[doc. web n. 10000877]

Parere sullo schema di decreto del Ministro del lavoro e delle politiche sociali concernente l’attuazione della misura dell’Assegno di inclusione (ADI) - 21 dicembre 2023

Registro dei provvedimenti
n. 597 del 21 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il d.l. 4 maggio 2023, n. 48, recante “Misure urgenti per l’inclusione sociale e l’accesso al mondo del lavoro”, convertito, con modificazioni, dalla l. 3 luglio 2023, n. 85, che introduce, a decorrere dal 1° gennaio 2024, l'Assegno di inclusione (di seguito, ADI), quale “misura di sostegno economico e di inclusione sociale e professionale, condizionata alla prova dei mezzi e all'adesione a un percorso personalizzato di attivazione e di inclusione sociale e lavorativa”, mediante “percorsi di inserimento sociale, nonché di formazione, di lavoro e di politica attiva del lavoro” (art. 1);

VISTE, in particolare, le seguenti disposizioni del citato d.l. 48/2023:

- l’art. 2, in base al quale “L'Assegno di inclusione è riconosciuto, a richiesta di uno dei componenti del nucleo familiare, a garanzia delle necessità di inclusione dei componenti di nuclei familiari con disabilità, […] nonché dei componenti minorenni o con almeno sessant'anni di età ovvero dei componenti in condizione di svantaggio e inseriti in programmi di cura e assistenza dei servizi socio-sanitari territoriali certificati dalla pubblica amministrazione”, stabilendo altresì i requisiti richiesti dai nuclei familiari e dai relativi componenti;

- l’art. 3, che definisce le caratteristiche, l’importo e le modalità di erogazione del beneficio economico, nonché gli obblighi di comunicazione in capo al nucleo beneficiario in caso di variazioni intervenute nel nucleo medesimo o rispetto ai suoi componenti (quali modifiche sui requisiti, sulla composizione del nucleo familiare o l’avvio di un’attività di lavoro da parte di un componente);

- gli artt. 4 e 6, concernenti le modalità di richiesta dell’ADI e la definizione dei passaggi, da effettuarsi anche per il tramite del Sistema informativo per l'inclusione sociale e lavorativa (di seguito, SIISL), necessari per l’erogazione del beneficio economico (quali l’analisi dei bisogni dei componenti e la presa in carico da parte dei servizi sociali del Comune di residenza, la sottoscrizione del patto di attivazione digitale, la valutazione multidimensionale dei bisogni del nucleo familiare da parte dei servizi sociali e la successiva sottoscrizione del patto per l'inclusione, la sottoscrizione del patto di servizio personalizzato presso i centri per l’impiego da parte dei componenti del nucleo familiare attivabili al lavoro, gli obblighi di aggiornamento relativo alla posizione del nucleo familiare e dei suoi componenti, l’erogazione del beneficio economico tramite un’apposita “Carta di inclusione”);

- in particolare, il comma 1 del menzionato art. 4, ai sensi del quale “L'Assegno di inclusione è richiesto con modalità telematiche all'INPS, che lo riconosce, previa verifica del possesso dei requisiti e delle condizioni previsti dal presente Capo, sulla base delle informazioni disponibili sulle proprie banche dati o messe a disposizione dai comuni, dal Ministero dell'interno attraverso l'Anagrafe nazionale della popolazione residente (ANPR), dal Ministero della giustizia, dal Ministero dell'istruzione e del merito, dall'Anagrafe tributaria, dal pubblico registro automobilistico e dalle altre pubbliche amministrazioni detentrici dei dati necessari per la verifica dei requisiti, attraverso sistemi di interoperabilità, fatti salvi i controlli previsti dall'articolo 7”;

- inoltre, lo specifico comma 7 del medesimo art. 4, ai sensi del quale “Le modalità di richiesta della misura, di sottoscrizione del patto di attivazione digitale, del patto di inclusione e del patto di servizio personalizzato, nonché le attività di segretariato sociale, gli strumenti operativi per la valutazione multidimensionale e di definizione e di adesione al progetto personalizzato attraverso il sistema informativo di cui all'articolo 5 e le modalità di conferma della condizione del nucleo familiare sono definiti con uno o più decreti del Ministro del lavoro e delle politiche sociali, sentiti il Garante per la protezione dei dati personali e l'Agenzia nazionale per le politiche attive del lavoro, di seguito ANPAL, previa intesa in sede di Conferenza unificata […]”;

