GARANTE PROTEZIONE DATI PERSONALI – Provvedimento 20 giugno 2019, n. 138 – Parere su uno schema di decreto del Ministro del lavoro e delle politiche sociali in materia di Sistema informativo del Reddito di cittadinanza – 20 giugno 2019

Parere su uno schema di decreto del Ministro del lavoro e delle politiche sociali in materia di Sistema informativo del Reddito di cittadinanza – 20 giugno 2019

Nella riunione odierna, in presenza del dott. A.S., presidente, della dott.ssa A.I., vicepresidente, della dott.ssa G.B.C. e della prof.ssa L.C., componenti, e del dott. G.B., segretario generale;

Visto il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati), di seguito Regolamento;

Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali, così come modificato dal decreto legislativo 10 agosto 2018, n. 101, recante Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, di seguito Codice;

Visto il decreto legge 28 gennaio 2019, n. 4, recante disposizioni urgenti in materia di reddito di cittadinanza e di pensioni, convertito, con modificazioni, dalla legge 28 marzo 2019, n. 26, anche in esito alle osservazioni formulate dal Garante in sede di audizione presso le competenti Commissioni Parlamentari (memorie dell’8 febbraio 2019, doc. web n. 9081679, e del 6 marzo 2019, doc. web n. 9089070);

Visto l’art. 4 del d.l. 4/2019, che condiziona l’erogazione del beneficio del Reddito di cittadinanza (di seguito, Rdc) alla dichiarazione di immediata disponibilità al lavoro e all’adesione a un percorso personalizzato di accompagnamento all’inserimento lavorativo e all’inclusione sociale, e che definisce le modalità di tale adesione, individuando: i beneficiari tenuti agli obblighi; coloro che devono essere convocati dai Centri per l’impiego per la sottoscrizione dei P. per il lavoro e coloro che devono essere convocati dai servizi dei comuni, competenti in materia di contrasto alla povertà, per la sottoscrizione dei P. per l’inclusione sociale;

Visto l’art. 6 del d.l. 4/2019, in base al quale:

– “al fine di consentire l’attivazione e la gestione dei P. per il lavoro e dei P. per l’inclusione sociale, assicurando il rispetto dei livelli essenziali delle prestazioni, nonché per finalità di analisi, monitoraggio, valutazione e controllo del programma del Rdc, è istituito presso il Ministero del lavoro e delle politiche sociali il Sistema informativo del Reddito di cittadinanza. Nell’ambito del Sistema informativo operano due apposite piattaforme digitali dedicate al Rdc, una presso l’ANPAL, per il coordinamento dei centri per l’impiego, e l’altra presso il Ministero del lavoro e delle politiche sociali, per il coordinamento dei comuni, in forma singola o associata. Le piattaforme rappresentano strumenti per rendere disponibili le informazioni alle amministrazioni centrali e ai servizi territoriali coinvolti, nel rispetto dei principi di minimizzazione, integrità e riservatezza dei dati personali” e “con decreto del Ministro del lavoro e delle politiche sociali, sentiti l’ANPAL e il Garante per la protezione dei dati personali, previa intesa in sede di Conferenza unificata di cui all’articolo 8 del decreto legislativo 28 agosto 1997, n. 281, da adottare entro sessanta giorni dalla data di entrata in vigore del presente decreto, è predisposto un piano tecnico di attivazione e interoperabilità delle piattaforme e sono individuati misure appropriate e specifiche a tutela degli interessati, nonché modalità di accesso selettivo alle informazioni necessarie per il perseguimento delle specifiche finalità e adeguati tempi di conservazione dei dati” (comma 1);

