VEDI ANCHE Newsletter del 22 ottobre 2024

[doc. web n. 10063523]

Parere sullo schema di disciplinare concernente “Individuazione e definizione delle tipologie di dati, delle modalità di acquisizione delle informazioni e delle misure a tutela degli interessati, funzionali alle attività di verifica operata dall’INPS sul possesso dei requisiti per l'accesso ai benefici dell’Assegno di Inclusione e del Supporto per la Formazione e il Lavoro” - 12 settembre 2024

Registro dei provvedimenti
n. 541 del 12 settembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il d.l. 4 maggio 2023, n. 48 e ss.mm., recante “Misure urgenti per l’inclusione sociale e l’accesso al mondo del lavoro”, che introduce l’Assegno di inclusione (ADI, “misura di sostegno economico e di inclusione sociale e professionale“; artt. 1 e 2), e il Supporto per la formazione e il lavoro (SFL, “misura di attivazione al lavoro”; art. 12), e che, al fine di consentire l'interoperabilità di tutte le piattaforme utilizzate per l’erogazione delle predette misure, istituisce, presso il Ministero del lavoro e delle politiche sociali, il Sistema informativo per l'inclusione sociale e lavorativa (SIISL; art. 5);

VISTI i due decreti del Ministro del lavoro e delle politiche sociali 8 agosto 2023, recanti, rispettivamente, “Sistema informativo per l'inclusione sociale e lavorativa” (attuativo del SIISL, ai sensi dell’art. 5, comma 3, del d.l. 48/2023) e “Supporto per la formazione e il lavoro” (attuativo del SFL, ai sensi del combinato disposto di cui agli artt. 12, commi 11 e 13, e 4, comma 7, del d.l. 48/2023), su cui il Garante si è pronunciato con provv. n. 354 del 3 agosto 2023 (disponibile sul sito istituzionale www.garanteprivacy.it, doc. web n. 9918937);

VISTO il decreto del Ministro del lavoro e delle politiche sociali 13 dicembre 2023, recante “Assegno di inclusione” (attuativo dell’ADI, ai sensi dell’art. 4, comma 7, del d.l. 48/2023) su cui il Garante si è pronunciato con provv. n. 597 del 12 dicembre 2023 (doc. web n. 10000877);

VISTO, nello specifico, l’art. 4 del d.m. 13 dicembre 2023, il quale, oltre alle modalità di presentazione all’INPS della domanda di ADI da parte del richiedente (commi 1-4), disciplina le attività di verifica effettuate dall’Istituto medesimo sul possesso dei requisiti – che, ai sensi dell’art. 2, comma 2, del d.l. 48/2023 devono essere posseduti al momento della presentazione della richiesta e per tutta la durata dell'erogazione del beneficio – prevedendo, in particolare, che:

- la richiesta sia accolta dall'INPS, “previa verifica del possesso dei requisiti, sulla base delle pertinenti informazioni disponibili sulle proprie banche dati o messe a disposizione dai comuni, dal Ministero dell'interno attraverso l'Anagrafe nazionale della popolazione residente (ANPR), dal Ministero della giustizia, dal Ministero dell'istruzione e del merito, dall'anagrafe tributaria, dal pubblico registro automobilistico e dalle altre pubbliche amministrazioni detentrici dei dati necessari per la verifica dei requisiti, attraverso sistemi di interoperabilità, […] fatti salvi i controlli ai sensi e per gli effetti dell'art. 7 del decreto-legge n. 48 del 2023. […] L'INPS, sentito il Garante per la protezione dei dati personali, adotta un disciplinare sui controlli nel quale definisce, ove non già disciplinate, le tipologie di dati, le modalità di acquisizione delle predette informazioni e le misure a tutela degli interessati, funzionali alla verifica del possesso dei requisiti di cui al periodo precedente. La disposizione si intende riferita anche alle verifiche da effettuare sulle domande di SFL” (comma 5);

- l’INPS comunichi “ai comuni responsabili dei controlli anagrafici, ai sensi dell'art. 8, comma 11, del decreto-legge n. 48 del 2023, le posizioni che necessitano di ulteriori accertamenti, mediante GePI. L'esito delle verifiche è comunicato dai comuni all'INPS attraverso la medesima piattaforma […]. Le disposizioni di cui al presente comma si intendono riferite anche ai controlli anagrafici relativi al SFL” (comma 6);

