Registro dei provvedimenti
n. 14 del 17 gennaio 2013
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;
Vista la richiesta di parere del Ministero del lavoro e delle politiche sociali;
Visto l'articolo 154, commi 4 e 5, del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore la prof.ssa Licia Califano;
PREMESSO
Il Ministero del lavoro e delle politiche sociali ha chiesto il parere del Garante in ordine a uno schema di decreto interministeriale concernente la costituzione, presso l'Istituto nazionale della previdenza sociale (INPS), della banca dati delle prestazioni sociali agevolate.
Il decreto è adottato ai sensi dell'articolo 5, comma 1, del decreto-legge 6 dicembre 2011, n. 201, convertito dalla legge 22 dicembre 2011, n. 214, ed è volto a definire le modalità con cui viene rafforzato il sistema dei controlli dell'ISEE, anche attraverso la condivisione dei pertinenti archivi cui accedono la pubblica amministrazione e gli enti pubblici e l'istituzione, appunto, della predetta banca dati. Il decreto mira altresì a individuare le modalità dell'invio telematico all'INPS, da parte degli enti erogatori, delle informazioni sui beneficiari delle prestazioni e sulle prestazioni concesse.
La materia è strettamente connessa alla riforma della disciplina dell'ISEE (indicatore della situazione economica equivalente), in rapporto alla quale il Garante ha recentemente reso parere sullo schema di dPCM recante il regolamento per la revisione delle modalità di determinazione e i campi di applicazione dell'ISEE, adottato ai sensi del medesimo articolo 5 del decreto-legge n. 201 del 2011 (parere del 22 novembre 2012). L'ISEE è, infatti, lo strumento di valutazione della situazione economica dei richiedenti "prestazioni sociali agevolate"; la determinazione e l'applicazione dell'indicatore costituisce livello essenziale delle prestazioni in base all'articolo 117, secondo comma, lettera m), della Costituzione (art. 2, comma 1, dello schema).
RILEVATO
1. La banca dati e il suo utilizzo.
La banca dati in esame, istituita presso l'INPS, è alimentata dalle informazioni sulle prestazioni sociali agevolate condizionate all'ISEE e sui relativi beneficiari che devono essere comunicate all'INPS anche ai sensi dell'articolo 38 del decreto-legge 31 maggio 2010, n. 78, convertito con modificazioni, dalla legge 30 luglio 2010, n. 122.
Le informazioni che costituiscono la banca dati sono, in particolare, le seguenti: i dati identificativi dell'ente erogatore e del beneficiario, la tipologia delle prestazioni sociali agevolate, nonché le informazioni relative alle caratteristiche e al valore economico delle prestazioni sociali agevolate (art. 2, comma 2, e Tabella 2). L'elenco delle prestazioni sociali agevolate ammesse al sistema è riportato nella Tabella 1. La banca dati è alimentata dagli enti locali e da ogni altro ente erogatore di prestazioni sociali agevolate, per quanto di rispettiva competenza, anche avvalendosi del sistema pubblico di connettività attraverso servizi di cooperazione applicativa (art. 2, commi 2 e 4).
Le modalità attuative e le specifiche tecniche per l'acquisizione, la trasmissione e lo scambio delle informazioni e dei dati che costituiscono la banca dati dovranno essere definite dall'INPS con decreto direttoriale, sentito il Garante, nel rispetto delle disposizioni del Codice (art. 2, comma 6).
Alle informazioni della banca dati possono accedere, per finalità di controllo, l'INPS, l'Agenzia delle entrate e la Guardia di finanza e a tale fine i medesimi enti possono accedere anche alle informazioni sulle condizioni economiche del nucleo familiare contenute nel Sistema informativo dell'ISEE, gestito anch'esso dall'INPS.
L'INPS utilizza le informazioni della banca dati mediante la costituzione - sulla base di indici di priorità basati, tra l'altro, sul valore economico e la tipologia della prestazione individuati con provvedimento del Ministero del lavoro di concerto con il Ministero dell'economia e delle finanze- di liste selettive di beneficiari da inviare alla Guardia di Finanza per controlli di natura sostanziale (art. 4, comma 2).
