[doc. web n. 10008202]

Parere  sullo schema di regolamento relativo al trattamento dei dati personali, predisposto in attuazione dell’articolo 14 della legge provinciale 2 novembre 2022, n. 12, recante il Sistema provinciale per la politica attiva del lavoro e la realizzazione di interventi e servizi di pubblica utilità (c.d. “progettone”) - 7 marzo 2024

Registro dei provvedimenti
n. 131 del 7 marzo2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

Vista la richiesta di parere della Provincia autonoma di Trento;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 57, paragrafo 1, lett. c);

Visto il  Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo 30 giugno 2003, n. 196 e s.m.i., di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore l’avv. Guido Scorza;

PREMESSO

La Provincia autonoma di Trento ha richiesto il parere del Garante sullo schema di regolamento relativo al trattamento dei dati personali, predisposto in attuazione dell’articolo 14 della legge provinciale 2 novembre 2022, n. 12, recante il Sistema provinciale per la politica attiva del lavoro e la realizzazione di interventi e servizi di pubblica utilità (c.d. “progettone”), sul cui schema il Garante ha reso parere il 26 maggio 2022 (doc.web n. 9781139).

La legge prevede misure di politica attiva del lavoro finalizzate al reinserimento, nel mercato del lavoro, di persone appartenenti a particolari “fasce deboli” (art.2, c.1), attraverso la realizzazione di servizi di pubblica utilità. L’articolo 14 autorizza la Provincia al trattamento- anche mediante i propri enti strumentali e con il ricorso a piattaforme o applicazioni informatiche che assicurino riservatezza, integrità e disponibilità dei dati, nel rispetto dei principi di proporzionalità e minimizzazione - dei dati personali (ivi inclusi quelli connessi alla situazione economico-sociale di natura particolare e giudiziaria) dei soggetti coinvolti dagli interventi.

Il medesimo articolo 14 della legge –come integrato in accoglimento dei rilievi formulati nel parere del 2022- demanda a un regolamento l’indicazione, in particolare, dei tipi di dati trattati, delle operazioni eseguibili nonché delle misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato, nel rispetto dei principi di cui agli articoli 5, 25 e 32 del Regolamento; nonché l’individuazione dei ruoli e delle responsabilità da attribuire ai soggetti coinvolti nel trattamento dei dati (comma 3).

RILEVATO

Lo schema di regolamento reca ai suoi primi due articoli l’indicazione dell’oggetto e delle finalità del trattamento, perseguite nell’ambito dei procedimenti funzionali alla realizzazione delle misure volte ad assicurare l’inclusione sociale di soggetti appartenenti a particolari fasce deboli, mediante sostegno alla piena partecipazione al mondo del lavoro.

L’articolo 3 individua, invece, l’ambito di tali procedimenti, le tipologie di dati trattati tra i quali anche i dati personali relativi a condanne penali o connessi all’esecuzione di misure di sicurezza (lett. b); categorie particolari di dati personali (lett. c) e dati personali che presentano rischi specifici (lett. d).

Con riferimento alla tipologia dei dati di cui all’articolo 10 del Regolamento, il comma 3 dell’articolo indica espressamente, tra gli altri, la qualità di imputato o di indagato (lett. b), provvedimenti di condanna definitivi (lett. c), misure di sicurezza e prevenzione stabilite dalla legge (lett. e), altri dati richiesti da normative statali (ad es. certificazione antimafia) o provinciali (lett. f).

Con riferimento, invece, alla tipologia di dati “particolari” vengono indicati al comma 4, tra gli altri, lo stato di salute (attuale e pregresso); le condizioni di invalidità e l’adesione a sindacati.

L’articolo 4 legittima la raccolta presso patronati, centri per l’impiego, strutture provinciali, enti pubblici, organizzazioni incaricate della gestione del progettone, comunque individuate nelle informative sulla protezione dei dati personali, oppure direttamente presso l’interessato, anche mediante il ricorso a strumenti informatici.

L’articolo 5 disciplina le modalità di trattamento, prevedendo che venga effettuato con modalità informatizzate “o cartacee” idonee a garantire la riservatezza, l’integrità e la disponibilità dei dati, ad opera di personale autorizzato, assicurando i principi di proporzionalità e di minimizzazione di cui all’articolo 5 del Regolamento.

