Parere del Garante n. 255 del 29/04/2025

Parere sullo schema di decreto relativo al Portale nazionale del sommerso

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali adottato in attuazione dell’art. 4 del d.m. 20 novembre 2024, n. 170, concernente il Portale nazionale del sommerso (PNS). Il parere è reso nell’ambito della consultazione preventiva prevista dagli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR.

Quadro normativo di riferimento

Il PNS è previsto dall’art. 10 del d.lgs. 23 aprile 2004, n. 124, come modificato nel tempo, per finalità di programmazione dell’attività ispettiva e di monitoraggio del lavoro sommerso. La norma stabilisce che nel portale confluiscano le risultanze dell’attività di vigilanza svolta dall’Ispettorato nazionale del lavoro, dall’INPS, dall’INAIL, dall’Arma dei Carabinieri e dalla Guardia di finanza, nonché i verbali ispettivi e gli atti conseguenti, compresi quelli relativi ai contenziosi. Il comma 1-ter prevede inoltre un decreto ministeriale per individuare i dati condivisi e i soggetti abilitati all’accesso, nel rispetto della normativa in materia di protezione dei dati personali.

Il Garante richiama anche il proprio precedente parere sullo schema di decreto relativo all’art. 10, comma 1-ter, del d.lgs. 124/2004, nel quale aveva chiesto che fossero disciplinati gli elementi essenziali del trattamento oppure fosse prevista una disciplina rinviata a un successivo decreto da adottarsi previa nuova consultazione. Lo schema ora esaminato si colloca nel solco di tale impostazione.

Contenuto dello schema di decreto esaminato

Lo schema disciplina in modo puntuale il trattamento dei dati personali nell’ambito del PNS. In particolare:

• attribuisce il ruolo di titolari del trattamento ai soggetti cooperanti, cioè INL, INPS, INAIL, Arma dei Carabinieri e Guardia di finanza, abilitati sia a conferire sia a consultare i dati del portale;
• qualifica l’INL come titolare per i trattamenti dei dati raccolti e trattati all’interno del PNS, con compiti di gestione tecnica e informatica dell’infrastruttura;
• definisce le tipologie di dati trattati nel PNS e i criteri per l’individuazione dei documenti da condividere;
• disciplina lo scambio dei dati tramite la Piattaforma digitale nazionale dati (PDND);
• individua le misure tecniche e organizzative da adottare da parte dell’INL e dei soggetti cooperanti, anche negli allegati tecnici;
• prevede meccanismi di segnalazione tempestiva degli incidenti di sicurezza;
• stabilisce i tempi di conservazione dei dati trattati nel portale.

Valutazioni del Garante e recepimento delle osservazioni pregresse

Il Garante rileva che lo schema tiene conto delle osservazioni formulate nell’ambito di interlocuzioni informali, svolte con urgenza con il Ministero del lavoro e con l’INL, al fine di rendere conformi i trattamenti ai principi di privacy by design e privacy by default di cui all’art. 25 GDPR.

In particolare, il Garante valorizza il recepimento di alcune garanzie considerate essenziali:

• la chiara individuazione dei ruoli di titolare del trattamento in capo ai soggetti coinvolti, con particolare riferimento all’INL, nel rispetto dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• la previsione di specifiche garanzie per i dati relativi a condanne penali e reati, in conformità all’art. 10 GDPR e all’art. 2-octies del Codice privacy;
• la tutela rafforzata delle informazioni relative ai denuncianti, ammettendone la consultazione solo dopo l’adozione di misure di sicurezza aggiuntive, in coerenza con il principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), GDPR;
• la definizione dei tempi di conservazione e della loro decorrenza, in attuazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR;
• la previsione di misure di sicurezza idonee a garantire integrità e riservatezza, anche con meccanismi di tracciamento degli accessi e identificazione dell’operatore, in linea con l’art. 32 GDPR;
• l’introduzione di obblighi reciproci di segnalazione delle violazioni di dati personali, in modo da assicurare il rispetto degli artt. 33 e 34 GDPR.

Garanzie specifiche richieste e recepite

Per i dati relativi a condanne penali e reati eventualmente presenti nel PNS, lo schema prevede che l’accesso avvenga solo con indicazione della motivazione e mediante cruscotti di visualizzazione che rendano tali dati consultabili soltanto a seguito di una specifica ulteriore richiesta dell’operatore, con motivazione obbligatoria della consultazione.

Per le generalità dei denuncianti, il Garante sottolinea che la messa in consultazione avverrà solo dopo l’adozione di specifiche misure di sicurezza aggiuntive da concordare con i soggetti cooperanti, per prevenire possibili effetti pregiudizievoli nel contesto lavorativo o professionale.

Sul versante della sicurezza, viene richiamata la necessità di inviare al PNS un codice identificativo dell’operatore che ha effettuato l’interrogazione; nelle more dell’adeguamento tecnico, dovranno essere attivati specifici meccanismi di tracciamento idonei a registrare e conservare almeno l’identità dell’operatore e la data di consultazione.

Conservazione, sicurezza e gestione degli incidenti

Lo schema disciplina i tempi di conservazione dei dati trattati nel PNS e la relativa decorrenza, assicurando il rispetto del principio di limitazione della conservazione. Inoltre, l’INL, in quanto gestore dell’infrastruttura, e i soggetti cooperanti, in quanto erogatori e fruitori dei dati, sono tenuti ad adottare misure tecniche e organizzative adeguate ai rischi, anche con riferimento ai propri sistemi che si interfacciano con il portale.

È prevista anche una disciplina dei meccanismi di segnalazione tempestiva in caso di incidenti di sicurezza che possano compromettere integrità, riservatezza o disponibilità dei dati, così da assicurare una gestione coordinata delle eventuali violazioni di dati personali.

Ulteriori precisazioni sul rango delle modifiche future

Il Garante richiama infine che, come previsto anche dall’art. 5 dello schema e in coerenza con il precedente parere del 18 novembre 2024, eventuali modifiche e integrazioni che incidano sugli aspetti essenziali del trattamento dovranno essere adottate con un atto di pari rango e previa consultazione dell’Autorità. Rimane invece possibile disciplinare profili di dettaglio anche tramite protocolli d’intesa tra le parti.

Esito del parere

All’esito dell’esame, il Garante dichiara di non avere osservazioni da formulare e rende parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali relativo al Portale nazionale del sommerso.