Parere del Garante n. 420 del 17/07/2025

Bonus sociale rifiuti: schema di deliberazione ARERA

Il Garante per la protezione dei dati personali esprime parere sullo schema di deliberazione di ARERA recante le "Disposizioni per il riconoscimento del bonus sociale rifiuti" agli utenti domestici del servizio di gestione integrata dei rifiuti urbani in condizioni economico-sociali disagiate. Il parere è reso in attuazione dell’art. 4, comma 2, del d.P.C.M. 21 gennaio 2025, n. 24, e nell’ambito dell’art. 57-bis del d.l. 124/2019, convertito dalla l. 157/2019.

Quadro normativo di riferimento

Il parere ricostruisce il contesto normativo dei bonus sociali, richiamando l’art. 57-bis del d.l. 124/2019, che ha introdotto agevolazioni tariffarie per energia elettrica, gas, acqua e rifiuti a favore delle famiglie in disagio economico-sociale. Per il bonus rifiuti, il d.P.C.M. 24/2025 stabilisce, tra l’altro, i requisiti ISEE, la misura dell’agevolazione, l’automaticità del riconoscimento dal 1° gennaio 2025 e il potere di ARERA di definire, con propri provvedimenti e sentito il Garante, le modalità di condivisione delle informazioni tra INPS, SII, SGAte e gestori del servizio rifiuti.

Contenuto dello schema di deliberazione

Lo schema sottoposto al Garante approva il Testo unico per la regolazione delle modalità applicative per il riconoscimento del bonus sociale rifiuti (TUBR) e modifica alcune deliberazioni pregresse in materia di bonus sociali. Esso disciplina i flussi dati:

• da INPS ad ARERA, tramite il SII, per individuare i nuclei con ISEE sotto soglia;
• da ARERA agli enti erogatori, tramite SGAte, per l’individuazione delle utenze agevolabili, la quantificazione e il riconoscimento del bonus;
• dagli enti erogatori alla CSEA e viceversa, per verifica, rendicontazione e compensazione.

Tra i dati trasferiti rientrano, per i beneficiari maggiorenni, elementi della DSU e dell’attestazione ISEE, l’indirizzo di abitazione e i codici fiscali dei componenti del nucleo; per i minorenni, lo schema prevede un flusso differenziato, finalizzato a ridurre i dati trattati.

Ruoli privacy e qualificazione dei soggetti coinvolti

Il Garante osserva che la complessità della misura richiede la partecipazione di molti soggetti istituzionali: INPS, ARERA, Comuni ed enti di governo dell’ambito, CSEA, Acquirente Unico S.p.A. e ANCI. A seguito delle interlocuzioni intercorse, lo schema individua correttamente i ruoli privacy:

• INPS, ARERA, CSEA ed enti erogatori come titolari del trattamento per le attività di rispettiva competenza;
• Acquirente Unico S.p.A. e ANCI come responsabili del trattamento per la gestione del SII e di SGAte;
• CSEA come responsabile del trattamento per l’emissione del bonifico domiciliato nei casi di utenza cessata, quando l’erogazione diretta non è possibile.

Viene inoltre chiarito che i titolari devono rendere le informative agli interessati e che ARERA è titolare autonomo anche per le attività di gestione dei reclami e per la comunicazione dei dati dei beneficiari maggiorenni da INPS ad ANCI tramite SGAte.

Trattamento dei dati relativi ai minori

Un passaggio centrale del parere riguarda gli utenti minorenni intestatari di utenze. Il Garante valorizza la soluzione adottata per rispettare il principio di minimizzazione dei dati ex art. 5, par. 1, lett. c), GDPR e la particolare tutela dovuta ai minori ai sensi del considerando 38.

In luogo del flusso ordinario INPS-ARERA-enti erogatori, è previsto che:

• gli enti erogatori interroghino direttamente INPS;
• i dati dei minorenni siano acquisiti solo se la verifica sull’ISEE dà esito positivo;
• INPS conservi i dati per il tempo strettamente necessario alle verifiche.

Il Garante considera tale impostazione coerente anche con il principio di limitazione della conservazione ex art. 5, par. 1, lett. e), GDPR.

Privacy by design, finalità e monitoraggio aggregato

Il provvedimento viene ritenuto coerente con i principi di privacy by design e by default ex art. 25 GDPR. Il Garante sottolinea in particolare:

• la corretta individuazione dei Comuni e degli enti di governo dell’ambito come enti erogatori;
• la conformità degli adempimenti connessi alla comunicazione al SIUSS delle prestazioni basate sull’ISEE;
• la definizione del ruolo di ARERA come titolare solo per lo specifico caso del bonifico domiciliato in favore degli utenti con utenza cessata;
• la previsione che il monitoraggio sull’erogazione del bonus avvenga esclusivamente su dati aggregati, senza possibilità di reidentificazione, nemmeno indiretta.

Esito conclusivo

Tenuto conto delle interlocuzioni svolte e del fatto che il meccanismo di individuazione dei beneficiari è stato costruito, per quanto compatibile, in linea con la disciplina già valutata dal Garante con il parere del 17 dicembre 2020 sui bonus sociali elettrico, gas e idrico, il Garante esprime parere favorevole sullo schema di deliberazione ARERA e sul relativo allegato, in attuazione dell’art. 4, comma 2, del d.P.C.M. 21 gennaio 2025, n. 24.