– “per le finalità di cui al comma 1, l’INPS mette a disposizione del Sistema informativo di cui al comma 1, secondo termini e modalità definiti con il decreto di cui al medesimo comma 1, i dati identificativi dei singoli componenti i nuclei beneficiari del Rdc, le informazioni sulla condizione economica e patrimoniale, come risultanti dalla DSU in corso di validità, le informazioni sull’ammontare del beneficio economico e sulle altre prestazioni sociali erogate dall’Istituto ai componenti il nucleo familiare e ogni altra informazione relativa ai beneficiari del Rdc necessaria all’attuazione della misura, incluse quelle di cui all’articolo 4, comma 5, e alla profilazione occupazionale. Mediante le piattaforme presso l’ANPAL e presso il Ministero del lavoro e delle politiche sociali sono rese disponibili, rispettivamente, ai centri per l’impiego e ai comuni, che si coordinano a livello di ambito territoriale, le informazioni di cui al presente comma relativamente ai beneficiari del Rdc residenti nei territori di competenza” (comma 3);

– le Piattaforme costituiscono il portale delle comunicazioni tra i centri per l’impiego, i soggetti accreditati di cui all’art. 12 del decreto legislativo n. 150 del 2015, i comuni, che si coordinano a livello di ambito territoriale, l’ANPAL, il Ministero e l’INPS, secondo termini e modalità definiti con il decreto da adottarsi ai sensi del comma 1 del medesimo decreto legge. I dati comunicati dai servizi competenti mediante le piattaforme del Rdc sono: “a) le disponibilità degli uffici per la creazione di una agenda degli appuntamenti in sede di riconoscimento del beneficio, compatibile con i termini di cui all’articolo 4, commi 5 e 11; b) l’avvenuta o la mancata sottoscrizione del Patto per il lavoro o del Patto per l’inclusione sociale, entro cinque giorni dalla medesima; c) le informazioni sui fatti suscettibili di dar luogo alle sanzioni di cui all’articolo 7, entro dieci giorni lavorativi dall’accertamento dell’evento da sanzionare, per essere messe a disposizione dell’INPS ai fini dell’irrogazione delle suddette sanzioni; d) l’esito delle verifiche da parte dei comuni sui requisiti di residenza e di soggiorno, di cui all’articolo 5, comma 4, per essere messe a disposizione dell’INPS ai fini della verifica dell’eleggibilità; e) l’attivazione dei progetti per la collettività da parte dei comuni ai sensi dell’articolo 4, comma 15; f) ogni altra informazione, individuata con il decreto di cui al comma 1, necessaria a monitorare l’attuazione dei P. per il lavoro e dei P. per l’inclusione sociale, incluse le informazioni rilevanti riferite ai componenti il nucleo beneficiario in esito alla valutazione multidimensionale di cui all’articolo 4, comma 11, anche ai fini di verifica e controllo del rispetto dei livelli essenziali delle prestazioni di cui all’articolo 4, comma 14” (comma 4);

– le medesime Piattaforme rappresentano altresì uno strumento utile al coordinamento dei servizi a livello territoriale, in relazione alle quali sono definite le funzioni per il cui svolgimento le piattaforme dialogano tra loro (comma 5);

– “il Ministero del lavoro e delle politiche sociali, di concerto con il Ministero dell’economia e delle finanze, stipula apposite convenzioni con la Guardia di finanza per le attività di controllo nei confronti dei beneficiari del Rdc, nonché per il monitoraggio delle attività degli enti di formazione di cui all’articolo 8, comma 2, da svolgere nell’ambito delle ordinarie funzioni di polizia economico-finanziaria esercitate ai sensi del decreto legislativo 19 marzo 2001, n. 68. Per le suddette finalità ispettive, la Guardia di finanza accede, senza nuovi o maggiori oneri per la finanza pubblica, al Sistema informativo di cui al comma 1, ivi compreso il Sistema informativo unitario dei servizi sociali (SIUSS), di cui all’articolo 24 del decreto legislativo 15 settembre 2017, n. 147” (comma 6);

Vista la richiesta di parere del 18 giugno 2019 del Ministero del lavoro e delle politiche sociali, sullo schema di decreto del Ministro in materia di Sistema informativo del Reddito di cittadinanza, da adottarsi ai sensi del predetto art. 6, comma 1, modificata e integrata con la documentazione, tramessa con la nota del 19 giugno 2019, che comprende anche le valutazioni di impatto sulla protezione dei dati personali effettuate, ai sensi dell’art. 35 del Regolamento, dal Ministero, con riferimento al Sistema informativo del Rdc nel suo complesso e alla Piattaforma digitale per il Patto di inclusione sociale, e dall’ANPAL, con riferimento alla Piattaforma digitale per il Patto per il lavoro;

