Source: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9335112
Timestamp: 2020-07-08 06:02:10+00:00
Document Index: 58702198

Matched Legal Cases: ['art. 2', 'art- 2', 'art. 32', 'art. 2', 'art. 5', 'art. 2']

Flussi di dati personali tra Inps e Regione Campania nell’ambito... - Garante Privacy
Particolari categorie di dati , Sanità e ricerca scientifica , Dati sanitari , Previdenza , INPS , Coronavirus
[doc. web n. 9335112]
Flussi di dati personali tra Inps e Regione Campania nell’ambito dell’erogazione di misure di sostegno economico - 28 aprile 2020
n. 78 del 28 aprile 2020
Visto il decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali, recante Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (di seguito, Codice);
Visto, in particolare, l’art. 2-ter, comma 2, del Codice, ai sensi del quale “La comunicazione fra titolari che effettuano trattamenti di dati personali, diversi da quelli ricompresi nelle particolari categorie di cui all'articolo 9 del Regolamento e di quelli relativi a condanne penali e reati di cui all'articolo 10 del Regolamento, per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri è ammessa se prevista ai sensi del comma 1. In mancanza di tale norma, la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di compiti di interesse pubblico e lo svolgimento di funzioni istituzionali e può essere iniziata se è decorso il termine di quarantacinque giorni dalla relativa comunicazione al Garante, senza che lo stesso abbia adottato una diversa determinazione delle misure da adottarsi a garanzia degli interessati”;
Vista la nota del 17 aprile 2020 con la quale l’Inps ha manifestato all’Autorità l’intenzione di avvalersi della disposizione succitata, al fine di comunicare alla Regione Campania, salvo diversa determinazione da parte del Garante, una serie di dati personali (richiestigli mediante le note del 2, 6 e 9 aprile 2020) ai fini del riconoscimento di misure di sostegno economico nei confronti di persone, riferite al predetto ambito territoriale di competenza, che si trovano in una situazione di difficoltà per effetto della crisi causata dall’attuale situazione di emergenza epidemiologica;
Viste le ulteriori note del 24 e 27 aprile 2020 con cui il medesimo Istituto, in risposta alla richiesta di informazioni inviata da parte dell’Ufficio il 22 aprile 2020 e sulla base di ulteriori interlocuzioni intercorse con la Regione Campania (note del 22 e 24 aprile 2020, quest’ultima inviata, per conoscenza, anche al Garante), ha provveduto a riformulare la propria istanza, ai sensi dell’art- 2-ter, comma 2, del Codice, precisando che:
1) “limitatamente alla richiesta di dati connessa all’erogazione del bonus una tantum ai professionisti e lavoratori autonomi, […] l’INPS si limiterà al controllo delle dichiarazioni sostitutive di certificazione, richiesto dalla Regione ai sensi del DPR n. 445/2000, effettuando le operazioni di trattamento in conformità al contenuto del Provvedimento del Garante n. 393 del 2 luglio 2015, recante “Misure di sicurezza e modalità di scambio dei dati personali tra amministrazioni pubbliche” e, in particolare, dell’Allegato n. 2”;
2) “Con riferimento alla misura di sostegno ai lavoratori stagionali impiegati in attività alberghiere ed extralberghiere, l’INPS è disponibile […] a sottoscrivere un apposito accordo”, già trasmesso dalla Regione al medesimo Istituto con la predetta nota del 22 aprile 2020, “presidiando tutte le attività di individuazione della platea dei soggetti beneficiari e di pagamento dei benefici, senza alcuna trasmissione di dati personali, limitandosi alla sola rendicontazione con dati anonimi e aggregati”;
3) “In relazione, invece, alla misura regionale tesa all’integrazione a 1.000 euro per i percettori di pensioni/assegni sociali e di integrazione al trattamento minimo di pensione, il titolare del trattamento – tenuto conto che è già stato invitato a sottoscrivere un accordo bilaterale per i lavoratori stagionali i cui contenuti sono ancora da definire [cfr. l’accordo citato al punto 2) di cui sopra] – ritiene preferibile optare, in ossequio al principio di minimizzazione dei dati, per la conclusione di un accordo con la Regione teso alla gestione, da parte dello scrivente Istituto, delle fasi di individuazione dei soggetti beneficiari e di erogazione delle provvidenze, per conto della Regione, evitando in tal modo la fornitura massiva di dati individuali riguardanti i destinatari di prestazioni assistenziali e pensionistiche. Con il suddetto accordo, stipulato dalle parti nel rispetto della normativa vigente in materia di trattamento di dati personali, saranno individuati i dati personali oggetto di trattamento e adottate le misure adeguate di sicurezza ai sensi dell’art. 32 del citato Regolamento UE 2016/679. In tale ambito, l’INPS ritiene di riservarsi la possibilità di trasmettere, all’esito della corresponsione delle provvidenze agli aventi diritto e previa richiesta della Regione, dati pseudonimizzati relativi agli effettivi percettori del sostegno economico regionale o, per le sole finalità di controllo e in forma non massiva, dati identificativi individuali. Per quanto riguarda gli obblighi di trasparenza nei confronti degli interessati, si conferma che l’Istituto provvederà mediante specifica comunicazione sul proprio sito internet. L’Istituto potrà, infine, fornire i dati aggregati necessari all’Ente territoriale per attività di programmazione e monitoraggio”;
Rilevato, dunque, che i dati personali che l’Inps ha rappresentato al Garante di voler comunicare alla Regione Campania, ai sensi dell’art. 2-ter, comma 2, del Codice, in assenza di norma di legge o regolamento, necessari per l’esecuzione di un compito di interesse pubblico e lo svolgimento di funzioni istituzionali, sono indicati al predetto punto 3);
Ritenuto, quindi, che la comunicazione dei predetti dati personali risulta necessaria per assicurare, con urgenza, l’attivazione delle misure di sostegno economico a fronte dell’emergenza epidemiologica da COVID-19, e che, nel rispetto, in particolare, dei principi di limitazione delle finalità e minimizzazione dei dati, l’Inps e la Regione sono in ogni caso tenuti a trattare tali dati, per il perseguimento delle predette finalità, in conformità alle rispettive competenze istituzionali, con l’adozione di adeguate misure per garantire la trasparenza nei confronti degli interessati e la sicurezza del trattamento, da individuare nell’ambito della predetta convenzione (artt. 5, par. 1, lett. a), b), c), f), e 32 del Regolamento);
Ritenuto che le suddette ragioni di urgenza non permettono, allo stato, la convocazione in tempo utile del Collegio del Garante;
Ritenuto, quindi, che ricorrono i presupposti per l’applicazione dell’art. 5, comma 8, del regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante, il quale prevede che «Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno»;
ai sensi dell’art. 2-ter, comma 2, del Codice, non ha rilievi da formulare sulla comunicazione di dati personali prospettata dall’Inps nei termini di cui in motivazione.