Garante - Relazione 2016

Il Garante, con provvedimento del 28 luglio 2016, ha reso parere favorevole su uno schema di decreto direttoriale Inps riguardante le modalita' attuative dei flussi informativi e disciplinare tecnico per la sicurezza, ai sensi del d.m. 16 dicembre 2014, n. 16 - casellario dell’assistenza - seconda e terza componente (n. 337, doc. web n. 5385436).

Il casellario dell’assistenza gestito dall’Inps e' composto, oltre che dalla banca dati delle prestazioni sociali agevolate (gia' disciplinata dal decreto del Ministero del lavoro dell’8 marzo 2013 e dal decreto direttoriale dell’Inps n. 8 del 10 aprile 2015), dalla banca dati delle prestazioni sociali (che raccoglie le informazioni non incluse nella banca dati delle prestazioni sociali agevolate, nonche' quelle sulle prestazioni di natura previdenziale erogate dall’Inps e sulle agevolazioni tributarie acquisite dall’Anagrafe tributaria rilevanti per il Sistema informativo dei servizi sociali - SISS), e dalla banca dati della valutazione multidimensionale per la presa in carico del beneficiario (organizzata in tre sezioni: Infanzia, adolescenza e famiglia attraverso il modulo SINBA - Sistema informativo sulla cura e la protezione dei bambini e delle loro famiglie; Disabilita' e non autosufficienza attraverso il modulo SINA - Sistema informativo degli interventi per le persone non autosufficienti; Poverta', esclusione sociale e altre forme di disagio attraverso il modulo SIP - Sistema informativo su interventi e servizi sociali a contrasto della poverta' e dell’esclusione sociale).

La delicatezza dei dati trattati, in particolare, nell’ambito della terza componente del casellario, e la complessita' dei flussi informativi previsti dalle citate previsioni regolamentari, hanno imposto l’individuazione di misure e accorgimenti tecnici idonei a garantire elevati standard di sicurezza.

Lo schema di decreto direttoriale esaminato dal Garante e' il frutto di un’intensa collaborazione con l’Inps e il Ministero del lavoro e delle politiche sociali, volta a definire le specifiche tecniche e le regole di sicurezza al fine di garantire un elevato standard nei trattamenti delle informazioni contenute nelle banche dati delle prestazioni sociali e delle valutazioni multidimensionali, con riferimento ai flussi di dati trasmessi dagli enti erogatori e dall’Agenzia delle entrate. Sono state, inoltre, individuate specifiche cautele nell’individuazione delle tipologie di dati contenuti nel casellario da comunicare al Ministero del lavoro, alle regioni e alle province autonome, ai comuni e al Mef. Tali misure e accorgimenti sono individuati nel disciplinare tecnico allegato allo schema di decreto recante regole tecniche e di sicurezza per la trasmissione e la fruibilita' delle informazioni della seconda e terza componente del casellario dell’assistenza (banca dati prestazioni sociali e banca dati delle valutazioni multidimensionali per la presa in carico).

In particolare, l’attenzione del Garante e' stata rivolta ad assicurare che l’acquisizione dei dati attraverso il modulo SINBA, relativo ai minori, come previsto dalla normativa di settore, avvenga in forma individuale e priva di ogni riferimento che ne permetta il collegamento diretto con gli interessati nonche' con modalita' che, pur consentendo il collegamento nel tempo delle informazioni riferite ai medesimi individui, rendano questi ultimi non identificabili, garantendo la non reversibilita' del processo di associazione tra le informazioni raccolte attraverso il modulo SINBA e le altre presenti nel casellario. Il disciplinare prevede, infatti, che gli enti erogatori, tramite un proprio apposito algoritmo di cifratura, creino un codice identificativo univoco per ciascun minore, beneficiario di prestazioni, avendo cura di utilizzare sempre lo stesso algoritmo per la generazione del codice, in modo da consentire al casellario il collegamento nel tempo delle informazioni riferite ai medesimi individui e da garantire al contempo che questi non siano direttamente identificabili. Il codice fiscale dei minori e' utilizzato dagli enti erogatori solo in un primo momento, per acquisire dal casellario le informazioni sulle eventuali ulteriori prestazioni sociali o sulle prestazioni sociali agevolate di cui il minore e' beneficiario, estraendole dal sistema informativo Isee, al fine di associarle a quelle da trasmettere all’Inps tramite il modulo SINBA. A seguito di tale operazione, gli enti trasmettono al casellario soltanto i dati, corredati del solo codice identificativo univoco dei beneficiari, cui sono stati applicati livelli di aggregazione tali da garantire la non identificabilita' degli interessati, con la generalizzazione dei campi in cui le variabili risultano inferiori a cinque. A tale proposito, il disciplinare precisa anche che questi dati devono essere inviati al casellario parallelamente e separatamente dalle informazioni relative alle altre prestazioni sociali e che il codice identificativo univoco, utilizzato dagli enti erogatori per tali operazioni, non deve essere riconducibile ad alcun soggetto censito nelle banche dati dell’Inps, che non deve conoscere ne' la chiave ne' l’algoritmo utilizzati per la generazione del predetto codice.

Sono, poi, state oggetto di esame approfondito, e puntualmente individuate nel disciplinare, le tecniche di anonimizzazione finalizzate a rendere disponibili le informazioni contenute nel casellario, per l’alimentazione del SISS “in forma individuale ma prive di ogni riferimento che ne permetta il collegamento con gli interessati e comunque secondo modalita' che rendono gli interessati non identificabili” al Ministero del lavoro e delle politiche sociali, a fini di monitoraggio della spesa sociale e valutazione dell’efficienza e dell’efficacia degli interventi, nonche' per elaborazioni a fini statistici, di ricerca e di studio, e alle regioni e province autonome, ai comuni e agli altri enti pubblici responsabili della programmazione di prestazioni e di servizi sociali e socio-sanitari, con riferimento al proprio ambito territoriale di azione, per fini di programmazione delle prestazioni sociali, oltre che per le finalita' di monitoraggio della spesa e valutazione degli interventi, nonché per scopi statistici, di ricerca e di studio.

Nell’ambito del disciplinare sono state altresi' definite le modalita' di aggregazione dei dati resi disponibili al Mef ai fini del monitoraggio della spesa sociale e per elaborazioni a fini statistici, di ricerca e di studio.

Nell’ambito della collaborazione istituzionale, e' stato previsto, infine, un rafforzamento delle misure di sicurezza, prevedendo l’utilizzo di canali sicuri e di tecniche di cifratura per la trasmissione dei dati al casellario da parte degli enti erogatori, nonche' il ricorso a un collegamento sicuro e alla cifratura dei dati per l’acquisizione delle informazioni sulle agevolazioni tributarie presso l’Agenzia delle entrate.