- l’art. 5, concernente il SIISL, istituito presso il Ministero del lavoro e delle politiche sociali e che “consente l'interoperabilità di tutte le piattaforme digitali dei soggetti accreditati al sistema sociale e del lavoro che concorrono alle finalità di cui all'articolo 1”, nel cui ambito opera, tra le altre cose, la piattaforma digitale dedicata ai beneficiari dell'ADI;

- l’art. 8, che disciplina anche i casi di decadenza, sospensione e revoca del beneficio;

- l’art. 11, che affida al Ministero del lavoro e delle politiche sociali compiti di monitoraggio sull'attuazione delle disposizioni relative all'ADI;

- l’art. 12, concernente la misura denominata Supporto per la formazione e il lavoro (di seguito, SFL);

VISTI i due decreti del Ministro del lavoro e delle politiche sociali 8 agosto 2023, recanti, rispettivamente, “Sistema informativo per l'inclusione sociale e lavorativa” (attuativo del SIISL, ai sensi dell’art. 5, comma 3, del d.l. 48/2023) e “Supporto per la formazione e il lavoro” (attuativo del SFL, ai sensi del combinato disposto di cui agli artt. 12, commi 11 e 13, e 4, comma 7, del d.l. 48/2023), su cui il Garante ha espresso parere favorevole con provv. n. 354 del 3 agosto 2023 (disponibile sul sito istituzionale www.garanteprivacy.it, doc. web n. 9918937);

VISTE le note inviate, da ultimo, il 30 novembre 2023 a seguito delle interlocuzioni intrattenute con l’Ufficio del Garante, con cui è stato trasmesso all’Autorità, ai fini dell’acquisizione del parere di competenza, lo schema di decreto del Ministro del lavoro e delle politiche sociali concernente l’attuazione dell’ADI, ai sensi dell’art. 4, comma 7, del d.l. 48/2023;

RILEVATO che il suddetto schema di decreto stabilisce, in particolare:

- l’oggetto della propria disciplina, limitandolo a “le attività di segretariato sociale, le modalità di richiesta della misura, di sottoscrizione del patto di attivazione digitale e del patto di inclusione e le modalità di conferma della condizione del nucleo familiare” (art. 2, comma 2);

- i requisiti per l’accesso all’ADI, definendo, in particolare, le categorie di soggetti che si trovano nella “condizione di svantaggio e [inseriti] in un programma di cura e assistenza dei servizi sociosanitari territoriali certificato dalla pubblica amministrazione” e prevedendo che la collocazione degli interessati all’interno di una o più di predette categorie sia definita all’interno di “linee di indirizzo sugli elementi fondanti la presa in carico, sociale integrata e il progetto personalizzato” (art. 3, spec. commi 5-8);

- le modalità di richiesta dell’ADI, anche per il tramite di Istituti di patronato e Centri di assistenza fiscale, previa stipula di apposita convenzione con l’INPS (art. 4, commi 1-4);

- le verifiche, da parte dell’INPS, sul possesso dei requisiti per l’accesso all’ADI (nonché al SFL), “sulla base delle pertinenti informazioni disponibili sulle proprie banche dati o messe a disposizione dai comuni, dal Ministero dell’interno attraverso l’Anagrafe nazionale della popolazione residente (ANPR), dal Ministero della giustizia, dal Ministero dell’istruzione e del merito, dall’anagrafe tributaria, dal pubblico registro automobilistico e dalle altre pubbliche amministrazioni detentrici dei dati necessari per la verifica dei requisiti, attraverso sistemi di interoperabilità, ai sensi dell’articolo 4, comma 1, del decreto-legge n. 48 del 2023, secondo le modalità di cui al decreto ministeriale  previsto dall’art. 5, comma 3 del decreto-legge n. 48 del 2023 e dai relativi allegati tecnici, parte integrante dello stesso”, specificando, altresì, che, con riferimento alle certificazioni di svantaggio diverse da quelle di titolarità dei Comuni, “l’INPS verifica l’esistenza della certificazione interrogando in interoperabilità, il Nuovo Sistema informativo Sanitario (NSIS) del Ministero della Salute […] per le certificazioni di natura sanitaria, e i sistemi informativi del Ministero della Giustizia per le certificazioni inerenti alla condizione di detenzione”; viene altresì prevista l’adozione, da parte del medesimo Istituto, sentito il Garante, di un “disciplinare sui controlli nel quale [sono definite], ove non già disciplinate, le tipologie di dati, le modalità di acquisizione delle predette informazioni e le misure a tutela degli interessati, funzionali alla verifica del possesso dei requisiti” (art. 4, commi 5-8);

