Ordinanza ingiunzione o revoca n. 821 del 19/12/2024

INPS - invio di comunicazioni su invalidità civile al genitore biologico di una minore adottata

Il provvedimento riguarda l’INPS e un trattamento di dati personali relativo a una minore adottata beneficiaria di prestazioni di invalidità civile. L’istruttoria nasce da un reclamo dei genitori adottivi, che hanno segnalato l’invio di comunicazioni sanitarie e assistenziali al genitore biologico, ormai privo di responsabilità genitoriale.

Fatti oggetto del reclamo

I reclamanti hanno rappresentato che la Direzione provinciale INPS di XX avrebbe:

• inviato al genitore biologico un provvedimento di sospensione della prestazione ex l. 104/1992;
• inviato allo stesso soggetto anche la convocazione a visita di revisione;
• rivelato così il cognome acquisito dalla minore dopo l’adozione.

È stato inoltre lamentato che tale errore avrebbe determinato la mancata ricezione della convocazione e la conseguente decadenza/sospensione del beneficio assistenziale.

Riscontri forniti da INPS

INPS ha confermato l’invio delle comunicazioni al genitore biologico. Ha spiegato che:

• i suoi dati erano ancora associati all’anagrafica della minore, perché la domanda originaria di prestazione era stata presentata da lui prima dell’adozione;
• in via generale, le comunicazioni per le pratiche di invalidità civile dei minori vengono inviate al legale rappresentante;
• nel caso concreto, pur essendo stata aggiornata l’anagrafica della minore il 21 luglio 2021, non erano state attuate correttamente le istruzioni operative interne del 22 marzo 2021;
• dopo la segnalazione, sono stati aggiornati i riferimenti e oscurate le comunicazioni errate.

L’Istituto ha poi indicato che, per le domande presentate dopo il 15 novembre 2023, è stato introdotto un controllo che blocca l’invio automatico di comunicazioni in caso di variazione del codice fiscale del minore; per le posizioni precedenti, ha affermato di aver avviato ulteriori interventi tecnici e organizzativi.

Normativa richiamata

Il Garante richiama il quadro normativo applicabile ai trattamenti effettuati da un soggetto pubblico:

• art. 6, par. 1, lett. c) ed e), e par. 3, GDPR;
• art. 2-ter Codice privacy;
• art. 9, par. 2, lett. g), GDPR;
• art. 2-sexies Codice privacy;
• artt. 27, comma 3, e 28, comma 3, l. 184/1983, che impongono di non fornire informazioni dalle quali possa emergere il rapporto di adozione.

Sono inoltre richiamati i principi di:

• liceità, correttezza e trasparenza;
• esattezza;
• integrità e riservatezza;
• sicurezza del trattamento e misure tecniche e organizzative adeguate al rischio, come previsti dall’art. 5 e dall’art. 32 GDPR.

Valutazioni del Garante

L’Autorità ha accertato che INPS, pur avendo aggiornato l’anagrafica della minore con i genitori adottivi, non aveva predisposto misure sufficienti a evitare che le comunicazioni relative alla prestazione fossero inviate al genitore biologico.

In particolare, le istruzioni operative interne risultavano inadeguate a mitigare il rischio di mancato o tardivo aggiornamento del legale rappresentante nelle posizioni dei minori adottati. Ne è conseguito:

• il trattamento di dati inesatti, perché non aggiornati all’intervenuta adozione;
• la comunicazione di dati personali, anche sanitari, a un soggetto che, non avendo più la responsabilità genitoriale, era da considerarsi terzo;
• la divulgazione indiretta del nuovo cognome della minore, con possibile ricostruzione del rapporto di adozione;
• un pregiudizio ulteriore, per la mancata ricezione della convocazione a visita e la sospensione dei benefici assistenziali.

Effetti successivi e misure adottate da INPS

Nel corso dell’istruttoria INPS ha comunicato che, a seguito dell’intervento dell’Autorità:

• il centro medico-legale ha redatto un nuovo verbale sanitario con i dati anagrafici post adozione;
• le comunicazioni successive sono state inviate correttamente ai genitori adottivi;
• le prestazioni economiche risultano nuovamente in pagamento;
• i dati del genitore adottivo sono correttamente registrati anche ai fini di eventuali ulteriori diritti connessi all’handicap grave.

Il Garante ha inoltre preso atto delle misure tecniche e organizzative adottate dall’Istituto per prevenire casi analoghi, sia per le posizioni successive al 15 novembre 2023 sia per quelle anteriori.

Esito: illiceità del trattamento e sanzione

Il Garante ha ritenuto illecito il trattamento per violazione di:

• art. 5, par. 1, lett. a), d) e f), GDPR;
• art. 9, par. 2, lett. g), GDPR;
• art. 32 GDPR;
• art. 2-sexies Codice privacy.

Ha applicato l’art. 83, par. 3, GDPR, ritenendo che le violazioni derivassero da un’unica condotta, e ha considerato la sanzione astrattamente riconducibile all’art. 83, par. 5, GDPR. Nella quantificazione ha valorizzato:

• la gravità media della violazione;
• la particolare sensibilità dei dati, anche sanitari, coinvolti;
• il contesto normativo rigoroso in materia di adozione;
• l’assenza di precedenti;
• la collaborazione dell’INPS;
• l’adozione di misure correttive e il ripristino della corretta erogazione della prestazione.

L’importo irrogato è pari a euro 20.000,00.

Dispositivo

Il Garante:

• ha rilevato l’illiceità del trattamento;
• ha ordinato a INPS il pagamento della sanzione amministrativa pecuniaria di euro 20.000,00;
• ha ingiunto il pagamento entro 30 giorni dalla notificazione, salvo definizione della controversia nei termini di legge;
• ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• ha disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ha disposto l’annotazione delle violazioni e delle misure adottate nel registro interno.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dall’art. 152 Codice privacy e dall’art. 10 d.lgs. 150/2011.