[doc. web n. 10129880]

Parere al Ministero del Lavoro e delle Politiche sociali sullo schema di decreto concernente il Portale nazionale del sommerso (PNS)

Registro dei provvedimenti
n.  255 del 29 aprile 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il d.lgs. 23 aprile 2004, n. 124, recante Razionalizzazione delle funzioni ispettive in materia di previdenza sociale e di lavoro, a norma dell'articolo 8 della legge 14 febbraio 2003, n. 30, come modificato dal d.l. 30 aprile 2022, n. 36 (convertito, con modificazioni, dalla l. 29 giugno 2022, n. 79) e, da ultimo, dal d.l. 28 ottobre 2024, n. 160 (convertito, con modificazioni, dalla l. 20 dicembre 2024, n. 199);

VISTO l’art. 10 del menzionato d.lgs. 124/2004, concernente Razionalizzazione e coordinamento della attività ispettiva, il quale, in particolare, stabilisce che:

- “Al fine di una efficace programmazione dell'attività ispettiva nonché di monitorare il fenomeno del lavoro sommerso su tutto il territorio nazionale, le risultanze dell'attività di vigilanza svolta dall'Ispettorato nazionale del lavoro e dal personale ispettivo dell'INPS, dell'INAIL, dell'Arma dei Carabinieri e della Guardia di finanza avverso violazioni in materia di lavoro sommerso nonché in materia di lavoro e legislazione sociale confluiscono in un portale unico nazionale gestito dall'Ispettorato nazionale del lavoro denominato Portale nazionale del sommerso (PNS). Il Portale nazionale del sommerso sostituisce e integra le banche dati esistenti attraverso le quali l'Ispettorato nazionale del lavoro, l'INPS e l'INAIL condividono le risultanze degli accertamenti ispettivi” (comma 1);

- “Nel portale di cui al comma 1 confluiscono i verbali ispettivi nonché ogni altro provvedimento consequenziale all'attività di vigilanza, ivi compresi tutti gli atti relativi ad eventuali contenziosi instaurati sul medesimo verbale” (comma 1-bis);

- “L'Ispettorato nazionale del lavoro assicura, con modalità tecniche dallo stesso definite, la possibilità di accesso al Portale nazionale del sommerso da parte delle pubbliche amministrazioni e degli enti che erogano o gestiscono fondi pubblici, per le finalità di verifica nelle attività di propria competenza, nel rispetto della vigente normativa in materia di tutela dei dati personali. Con uno o più decreti del Ministro del lavoro e delle politiche sociali, da adottare entro centoventi giorni dalla data di entrata in vigore della presente disposizione, sono individuati i dati oggetto di condivisione ai sensi del comma 1, nonché i soggetti abilitati ad accedere al Portale nazionale del sommerso ai sensi del presente comma” (comma 1-ter);

VISTO il provv. n. 723 del 18 novembre 2024 (disponibile sul sito istituzionale www.garanteprivacy.it, doc. web n. 10095723) con cui il Garante ha reso il parere sullo schema di decreto di cui al menzionato art. 10, comma 1-ter, del d.lgs. 124/2004, ponendo la condizione che lo stesso disciplinasse gli elementi essenziali del trattamento (descritti nella motivazione del parere stesso) ovvero introducesse un’autonoma disposizione che rinviasse la disciplina dei predetti elementi essenziali del trattamento ad un successivo decreto da adottarsi previo parere del Garante medesimo;

VISTO il decreto del Ministro del lavoro e delle politiche sociali 20 novembre 2024, n. 170, che stabilisce che, “Al fine di realizzare la tempestiva attuazione delle misure finalizzate a conseguire gli obiettivi del Piano nazionale per la lotta al lavoro sommerso, entro il 30 maggio 2025 sono completate le attività volte ad assicurare l’interoperabilità dei dati relativi alle violazioni in materia di lavoro sommerso nonché in materia di lavoro e legislazione sociale all’interno del Portale nazionale del sommerso di cui all’articolo 10, comma 1, del decreto legislativo 23 aprile 2004, n. 124” (art. 1, comma 1);

VISTO, in particolare, l’art. 4 del menzionato d.m. 170/2024, concernente il Trattamento dei dati personali, il quale, nel recepire le osservazioni formulate dal Garante nel predetto parere, prevede che:

