IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Transcript

1 [doc. web n ] Parere sullo schema di decreto direttoriale INPS recante il disciplinare tecnico "regole tecniche di sicurezza per la trasmissione e l'accesso alle informazioni del Sistema informativo dell'isee" - 5 febbraio 2015 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Registro dei provvedimenti n. 62 del 5 febbraio 2015 Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale; Visto il Codice in materia di protezione dei dati personali, d.lgs. 30 giugno 2003, n. 196 (di seguito Codice); Visto il d.p.c.m. 5 dicembre 2013, n. 159, "Regolamento concernente la revisione delle modalità di determinazione e i campi di applicazione dell'indicatore della situazione economica equivalente (ISEE)"; Visto, l'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159, in base al quale "al fine dell'applicazione delle disposizioni sulle misure di sicurezza, ai sensi dell'articolo 31 e seguenti del decreto legislativo 30 giugno 2003, n. 196, l'inps, sentiti il Ministero del lavoro e delle politiche sociali, l'agenzia delle entrate e il Garante per la protezione dei dati personali, approva con decreto direttoriale il disciplinare tecnico contenente le misure di sicurezza, atte a ridurre al minimo i rischi di distruzione o perdita anche accidentali dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. In particolare, il disciplinare specifica le regole tecniche in conformità alle quali le procedure di sicurezza relative al software e ai servizi telematici garantiscono la riservatezza dei dati trattati nell'ambito del sistema informativo ISEE, anche in riferimento alle modalità di accesso; Vista la nota con la quale l'istituto Nazionale di Previdenza Sociale (Inps) ha chiesto il parere del Garante in relazione allo schema di decreto direttoriale recante il disciplinare tecnico di cui all'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159 (nota prot. Inps /11/ ); Vista la successiva nota con la quale l'inps, facendo seguito alla citata richiesta di parere inviata con nota del 24 novembre 2014, ha trasmesso un nuovo schema di decreto direttoriale recante il disciplinare tecnico di cui all'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159, "integrato e modificato alla luce degli incontri e dei chiarimenti intervenuti con gli Uffici competenti" (nota prot. Inps /01/ ); Vista la documentazione in atti; Viste le osservazioni dell'ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore la dott.ssa Augusta Iannini; PREMESSO L'Istituto Nazionale di Previdenza Sociale (di seguito INPS) ha chiesto il parere di questa Autorità in ordine allo schema di decreto direttoriale recante il disciplinare tecnico contenente le "regole tecniche di sicurezza per la trasmissione e l'accesso alle informazioni del Sistema informativo dell'isee" di cui all'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159, "Regolamento concernente la revisione delle modalità di determinazione e i campi di applicazione dell'indicatore della situazione economica equivalente (ISEE) (note prot. Inps /11/ e prot. Inps /01/ ). Al riguardo, deve preliminarmente evidenziarsi che il citato d.p.c.m. 5 dicembre 2013, n. 159, - sul quale il Garante ha fornito il parere di competenza con provvedimento del 22 novembre 2012 (reperibile sul sito internet dell'autorità doc. web ) - prevede, in particolare, che: l'isee debba essere calcolato sulla base delle informazioni, relative al nucleo familiare di appartenenza del beneficiario, fornite dal dichiarante attraverso un apposito modello di dichiarazione ("dichiarazione sostitutiva unica", (di seguito DSU), sulla quale il Garante ha espresso il parere di competenza con provvedimento del 6 novembre 2014, doc. web n ), e delle altre informazioni disponibili negli archivi dell'inps e dell'agenzia delle entrate, acquisite dal sistema informativo dell'isee (di seguito SII) (artt. 2, comma 6 e 11); i comuni, i centri di assistenza fiscale, l'amministrazione pubblica in qualità di ente erogatore alla quale è richiesta la prima prestazione ovvero la sede dell'inps competente per territorio, quali soggetti incaricati della ricezione della DSU, trasmettono per via telematica al SII gestito dall'inps i dati in essa contenuti (art. 10, comma 6, e 11, comma 1);