- le modalità di erogazione del beneficio economico, anche suddividendo l’importo spettante tra i componenti maggiorenni del nucleo familiare che esercitano le responsabilità genitoriali o sono considerati nella scala di equivalenza, previa apposita richiesta (art. 5);

- le modalità attraverso le quali viene assicurata l’assistenza agli interessati per la presentazione della richiesta dell’ADI (art. 6);

- le modalità di attivazione del patto di attivazione digitale del nucleo familiare e, più in generale, le operazioni effettuabili sulla piattaforma SIISL dai richiedenti l’ADI nonché dai componenti il nucleo familiare beneficiario (art. 7);

- gli obblighi in capo ai beneficiari dell’ADI, nell’ambito dell’adesione a un percorso personalizzato di inclusione sociale e lavorativa (art. 8);

- le modalità di attivazione e di funzionamento dell’ADI, che prevede altresì la sottoscrizione del patto di servizio personalizzato da parte dei componenti il nucleo familiare attivabili al lavoro, il quale può prevedere l’adesione ai percorsi formativi previsti dal “Programma nazionale per la Garanzia di occupabilità dei Lavoratori (GOL)” (art. 9);

- la disciplina di controlli e sanzioni, nonché l’adozione, da parte dell’INPS, di “idonee misure di informazione e comunicazione riguardo agli adempimenti e agli obblighi cui sono tenuti i beneficiari, nonché sulle conseguenze derivanti dal loro inadempimento” (art. 10);

- il trattamento dei dati, da parte del MLPS, per finalità di monitoraggio sull’attuazione delle disposizioni relative alla misura, di valutazione dell’efficacia dell’ADI e di coordinamento dell’attuazione dei livelli essenziali delle prestazioni sociali (art. 11);

- la titolarità del trattamento, in capo all’INPS, “relativamente all’acquisizione e gestione della domanda, nonché al riconoscimento, erogazione, sospensione e revoca della prestazione ADI” e le garanzie in materia di trattamento dei dati personali, che richiamano quanto stabilito al riguardo nel menzionato d.m. 8 agosto 2023 relativo al SIISL (art. 12);

CONSIDERATO che lo schema di decreto in esame tiene conto delle osservazioni fornite dall’Ufficio nel corso delle interlocuzioni informali intercorse al fine di rendere conformi alla normativa in materia di protezione dei dati personali, in ossequio al principio di privacy by design e by default (art. 25 del Regolamento), i trattamenti ivi disciplinati, che hanno riguardato, in particolare:

- l’individuazione del ruolo ricoperto dagli Istituti di patronato (come titolari, sulla base del mandato definito ai sensi della normativa vigente) e dai Centri di assistenza fiscale (come responsabili del trattamento la cui titolarità rimane in capo all’INPS) in relazione al trattamento dei dati personali effettuato nell’ambito della presentazione della richiesta dell’ADI, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), del Regolamento);

- la definizione dei dati personali oggetto di trattamento da parte dell’INPS a fini di verifica del possesso dei requisiti e le relative modalità, con la previsione di forme di interoperabilità che consentano il controllo sia rispetto alle informazioni rese disponibili nel SIISL sulla base di quanto stabilito dal relativo d.m. attuativo, sia rispetto a quelle dalle detenute dalle altre pubbliche amministrazioni detentrici dei dati necessari, nel rispetto dei principi di liceità, correttezza e trasparenza, di minimizzazione dei dati, di esattezza e di integrità e riservatezza e degli obblighi di sicurezza (artt. 5, par. 1, lett. a), c), d) e f), e 32 del Regolamento), nonché tenuto conto che si tratta anche di tipologie di informazioni che, in quanto appartenenti alle categorie di cui agli artt. 9 e 10 del Regolamento, richiedono misure appropriate e specifiche a tutela dei diritti fondamentali e degli interessi degli interessati (cfr. altresì artt. 2-sexies e 2-octies del Codice);

- l’impostazione delle operazioni effettuabili, sulla piattaforma SIISL, da parte dei componenti il nucleo familiare beneficiario, nel rispetto dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati (art. 5, par. 1, lett. a) e c), del Regolamento);