- “Il trattamento dei dati personali ai sensi dell’articolo 1, comma 3, del presente decreto è effettuato a norma del Regolamento 2016/679/UE del Parlamento europeo e del Consiglio del 27 aprile 2016, nonché del decreto legislativo 30 giugno 2023, n. 196 e, per i dati inerenti alle violazioni penali di cui all’articolo 1, comma 3, lettera l), è consentito esclusivamente per i motivi di interesse pubblico di cui all’articolo 10, comma 1, del decreto legislativo 23 aprile 2004, n. 124” (comma 1);

- “Con successivo decreto del Ministero del lavoro e delle politiche sociali, da adottarsi ai sensi dell’articolo 10, comma 1-ter, del decreto legislativo 23 aprile 2004, n. 124, sono disciplinati gli elementi essenziali del trattamento dei dati personali e, in particolare: a) le tipologie di dati personali trattati, sia con riferimento a quelli che alimentano il Portale, sia con riferimento a quelli che vengono messi a disposizione di ciascuno dei soggetti abilitati, nonché i relativi tempi di conservazione proporzionati rispetto alle finalità perseguite; b) le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati in relazione al trattamento di categorie particolari di dati e dei dati relativi a condanne penali e reati di cui agli artt. 9 e 10 del Regolamento 2016/679/UE, nonché degli artt. 2-sexies e 2-octies del decreto legislativo 30 giugno 2023, n. 196; c) le misure tecniche e organizzative per garantire un livello di sicurezza adeguato ai rischi per i diritti e le libertà fondamentali degli interessati; d) i flussi di dati personali tra il Portale e la Piattaforma per la gestione delle azioni di compliance e per il contrasto al lavoro sommerso, rilasciata dall’INPS, anche con riferimento alle tipologie di dati personali coinvolte, alle modalità attraverso cui si articola tale interoperabilità e alle misure tecniche e organizzative necessarie per garantire la sicurezza; e) i ruoli assunti dai soggetti coinvolti nei trattamenti di dati personali” (comma 2);

- “Fermo il disposto dell’articolo 10 comma 1-ter del decreto legislativo 23 aprile 2004, n. 124, i soggetti cooperanti adottano ogni misura tecnica e organizzativa idonea ad assicurare la tutela dei dati personali trattati, garantendo altresì la sicurezza dei medesimi per tutte le fasi del trattamento, previa valutazione di impatto sulla produzione dei dati ai sensi dell’articolo 35 del citato Regolamento 2016/679/UE” (comma 3);

VISTA la nota inviata il 24 aprile 2025 con cui è stato trasmesso all’Autorità, ai fini dell’acquisizione del parere di competenza, lo schema di decreto del Ministro del lavoro e delle politiche sociali di cui all’art. 4 del d.m. 170/2024, comprensivo di tre allegati;

RILEVATO che, nella predetta nota, viene evidenziato che “la Commissione europea ha imposto la data del 30 maggio, recepita nel D.M. 170/2024 per la messa in esercizio del Portale, riservandosi di procedere ad una diretta verifica dell’effettiva funzionalità del Portale ai fini della conferma dei finanziamenti PNRR”;

RILEVATO che il suddetto schema di decreto stabilisce, in particolare:

- il ruolo di titolare del trattamento assunto da INL, INPS, INAIL, Arma dei Carabinieri e Guardia di Finanza quali soggetti cooperanti, ai sensi dell’art. 10, comma 1, del d.lgs. 124/2004, abilitati sia a conferire che a consultare i dati trattati all’interno del PNS (art. 1, comma 3, e art. 2, comma 1), nonché, nello specifico, dall’INL in relazione ai trattamenti dei dati raccolti e trattati all’interno del PNS, curandone la gestione tecnica ed informatica (art. 2, comma 2);

- le tipologie di dati personali trattati all’interno del PNS (art. 1, commi 1 e 2, e allegato A));

- le modalità di individuazione dei documenti da condividere tra i soggetti cooperanti (art. 1, comma 4);

- le modalità di scambio dei dati, prevedendo il ricorso alla Piattaforma digitale nazionale dati (PDND) (art. 3, comma 1);

- le misure tecniche e organizzative che l’INL, quale gestore dell’infrastruttura che ospita il PNS, e i soggetti cooperanti, quali erogatori e fruitori dei dati trattati nell’ambito del PNS, sono tenuti ad assicurare (art. 3, commi 2, 3, 4 e 6, e allegati B) e C));