Per le attività di programmazione, monitoraggio e valutazione in materia di politiche sociali, ai sensi dell'articolo 16, comma 2, del decreto legge 9 febbraio 2012, n. 5, convertito con modificazioni dalla legge 4 aprile 2012, n. 35, l'INPS rende disponibili per l'alimentazione del SISS (Sistema informativo dei servizi sociali), le informazioni contenute nella banca dati integrate con il valore sintetico dell'ISEE, dell'ISR ("indicatore della situazione reddituale") e dell'ISP ("indicatore della situazione patrimoniale"), nonché con le informazioni sul numero e sulle classi di età dei componenti del nucleo familiare, in forma individuale ma prive di ogni riferimento che ne permetta il collegamento con gli interessati e comunque secondo modalità che rendono questi ultimi non identificabili, ai seguenti soggetti:
a) al Ministero del lavoro e delle politiche sociali, ai fini di monitoraggio della spesa sociale e valutazione dell'efficienza e dell'efficacia degli interventi, nonché per elaborazioni a fini statistici, di ricerca e di studio;
b) alle Regioni e Province Autonome, Comuni e altri enti pubblici responsabili della programmazione di prestazioni e di servizi sociali e socio-sanitari, per le medesime finalità del Ministero, nonché a fini di programmazione delle prestazioni sociali agevolate (art. 4, comma 4).
Per i medesimi fini di programmazione, monitoraggio e valutazione, al Ministero del lavoro e alle Regioni e Province autonome è altresì fornito un campione, contenente, oltre alle informazioni di cui al comma 4, le informazioni analitiche contenute nella DSU, in forma individuale ma anonima, rappresentativo della popolazione inclusa nelle DSU del proprio ambito territoriale, prive di ogni riferimento che ne permetta il collegamento con gli interessati e comunque secondo modalità che rendono questi ultimi non identificabili sulla base di apposita valutazione del rischio di identificazione (art. 4, comma 5).
L'INPS fornisce, inoltre, al Dipartimento della Ragioneria generale dello Stato del Ministero dell'economia rappresentazioni in forma aggregata dei dati ai fini del monitoraggio della spesa sociale nonché per elaborazioni a fini statistici, di ricerca e di studio (art. 4, comma 6).
Infine, l'Inps rende accessibili ai Comuni, limitatamente alle prestazioni erogate dai medesimi enti, le informazioni, corredate di codice fiscale, contenute nella banca dati al fine di migliorare e rendere più efficiente ed efficace la gestione delle risorse (art. 4, comma 7).
2. Integrazioni al sistema informativo ISEE.
Lo schema di decreto disciplina anche le eventuali integrazioni del sistema informativo ISEE.
In particolare si prevede che nel caso in cui sia stato accertato in via definitiva un maggior reddito, sulla base dello scambio di informazioni tra l'Agenzia delle entrate e l'INPS ovvero sia stata rilevata una discordanza tra il reddito dichiarato ai fini fiscali o altre componenti dell'ISEE, anche di natura patrimoniale, note all'anagrafe tributaria, e quanto indicato nella DSU (dichiarazione sostitutiva unica), le informazioni contenute nel Sistema informativo ISEE sono arricchite dell'informazione sull'eventuale maggior reddito accertato in via definitiva, ovvero delle informazioni sulle eventuali discordanze tra componenti dell'ISEE note all'anagrafe tributaria e quanto indicato nella DSU, nonché del nuovo valore ISEE calcolato sulla base del maggior reddito rilevato come esito della verifica, specificando se si tratti di maggior reddito accertato in via definitiva ovvero di discordanze con quanto presente negli archivi dell'anagrafe tributaria (art. 3).
In tali casi, il valore dell'ISEE ricalcolato è comunicato dall'INPS all'ente erogatore al fine di verificare l'eventualità che in base al nuovo ISEE il beneficiario non avrebbe potuto fruire o avrebbe fruito in misura inferiore delle prestazioni sociali agevolate. In caso di esito positivo della verifica, l'INPS rende disponibili all'ente le informazioni relative alle motivazioni alla base del nuovo calcolo dell'ISEE ai fini dell'immediata irrogazione della sanzione, di cui all'articolo 38, comma 3, del decreto-legge n. 78/2010, in caso di maggior reddito accertato in via definitiva, ovvero ai fini della richiesta al soggetto interessato dei chiarimenti in ordine ai motivi della rilevata discordanza (art. 4, comma 3).
3. La protezione dei dati personali.
L'INPS garantisce la gestione tecnica ed informatica della banca dati, ed è, a tale fine, titolare del trattamento dei dati. L'ente erogatore è titolare del trattamento dei dati relativi agli utenti delle prestazioni da esso erogate, trasmessi all'INPS ai fini della costituzione della banca dati.