2 la DSU deve essere conservata dai soggetti medesimi ai soli fini di eventuali controlli o contestazioni, per un periodo non superiore a due anni (art. 12, comma 3); le informazioni analitiche necessarie al calcolo dell'isee, non ricomprese nell'elenco dei dati autodichiarati e già presenti nel sistema informativo dell'anagrafe tributaria, sono trasmesse dall'agenzia delle entrate all'inps. Sono altresì trasmesse, seppure autodichiarate, le informazioni relative all'esistenza di rapporti di cui all'articolo 7, sesto comma, del decreto del Presidente della Repubblica 29 settembre 1973, n. 605, nonché il valore sintetico delle componenti il patrimonio mobiliare, laddove disponibili nell'apposita sezione dell'anagrafe tributaria A tal fine, l'inps attiva le procedure di scambio telematico delle informazioni con l'agenzia delle entrate al momento della completa e valida ricezione dei dati autodichiarati (art. 11, comma 2); in relazione a tali dati autodichiarati, l'agenzia delle entrate, sulla base di appositi controlli automatici, individua e comunica all'inps l'esistenza di omissioni, ovvero difformità degli stessi rispetto ai dati presenti nel Sistema informativo dell'anagrafe tributaria (art. 11, comma 3); l'inps determina l'isee sulla base delle componenti autodichiarate, degli elementi acquisiti dall'agenzia delle entrate e di quelli presenti nei propri archivi amministrativi; l'attestazione riportante l'isee, il contenuto della DSU, nonché gli elementi informativi necessari al calcolo acquisiti dagli archivi amministrativi, è resa disponibile dall'inps al dichiarante mediante accesso all'area servizi del portale web, ovvero mediante posta elettronica certificata o tramite le sedi territoriali competenti. Sulla base di specifico mandato conferito dal dichiarante con manifestazione di consenso, l'attestazione e le informazioni di cui al periodo precedente possono essere resi disponibili al dichiarante stesso, per il tramite dei suddetti soggetti incaricati della ricezione della DSU (art. 10, comma 6, del d.p.c.m. 159 del 2013). A tale riguardo il disciplinare tecnico di cui all'articolo 12, comma 2, del d.p.c.m. 159 del 2013 individua le misure e gli accorgimenti atti a garantire che l'accesso alla attestazione e alle informazioni digitali da parte degli operatori dei soggetti incaricati della ricezione sia effettuato solo ai fini della consegna al dichiarante, nonché ad impedire la creazione di banche dati delle DSU presso i soggetti medesimi (art. 11, comma 4). OSSERVA Il presente parere è reso su una versione dello schema di decreto direttoriale Inps recante il disciplinare tecnico contenente le "regole tecniche di sicurezza per la trasmissione e l'accesso alle informazioni del Sistema informativo ISEE" (di seguito decreto direttoriale), di cui all'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159, che tiene conto delle indicazioni fornite dagli Uffici del Garante ai competenti Uffici dell'istituto nel corso di numerosi contatti, anche informali, volti a garantire il rispetto della disciplina in materia di protezione dei dati personali nell'ambito delle operazioni di raccolta e successivi trattamenti dei dati personali effettuati attraverso il SII e necessari al calcolo dell'isee. Le indicazioni dell'ufficio, correttamente recepite nel testo dello schema di provvedimento in esame, hanno riguardato, in particolare, gli aspetti di seguito puntualmente illustrati. 