- il richiamo alle garanzie contenute nella disciplina sui trattamenti di dati personali anche automatizzati effettuati a fini di profilazione, nonché relative alle verifiche periodiche sulla qualità dei dati e all’intervento umano nel processo decisionale relativo all’individuazione dei percorsi di politica attiva del lavoro (cfr. “Programma di Garanzia di occupabilità dei lavoratori (GOL)”, su cui il Garante si è pronunciato favorevolmente con provv. n. 353 del 20 ottobre 2022, doc. web n. 9827428), nel rispetto dei principi di liceità, correttezza e trasparenza, minimizzazione dei dati ed esattezza (art. 5, par. 1, lett. a), c) e d), del Regolamento);

- l’adozione, da parte dell’INPS, di idonee misure di trasparenza e informazione riguardo agli adempimenti e agli obblighi cui sono tenuti i beneficiari, nonché sulle conseguenze derivanti dal loro inadempimento, finalizzate ad evitare comportamenti o omissioni in fase di richiesta o fruizione dell’ADI che possano comportare la sospensione, la revoca o la decadenza dal beneficio, nel rispetto del principio di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), del Regolamento);

- l’introduzione di misure volte ad assicurare la non re-identificazione degli interessati, nell’ambito delle attività di monitoraggio e valutazione dell’ADI effettuate dal Ministero rispetto ai dati presenti nel SIISL, nel rispetto del principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), del Regolamento;

CONSIDERATO che i trattamenti di dati personali in esame presentano rischi elevati per i diritti e le libertà degli interessati, in quanto riguardano dati personali, su larga scala, relativi alla salute, alla condizione sociale e alla situazione economica e finanziaria degli interessati, elaborati anche in esito alla valutazione dello stato di bisogno dei beneficiari, relativi principalmente a soggetti vulnerabili (anziani, persone disabili, senza occupazione, inserite nei percorsi di protezione o vittime di violenza, anche minori d’età), in grado di condizionare l’accesso a servizi e prestazioni sociali, che devono essere adeguatamente individuati e mitigati nell’ambito della valutazione di impatto sulla protezione dei dati che l’Istituto dovrà condurre ai sensi dell’art. 35 del Regolamento, e dei relativi aggiornamenti;

CONSIDERATO, in particolare, che i trattamenti di dati personali effettuati nell’ambito delle verifiche sul possesso dei requisiti, ove non già disciplinati da altri fonti normative, vengano avviati dopo aver individuato misure adeguate a tutela dei diritti e delle libertà fondamentali degli interessati, a valle della predetta valutazione d’impatto, nel provvedimento adottato, sentito il Garante, ai sensi dell’art. 4, commi 5 e 8, dello schema di decreto;

RITENUTO, su tale base, di poter esprimere parere favorevole sullo schema di decreto in esame, con l’osservazione che i trattamenti di dati personali effettuati nell’ambito delle verifiche sul possesso dei requisiti, ove non già disciplinati da altri fonti normative, vengano avviati dopo aver individuato misure adeguate a tutela dei diritti e delle libertà fondamentali degli interessati, a valle della valutazione d’impatto sulla protezione dei dati di cui all’art. 35 del Regolamento, nel provvedimento adottato, sentito il Garante, ai sensi dell’art. 4, commi 5 e 8, dello schema medesimo;

RITENUTO, inoltre, di adottare il presente parere in via d’urgenza, in ragione della rappresentata esigenza di completare l’iter di approvazione del decreto entro la tempistica fissata dall’art. 1, comma 1, del d.l. 48/2023, ai sensi del quale l’ADI è istituito a decorrere dal 1° gennaio 2024, e tenuto conto che tali tempistiche non permettono, allo stato, la convocazione in tempo utile del Collegio del Garante;

RITENUTO, quindi, che ricorrano i presupposti per l'applicazione dell'art. 5, comma 8, del regolamento n. 1/2000 sull’organizzazione e il funzionamento dell'Ufficio del Garante, il quale prevede che “nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il Presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno”;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali concernente l’attuazione della misura dell’Assegno di inclusione (ADI), ai sensi dell’art. 4, comma 7, del d.l. 4 maggio 2023, n. 48, con l’osservazione che i trattamenti di dati personali effettuati nell’ambito delle verifiche sul possesso dei requisiti, ove non già disciplinati da altri fonti normative, vengano avviati dopo aver individuato misure adeguate a tutela dei diritti e delle libertà fondamentali degli interessati, a valle della valutazione d’impatto sulla protezione dei dati di cui all’art. 35 del Regolamento, nel provvedimento adottato, sentito il Garante, ai sensi dell’art. 4, commi 5 e 8, dello schema medesimo.

In Roma, 21 dicembre 2023

IL PRESIDENTE
Stanzione