Rilevata l’estrema urgenza dell’adozione del provvedimento rappresentata dal Ministero nella predetta richiesta;

Considerato che il predetto schema e i relativi allegati sono stati predisposti tenendo conto delle indicazioni fornite dall’Ufficio nel corso di numerosi incontri tenutisi con i rappresentanti del Ministero e dell’ANPAL, al fine di assicurare il rispetto dei principi di privacy by design e by default nella progettazione dell’architettura del Sistema informativo del Rdc e delle Piattaforme;

Rilevato, in particolare, che:

– l’art. 2 del predetto schema di decreto definisce le finalità e i titolari del trattamento nell’ambito del Sistema informativo del Rdc in cui operano le predette Piattaforme digitali. Il medesimo articolo stabilisce che spetta al Ministero, avvalendosi dei dati trasmessi dall’INPS e dall’ANPAL, individuare, in base ai criteri stabiliti nell’allegato 1, le platee dei beneficiari tenuti alla sottoscrizione del Patto per il lavoro (a fini di accompagnamento all’inserimento lavorativo) e del Patto per l’inclusione sociale (a fini di accompagnamento all’inclusione sociale), da indirizzare, rispettivamente, ai Servizi per il lavoro e ai Servizi competenti dei comuni per la prima convocazione, alimentando a questo fine le corrispondenti Piattaforme (comma 3); nel predetto articolo viene altresì stabilito che, in particolare, le modalità di trattamento e le misure appropriate e specifiche a tutela degli interessati, soprattutto con riferimento ai dati personali di cui agli artt. 9 e 10 del Regolamento, sono individuate nei Piani tecnici allegati allo schema in esame (comma 9);

– l’art. 3 individua puntualmente le tipologie di informazioni che l’INPS e l’ANPAL devono immettere nel Sistema informativo del Rdc (commi 1 e 2) – comprese quelle che l’INPS acquisisce dal Ministero dell’Istruzione, dell’Università e della ricerca relativamente alla frequenza di corsi di studio -, sulla base delle quali il Ministero costituisce e aggiorna l’elenco dei beneficiari (comma 3). Sono altresì individuate le informazioni che il Sistema informativo del Rdc mette a disposizione delle Piattaforme per la gestione dei rispettivi P. (commi 4, 5 e 6), con le modalità descritte nel Piano tecnico di cui all’allegato 2;

– l’art. 4 si occupa di disciplinare i trattamenti effettuati nell’ambito della Piattaforma per il Patto per il lavoro istituita presso l’ANPAL (comma 1), di cui quest’ultima è titolare del trattamento, indicando le informazioni messe a disposizione dei Servizi per il lavoro (comma 3) e che i Servizi, a loro volta, forniscono nell’ambito della gestione del Patto (comma 4), nonché le informazioni sulla condizionalità e sulle comunicazioni obbligatorie inerenti l’eventuale assunzione dei beneficiari, che l’ANPAL mette a disposizione dell’INPS (comma 5); l’articolo rinvia a successive modifiche dello schema di decreto l’individuazione delle modalità attuative della sezione della Piattaforma relativa al “Sistema della fruizione continua dei servizi di accompagnamento” (comma 6); le specifiche caratteristiche della Piattaforma del Rdc presso l’ANPAL sono definite nel Piano tecnico di cui all’allegato 4;