1. Trattamento e sicurezza dei dati. Per l'implementazione del SII, l'inps ha previsto l'attivazione di tre diversi canali di comunicazione attraverso i quali i soggetti incaricati della ricezione della DSU possono trasmettere le informazioni in essa contenute: applicazione web per l'acquisizione on line, applicazione web per la trasmissione di flussi in formato xml, cooperazione applicativa. Al riguardo, l'istituto, in conformità alle indicazioni emerse nell'ambito dell'attività istruttoria, ha evidenziato le misure di sicurezza previste, nella fase di invio della DSU da parte dei soggetti incaricati alla ricezione della stessa, sia tramite upload su applicazione web, sia nel caso di colloquio tra porte di dominio in cooperazione applicativa, per garantire la riservatezza e l'autenticità della trasmissione. In particolare, tale inoltro "avviene su rete pubblica con l'utilizzo del protocollo SSL per garantire il trasporto cifrato delle informazioni". Infine, accanto all'individuazione del tempo di conservazione dei dati da parte dei soggetti incaricati della ricezione della DSU che, come prevede il d.p.c.m. 5 dicembre 2013, n. 159, corrisponde ad un periodo di due anni (art. 12, comma 3), l'istituto ha fornito, altresì, specifiche indicazioni rivolte agli incaricati del trattamento presso i predetti soggetti in ordine alle corrette modalità di conservazione di tali documenti, prevedendo, in particolare, l'apposizione della firma digitale e della marca temporale da parte del responsabile della conservazione "al fine di garantirne l'autenticità, l'integrità, l'immodificabilità e la certezza della data" (cfr. par. 3 del decreto direttoriale). 2. Cooperazione applicativa e regole tecniche, protocolli e consultazione delle informazioni. Con specifico riferimento all'accesso al SII tramite cooperazione applicativa, in conformità alle indicazioni emerse nell'ambito dell'attività istruttoria, l'istituto ha opportunamente evidenziato le specifiche garanzie idonee a garantire un elevato livello di sicurezza delle postazioni. In particolare, è stato previsto che si faccia riferimento al modello "advanced" di porta di dominio definito negli standard SPC di cooperazione applicativa ( e inoltre che la verifica degli accessi avvenga sulla base della mutua autenticazione fra i server dell'istituto e quelli degli enti coinvolti (par. 4.2 del decreto direttoriale).

3 L'Istituto ha, inoltre, previsto, per gli accessi al SII attraverso tutti i canali disponibili, specifici sistemi di tracciatura e monitoraggio volti a rilevare utilizzi impropri delle chiavi di accesso. E' stato, infine, previsto che, nelle ipotesi di contestuale utilizzo del medesimo PIN da più postazioni, ovvero di consultazione di un numero di posizioni significativamente superiore alla media, in un dato arco temporale, l'inps dia luogo a specifici controlli (par. 6 del decreto direttoriale). 3. Regole sui messaggi trasmessi. Nell'ambito dei citati incontri informali, gli Uffici del Garante hanno rilevato l'opportunità che fossero indicate le considerazioni in base alle quali è stata individuata la dimensione massima dei messaggi trasmessi ai soggetti incaricati della ricezione della DSU all'inps (200 kb) e l'eventuale possibilità di suddividere un'unica DSU in più messaggi. Al riguardo, l'istituto ha precisato, in una nota di accompagnamento allo schema di decreto direttoriale, che tale dimensione è stata ritenuta congrua in quanto sufficiente a garantire l'invio di più DSU in un'unica unità e tali da ottimizzare l'impiego di banda trasmissiva su rete pubblica (par. 4.3 del decreto direttoriale). 4. Struttura flusso con Agenzia delle Entrate. Come sopra descritto, il calcolo dell'isee viene elaborato dall'inps attraverso le informazioni non autodichiarate e già presenti nel sistema informativo dell'anagrafe tributaria trasmesse dall'agenzia delle entrate, nonché dai dati autodichiarati. In relazione a tali ultime informazioni, l'agenzia delle entrate, sulla base di appositi controlli automatici, individua e rende disponibile all'inps l'esistenza di omissioni, ovvero difformità degli stessi rispetto ai dati presenti nel Sistema informativo dell'anagrafe tributaria (art. 11 del d.p.c.m. 5 dicembre 2013, n. 159). Al riguardo, l'allegato E dello schema di decreto direttoriale in esame, specifica che nelle ipotesi di rilevazioni di omissioni o difformità l'agenzia delle Entrate si limita a segnalare l'esistenza di tali incongruenze rispetto alle informazioni in suo possesso, lasciando al dichiarante la possibilità di rettificare ovvero di autocertificare le componenti per le quali rilevino inesattezze (art. 11, comma 7 del d.p.c.m. 5 dicembre 2013, n. 159) (par del decreto direttoriale). 