Parere del Garante n. 578 del 06/08/2026

Accesso alle banche dati INPS per i controlli su ADI, SFL e lavoro irregolare

Il Ministero del lavoro e delle politiche sociali ha sottoposto al Garante, ai sensi dell’art. 7, comma 3, del d.l. 4 maggio 2023, n. 48, convertito dalla l. 3 luglio 2023, n. 85, uno schema di decreto concernente i controlli in materia di lavoro e legislazione sociale. Il parere, adottato il 6 agosto 2026, è favorevole ma subordinato al rispetto di sei condizioni puntuali.

Quadro normativo e precedente parere

L’art. 7 del d.l. 48/2023 disciplina i controlli relativi all’Assegno di inclusione e al Supporto per la formazione e il lavoro. Il comma 2 consente al personale ispettivo dell’INL, compreso il personale del Comando Carabinieri per la tutela del lavoro operante presso l’INL, e alla Guardia di finanza di accedere alle informazioni e alle banche dati trattate dall’INPS e già disponibili al personale ispettivo dell’Istituto. Il comma 3 demanda a un decreto ministeriale l’individuazione delle categorie di dati, delle modalità di accesso, delle misure a tutela degli interessati e dei tempi di conservazione, sentiti INL, INPS e Garante.

Il Garante richiama il precedente parere n. 611 del 17 ottobre 2024, nel quale aveva chiesto di definire le specifiche finalità perseguite da ciascun soggetto, le categorie di dati accessibili, le garanzie per il trattamento di categorie particolari di dati e di dati relativi a condanne penali e reati, le misure di trasparenza e le misure per prevenire e rilevare accessi non autorizzati e gestire gli incidenti di sicurezza.

Contenuto dello schema di decreto

L’art. 2 dello schema individua le categorie di dati INPS accessibili, in forma analitica o aggregata, per le finalità di vigilanza sulla decadenza da ADI e SFL e per il contrasto a caporalato, sfruttamento lavorativo, lavoro sommerso e altre violazioni in materia di lavoro e legislazione sociale. Il decreto richiama il principio di minimizzazione e la protezione dei dati fin dalla progettazione e per impostazione predefinita.

L’art. 3 specifica le finalità riferite ai diversi soggetti. L’INL opera nell’ambito delle funzioni attribuite dal d.lgs. 14 settembre 2015, n. 149; il Comando Carabinieri per la tutela del lavoro nell’ambito dei compiti affidati dall’art. 6 del medesimo decreto; la Guardia di finanza nell’esercizio delle funzioni di polizia economico-finanziaria previste dal d.lgs. 19 marzo 2001, n. 68 e per i controlli sui beneficiari delle misure previste dal d.l. 48/2023.

L’art. 4 prevede l’accesso mediante identità federata, anche da rete internet, con autenticazione a due fattori tramite token fisico o software. Sono inoltre ipotizzati sistemi di interscambio automatico secondo il Modello di interoperabilità adottato da AgID, con tracciamento dell’utenza da parte dell’INPS e degli enti accedenti. È vietato l’impiego di robot per la consultazione massiva o la replica delle informazioni in banche dati autonome.

L’art. 5 disciplina controlli periodici dell’INPS, anche a campione, alert per individuare accessi anomali o abusivi, registrazione degli accessi, informative ai sensi degli artt. 13 e 14 GDPR e comunicazione tempestiva agli altri titolari delle violazioni di dati o degli incidenti informatici rilevanti, anche per consentire gli adempimenti previsti dagli artt. 33 e 34 GDPR. L’art. 6 stabilisce che i dati acquisiti da INL e Guardia di finanza oggetto di provvedimenti sanzionatori siano conservati per il tempo necessario all’istruttoria e comunque per non oltre cinque anni dall’acquisizione, escludendo la duplicazione delle banche dati da parte degli enti fruitori.

Recepimento parziale delle osservazioni precedenti

Il Garante rileva che lo schema recepisce alcune condizioni formulate nel 2024. In particolare, sono richiamati gli obblighi di trasparenza derivanti dagli artt. 13 e 14 GDPR e sono introdotti controlli periodici, anche a campione, e alert per individuare comportamenti anomali o rischiosi. È inoltre previsto l’obbligo di comunicare tempestivamente agli altri titolari le violazioni di dati e gli incidenti informatici potenzialmente significativi.

Permangono tuttavia criticità riguardanti l’effettiva applicazione dei principi di minimizzazione, limitazione degli accessi, sicurezza, accountability e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Categorie di dati, basi giuridiche e minimizzazione

Rispetto alla precedente versione, lo schema indica, per le tipologie di dati personali previste, le basi giuridiche riferite all’accesso dei diversi soggetti, collegandole alle rispettive normative di settore e, per la Guardia di finanza, anche a disposizioni penalistiche e alla disciplina delle funzioni di polizia economico-finanziaria.

Il Garante osserva però che l’impianto continua a rendere indistintamente accessibili a tutto il personale ispettivo di INL, Comando Carabinieri e Guardia di finanza tutte le tipologie di dati indicate. Poiché le informazioni accessibili sono numerose e potenzialmente delicate, il decreto deve limitare il numero di utenti agli operatori che ne abbiano effettiva necessità in relazione alle mansioni concretamente affidate, e soltanto per il periodo indispensabile allo svolgimento delle attività.