– l’art. 5 si occupa di disciplinare i trattamenti effettuati nell’ambito della Piattaforma per il Patto per l’inclusione sociale (comma 1), di cui è titolare il Ministero, individuando le funzionalità e le informazioni messe a disposizione dei comuni per la gestione dei P. e per le verifiche anagrafiche sui beneficiari (commi 2 e 3), nonché i dati inseriti dagli stessi nella Piattaforma (comma 4), tra cui rilevano, in particolare, quelli relative ai bisogni di cura delle persone, ricavati in esito alla valutazione multidimensionale, i quali comprendono informazioni sensibili relative anche a minori e a disabili. Vengono altresì indicate le informazioni da mettere a disposizione dell’INPS, attraverso la Piattaforma, a fini sanzionatori (comma 5) e di verifica dei requisiti di residenza e soggiorno (comma 6). L’articolo in esame chiarisce il ruolo assunto nel trattamento dei dati personali dal Ministero e dai comuni, organizzati a livello di Ambito territoriale, in relazione alle diverse funzionalità offerte dalla Piattaforma (commi 8 e 10). L’articolo rinvia l’individuazione degli aspetti di dettaglio al Piano tecnico di attivazione della Piattaforma del Rdc presso il Ministero del Lavoro e delle politiche sociali, di cui all’allegato 3;

– l’art. 6 specifica le modalità di interoperabilità delle Piattaforme, individuando i dati oggetto di scambio tra le stesse e i dati che – anche in coordinamento – i comuni e i centri per l’impiego devono trattare per la gestione dei P., (comma 1), rinviando l’individuazione degli aspetti di dettaglio al Piano tecnico di interoperabilità delle Piattaforme del Rdc, di cui all’allegato 5;

– l’art. 7 disciplina l’utilizzo dei dati da parte del Ministero, per fini di analisi, controllo e monitoraggio, e da parte delle Regioni, per fini di programmazione, statistica e ricerca e in relazione agli ambiti territoriali di competenza, in forma individuale anonimizzata o aggregata (comma 1), rinviando all’allegato 5 la definizione delle modalità di anonimizzazione dei dati. Viene altresì disciplinato l’accesso al Sistema informativo del Rdc da parte della Guardia di finanza per le attività di controllo nei confronti dei beneficiari nell’ambito delle ordinarie funzioni di polizia economico-finanziarie: a questo proposito, si individuano le tipologie di informazioni consultabili, comprese quelle relative alla salute dei beneficiari, rinviando ad apposite convenzioni, da stipularsi previa consultazione del Garante, l’individuazione delle misure tecniche e organizzative adeguate ai rischi e idonee a garantire la sicurezza dei collegamenti e l’accesso selettivo alle informazioni necessarie al perseguimento in concreto delle specifiche finalità (commi 3, 4 e 5);

– l’art. 8 stabilisce che le informazioni sono conservate presso il Sistema informativo del Rdc per un periodo massimo di cinque anni dalla conclusione dell’erogazione del beneficio, che, per alcune limitate informazioni diventano dieci anni a decorrere dalla data di dichiarazione del requisito;

Rilevato che il trattamento in esame è effettuato per l’esecuzione di un compito di interesse pubblico, presenta rischi elevati per i diritti e le libertà degli interessati, ai sensi degli artt. 35 e 36, § 5, del Regolamento e art. 2-quinquiesdecies del Codice, che riguarda milioni di beneficiari e migliaia di enti pubblici e privati a vario titolo coinvolti. Nel Sistema vengono trattati, infatti, su larga scala, dati personali, relativi alla salute, alla condizione sociale e alla situazione economica e finanziaria, elaborati anche in esito alla valutazione dello stato di bisogno dei beneficiari del reddito di cittadinanza, relativi principalmente a soggetti vulnerabili (disabili, anziani, persone in cerca di occupazione), anche minori d’età, in grado di condizionare l’accesso a servizi e prestazioni sociali;

Viste le valutazioni d’impatto sulla protezione dei dati personali trasmesse dal Ministero e dall’ANPAL, per i trattamenti di cui sono titolari, nelle quali sono state descritte le misure adottate al fine di contenere i predetti rischi;

Ritenuto che lo schema di decreto in esame tiene conto nelle indicazioni fornite nel corso delle predette interlocuzioni intercorse con l’Ufficio volte ad assicurare il rispetto della normativa in materia di protezione dei dati personali, con particolare riferimento a:

