[doc. web n. 10286615]

Parere al Ministero del lavoro e delle politiche sociali sullo schema di decreto concernente i controlli di cui all’art. 7, comma 3, del d.l. 48/2023 - 6 agosto 2026

Registro dei provvedimenti
n. 578 del 6 agosto 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

Il Ministero del lavoro e delle politiche sociali (di seguito, Ministero), con nota del 3 luglio 2025 (integrata il 23 gennaio 2026), ha trasmesso al Garante lo schema di decreto del Ministro, corredato di un allegato tecnico, attuativo dell’art. 7, comma 3, del d.l. 4 maggio 2023, n. 48 (recante “Misure urgenti per l'inclusione sociale e l'accesso al mondo del lavoro”), convertito, con modificazioni, dalla l. 3 luglio 2023, n. 85, concernente i controlli in materia di lavoro e legislazione sociale, al fine di acquisirne il prescritto parere.

Al riguardo, si ricorda che, in merito ad una precedente versione dello schema di decreto in questione, il Garante aveva reso il previsto parere (provv. n. 611 del 17 ottobre 2024, disponibile su www.gpdp.it, doc. web n. 10073780), rilevando alcune criticità in merito a profili di protezione dei dati personali, e ponendo, dunque, a tal proposito, alcune condizioni.

Alla luce di ciò, e al fine di assicurare elevati standard di sicurezza negli accessi alle banche dati pubbliche, con l’adozione di stringenti misure tecniche e organizzative tali da garantire accessi selettivi alle informazioni, l’Ufficio del Garante ha avviato interlocuzioni con il Ministero e l’Ispettorato nazionale del lavoro (in qualità di titolare autonomo abilitato ad accedere – di seguito, INL), ma anche con l’INPS (quale titolare del trattamento dei dati personali detenuti presso le proprie banche dati e sottoposti ad accesso) e la Guardia di finanza (altro titolare autonomo abilitato ad accedere – di seguito, GDF).

Il presente parere viene, quindi, reso all’esito delle valutazioni compiute sulla base di tutti gli elementi emersi nel corso dell’istruttoria.

1. Il quadro normativo

Il d.l. 48/2023, istitutivo delle misure dell’Assegno di inclusione (di seguito, ADI) e del Supporto per la formazione e il lavoro (di seguito, SFL), all’art. 7, nella formulazione attualmente vigente, prevede, in particolare, che:

- i controlli ispettivi “sono svolti dal personale ispettivo dell'Ispettorato nazionale del lavoro (INL) e dal Comando Carabinieri per la tutela del lavoro, ai sensi del decreto legislativo 14 settembre 2015, n. 149, dal personale ispettivo dell'INPS, nonché dalla Guardia di finanza nell'ambito delle ordinarie funzioni di polizia economico-finanziaria esercitate ai sensi del decreto legislativo 19 marzo 2001, n. 68” (comma 1);

- “Al fine di consentire un efficace svolgimento dell'attività di vigilanza sulla sussistenza di circostanze che comportano la decadenza dal beneficio e di rafforzare i controlli di prevenzione e contrasto del caporalato, dello sfruttamento lavorativo e del lavoro sommerso e irregolare, nonché su altri fenomeni di violazione in materia di lavoro e legislazione sociale, nell'ambito delle rispettive competenze, il personale ispettivo dell'INL, compreso il personale ispettivo del Comando carabinieri per la tutela del lavoro operante presso l'INL, ai sensi dall'articolo 6 del decreto legislativo 14 settembre 2015, n. 149, e la Guardia di finanza hanno accesso a tutte le informazioni e le banche dati, sia in forma analitica che aggregata, trattate dall'INPS, già a disposizione del personale ispettivo dipendente dal medesimo Istituto. Per le finalità di cui al presente comma, l'INL e la Guardia di finanza stipulano apposita convenzione, sentito il Garante per la protezione dei dati personali” (comma 2);

- con decreto del Ministro del lavoro e delle politiche sociali, “sentiti l'INL, l'INPS e il Garante per la protezione dei dati personali, sono individuati le categorie di dati, le modalità di accesso, da effettuare anche mediante cooperazione applicativa, le misure a tutela degli interessati e i tempi di conservazione dei dati” (comma 3).