- “con riferimento alle sole certificazioni di svantaggio rilasciate dal comune, ovvero alle attestazioni relative all'inserimento in programmi di cura e assistenza a titolarità dei comuni, delle quali sia stato auto-dichiarato il possesso ai sensi del comma 4, l'INPS [comunichi] tempestivamente, al comune indicato dal richiedente, le dichiarazioni da verificare, mediante la piattaforma GePI. L'esito delle verifiche è comunicato dal comune all'INPS attraverso la medesima piattaforma” (comma 7);

- “con riferimento alle certificazioni di svantaggio diverse da quelle di cui al comma 7 e non già disponibili sul SIISL o negli archivi dell'Istituto, l'INPS [verifichi] l'esistenza della certificazione interrogando in interoperabilità, il Nuovo sistema informativo sanitario (NSIS) del Ministero della salute […] per le certificazioni di natura sanitaria, e i sistemi informativi del Ministero della giustizia per le certificazioni inerenti alla condizione di detenzione. […] In sede di prima applicazione, nelle more della implementazione della interoperabilità tra il SIISL e le banche dati di cui al periodo precedente, l'amministrazione che ha adottato il provvedimento di inserimento nei programmi di cura e assistenza dei soggetti che si trovano in una delle condizioni di svantaggio indicate all'art. 3 è tenuta ad attestare la sussistenza della condizione certificata di svantaggio e l'inserimento nel programma di cura e assistenza. La predetta attestazione deve essere confermata […] dalle competenti amministrazioni attraverso il servizio dedicato reso disponibile da INPS. […] L'INPS, sentito il Garante per la protezione dei dati personali, adotta un disciplinare sui controlli nel quale definisce, ove non già disciplinate, le tipologie di dati, le modalità di acquisizione delle predette informazioni e le misure a tutela degli interessati, funzionali alla verifica del possesso dei requisiti. La disposizione si intende riferita anche alle verifiche da effettuare sulle domande di SFL” (comma 8);

VISTE le note inviate, da ultimo, in data 5 agosto 2024, con le quali l’INPS ha trasmesso all’Autorità lo schema di disciplinare concernente l’“Individuazione e definizione delle tipologie di dati, delle modalità di acquisizione delle informazioni e delle misure a tutela degli interessati, funzionali alle attività di verifica operata dall’INPS sul possesso dei requisiti per l'accesso ai benefici dell’Assegno di Inclusione e del Supporto per la Formazione e il Lavoro”, ai sensi dell’art. 4, commi 5 e 8, del d.m. 13 dicembre 2023, comprensivo di cinque allegati tecnici, nonché di relazione di accompagnamento e valutazione di impatto sulla protezione dei dati di cui all’art. 35 del Regolamento;

RILEVATO che il suddetto schema di disciplinare individua, in particolare:

- le modalità di verifica circa la condizione di svantaggio o l’inserimento in programmi di cura e assistenza, certificati da strutture sanitarie dipendenti dal Ministero della salute, da organi o uffici del Ministero della giustizia o dai servizi sociali dei Comuni (art. 2, n. 3), dello schema);

- le modalità di verifica dei requisiti mediante scambi informativi con le amministrazioni titolari dei trattamenti di competenza, quali quelli concernenti: la residenza (presso i Comuni); il possesso del permesso di soggiorno o dello status di protezione internazionale (presso il Ministero dell’interno); l’intestazione o la piena disponibilità di autoveicoli (presso l’ACI); il valore del patrimonio immobiliare come definito ai fini ISEE (presso l’Agenzia delle entrate); la sottoposizione a misure cautelari personali e misure di prevenzione, a detenzione, a presenza di sentenze definitive di condanna o adottate ai sensi degli art. 444 ss. c.p.p. (presso il Ministero della giustizia); l’adempimento degli obblighi di istruzione per i componenti il nucleo ADI e il richiedente del SFL di età compresa tra i 18 e i 29 anni (presso il Ministero dell’istruzione e del merito). Tali flussi sono previsti in fase di istruttoria della domanda e, successivamente, con cadenza di norma mensile (art. 3 dello schema);