– l’integrazione della base giuridica di cui al predetto decreto legge con disposizioni contenenti misure atte a garantire nei confronti degli interessati la liceità, la correttezza e la trasparenza del trattamento, assicurando l’esatta individuazione delle finalità di volta in volta perseguite nell’ambito dei trattamenti effettuati nel Sistema informativo del Rdc (art. 5, § 1, lett. a) e b), e 6, § 3, lett. b), del Regolamento);

– la puntuale indicazione delle fonti amministrative presso cui sono raccolti i dati necessari all’individuazione delle platee di beneficiari da indirizzare alla stipula dei P., nel rispetto dell’art. 2-ter del Codice;

– la minimizzazione dei dati personali assicurando, in relazione ad ogni flusso informativo disciplinato nello schema in esame, il rispetto del principio di proporzionalità con la puntuale individuazione delle tipologie di dati, delle operazioni eseguite, dei soggetti cui possono essere comunicati e delle categorie di soggetti autorizzati all’accesso (artt. 5, § 1, lett. c), e 25 del Regolamento); ciò, soprattutto con riferimento alle categorie di dati di cui agli artt. 9 e 10 del Regolamento, evitando il trattamento di tali informazioni laddove non indispensabile e assicurando misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati;

– l’adozione di misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi, di diversa natura, presentati dai trattamenti disciplinati dallo schema di decreto in esame (artt. 24, 25 e 32 del Regolamento);

– l’introduzione di differenti livelli di autorizzazione per il trattamento dei dati contenuti nel Sistema informativo del Rdc garantendo accessi selettivi da parte dei diversi soggetti autorizzati al trattamento (artt. 5, § 1, lett. b), c) e f), 25 e 32 del Regolamento);

– l’utilizzo di adeguati sistemi di autenticazione informatica alle Piattaforme digitali del Rdc con un livello di sicurezza differente in base alle tipologie di dati personali trattati e alle operazioni di trattamento consentite (artt. 5, § 1, lett. f), 25 e 32 del Regolamento);

– l’utilizzo di canali di trasmissione sicuri per gli scambi di dati tra le diverse amministrazioni coinvolte (artt. 5, § 1, lett. f), 25 e 32 del Regolamento);

– il tracciamento delle operazioni svolte mediante le Piattaforme digitali del Rdc da ciascun soggetto autorizzato al trattamento (artt. 5, § 1, lett. f), 25 e 32 del Regolamento);

– l’individuazione di tempi di conservazione dei dati proporzionati rispetto alle finalità perseguite (art. 5, § 1, lett. e), del Regolamento);

– il rinvio a una successiva integrazione del decreto in esame delle modalità attuative della sezione della Piattaforma del Patto per il lavoro contenente il “Sistema per la fruizione continua dei servizi di accompagnamento” e del trattamento dei dati relativi all’attribuzione del profilo occupazionale nell’ambito del Rdc, al fine di individuare idonee garanzie per gli interessati nel rispetto dei principi di privacy by default e by design, nonché dell’art. 22 del Regolamento;

– l’utilizzo dei dati anonimi o aggregati da parte del Ministero, per fini di analisi, controllo e monitoraggio, e da parte delle Regioni, per fini di programmazione, statistica e ricerca e in relazione agli ambiti territoriali di competenza, nel rispetto del principio di minimizzazione dei dati (art. 5, § 1, lett. c), del Regolamento);

Ritenuto che non vi sono, pertanto, rilievi da formulare sullo schema di decreto e di poter, conseguentemente, autorizzare il trattamento dei dati personali effettuato in attuazione dello stesso nell’ambito del Sistema informativo del Reddito di cittadinanza e delle relative Piattaforme;

Vista la documentazione in atti;

Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. A.S.;

Tutto ciò premesso, il Garante

a) ai sensi dell’art. 36, § 4, del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali di cui all’art. 6, comma 1, del decreto legge 28 gennaio 2019, n. 4, in materia di Sistema informativo del Reddito di cittadinanza;

b) ai sensi dell’art. 58, § 3, lett. c), del Regolamento e dell’art. 2-quinquiesdecies del Codice, autorizza il trattamento dei dati personali effettuato nell’ambito del Sistema informativo del Reddito di cittadinanza e delle relative Piattaforme ai sensi dello schema di decreto in esame.