Con il menzionato parere del 2024, il Garante aveva rilevato, in primo luogo, come il testo precedentemente sottoposto a consultazione ribadisse in maniera indifferenziata tutte le finalità indicate dal legislatore per le quali l’accesso da parte di tali soggetti sarebbe legittimo, senza tuttavia specificare le finalità perseguite da ciascuno di soggetti abilitati (personale ispettivo dell'INL, del Comando Carabinieri per la tutela del lavoro operante presso l’INL – di seguito, CC – e della Guardia di finanza), indicando conseguentemente tutte le tipologie di dati, anche personali, a cui i menzionati soggetti avrebbero potuto indistintamente accedere; ciò senza definire puntualmente le specifiche finalità perseguite da INL, Comando Carabinieri tutela del lavoro e Guardia di finanza, né individuare le relative basi giuridiche che attribuiscono loro specifici compiti istituzionali e che definiscono i presupposti e l’ambito del trattamento per consentire l’accesso alle numerose e delicate informazioni detenute dall’INPS.

In considerazione di ciò, nonché di ulteriori criticità rilevate nel testo – per le quali si richiama integralmente il menzionato parere – il Garante si era pronunciato stabilendo le seguenti condizioni: “a) siano definite le specifiche finalità perseguite da ciascuno dei soggetti indicati nell’art. 7 del d.l. n. 48/2023 e le tipologie di dati personali cui possono accedere […]; b) siano previste le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati laddove siano oggetto di trattamento le categorie particolari di dati personali di cui agli artt. 9 e 10 del Regolamento […]; c) siano previste misure appropriate che assicurino la correttezza e la trasparenza dei trattamenti effettuati da INL e Guardia di finanza nel contesto in esame […]; d) siano previste misure specifiche per la prevenzione e rilevazione degli accessi non autorizzati e per la gestione degli incidenti di sicurezza anche per agevolare l'adempimento degli obblighi in materia di violazioni dei dati personali da parte dei diversi titolari del trattamento coinvolti […]”

2. Lo schema di decreto

Lo schema di decreto oggetto del presente parere all’art. 2 stabilisce che, “per consentire un efficace svolgimento dell’attività di vigilanza sui fenomeni di violazione in materia di lavoro e legislazione sociale e sulla sussistenza di circostanze che comportano la decadenza dal beneficio dell’Assegno di inclusione e dalla fruizione del Supporto per la formazione e il lavoro, nonché per il contrasto al lavoro irregolare nei confronti dei beneficiari delle suddette misure, al fine di rafforzare i controlli di prevenzione e contrasto al caporalato, allo sfruttamento lavorativo e al lavoro sommerso, nell’ambito delle rispettive competenze, il personale ispettivo dell'INL, compreso il personale del Comando Carabinieri per la tutela del lavoro operante presso l’INL e il personale della Guardia di finanza sulla base dell’apposita convenzione da stipularsi tra INPS, Guardia di Finanza e INL hanno accesso a tutte le seguenti categorie di dati, sia in forma analitica che aggregata, trattati dall’INPS, già a disposizione del personale ispettivo dipendente dal medesimo Istituto per le medesime finalità, come specificato nell’allegato tecnico parte integrante del presente decreto, nel rispetto dei principi di minimizzazione e di privacy by default”, indicando le tipologie di dati (anche personali) oggetto di tale accesso, anche mediante rinvio al dettaglio contenuto nell’allegato tecnico (per la descrizione cfr. il par. 4 del presente parere).

L’art. 3 individua le finalità del trattamento connesse all’accesso da parte di ciascuno dei soggetti abilitati, e cioè:

- per quanto concerne l’INL, “nell’ambito delle funzioni ad esso assegnate ai sensi del decreto legislativo del 14 settembre 2015, n. 149, al fine di consentire l’efficace svolgimento dei controlli di cui all’articolo 7, comma 3, del decreto-legge 4 maggio 2023, n. 48 sulla sussistenza di circostanze che comportino la decadenza dal beneficio dell’Assegno di Inclusione e del Supporto per la formazione e il lavoro, oltre che contrastare il fenomeno del caporalato, dello sfruttamento lavorativo, del lavoro sommerso e irregolare, secondo le modalità di accesso definite dal presente decreto e nel rispetto delle misure poste a tutela degli interessati nonché dei tempi di conservazione dei dati personali” (comma 2);