5. La consultazione delle informazioni da parte dell'ente erogatore. Gli enti erogatori possono interrogare il SII anche al fine di acquisire dall'inps le informazioni analitiche contenute nella DSU necessarie allo svolgimento dei controlli sulle informazioni auto-dichiarate dal dichiarante nonché le informazioni analitiche contenute nella DSU e all'accertamento dei requisiti per il mantenimento dei trattamenti assistenziali, previdenziali e indennitari, ivi incluse carte di debito da essi erogati a qualunque titolo (art. 11, commi 6 e 10, del d.p.c.m. 5 dicembre 2013, n. 159). A tale riguardo, sulla base degli elementi rilevati nel corso dell'attività istruttoria, è stato precisato che, anche con riferimento allo svolgimento di tali specifiche funzioni istituzionali di accertamento e controllo, gli enti erogatori sono tenuti al rispetto dei principi di pertinenza, non eccedenza ed indispensabilità dei dati rispetto alle finalità perseguite, in base ai quali devono essere, pertanto, selettivamente richieste all'inps esclusivamente quelle informazioni in mancanza delle quali le citate attività di controllo e verifica non possono essere utilmente svolte (artt. 11 e 22 comma 3 del Codice). Le predette tipologie di accessi al SII saranno oggetto di specifici controlli a campione da parte dell'istituto e le eventuali violazioni rilevate saranno segnalate al Garante e determineranno l'inutilizzabilità dei dati raccolti (art. 11, comma 2, del Codice). Gli enti erogatori possono, inoltre, richiedere le informazioni analitiche necessarie ai fini di programmazione dei singoli interventi (art. 11, commi 10, del d.p.c.m. 5 dicembre 2013, n. 159). L'attività di programmazione, essendo per sua stessa natura finalizzata ad interventi sistematici ben può essere realizzata tramite informazioni che non consentano di identificare l'interessato. Con riferimento a tale flusso di dati, l'inps, sulla base delle specifiche indicazioni fornite al riguardo dagli Uffici del Garante, ha, pertanto, previsto che le informazioni analitiche vengano trasmesse prive dei dati anagrafi degli interessati e che a ciascuna di esse venga associato un codice numerico, casuale a non progressivo, calcolato all'atto della fornitura e non conservato nel SII "al fine di non rendere ricollegabile la fornitura anonima né ai dati residenti sul SII, né a precedenti forniture dello stesso tipo". L'Inps, inoltre, ha previsto che "vengano applicati dei valori soglia per le variabili di osservazione in modo da non trasmettere quelle posizioni per le quali si potrebbe risalire all'individuazione del soggetto". In conformità alle indicazioni emerse nell'ambito dell'attività istruttoria, l'inps, infine, considerato anche l'eventuale rischio di reidentificazione dei dati resi anonimi secondo le modalità sopra descritte, con particolare riferimento alle posizioni inerenti nuclei familiari insistenti su territori di modeste dimensioni, "ha fatto esplicito divieto all'ente erogatore di diffondere le informazioni anonime messe a disposizione dall'inps" (par del decreto direttoriale). 6. La consultazione delle informazioni da parte della Guardia di Finanza. Il d.p.c.m. 5 dicembre 2013, n. 159 prevede che i nominativi dei richiedenti nei cui confronti emergono divergenze nella consistenza del patrimonio mobiliare sono comunicati alla Guardia di finanza al fine di assicurare il coordinamento e l'efficacia dei controlli. Nell'ambito della programmazione dell'attività di accertamento della Guardia di finanza, una quota delle verifiche è, infatti, riservata al controllo sostanziale della posizione reddituale e patrimoniale dei nuclei familiari dei soggetti beneficiari di prestazioni, secondo criteri selettivi. Al riguardo, il decreto prevede, altresì, che il dichiarante debba autodichiarare "gli autoveicoli, ovvero i motoveicoli di cilindrata di 500 cc e superiore, nonché le navi e imbarcazioni da diporto, intestati a componenti il nucleo familiare alla data di presentazione della DSU" al solo fine di consentire la citata attività di programmazione, secondo criteri selettivi, dell'attività di accertamento della Guardia di Finanza (art. 11, commi 11 e 13 del d.p.c.m. 5 dicembre 2013, n. 159).

