A seguito di alcune notizie di stampa sono stati avviati opportuni accertamenti sul trattamento di dati personali, anche idonei a rivelare lo stato di salute, effettuato dall’Inps mediante un software finalizzato a rendere più efficienti i controlli sulle assenze dei lavoratori in ambito privato. Attraverso tale trattamento, analizzando, in particolare, frequenza e durata delle malattie, il software era in grado di profilare gli interessati attribuendo un “punteggio” volto ad individuare immediatamente i certificati più a rischio per i quali disporre la visita fiscale. Il Garante ha ritenuto il trattamento effettuato dall’Inps non conforme alla disciplina in materia di protezione dei dati personali, sanzionando l’Istituto con l’ordinanza ingiunzione 29 novembre 2018, n. 492 (doc. web n. 9078812).

L’Inps, infatti, pur avendo tempestivamente informato di aver sospeso l’utilizzo del predetto software, ha trattato, dall’8 febbraio 2011 al mese di marzo 2018, i dati personali relativi a 12,6 milioni di lavoratori privati assenti per malattia attraverso l’utilizzo del software “Data Mining/Savio” che attribuiva uno “score di probabilità” al certificato medico riferito al lavoratore, effettuando così un trattamento automatizzato di dati personali, anche idonei a rivelare lo stato di salute, raffrontando le informazioni contenute nel predetto certificato con le altre contenute nell’archivio gestionale delle visite mediche di controllo ed in ulteriori archivi amministrativi dell’Istituto.

Il trattamento, che non era stato sottoposto a verifica preliminare ai sensi dell’art. 17, d.lgs. n. 196/2003 né notificato al Garante, era stato effettuato in base a norme che, nonostante riconoscano l’obbligo di disporre delle visite domiciliari di controllo dei lavoratori assenti dal servizio per malattia e introducano la trasmissione telematica delle certificazioni di malattia sia per il settore pubblico che privato, non dispongono nulla in merito ai tipi di dati e alle operazioni eseguibili nell’ambito del trattamento automatizzato in argomento, in violazione quindi di quanto statuito dagli artt. 14 e 20, d.lgs. n. 196/2003. Inoltre, con specifico riferimento ai dati sensibili, il trattamento è stato effettuato senza che venisse resa agli interessati la prescritta informativa.

Fonte: Autorità Garante - Relazione 2018