Al comma 4 dell’articolo 5 si prevede, poi, che per i dati di cui all’articolo 10 del Regolamento, il trattamento debba avvenire nel rispetto del Regolamento, anche avvalendosi del certificato selettivo di cui all’articolo 28 del decreto del Presidente della Repubblica 14 novembre 2002, n. 313 e al comma 5, invece, che le operazioni di comunicazione mediante trasmissione, raffronto e interconnessione dei dati saranno effettuate anche per assolvere a obblighi di legge ovvero ordini dell'autorità giudiziaria.

L’articolo 6 individua la Provincia quale titolare del trattamento (comma 1), mentre le organizzazioni private o i loro consorzi incaricati dello svolgimento dei servizi di interesse generale responsabili ai sensi dell'articolo 28 del Regolamento.

L’articolo 7 disciplina la conservazione dei dati, facendo riferimento al massimario di conservazione e di scarto o ad eventuali atti organizzativi che stabiliscono il termine di conservazione dei dati della Provincia.

L’articolo 8 esclude la trasferibilità, all’esterno dell’Unione Europea, dei dati disciplinati dal regolamento.

L’articolo 9 limita l’accesso ai dati ai soli soggetti preventivamente identificati e autorizzati, tramite login da effettuarsi mediante credenziali quali ad es. user-id e password fornite ai soggetti autorizzati, oppure SPID, per le attività finalizzate all’organizzazione del progettone volte a coordinare i diversi soggetti attori ivi previsti.

Per garantire l'accesso selettivo ai dati è prevista l’associazione esplicita del dipendente a una struttura organizzativa e a una fase del procedimento, in modo da modulare la visibilità delle informazioni in base al profilo assegnatogli (c. 5).

L’articolo 10 infine, nel demandare al titolare e al responsabile l’adozione delle misure di sicurezza, tecniche e organizzative, necessarie a garantire l’integrità, la conservazione e la sicurezza dei dati raccolti in ragione degli esiti della preventiva valutazione d'impatto della protezione dei dati, nonché la minimizzazione dei dati personali, dispone l’applicabilità, ai procedimenti amministrativi oggetto del regolamento (recte: ai trattamenti funzionali a tali procedimenti), delle misure di sicurezza imposte dalla Giunta provinciale per tutti i trattamenti dell’Amministrazione, attualmente contenute nella deliberazione n. 2220 del 16 dicembre 2021.

RITENUTO

Lo schema di regolamento provinciale si conforma, complessivamente, all’ambito di intervento delineato dalla norma attributiva del potere regolamentare e, conseguentemente, ai rilievi espressi dal Garante con riguardo all’attuazione della legge provinciale sul “progettone” (parere del 26 maggio 2022, cit.).

Resta, tuttavia, da perfezionare l’aspetto relativo al trattamento dei dati relativi all’appartenenza sindacale (art.3, c.4), che non pare immediatamente riconducibile alle finalità del “progettone”.

E’, pertanto, opportuno espungerne il riferimento, salvo si dimostri l’indispensabilità del trattamento di tali dati per finalità legittime, comunque nel rispetto del divieto di cui agli articoli 8 della l. n. 300 del 1970 e s.m.i. e 10 del d.lgs. n. 276 del 2003 e s.m.i.,  relativi all’acquisizione e al trattamento, anche mediante terzi, da parte del datore di lavoro, delle agenzie per il lavoro e degli altri soggetti autorizzati, di alcune tipologie di informazioni, tra le quali quelle sull’affiliazione  sindacale del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore stesso (cfr., con riguardo all’ambito lavorativo pubblico, da ultimo, CGUE, sent. 30 marzo 2023, causa C-34/21; cfr. anche Corte EDU, caso Antovic e Mirković v. Montenegro, application n. 70838/13 del 28 novembre 2017).

IL GARANTE

ai sensi dell’articolo 57, par. 1, lett. c), del Regolamento, esprime parere favorevole sullo schema di regolamento proposto con la condizione, esposta nel “Ritenuto”, volta a sottolineare l’esigenza di espungere il riferimento al trattamento dei dati relativi all’appartenenza sindacale (art.3, c.4), salvo se ne dimostri l’indispensabilità, comunque nel rispetto del divieto di cui agli articoli 8 della l. n. 300 del 1970 e s.m.i. e 10 del d.lgs. n. 276 del 2003 e s.m.i.

Roma, 7 marzo 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei