A seguito di alcune notizie di stampa sono stati avviati opportuni accertamenti sul trattamento di dati personali, anche idonei a rivelare lo stato di salute, effettuato dall’Inps mediante un software finalizzato a rendere più efficienti i controlli sulle assenze dei lavoratori in ambito privato. Attraverso tale trattamento, analizzando, in particolare, frequenza e durata delle malattie, il software era in grado di profilare gli interessati attribuendo un “punteggio” volto ad individuare immediatamente i certificati più a rischio per i quali disporre la visita fiscale. Il Garante ha ritenuto il trattamento effettuato dall’Inps non conforme alla disciplina in materia di protezione dei dati personali, sanzionando l’Istituto con l’ordinanza ingiunzione 29 novembre 2018, n. 492 (doc. web n. 9078812).

L’Inps, infatti, pur avendo tempestivamente informato di aver sospeso l’utilizzo del predetto software, ha trattato, dall’8 febbraio 2011 al mese di marzo 2018, i dati personali relativi a 12,6 milioni di lavoratori privati assenti per malattia attraverso l’utilizzo del software “Data Mining/Savio” che attribuiva uno “score di probabilità” al certificato medico riferito al lavoratore, effettuando così un trattamento automatizzato di dati personali, anche idonei a rivelare lo stato di salute, raffrontando le informazioni contenute nel predetto certificato con le altre contenute nell’archivio gestionale delle visite mediche di controllo ed in ulteriori archivi amministrativi dell’Istituto.

Il trattamento, che non era stato sottoposto a verifica preliminare ai sensi dell’art. 17, d.lgs. n. 196/2003 né notificato al Garante, era stato effettuato in base a norme che, nonostante riconoscano l’obbligo di disporre delle visite domiciliari di controllo dei lavoratori assenti dal servizio per malattia e introducano la trasmissione telematica delle certificazioni di malattia sia per il settore pubblico che privato, non dispongono nulla in merito ai tipi di dati e alle operazioni eseguibili nell’ambito del trattamento automatizzato in argomento, in violazione quindi di quanto statuito dagli artt. 14 e 20, d.lgs. n. 196/2003. Inoltre, con specifico riferimento ai dati sensibili, il trattamento è stato effettuato senza che venisse resa agli interessati la prescritta informativa.

Il Garante si è espresso favorevolmente sulla modifica del regolamento per il trattamento dei dati sensibili e giudiziari dell’Inps, volta ad integrare, in particolare, l’all. n. 1, denominato “Prestazioni pensionistiche di natura previdenziale ed assistenziale - Gestione conto assicurato/pensionato”. L’aggiornamento del predetto regolamento ha consentito all’Istituto di semplificare, nel rispetto del Codice, i controlli sulle prestazioni previdenziali e assistenziali, acquisendo in via telematica i dati e le informazioni personali che altre amministrazioni detengono per obblighi istituzionali, al fine di ridurre gli adempimenti dei cittadini e rafforzare il contrasto alle evasioni e alle frodi fiscali e contributive, nonché accertare il diritto e la misura delle prestazioni previdenziali, assistenziali e di sostegno al reddito. Sulla base di tale modifica normativa, l’Istituto ha quindi previsto di stipulare una convenzione con il Ministero della salute al fine acquisire, nel rispetto del principio di indispensabilità con le misure di sicurezza adeguate, attraverso le Schede di dimissione ospedaliera (flusso Sdo), i soli dati necessari a rilevare eventuali periodi di ricovero conti nuativo di durata superiore a 29 giorni, nell’anno solare di riferimento, riferibili ai titolari di indennità di accompagnamento, di indennità di frequenza e di assegno sociale e di assegno sociale sostitutivo di invalidità civile al fine di verificare la misura di tali prestazioni che deve essere ridotta in caso di ricoveri con rette a carico di enti pubblici. Tali verifiche vengono svolte nei confronti di coloro che non presentano all’Inps la prevista dichiarazione di responsabilità, nonché nei confronti di un campione di soggetti che presentano la richiesta dichiarazione o certificazione, ai fini del controllo di veridicità delle stesse, per l’eventuale attivazione dei recuperi di cui all’art. 1, commi 252 e 253, l. 23 dicembre 1996, n. 662.

Il Garante ha espresso parere favorevole sullo schema di Accordo tra il Ministro del lavoro e delle politiche sociali, le regioni e Province autonome di Trento e Bolzano e le autonomie locali per l’avvio della sperimentazione in materia di banca dati delle valutazioni e progettazioni personalizzate, di cui al decreto legislativo 15 settembre 2017, n. 147.

In particolare, nelle more della realizzazione del Sistema informativo unitario dei servizi sociali (Siuss), per le finalità di ricognizione dei bisogni sociali, dei servizi sociali e di tutte le altre informazioni necessarie alla programmazione, alla gestione, al monitoraggio e alla valutazione delle politiche sociali, il Ministero del lavoro e delle politiche sociali ha voluto dare avvio alla sperimentazione dei flussi relativi alla banca dati delle valutazioni multidimensionali (componente del Casellario dell’assistenza istituito presso l’Inps relativa alle prestazioni sociali associate a una presa in carico da parte del servizio sociale, cd. flussi Sina e Sinba), sulla base della disciplina vigente, adottata in conformità alle indicazioni del Garante. Ciò, con particolare riferimento ai flussi necessari a monitorare l’utilizzo del Fondo per le non autosufficienze e del Fondo per l’assistenza alle persone con disabilità grave prive di sostegno familiare (Fondo cd. dopo di noi), finalizzati alla definizione di specifici livelli essenziali delle prestazioni e alla messa a punto del Piano per la non autosufficienza. Considerato che l’Accordo esaminato dal Garante ha previsto l’istituzione di una “Cabina di regia”, composta da rappresentanti dell’Inps, dell’Anci e delle regioni e Province autonome, per il predetto monitoraggio, l’Autorità ha richiesto al Ministero del lavoro e delle politiche sociali di comunicare gli aspetti rilevanti in materia di protezione dei dati personali all’esito della predetta sperimentazione (parere 22 febbraio 2018, n. 101, doc. web n. 8145482).

Fonte: Autorità Garante - Relazione 2018