- i meccanismi di segnalazione tempestiva che soggetti cooperanti e INL devono adottare per gestire incidenti di sicurezza che possano comportare una compromissione di integrità, riservatezza e disponibilità dei dati trattati nell’ambito del PNS (art. 3, comma 5);

- i tempi di conservazione dei dati trattati nell’ambito del PNS (art. 4);

CONSIDERATO che lo schema di decreto in esame tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali, aventi carattere d’urgenza, intercorse con rappresentanti del Ministero del lavoro e delle politiche sociali e dell’INL al fine di rendere conformi alla normativa in materia di protezione dei dati personali, in ossequio ai principi di privacy by design e privacy by default (art. 25 del Regolamento), i trattamenti ivi disciplinati, che hanno riguardato, in particolare:

- i ruoli di titolari del trattamento assunti dai soggetti a vario titolo coinvolti, con particolare riferimento a quello rivestito dall’INL in relazione ai dati raccolti e trattati all’interno del PNS, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), del Regolamento);

- l’adozione, nel rispetto dell’art. 10 del Regolamento e dell’art. 2-octies del Codice, di specifiche garanzie appropriate per i diritti e le libertà degli interessati con riferimento al trattamento di dati personali relativi a condanne penali e reati eventualmente presenti nel PNS nell’ambito delle istruttorie conseguenti agli accertamenti ispettivi, quali: l’indicazione della motivazione all’accesso a tali dati per il tramite dei servizi di cooperazione applicativa; l’implementazione, all’interno dei cruscotti di visualizzazione in uso presso i soggetti cooperanti, di meccanismi che prevedano la visualizzazione dei predetti dati solo a seguito di specifica ulteriore richiesta dell’operatore, con inserimento obbligatorio della motivazione della consultazione;

- la messa in consultazione, tramite il PNS, delle informazioni relative alle generalità delle persone denuncianti, solo successivamente all’adozione di specifiche misure di sicurezza aggiuntive da definire con i soggetti cooperanti, nel rispetto del principio di minimizzazione dei dati (art. 5, par. 1, lett. c), del Regolamento), anche al fine di prevenire possibili effetti pregiudizievoli per i medesimi denuncianti, specie nel delicato contesto lavorativo o professionale;

- la definizione dei tempi di conservazione dei dati trattati nell’ambito del PNS e della relativa decorrenza, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e), del Regolamento;

- l’individuazione di misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato ai rischi, da impartire anche ai soggetti cooperanti con riferimento ai propri sistemi che si interfacciano con il PNS, tra cui l’invio al PNS di un codice identificativo dell’operatore che ha effettuato l’interrogazione e, nelle more di tale intervento, l’implementazione di specifici meccanismi di tracciamento che registrino e conservino informazioni tra cui l’operatore e la data di interrogazione, nel rispetto del principio di integrità e riservatezza e degli obblighi di sicurezza (art. 5, par. 1, lett. f), e art. 32 del Regolamento);

- gli obblighi di segnalazione reciproca tra INL, quale gestore dell’infrastruttura che ospita il PNS, e soggetti cooperanti, quali erogatori e fruitori dei dati trattati nell’ambito del PNS, in caso di violazioni di dati personali, al fine di assicurare il rispetto di quanto previsto dagli artt. 33 e 34 del Regolamento;

CONSIDERATO che, come previsto anche all’art. 5 dello schema, e in coerenza con quanto osservato dal Garante nel parere reso con provv. n. 723 del 18 novembre 2024, eventuali modifiche e integrazioni al decreto che incidano sugli aspetti essenziali del trattamento dei dati personali dovranno essere disciplinate all’interno di un atto-fonte che abbia lo stesso rango, previa consultazione del Garante per la protezione dei dati personali, ferma restando la possibilità di regolare taluni aspetti di dettaglio anche mediante che protocolli d’intesa tra le parti;

RITENUTO, pertanto, che sullo schema di decreto in esame non vi sono osservazioni da formulare;

RITENUTO che il parere debba essere reso con particolare urgenza, alla luce delle specifiche ragioni rappresentate nella menzionata nota del 24 aprile 205, tenendo altresì conto di quanto previsto nell’art. 9, comma 3, del d.l. 8 ottobre 2021, n. 139, convertito, con modificazioni, dalla l. 3 dicembre 2021, n. 205;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale reggente ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali di cui all’art. 4 del decreto del Ministro del lavoro e delle politiche sociali 20 novembre 2024, n. 170.

Roma, 29 aprile 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE REGGENTE
Filippi