Gli enti locali, anche in forma associata, e, nei casi previsti dalla legge, per il tramite delle Regioni e Province Autonome, gli altri enti erogatori e l'INPS eseguono la raccolta, l'elaborazione e lo scambio dei dati e delle informazioni della banca dati, nel rispetto del principio di pertinenza e non eccedenza di cui all'articolo 11 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003 n. 196, di seguito "Codice"), attivando le procedure di integrazione delle informazioni provenienti da diverse fonti amministrative.
La delicatezza dei dati raccolti e trattati nell'ambito della banca dati e la complessità dei flussi informativi previsti dal decreto impongono l'adozione di idonee misure di sicurezza. Esse saranno specificamente individuate dall'INPS con un disciplinare tecnico, da approvare mediante decreto direttoriale, sentito il Garante, al fine di ridurre al minimo i rischi di distruzione o perdita anche accidentali dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. In particolare, dovranno essere specificate regole tecniche e procedure di sicurezza relative al software e ai servizi telematici idonee a garantire la riservatezza dei dati trattati nella banca dati.
4. I provvedimenti di attuazione.
Oltre ai predetti decreti direttoriali dell'INPS relativi alle modalità tecniche di trasmissione per la costituzione della banca dati e alle misure di sicurezza, l'odierno schema di decreto prevede l'adozione di atti e provvedimenti di attuazione e in particolare:
a) per le prestazioni che non siano riconducibili all'elenco di cui alla Tabella 1, con decreto del Ministro del lavoro e delle politiche sociali, di concerto con il Ministro dell'economia e delle finanze, sentito il Garante, su segnalazione degli enti erogatori, si provvederà ad ampliare l'elenco stesso e a rendere disponibile la sua versione aggiornata;
b) con provvedimento del Ministero del lavoro e delle politiche sociali, di concerto con il Ministero dell'economia, saranno definiti gli indici di priorità per la creazione da parte dell'INPS di liste selettive di beneficiari da inviare alla Guardia di Finanza per controlli di natura sostanziale (art. 4, comma 2). Ove tale provvedimento determini trattamenti automatizzati volti a definire il profilo o la personalità dei beneficiari, il Ministero è tenuto a sottoporre tale atto al Garante al fine di individuare adeguate garanzie per gli interessati (artt. 14 e 17 del Codice).
Al riguardo, l'Autorità resta in attesa di ricevere lo schema di decreto di competenza del Ministero (ed, eventualmente, anche il provvedimento sugli indici di priorità di cui all'articolo 4, comma 2) e in sede di espressione del parere potrà valutare la conformità alla normativa in materia di protezione dei dati personali della disciplina che sarà stabilita. Ciò, ovviamente, anche con riferimento ai decreti direttoriali da adottarsi a cura dell'INPS.
RITENUTO
La versione dello schema di decreto in esame tiene conto degli approfondimenti e delle indicazioni suggeriti dall'Ufficio del Garante ai competenti uffici del Ministero del lavoro nel corso di riunioni e contatti informali, volti a perfezionare il testo e a rendere conformi alla disciplina in materia di protezione dei dati personali i trattamenti previsti dallo schema di provvedimento.
Le osservazioni dell'Ufficio hanno riguardato, in particolare:
- la selezione delle tipologie di informazioni che costituiscono la banca dati e le modalità di costituzione della stessa;
- la specificazione dei soggetti legittimati all'accesso e delle relative finalità;
- i dati resi disponibili dall'INPS per la programmazione, il monitoraggio e la valutazione in materia di politiche sociali.
Le osservazioni sono state integralmente recepite dall'Amministrazione interessata e lo schema di decreto non presenta criticità sotto il profilo della protezione dei dati personali.
Il parere è reso sul presupposto che l'eventuale trattamento di dati sensibili e giudiziari in attuazione dello schema in esame potrà avvenire legittimamente solo laddove l'individuazione dei tipi di dati sensibili o giudiziari, nonché delle operazioni eseguibili, sia effettuata con un atto di natura regolamentare ai sensi dell'art. 20, comma 2, del Codice, suscettibile di produrre effetti giuridici per gli interessati.
Il Garante non ha, pertanto, osservazioni da formulare.
IL GARANTE
esprime parere favorevole sullo schema di decreto interministeriale concernente la costituzione, presso l'Istituto nazionale della previdenza sociale (INPS), della banca dati delle prestazioni sociali agevolate, adottato ai sensi dell'articolo 5, comma 1, del decreto-legge 6 dicembre 2011, n. 201, convertito dalla legge 22 dicembre 2011, n. 214.
Roma, 17 gennaio 2013
IL PRESIDENTE
Soro
IL RELATORE
Califano
IL SEGRETARIO GENERALE
Busia
Fonte Garante Privacy
