lett. b), GDPR.

Dispositivo

Il provvedimento:

• dichiara l’illiceità dei trattamenti in relazione alle due condotte esaminate;
• dispone l’ammonimento per l’accesso al servizio da parte di minori;
• ordina a INPS il pagamento di euro 40.000 per il precaricamento illegittimo dei dati da ANPR;
• dispone la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• dispone la pubblicazione del provvedimento sul sito dell’Autorità;
• ordina l’annotazione delle violazioni nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR.

È infine indicata la possibilità di ricorso davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.