4 Deve, inoltre, evidenziarsi che ai sensi dell'art. 4, comma 2, del d.m. 8 marzo 2013, recante la "Definizione delle modalità di rafforzamento del sistema dei controlli dell'isee", che determina l'istituzione, presso l'inps, della banca dati delle prestazioni sociali agevolate, è previsto che la Guardia di Finanza, oltre ad avere accesso, per le relative finalità istituzionali di controllo, alle informazioni ivi raccolte, possa accedere altresì alle informazioni sulle condizioni economiche del nucleo familiare contenute nel SII. Ciò premesso, lo schema decreto direttoriale in esame, così come integrato a seguito della citata attività istruttoria, evidenzia che, dal punto di vista modale, gli accessi della Guardia di Finanza avvengono in modalità web ovvero tramite cooperazione applicativa. Dal punto di vista funzionale, tali accessi si differenziano in due categorie: quelli effettuati nell'ambito di indagini specifiche, anche delegate dall'autorità giudiziaria, e quelli effettuali nell'ambito della programmazione dell'attività di accertamento. Con riferimento ai primi, lo schema di decreto direttoriale prevede che la Guardia di Finanza possa avere accesso all'attestazione riportante l'isee, al contenuto della DSU, nonché agli elementi informativi necessari al calcolo, acquisiti dagli archivi amministrativi dell'inps e dell'agenzia delle entrate. Con riferimento, invece, agli accessi svolti nell'ambito della programmazione dell'attività di accertamento della Guardia di finanza, lo schema di decreto direttoriale in esame prevede, in particolare, che il controllo della posizione reddituale e patrimoniale dei nuclei familiari dei soggetti beneficiari di prestazioni avvenga secondo criteri selettivi da definire in attuazione del protocollo di intesa adottato al fine di disciplinare le regole generali della reciproca collaborazione tra Inps e Guardia di Finanza. Al riguardo, resta fermo che il documento recante tali criteri selettivi, inerendo la materia degli accessi al SII, dovrà essere sottoposto a questa Autorità per le eventuali valutazioni di competenza (art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159). La normativa di settore, prevede altresì specifici controlli da parte della Guardia di Finanza, per finalità di programmazione delle verifiche anche nel caso in cui in esito alle verifiche negli archivi dell'inps e dell'agenzia delle entrate permanga una discordanza tra quanto dichiarato dal cittadino e quanto rilevato nelle predette basi dati. A tal fine, l'inps comunica alla Guardia di Finanza i nominativi dei soggetti per i quali tali discordanze sono state rilevate (cfr. art. 3 decreto 7 novembre 2014, "Approvazione del modello tipo della Dichiarazione Sostitutiva Unica a fini ISEE, dell'attestazione, nonché' delle relative istruzioni per la compilazione ai sensi dell'articolo 10, comma 3, del decreto del Presidente del Consiglio dei Ministri 5 dicembre 2013, n. 159"). 7. La consultazione delle informazioni da parte di altri soggetti: il mandato. Il d.p.c.m. 5 dicembre 2013, n. 159 prevede che sulla base di specifico mandato conferito dal dichiarante con manifestazione di consenso, l'attestazione ISEE, le DSU nonché gli elementi informativi necessari al calcolo dell'isee, acquisiti dagli archivi amministrativi, possono essere resi disponibili al dichiarante per il tramite dei centri di assistenza fiscale e dei comuni soggetti incaricati della ricezione della DSU. Al riguardo l'inps, in conformità alle indicazioni emerse nell'ambito dell'attività istruttoria, ha espressamente previsto che tali soggetti debbano inviare all'istituto medesimo copia del mandato di assistenza, corredato dal documento di riconoscimento dell'interessato. 