Parere del Garante n. 541 del 12/09/2024

Parere sul disciplinare INPS per i controlli su ADI e SFL

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di disciplinare predisposto dall’INPS per definire le tipologie di dati, le modalità di acquisizione delle informazioni e le misure di tutela degli interessati nell’ambito delle verifiche sui requisiti per l’Assegno di inclusione (ADI) e per il Supporto per la formazione e il lavoro (SFL). Il parere è reso ai sensi dell’art. 4, commi 5 e 8, del d.m. 13 dicembre 2023, in attuazione del d.l. 4 maggio 2023, n. 48, nonché degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR.

Quadro normativo e contesto dei controlli

Il d.l. 48/2023 ha introdotto l’ADI e il SFL e, per consentire l’interoperabilità delle piattaforme coinvolte nell’erogazione delle misure, ha istituito presso il Ministero del lavoro e delle politiche sociali il Sistema informativo per l’inclusione sociale e lavorativa (SIISL). Il d.m. 13 dicembre 2023 disciplina, in particolare, le modalità di presentazione delle domande e le attività di verifica dei requisiti che l’INPS deve svolgere sulla base di informazioni provenienti dalle proprie banche dati o messe a disposizione da comuni e altre amministrazioni.

In base all’art. 4 del decreto ministeriale, l’INPS deve adottare, sentito il Garante, un disciplinare sui controlli che definisca, ove non già disciplinate, le tipologie di dati, le modalità di acquisizione delle informazioni e le misure a tutela degli interessati. La previsione riguarda anche le verifiche sulle domande di SFL.

Contenuto dello schema esaminato

Lo schema trasmesso dall’INPS il 5 agosto 2024, corredato da allegati tecnici, relazione di accompagnamento e valutazione di impatto ex art. 35 GDPR, disciplina:

• le verifiche sulla condizione di svantaggio o sull’inserimento in programmi di cura e assistenza certificati da strutture sanitarie, organi o uffici del Ministero della giustizia e servizi sociali comunali;
• gli scambi informativi con amministrazioni titolari di dati rilevanti per i requisiti, tra cui comuni, Ministero dell’interno, ACI, Agenzia delle entrate, Ministero della giustizia e Ministero dell’istruzione e del merito;
• le verifiche sulle banche dati INPS, tra cui DSU in corso di validità, residenza, stato lavorativo e percezione di misure incompatibili;
• le regole in materia di protezione dei dati personali, conservazione, sicurezza e data breach.

I controlli sono previsti sia in fase istruttoria sia, di regola, con cadenza mensile, nonché al rinnovo delle prestazioni per quanto concerne i dati detenuti dall’INPS.

Valutazioni del Garante sui flussi informativi

Il Garante rileva che lo schema tiene conto delle osservazioni formulate dall’Ufficio nel corso delle interlocuzioni informali, con l’obiettivo di rendere i trattamenti conformi al principio di privacy by design e by default di cui all’art. 25 GDPR.

In particolare, l’Autorità valuta positivamente:

• la ricostruzione delle basi giuridiche dei flussi di dati personali tra INPS e altre amministrazioni titolari dei trattamenti, con riferimento ai controlli sulla condizione di svantaggio, sulla residenza, sull’adempimento degli obblighi di istruzione e sulle informazioni acquisite in materia di comunicazioni obbligatorie;
• l’individuazione delle sole tipologie di dati necessarie a consentire la conferma della condizione di svantaggio o dell’inserimento nei programmi di cura e assistenza;
• la previsione di dati di contatto del richiedente da trasmettere alle amministrazioni competenti solo per facilitare l’individuazione della struttura certificante;
• le procedure di informazione tempestiva e reciproca tra INPS e altre amministrazioni in caso di violazioni di sicurezza suscettibili di configurare violazioni di dati personali, ai fini degli obblighi di cui agli artt. 33 e 34 GDPR.

Principio di minimizzazione e precedenti

Un passaggio centrale del parere riguarda il modello di interoperabilità previsto per alcuni controlli, in particolare quelli con ACI, Agenzia delle entrate e Ministero della giustizia in relazione al Casellario giudiziale. Il Garante osserva che il sistema è strutturato in modo da far circolare soltanto i dati strettamente necessari all’esecuzione delle verifiche richieste dalla legge, in linea con il principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), GDPR.

L’Autorità richiama anche un precedente parere relativo a un disciplinare analogo per i controlli sul Reddito di cittadinanza, evidenziando la continuità dell’impostazione seguita per misure di sostegno economico e inclusione sociale basate su scambi informativi tra più amministrazioni.

Esito del parere

Alla luce delle valutazioni svolte, il Garante ritiene di poter esprimere parere favorevole sullo schema di disciplinare concernente l’individuazione e definizione delle tipologie di dati, delle modalità di acquisizione delle informazioni e delle misure a tutela degli interessati per le attività di verifica dell’INPS sui requisiti di accesso all’ADI e al SFL.

Il dispositivo finale non contiene condizioni o prescrizioni ulteriori: il parere è semplicemente favorevole, ritenendo lo schema conforme alla normativa in materia di protezione dei dati personali.