Parere del Garante n. 573 del 16/09/2024

Schema di regolamento sulla patente a crediti nei cantieri temporanei o mobili

Il Garante per la protezione dei dati personali ha reso parere urgente, ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5, del Codice privacy, sullo schema di regolamento ministeriale attuativo dell’art. 27, commi 3 e 5, del d.lgs. 81/2008, come modificato dal d.l. 19/2024 convertito dalla l. 56/2024. Il testo disciplina le modalità di presentazione della domanda per conseguire la patente a crediti per imprese e lavoratori autonomi operanti nei cantieri temporanei o mobili, i contenuti informativi della patente, la sospensione, l’attribuzione e il recupero dei crediti.

Quadro normativo e finalità dello schema

La disciplina primaria prevede un sistema di qualificazione fondato su crediti e il rilascio di una patente digitale da parte dell’Ispettorato nazionale del lavoro, in presenza di determinati requisiti. Il decreto oggetto di parere serve a definire aspetti operativi e procedurali: modalità di presentazione della domanda, contenuti della patente, presupposti e procedimento per la sospensione, criteri di attribuzione dei crediti ulteriori e modalità di recupero dei crediti decurtati.

Contenuto essenziale del provvedimento esaminato

Lo schema è composto da 10 articoli e un allegato. In sintesi:

• la domanda si presenta per via telematica tramite il portale dell’INL, con requisiti comprovati mediante autocertificazione o dichiarazione sostitutiva di atto di notorietà ai sensi degli articoli 46 e 47 del d.P.R. 445/2000;
• la patente è rilasciata in formato digitale al completamento della procedura;
• nelle more del rilascio è consentito lo svolgimento dell’attività, salvo avviso contrario dell’INL;
• la patente è revocata se viene accertata definitivamente la non veridicità delle dichiarazioni rese;
• i contenuti informativi includono dati anagrafici, punteggio, provvedimenti di sospensione e decurtazione;
• l’art. 3 disciplina la sospensione cautelare nei casi di infortunio con morte o inabilità permanente imputabile al datore di lavoro, al delegato o al dirigente almeno a titolo di colpa grave;
• l’INAIL è tenuto a cooperare con l’INL fornendo le informazioni sugli eventi infortunistici;
• la patente parte da 30 crediti e può arrivare a 100;
• sono previsti crediti ulteriori per storicità dell’azienda, assenza di decurtazioni e investimenti in formazione;
• è disciplinato il recupero dei crediti decurtati per le patenti con punteggio inferiore a 15;
• sono previste regole per fusioni, trasformazioni e conferimenti d’azienda.

Valutazione del Garante

Il Garante ritiene che lo schema attui e completi il precetto legislativo, come già evidenziato anche dal Consiglio di Stato, e che nel complesso non presenti criticità di rilievo. Tuttavia, per assicurare la piena conformità alla disciplina in materia di protezione dei dati personali, individua alcune integrazioni necessarie, concentrate soprattutto sull’art. 2 dello schema.

Ostensione delle informazioni della patente: limitazione agli esiti dei provvedimenti

Il primo rilievo riguarda i contenuti informativi della patente resi accessibili ai soggetti indicati dal comma 2 dell’art. 2. Il comma 1 menziona anche i provvedimenti di sospensione e i provvedimenti definitivi adottati ai sensi dell’art. 27, comma 6, del d.lgs. 81/2008, cioè le sentenze passate in giudicato e le ordinanze-ingiunzione di cui all’art. 18 della l. 689/1981.

Il Garante osserva che la conoscibilità della perdurante validità della patente e della sua eventuale limitazione può giustificare l’ostensione degli esiti dei provvedimenti, ma non dell’intero provvedimento, che potrebbe contenere dati personali anche di terzi e dati appartenenti a categorie protette dagli articoli 9 e 10 GDPR. Per evitare un effetto incompatibile con il principio di minimizzazione dell’art. 5, par. 1, lett. c), GDPR, è richiesto di inserire alle lettere f) e g) del comma 1 dell’art. 2 la formula "esiti di".

Inoltre, per la lettera g), va chiarito se il riferimento sia all’esito del provvedimento di decurtazione oppure all’esito del provvedimento presupposto della decurtazione.

Accesso alle informazioni: elenco tassativo dei soggetti legittimati

Il comma 2 dell’art. 2 attribuisce l’accesso ai dati della patente a soggetti titolari di un interesse qualificato, elencando categorie come pubbliche amministrazioni, rappresentanti dei lavoratori per la sicurezza, responsabili dei lavori e coordinatori per la sicurezza. Il Garante evidenzia che l’elenco è formulato in modo non tassativo e che ciò, in assenza di parametri legislativi specifici, rischia di rendere troppo discrezionale la valutazione delle richieste di ostensione.

Per questo motivo chiede che l’elenco venga reso tassativo. Inoltre, ritiene necessario che il provvedimento dell’Ispettorato nazionale del lavoro, chiamato a definire le modalità di ostensione delle informazioni, sia sottoposto al parere del Garante, in modo da assicurare la conformità della disciplina al GDPR e al Codice privacy.

Conservazione, obsolescenza e cancellazione delle informazioni

Un ulteriore profilo critico riguarda la gestione temporale dei dati. Lo schema non indica con sufficiente precisione i tempi di conservazione delle informazioni sul portale, né i presupposti per la loro cancellazione quando siano divenute obsolete.

Il Garante richiama i principi di limitazione della conservazione e di esattezza di cui all’art. 5, par. 1, lett. d) ed e), GDPR, e chiede che la disciplina sia integrata prevedendo:

• i tempi di conservazione delle informazioni ai fini della loro ostensibilità;
• i presupposti della cancellazione delle informazioni non più attuali.

Esito del parere e condizioni poste

Il parere è quindi favorevole, ma subordinato a condizioni precise. In particolare, il Garante richiede di modificare l’art. 2 del regolamento:

• inserendo le parole "esiti di" alle lettere f) e g) del comma 1;
• chiarendo il significato della lettera g);
• rendendo tassativo l’elenco del comma 2;
• prevedendo il parere del Garante sul provvedimento dell’INL sulle modalità di ostensione;
• disciplinando tempi di conservazione e presupposti di cancellazione delle informazioni.

In assenza di tali integrazioni, la disciplina non garantirebbe pienamente il rispetto dei principi di minimizzazione, esattezza e limitazione della conservazione previsti dal GDPR.