8. Regole per la comunicazione dei dati per fini di monitoraggio, programmazione, ricerca e studio. Il d.p.c.m. 5 dicembre 2013, n. 159 prevede che L'INPS, ai fini della predisposizione da parte del Ministero del lavoro e delle politiche sociali di un rapporto annuale di monitoraggio sull'attuazione della disciplina dell'isee, provvede secondo le indicazioni del Ministero alle elaborazioni volte a fornire una rappresentazione in forma aggregata dei dati, nonché alla fornitura al medesimo Ministero di un campione in forma individuale, ma anonima, rappresentativo della popolazione inclusa nelle DSU, privo di ogni riferimento che ne permetta il collegamento con gli interessati e comunque secondo modalità che rendono questi ultimi non identificabili. Il campione può essere altresì utilizzato dal medesimo Ministero per effettuare elaborazioni a fini di programmazione, di ricerca e di studio. L'INPS fornisce il campione in forma individuale, ma anonima, secondo le medesime modalità e per le medesime finalità di cui al presente comma, alle regioni e alle province autonome che ne fanno richiesta, secondo le indicazioni delle stesse, con riferimento al proprio ambito territoriale di competenza (art. 12, comma 4). A tale riguardo, sulla base degli elementi rilevati nel corso dell'attività istruttoria, l'inps ha individuato le modalità di anonimizzazione e aggregazione dei dati trattati per tali finalità. In particolare, l'aggregazione dei dati è effettuata per macro aree regionali, numerosità del nucleo familiare e fasce di età. E' stato inoltre, espressamente precisato che la fornitura dei dati aggregati al Ministero del lavoro e delle politiche sociali avverrà con cadenza annuale, mentre quella alle regioni e alle province autonome su esplicita richiesta degli enti stessi. La tecnica di anonimizzazione dei dati in forma individuale è la medesima utilizzata per l'invio agli enti erogatori delle informazioni analitiche necessarie ai fini di programmazione dei singoli interventi, descritta al punto 5 del presente parere. Anche in questo caso, l'inps ha fatto esplicito divieto al Ministero del lavoro e delle politiche sociali ed alle Regioni e Province autonome di diffondere le predette informazioni anonime. 9. Misure per evitare la duplicazione dei dati, la creazione di banche dati autonome e l'estrazione massiva. Il d.p.c.m. 5 dicembre 2013, n. 159, dispone, infine, che con il decreto direttoriale di cui trattasi siano previste specifiche misure volte ad impedire la creazione di autonome banche dati delle DSU presso i soggetti legittimati alla ricezione della stessa (artt. 10, comma 6, e 11, comma 4). A tal fine, l'inps, sulla base degli elementi rilevati nel corso dell'attività istruttoria, ha predisposto una specifica funzione di audit e notifica sulla frequenza e numerosità delle posizioni interrogate, la registrazione dell'identificativo dell'operatore dell'ente che effettua l'accesso e del

5 codice della posizione acceduta. Inoltre, in caso di anomalie l'istituto ha previsto la sospensione dell'utenza del soggetto che ha compiuto le interrogazioni (par. 8.3 e 8.4 del decreto direttoriale). TUTTO CIO' PREMESSO IL GARANTE ai sensi dell'art. 154, comma 1, lett. g) del Codice e dell'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159, esprime parere favorevole sullo schema di decreto direttoriale dell'inps recante il disciplinare tecnico contenente le "regole tecniche di sicurezza per la trasmissione e l'accesso alle informazioni del Sistema informativo ISEE" di cui all'art. 12, comma 2, del d.p.c.m. 5 dicembre 2013, n. 159, nei termini di cui in premessa. Roma, 5 febbraio 2015 IL PRESIDENTE Soro IL RELATORE Iannini IL SEGRETARIO GENERALE Busia