Parere del Garante n. 633 del 23/09/2026

Approvazione del questionario per la valutazione dell’ADI

Il Garante si è pronunciato, ai sensi degli artt. 36, par. 4, e 57, par. 1, lett. c), GDPR, sullo schema di decreto del Ministero del lavoro e delle politiche sociali che approva il questionario destinato a un campione rappresentativo di beneficiari dell’Assegno di inclusione. Il parere, adottato il 23 settembre 2026, è favorevole e riguarda la prima fase del percorso di valutazione controfattuale della misura.

Contesto e quadro normativo

L’ADI è stata istituita dal d.l. 4 maggio 2023, n. 48, convertito dalla legge 3 luglio 2023, n. 85. L’art. 11 del decreto attribuisce al Ministero del lavoro la responsabilità del monitoraggio, dell’attuazione e della valutazione dell’efficacia della misura, avvalendosi anche del Comitato scientifico previsto dall’art. 10, comma 1-bis, del d.l. 28 gennaio 2019, n. 4.

L’art. 11, comma 5, del D.M. 13 dicembre 2023, n. 154, prevede una valutazione secondo un progetto di ricerca approvato dal Comitato scientifico e consente di somministrare questionari a un campione rappresentativo non superiore al 5% dei nuclei beneficiari. La disposizione contempla inoltre l’acquisizione di ulteriori informazioni da fonti amministrative e stabilisce che i dati raccolti, opportunamente anonimizzati, siano messi a disposizione del Ministero per elaborazioni statistiche funzionali alla valutazione.

L’attività rientra nel Programma statistico nazionale, aggiornamento 2025, nella rilevazione di titolarità ministeriale “Valutazione dei percorsi di inclusione attiva della misura di contrasto alla povertà” (codice LPR-00149). Il quadro di protezione dei dati comprende il GDPR, in particolare gli artt. 9, par. 2, lett. g) e j), 25, 32, 35 e 36, il Codice privacy, in particolare gli artt. 2-sexies e 104 e seguenti, il d.lgs. 6 settembre 1989, n. 322, e le Regole deontologiche Sistan.

Prima fase: rilevazione tramite questionario

Il Ministero ha scelto di articolare l’attuazione in due fasi. Il decreto sottoposto al parere disciplina la rilevazione diretta presso i nuclei del campione, approva il questionario, definisce le misure di sicurezza e i tempi di conservazione dei dati raccolti. Lo schema si compone di otto articoli e dei relativi allegati: disciplinare tecnico, questionario e informativa sul trattamento ai sensi dell’art. 13 GDPR.

Il questionario è stato predisposto sulla base del progetto di ricerca e delle ipotesi di impatto individuate. I quesiti e gli indicatori sono diretti a misurare gli effetti dei percorsi di inclusione sociale e lavorativa in più dimensioni: benessere economico, condizioni di vita e abitative, benessere psicologico, salute, reti sociali, occupabilità e competenze degli adulti, sviluppo dei minori e genitorialità positiva. Il Ministero ha riferito di aver privilegiato misure già validate e utilizzate in ambito statistico e scientifico, anche attraverso strumenti derivati da indagini ISTAT, EUROSTAT, OECD e UNICEF e da altri framework consolidati, adattandoli alle caratteristiche della popolazione e alle esigenze della valutazione.

Il Garante aveva richiesto che la proporzionalità delle informazioni raccolte rispetto agli obiettivi fosse adeguatamente considerata, anche nella valutazione d’impatto, in applicazione dei principi di limitazione della finalità e minimizzazione. L’analisi dei dati è rinviata alla fase successiva, con l’integrazione delle fonti amministrative.