- per quanto riguarda il CC, incardinato presso l’INL, “nell’ambito dello svolgimento dei compiti istituzionali ad esso affidati ai sensi dell’articolo 6, decreto legislativo 14 settembre 2015, n. 149, secondo le modalità e i tempi di conservazione definiti dal presente decreto” (comma 3);

- per quanto riguarda la GDF, “nell’ambito delle funzioni istituzionali di polizia economico-finanziarie, esercitate ai sensi del decreto legislativo 19 marzo 2001, n. 68, e per le finalità di controllo nei confronti dei beneficiari delle misure di cui al decreto-legge 4 maggio 2023, n. 48, secondo modalità e termini definiti dal presente decreto e sulla base della convenzione da stipularsi tra l’INPS, l’INL e la Guardia di Finanza sentito il Garante per la protezione dei dati personali” (comma 4).

L’accesso al patrimonio informativo detenuto dall’INPS avviene “mediante identità federata anche da rete internet. In quest’ultimo caso, è richiesto l’utilizzo di credenziali personali di accesso da eseguirsi tramite procedure di autenticazione a due fattori con l’impiego di un generatore OTP fisico (token) o software (OTP)”, o, in alternativa, “Sulla base di specifiche esigenze funzionali di accesso, [… tramite] sistemi per l’interscambio automatico delle informazioni secondo il Modello di Interoperabilità adottato da AgID, con modalità che consentano il tracciamento dell’utenza che esegue l’interrogazione dei dati, da parte del titolare della banca dati interessata, oltre che da parte dell’INL, del Comando Carabinieri per la tutela del lavoro e della Guardia di finanza nel caso di accesso mediante il predetto modello di interoperabilità”; inoltre, è vietato l’utilizzo di “dispositivi automatici (robot) che consentono di consultare in forma massiva i dati e di replicare le informazioni rese disponibili in autonome banche dati”, mentre sono possibili “interrogazioni di dati analitici in cooperazione applicativa e aggregati ai fini dello svolgimento dell’attività di vigilanza” (art. 4).

In materia di misure di sicurezza, l’art. 5 prevede, innanzitutto, che l’INPS effettui il “controllo periodico, anche a campione, della correttezza degli accessi e alle attività di verifica rese necessarie a seguito dell’introduzione di appositi alert, attivati allo scopo individuare comportamenti anomali o a rischio, relativi alle operazioni eseguite sulle banche dati dell’Istituto. In particolare, tali alert saranno volti a rilevare intrusioni o accessi anomali e abusivi ai dati personali, tali da configurare eventuali trattamenti illeciti o non conformi alle regole di accesso ai dati effettuati dagli operatori autorizzati”, e che le amministrazioni, a loro volta, procedano “al tracciamento dell’accesso ai dati tramite registrazioni che consentono di verificare a posteriori ciascun accesso eseguito da ciascun utente”. Inoltre, dopo aver rinviato alle “politiche interne in materia di protezione di dati personali applicate dall’INL e dalla Guardia di finanza e pubblicate sui rispettivi siti internet istituzionali che disciplinano gli obblighi di informativa e l’esercizio dei diritti degli interessati”, il medesimo articolo indica le “adeguate misure tecniche e organizzative di sicurezza, atte a garantire integrità, riservatezza e disponibilità dei dati nel rispetto della vigente normativa in materia di protezione dei dati personali” che “ciascuna Amministrazione, nell’ambito di rispettiva competenza, in riferimento ai propri sistemi informativi ed in ragione dei trattamenti di dati rispettivamente effettuati” è tenuta ad adottare, comprese quella di rendere “agli interessati, ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679, le rispettive informative sul trattamento dei dati personali” e di comunicare “tempestivamente le violazioni di dati o incidenti informatici eventualmente occorsi nell’ambito dei trattamenti effettuati, che possano avere un impatto significativo sui dati personali, in modo che, nei termini prescritti, i Titolari possano effettuare i prescritti adempimenti ai sensi degli artt. 33 e 34 del Regolamento UE 2016/679”.

L’art. 6, infine, prevede che “I dati acquisiti dall’INL e dalla Guardia di finanza, oggetto di provvedimenti sanzionatori, [siano] conservati per il tempo necessario per l’istruttoria di trattamento, comunque non superiore ad un quinquennio a decorrere dall’acquisizione degli stessi” ed esclude “la possibilità di duplicazione delle banche dati da parte degli enti fruitori”.