- le modalità di verifica dei requisiti mediante consultazione delle informazioni disponibili all’interno delle banche dati detenute dall’INPS, quali quelle concernenti: l’esistenza di una DSU in corso di validità e validamente attestata all’atto della presentazione della domanda e per l’intera durata di percezione della misura; la residenza; stato lavorativo in cui versa il richiedente o un componente il nucleo familiare; la percezione di altre misure incompatibili o che rilevano ai fini del diritto al beneficio. Tali verifiche sono realizzate con cadenza di norma mensile, in fase di istruttoria della domanda e successivamente per ogni rinnovo (art. 4 dello schema);

- le disposizioni in materia di protezione dei dati personali, alla luce di quanto stabilito dal d.l. 48/2023 e dal d.m. 13 dicembre 2023 (art. 6 dello schema), quali: la limitazione del trattamento per le finalità di controllo previste; il ruolo di titolare del trattamento in capo all’INPS con riferimento all’acquisizione e alla gestione della domanda, nonché al riconoscimento, all’erogazione, alla sospensione e alla revoca di ADI e SFL; i tempi di conservazione, da parte dell’INPS, dei dati relativi alla verifica dei requisiti; gli obblighi, per le amministrazioni con le quali l’INPS instaura i flussi informativi, di trattare i dati esclusivamente al fine di restituire le informazioni richieste per i controlli in esame, nonché di cancellare i dati ricevuti dall'Istituto una volta restituiti i riscontri richiesti;

-  le misure in materia di violazioni dei dati personali e sicurezza del trattamento (artt. 8 e 9 dello schema);

CONSIDERATO che lo schema di disciplinare in esame tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intercorse al fine di rendere conformi alla normativa in materia di protezione dei dati personali, in ossequio al principio di privacy by design e by default (art. 25 del Regolamento), i trattamenti ivi disciplinati, che hanno riguardato, in particolare:

- le basi giuridiche che legittimano i flussi di dati personali, a fini di verifica del possesso dei requisiti, instaurati dall’INPS con altre amministrazioni titolari dei trattamenti di competenza (quali quelli concernenti la condizione di svantaggio o l’inserimento in programmi di cura e assistenza da parte dei servizi socio-sanitari, la residenza, l’adempimento degli obblighi di istruzione, ma anche con riferimento alle informazioni acquisite dall’Istituto in materia di comunicazioni obbligatorie), nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), del Regolamento);

- le tipologie di dati personali messi a disposizione delle amministrazioni competenti a confermare la sussistenza della condizione di svantaggio o dell’inserimento in programmi di cura e assistenza (compresi i dati di contatto del richiedente il beneficio, al solo fine di agevolare l’individuazione della struttura certificante), nel rispetto del principio di minimizzazione dei dati (art. 5, par. 1, lett. c), del Regolamento);

- le procedure di informazione tempestiva e reciproca tra l’INPS e le altre amministrazioni coinvolte nei flussi in caso di violazioni di sicurezza suscettibili di configurarsi come violazione di dati, al fine di agevolare l'adempimento degli obblighi di cui agli artt. 33 e 34 del Regolamento;

CONSIDERATO, inoltre, che le modalità di verifica di taluni requisiti mediante scambi informativi con le amministrazioni titolari dei trattamenti di competenza (quali l’ACI, l’Agenzia delle entrate e il Ministero della giustizia con riferimento al Casellario giudiziale) sono impostati secondo un modello che assicura la comunicazione dei soli dati personali strettamente necessari ai fini dell’effettuazione delle verifiche previste per legge, in ossequio al richiamato principio di minimizzazione dei dati, già vagliato dal Garante in sede di esame dello schema di disciplinare che regolava in modo analogo i controlli sull’erogazione della misura del Reddito di cittadinanza (cfr. il parere reso con provv. n. 231 del 26 novembre 2020, doc. web n. 9492971);

RITENUTO, pertanto, di poter esprimere parere favorevole sullo schema di disciplinare in esame;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di disciplinare concernente “Individuazione e definizione delle tipologie di dati, delle modalità di acquisizione delle informazioni e delle misure a tutela degli interessati, funzionali alle attività di verifica operata dall’INPS sul possesso dei requisiti per l'accesso ai benefici dell’Assegno di Inclusione e del Supporto per la Formazione e il Lavoro”, ai sensi dell’art. 4, commi 5 e 8, del decreto del Ministro del lavoro e delle politiche sociali 13 dicembre 2023.

Roma, 12 settembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei