Parere del Garante n. 662 del 13/11/2024

Schema di decreto del Ministro del lavoro e delle politiche sociali su SIISL, NASPI/DIS-COLL e IA per l’incontro domanda-offerta

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto attuativo degli artt. 25 e 26 del d.l. 7 maggio 2024, n. 60, convertito dalla l. 4 luglio 2024, n. 95. Il provvedimento disciplina l’iscrizione d’ufficio al SIISL dei percettori di NASPI e DIS-COLL, la precompilazione di dati, l’accesso volontario al sistema, la gestione dei curricula e l’impiego di strumenti di intelligenza artificiale per l’abbinamento tra domanda e offerta di lavoro.

Quadro normativo di riferimento

Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR. Nel provvedimento vengono richiamati, oltre al Regolamento (UE) 2016/679 e al d.lgs. 196/2003, il d.l. 4 maggio 2023, n. 48, che ha istituito ADI, SFL e SIISL, e i precedenti decreti ministeriali attuativi del SIISL, del SFL e dell’ADI, già esaminati dall’Autorità. È inoltre richiamato il d.l. 7 maggio 2024, n. 60, che ha introdotto le previsioni oggetto dello schema di decreto.

Contenuto dello schema di decreto esaminato

Lo schema prevede, in particolare:

• l’iscrizione d’ufficio al SIISL, tramite INPS, dei richiedenti NASPI o DIS-COLL al momento dell’accoglimento della domanda;
• la comunicazione al SIISL dei dati relativi agli interessati e degli eventi delle rispettive pratiche;
• la precompilazione, tramite SIISL, del curriculum vitae, del Patto di attivazione digitale e degli elementi utili alla redazione del Patto di servizio personalizzato, mediante dati presenti in banche dati pubbliche;
• la trasmissione al SIISL dei dati di contatto dei percettori di NASPI o DIS-COLL, se non già presenti nell’Archivio unico dei contatti telematici;
• la messa a disposizione dei Centri per l’impiego delle informazioni sui beneficiari che non risultano attivi sulla piattaforma o non hanno manifestato autocandidature;
• l’iscrizione volontaria di chiunque al SIISL, con possibilità di caricare il CV e scegliere le categorie di imprese a cui renderlo visibile o escluderne la visibilità;
• l’accesso delle imprese ai CV solo nei limiti delle autorizzazioni prestate dagli utenti, senza visibilità delle generalità e dei contatti se non dopo richiesta tramite SIISL;
• il rinvio alle regole e garanzie già previste nel decreto attuativo del SIISL.

Valutazioni del Garante sui trattamenti di dati personali

Il Garante osserva preliminarmente che i trattamenti presentano un elevato rischio per i diritti e le libertà degli interessati, perché riguardano su larga scala dati personali connessi alla condizione sociale e alla situazione economica di beneficiari di misure pubbliche di sostegno, spesso in condizioni di vulnerabilità. Tali elementi devono essere adeguatamente individuati e mitigati nella valutazione d’impatto ai sensi dell’art. 35 GDPR.

L’Autorità ritiene tuttavia che lo schema abbia recepito le osservazioni già formulate in sede di interlocuzione informale, in linea con il principio di privacy by design e by default. In particolare, vengono considerati conformi i seguenti aspetti:

• maggiore precisione nella definizione delle tipologie di dati trattati e delle banche dati di provenienza, nel rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione;
• limitazione del trattamento ai soli dati necessari per selezione, reclutamento e assunzione, con riferimento a formazione, profilo professionale, riqualificazione e natura della futura occupazione;
• conferimento dei dati di contatto al SIISL e loro messa a disposizione di imprese e Centri per l’impiego solo previa autorizzazione dell’interessato;
• informazioni rese ai beneficiari sui controlli dei Centri per l’impiego e sulle relative conseguenze;
• garanzie per la consultazione e l’esportazione dei curricula da parte delle imprese;
• termini di conservazione delle informazioni sui percettori di NASPI e DIS-COLL, in coerenza con il principio di limitazione della conservazione.

Il Garante precisa inoltre che, qualora si intendesse ampliare il novero dei dati trattati o introdurre nuove operazioni, ciò dovrà avvenire con una base giuridica di rango non inferiore a quella attuale, previa consultazione dell’Autorità, nel rispetto degli artt. 6, parr. 1, lett. e), e 3, 36, par. 4, e 2-ter del Codice; ove fossero coinvolte categorie particolari di dati, occorrerebbe anche rispettare l’art. 9, par. 2, lett. g), GDPR e l’art. 2-sexies del Codice.

Valutazioni sulle funzionalità basate su intelligenza artificiale

Il decreto prevede l’uso di strumenti di IA per l’indice di affinità, la compilazione assistita del CV e la raccomandazione di corsi di formazione. Il Garante rileva che l’art. 14 introduce una serie di garanzie rilevanti:

• informativa aggiornata ex artt. 13 e 14 GDPR, comprensiva delle modalità di utilizzo dell’algoritmo e dei relativi effetti;
• possibilità per gli utenti di visionare un estratto della DPIA;
• rispetto dei principi di correttezza, trasparenza, minimizzazione, limitazione della finalità e della conservazione, ed esattezza;
• diritto all’intervento umano, a esprimere la propria opinione e a contestare la decisione;
• esclusione delle categorie particolari di dati ex art. 9 GDPR;
• revisione periodica dell’algoritmo sulla base di audit e segnalazioni;
• strumenti per assicurare trasparenza, libera adesione e revocabilità dell’uso dell’algoritmo;
• misure aggiuntive su consapevolezza delle regole di calcolo, facoltatività dell’indice di affinità, conservazione limitata degli esiti, esclusione dei dati utente per l’addestramento del modello, test su dati pseudonimizzati, uso di dati limitati a formazione, esperienza, competenze, aspettative lavorative e domicilio/residenza, esclusione di dati economici e sanitari, mitigazione degli errori nelle funzionalità facoltative e formazione del personale.

Secondo il Garante, tali misure sono coerenti con gli artt. 5, 6, 9, 12, 13, 14, 22, 24 e 35 GDPR. Resta comunque necessario che il titolare adotti, a valle della DPIA, misure tecniche e organizzative adeguate e svolga verifiche periodiche sulla qualità dei modelli di calcolo, documentando metriche, attività, criticità e rimedi, e mettendo gli esiti a disposizione dell’Autorità su richiesta.

Rapporti con il nuovo quadro europeo sull’IA

Il Garante richiama anche il regolamento (UE) 2024/1689 sull’intelligenza artificiale, sottolineando che restano fermi gli eventuali ulteriori requisiti e garanzie che ne deriveranno. In particolare, i sistemi impiegati per assunzione e selezione possono rientrare tra quelli ad alto rischio, se destinati a pubblicare annunci mirati, filtrare candidature o valutare candidati. Pur non essendo questo il fondamento del parere, l’Autorità evidenzia che, quando l’IA tratta dati personali, devono comunque essere assicurate tutte le garanzie privacy e il Garante si riserva verifiche specifiche sui trattamenti effettuati mediante tali strumenti.

Esito del parere

Il parere è favorevole. La conclusione è tuttavia accompagnata da una puntualizzazione sostanziale: il titolare del trattamento deve continuare a presidiare il sistema con adeguate misure tecniche e organizzative, controlli di qualità dei modelli, documentazione periodica e disponibilità degli esiti al Garante in caso di richiesta. Il provvedimento, inoltre, lascia impregiudicata l’applicazione del futuro quadro regolatorio europeo in materia di IA.