Finalità, titolarità e organizzazione dei trattamenti

Il Garante ha richiesto che fosse chiarita la natura statistico-scientifica dei trattamenti e il loro collegamento con le successive attività istituzionali. La rilevazione campionaria deve essere svolta dall’Ufficio di statistica del Ministero del lavoro nel rispetto del GDPR, degli artt. 104 e seguenti del Codice e delle Regole deontologiche Sistan. L’Ufficio potrà successivamente fornire dati opportunamente anonimizzati alle strutture ministeriali per elaborazioni statistiche funzionali al monitoraggio e alla valutazione dell’efficacia dell’ADI, di cui il Ministero è responsabile ai sensi dell’art. 11 del d.l. n. 48/2023 e dell’art. 11 del D.M. n. 154/2023.

Lo schema subordina l’avvio del trattamento alla preventiva valutazione d’impatto prevista dall’art. 35 GDPR, da svolgere con il coinvolgimento del responsabile della protezione dei dati. Lo schema e il disciplinare tecnico individuano le misure tecniche e organizzative volte a garantire un livello di sicurezza adeguato al rischio, in coerenza con gli artt. 25 e 32 GDPR.

Rilievi sulle misure di sicurezza e sul disciplinare tecnico

Nel corso delle interlocuzioni, il Garante ha segnalato criticità e richiesto precisazioni sul disciplinare tecnico, poi modificato dal Ministero. In particolare, le osservazioni hanno riguardato:

• l’uso di Google Workspace per l’archiviazione temporanea dei dati destinati ai controlli di qualità e al monitoraggio: la sola indicazione di una localizzazione europea non chiariva l’ubicazione effettiva dei trattamenti, i soggetti con possibilità di accesso e gli eventuali sub-responsabili;
• l’autenticazione: l’autenticazione a più fattori deve essere obbligatoria almeno per amministratori di sistema, supervisori, personale addetto al controllo di qualità e, più in generale, per gli utenti che accedono da remoto a dati personali o a funzioni privilegiate;
• la pseudonimizzazione: occorre descrivere la gestione delle chiavi o delle tabelle di collegamento, la loro generazione, conservazione, utilizzazione e cancellazione, separare le risposte dalle informazioni identificative, limitare l’accesso a queste ultime a pochi soggetti autorizzati e tracciare le operazioni di ricongiungimento;
• la cifratura delle comunicazioni: il generico riferimento a protocolli SSL/TLS deve essere sostituito o precisato indicando le versioni minime di TLS ammesse.

Integrazione con dati amministrativi: disciplina rinviata

Lo schema rinvia a un successivo decreto ministeriale, da adottare previo parere del Garante, la disciplina delle informazioni amministrative che potranno essere acquisite e integrate con i dati del questionario. Tale decreto dovrà definire le tipologie di dati richieste a ciascuna fonte, i soggetti interessati, la profondità temporale e le finalità dell’acquisizione, nel rispetto della minimizzazione; le modalità di integrazione e di gestione delle chiavi di pseudonimizzazione; i compiti dell’Ufficio di statistica; i tempi di conservazione distinti per categoria e le misure di mitigazione dei rischi.

Dovranno essere inoltre stabilite le condizioni e le garanzie per l’eventuale messa a disposizione dei dati per ricerca scientifica, nel rispetto dell’art. 5-ter del d.lgs. 14 marzo 2013, n. 33, e delle relative Linee guida. Fino all’adozione del decreto successivo, i dati raccolti con il questionario non possono essere integrati con informazioni di fonte amministrativa.

Informativa agli interessati e conclusione

L’informativa destinata ai partecipanti alla rilevazione è stata rivista per precisare le basi giuridiche dei trattamenti, i soggetti coinvolti e i diritti degli interessati. In particolare, è stato eliminato il riferimento alla revoca del consenso, poiché il trattamento non si fonda sul consenso; è stato inoltre chiarito il quadro relativo al diritto di opposizione, che non è esercitabile quando il trattamento è necessario per l’esecuzione di un compito di interesse pubblico, secondo l’art. 21, par. 6, GDPR.

Ritenendo che lo schema, il disciplinare tecnico e l’informativa abbiano recepito le osservazioni formulate e assicurino un bilanciamento tra protezione dei dati e finalità di interesse pubblico, il Garante ha espresso parere favorevole sullo schema di decreto.