Parere del Garante n. 723 del 18/11/2024

Parere sullo schema di decreto sul Portale nazionale del sommerso (PNS)

Il Garante per la protezione dei dati personali ha espresso parere, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679, sullo schema di decreto del Ministro del lavoro e delle politiche sociali attuativo dell’art. 10 del d.lgs. 23 aprile 2004, n. 124. Il provvedimento riguarda il Portale nazionale del sommerso (PNS), destinato a raccogliere e condividere le risultanze dell’attività ispettiva in materia di lavoro sommerso, lavoro e legislazione sociale.

Quadro normativo di riferimento

L’art. 10 del d.lgs. 124/2004, come modificato, prevede che nel PNS confluiscano i verbali ispettivi e gli atti consequenziali all’attività di vigilanza, compresi gli atti relativi ai contenziosi. La norma consente inoltre l’accessibilità al Portale da parte di pubbliche amministrazioni ed enti che erogano o gestiscono fondi pubblici, per finalità di verifica nell’ambito delle rispettive competenze, demandando a decreti ministeriali l’individuazione dei dati oggetto di condivisione e dei soggetti abilitati all’accesso.

Il Garante richiama, quale parametro di valutazione, i principi e le regole del GDPR e del Codice privacy, in particolare gli artt. 5, 6, 9, 10 e 35 del Regolamento, nonché gli artt. 2-ter, 2-sexies e 2-octies del d.lgs. 196/2003.

Contenuto principale dello schema di decreto

Lo schema prevede:

• il completamento, entro il 30 maggio 2025, delle attività per assicurare l’interoperabilità dei dati relativi alle violazioni in materia di lavoro sommerso, lavoro e legislazione sociale;
• la gestione del Portale da parte dell’INL;
• la stipula di protocolli d’intesa con INPS, INAIL, Arma dei carabinieri e Guardia di finanza per regolare accesso e condivisione dei verbali e degli altri atti conseguenti;
• l’alimentazione del Portale con tipologie di dati risultanti dall’attività ispettiva, aggiornate periodicamente e disponibili a decorrere dall’anno 2023, incluse violazioni in materia di lavoro, salute e sicurezza, contribuzione, assicurazione, fiscalità, nonché violazioni di carattere penale e provvedimenti giudiziari connessi;
• la fruibilità dei dati in forma analitica sul singolo operatore economico e aggregata a livello settoriale e provinciale;
• la possibilità di successivi decreti per estendere i soggetti abilitati e i dati consultabili;
• l’interoperabilità con la piattaforma INPS per la gestione delle azioni di compliance e il contrasto al lavoro sommerso;
• l’obbligo per INL e INPS di presentare una relazione mensile al Ministero a decorrere dal 15 gennaio 2025;
• una clausola generale di rispetto del GDPR e del Codice privacy, nonché l’obbligo per i soggetti cooperanti di adottare misure tecniche e organizzative idonee a garantire tutela e sicurezza dei dati.

Valutazione del Garante: lacune della disciplina proposta

Pur prendendo atto della finalità pubblicistica dell’intervento, il Garante osserva che lo schema non definisce in modo sufficiente gli elementi essenziali del trattamento. In particolare, mancano o risultano non adeguatamente specificati:

• le tipologie di dati personali trattati, con indicazione delle fonti di provenienza dei dati che alimentano il Portale e di quelli messi a disposizione dei soggetti abilitati;
• i tempi di conservazione, che devono essere proporzionati alle finalità perseguite;
• le misure appropriate e specifiche per la tutela dei diritti e delle libertà degli interessati rispetto a categorie particolari di dati e ai dati relativi a condanne penali e reati;
• le garanzie per assicurare un accesso selettivo alle informazioni, anche in relazione alle fattispecie di reato strettamente pertinenti alle finalità istituzionali dei singoli soggetti abilitati;
• le misure tecniche e organizzative per garantire un livello di sicurezza adeguato e prevenire accessi o operazioni non autorizzate;
• i flussi di dati tra PNS e piattaforma INPS, comprese tipologie di dati coinvolte, modalità di interoperabilità e misure di sicurezza;
• i ruoli privacy dei soggetti coinvolti, anche per i trattamenti connessi all’interoperabilità, al fine di assicurare trasparenza e chiara ripartizione di obblighi e responsabilità.

Principi e requisiti richiamati dal Garante

Il Garante sottolinea che, ai sensi dell’art. 6, par. 3, GDPR, la base giuridica di un trattamento deve definire gli elementi fondamentali del trattamento e prevedere misure appropriate e specifiche per tutelare diritti e libertà degli interessati. Viene richiamata anche la necessità che il trattamento rispetti i principi di:

• liceità, correttezza e trasparenza;
• minimizzazione dei dati;
• esattezza;
• limitazione della conservazione;
• integrità e riservatezza.

L’Autorità evidenzia inoltre che, nel sistema del GDPR e del Codice, la base giuridica deve essere contenuta in una fonte normativa adeguata, in particolare un atto dotato delle caratteristiche richieste dagli artt. 2-ter e 2-sexies del Codice, mentre eventuali protocolli d’intesa possono disciplinare solo profili di dettaglio già previsti dalla norma primaria o secondaria di base.

Valutazione d’impatto e rischio elevato

Il trattamento prospettato è ritenuto ad alto rischio, perché riguarda dati personali trattati su larga scala e riferiti anche a interessati vulnerabili nel contesto lavorativo. Per questo il titolare del trattamento deve effettuare la valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR.

Esito del parere e condizione richiesta

Il parere è favorevole con condizione. Lo schema deve essere integrato in modo da disciplinare gli elementi essenziali del trattamento nei termini indicati dal Garante; in alternativa, deve essere inserita una disposizione che rinvii tale disciplina a un successivo decreto adottato ai sensi dell’art. 10, comma 1-ter, del d.lgs. 124/2004, previo parere del Garante.

L’Autorità chiede inoltre un tempestivo riscontro sulle iniziative assunte per recepire la condizione posta, evidenziando l’urgenza dell’intervento regolatorio nel quadro del Piano nazionale di ripresa e resilienza e del Piano nazionale per la lotta al lavoro sommerso.