La limitazione deve essere applicata anche in considerazione della possibile presenza di categorie particolari di dati personali ai sensi dell’art. 9 GDPR e di dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR. Il Garante collega tali misure anche agli artt. 2-sexies e 2-octies del Codice privacy, che richiedono garanzie appropriate e specifiche per tali trattamenti.

Sicurezza degli accessi e divieto di duplicazione

Il Garante considera di dubbia interpretazione la previsione dell’art. 4, comma 2, che consente interrogazioni di dati analitici in cooperazione applicativa e di dati aggregati per l’attività di vigilanza. Deve essere chiarito che la cooperazione applicativa non può trasformarsi in un’acquisizione massiva di dati personali né consentire la loro replicazione in archivi autonomi degli enti accedenti.

Resta possibile ottenere dall’INPS informazioni aggregate, quando necessarie alle attività di vigilanza, ma le modalità tecniche devono preservare il controllo del titolare della banca dati e impedire l’estrazione indiscriminata di informazioni personali.

Logging delle operazioni e motivazione delle interrogazioni

L’obbligo generale di tracciamento previsto dall’art. 5, comma 2, deve essere riformulato. Per ciascuna modalità di accesso indicata dall’art. 4, comma 1, devono essere individuate le operazioni che INPS, INL, Comando Carabinieri e Guardia di finanza devono registrare e conservare.

La disciplina deve comprendere, secondo il Garante, operazioni quali login e logout, consultazione di dati, estrazione di dati o documenti, nonché ogni altra operazione necessaria a verificare ex post la liceità degli accessi. Inoltre, per ogni interrogazione, l’utente deve inserire la motivazione dell’accesso. La motivazione deve essere verificabile successivamente e risultare nei log delle operazioni eseguite.

Controlli autonomi degli enti accedenti

Il controllo degli accessi non può restare affidato esclusivamente all’INPS. Anche i soggetti che accedono alle banche dati devono introdurre forme autonome ed efficaci di verifica, inclusi controlli a campione sulla coerenza tra accesso effettuato, utente autorizzato, mansioni svolte e motivazione dichiarata.

Gli enti accedenti devono inoltre verificare gli accessi anomali rilevati dagli alert dell’INPS e attivare propri alert in relazione alla specifica modalità tecnica utilizzata. Tali misure sono necessarie sia per prevenire accessi illeciti sia per assicurare garanzie effettive agli interessati, soprattutto in presenza di dati appartenenti alle categorie di cui agli artt. 9 e 10 GDPR.

Accessi della Guardia di finanza e convenzioni

Gli accessi della Guardia di finanza trovano fondamento nel d.lgs. 19 marzo 2001, n. 68 e devono rispettare anche il d.lgs. 18 maggio 2018, n. 51, relativo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali.

Il Garante richiama in particolare l’art. 47 del d.lgs. 51/2018, secondo cui l’acquisizione telematica di dati da altri soggetti deve avvenire nel rispetto della normativa applicabile e mediante convenzioni che stabiliscano modalità di collegamento e accesso, assicurando l’accesso selettivo ai soli dati necessari.

Lo schema deve prevedere due convenzioni distinte:

• una convenzione tra INPS e INL;
• una convenzione tra INPS e Guardia di finanza, conforme anche all’art. 47 del d.lgs. 51/2018.

La convenzione con la Guardia di finanza dovrà specificare le modalità di accesso e le garanzie applicabili ai trattamenti effettuati per finalità di polizia. Il Garante rinvia a quella sede la valutazione delle modalità prospettate, compreso l’eventuale ricorso a sistemi messi a disposizione dall’INL per consentire l’accesso della Guardia di finanza, verificandone la conformità al GDPR, al Codice privacy e al d.lgs. 51/2018.

Valutazione d’impatto e rischi per gli interessati

Il trattamento comporta rischi elevati per i diritti e le libertà fondamentali di un’ampia platea di interessati, anche vulnerabili. I rischi derivano dalla quantità e qualità delle informazioni trattate, dal coinvolgimento di più soggetti istituzionali, dalla possibile presenza di forze di polizia e dall’elevato numero di operatori abilitati.

I titolari coinvolti devono pertanto effettuare la valutazione d’impatto sulla protezione dei dati prevista dall’art. 35 GDPR, individuando misure adeguate per mitigare e gestire i rischi di accessi non autorizzati, uso improprio, divulgazione, perdita o trattamento non conforme.

Condizioni del parere e conclusioni

Il parere è favorevole, ma l’adozione dello schema è subordinata alle seguenti condizioni:

• limitazione degli utenti abilitati a quelli che necessitano dell’accesso in relazione alle mansioni concretamente affidate e per il solo tempo necessario;
• divieto di acquisizione massiva di dati personali dall’INPS e di duplicazione in banche dati autonome;
• specificazione delle operazioni da registrare e conservare per ogni modalità di accesso;
• inserimento, per ogni interrogazione, della motivazione dell’accesso, verificabile a posteriori e conservata nei log;
• introduzione, da parte degli enti accedenti, di controlli autonomi ed efficaci, anche a campione, sugli accessi e sulle anomalie;
• previsione di due convenzioni distinte tra INPS e, rispettivamente, INL e Guardia di finanza, con applicazione del d.lgs. 51/2018 alla convenzione con quest’ultima.

Il Garante ritiene quindi che lo schema possa costituire la base regolatoria per gli accessi alle banche dati INPS soltanto dopo l’integrazione delle misure necessarie a garantire selettività, tracciabilità, proporzionalità, sicurezza e controllo effettivo dei trattamenti.