OSSERVA

La versione dello schema di decreto in esame recepisce talune delle condizioni stabilite dal Garante nel menzionato parere del 2024, in quanto:

- con riferimento alla trasparenza dei trattamenti effettuati, in particolare, da INL e Guardia di finanza quali titolari autonomi abilitati all’accesso (condizione c)), vengono fatti salvi gli obblighi informativi previsti dagli artt. 13 e 14 del Regolamento (cfr. art. 5, comma 4, lett. m), dello schema);

- con riferimento alla prevenzione e rilevazione degli accessi non autorizzati e per la gestione degli incidenti di sicurezza (condizione d)), sono state introdotte misure specifiche quali la previsione di controlli periodici da parte dell’INPS, anche a campione, in merito alla correttezza degli accessi, nonché l’introduzione di appositi alert, attivati allo scopo individuare comportamenti anomali o a rischio (art. 5, comma 1, dello schema) e l’obbligo, per ciascun titolare, di comunicare tempestivamente, agli altri titolari, le violazioni di dati o gli incidenti informatici eventualmente occorsi nell’ambito dei trattamenti effettuati che possano avere un impatto significativo sui dati personali, anche ai fini di porre in essere gli adempimenti di cui agli artt. 33 e 34 del Regolamento (art. 5, comma 4, lett. n), dello schema).

Premesso quanto sopra, tuttavia, permangono taluni profili di criticità, che si vanno di seguito a descrivere.

3. Le tipologie di dati personali accessibili dai soggetti legittimati 

A differenza del precedente schema di decreto, su cui il Garante si è pronunciato con il parere reso nel 2024, il testo in esame reca, per ciascuna delle tipologie di dati personali previste, l’indicazione delle basi giuridiche che legittimerebbero l’accesso da parte del personale di ognuno dei predetti soggetti, riconducibili alle rispettive normative di settore che attribuisce funzioni istituzionali ai predetti organi di vigilanza; a questo fine, con specifico riferimento ai compiti perseguiti dalla GDF, il testo reca altresì il richiamo a disposizioni di natura penalistica e a quelle concernenti l’esercizio di funzioni di polizia economico-finanziaria.

Per quanto riguarda, invece, le indicazioni volte ad assicurare il rispetto del principio di minimizzazione dei dati e dei principi di protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita, lo schema di decreto conferma l’impianto precedente secondo cui tutte le tipologie di dati personali indicate, detenute nelle banche dati dell’INPS, sono indistintamente accessibili da parte di tutto personale ispettivo dell'INL, del CC e della GDF, poiché, in sintesi, il set di dati personali resi accessibili risulterebbero necessari per l’esercizio delle rispettive funzioni nel rispetto di quanto stabilito dalle diverse normative applicabili.

Al riguardo, nel prendere atto di quanto rappresentato in relazione a tali aspetti dalle amministrazioni coinvolte nel corso dell’istruttoria, in considerazione della rilevanza delle informazioni accessibili, occorre che il numero di utenti sia circoscritto a coloro che necessitano di accedervi in relazione alle mansioni affidate in concreto e per il tempo strettamente necessario allo svolgimento delle stesse.

4. La sicurezza dei dati personali oggetto di trattamento 

4.1. L’art. 4 dello schema, dopo la descrizione delle modalità di accesso alle informazioni detenute dall’INPS, contenuta nel comma 1 (applicazioni web fruibili mediante identità federata anche da rete internet, sistemi per l’interscambio automatico delle informazioni secondo il Modello di Interoperabilità adottato da AgID), al comma 2 stabilisce, in capo al soggetto accedente, il divieto di utilizzo di dispositivi automatici (robot) che consentono di consultare in forma massiva i dati e di replicare le informazioni rese disponibili in autonome banche dati.

Al contempo, tuttavia, il medesimo comma 2, all’ultimo periodo, riporta una disposizione di dubbia interpretazione, prevedendo la possibilità di “interrogazioni di dati analitici in cooperazione applicativa e aggregati ai fini dello svolgimento dell’attività di vigilanza”, senza specificarne la portata.

Al riguardo, si ricorda che, ferma restando la possibilità di ottenere dall’INPS informazioni aggregate ai fini dello svolgimento delle attività di vigilanza, i trattamenti in esame non devono consentire di acquisire massivamente dati personali e duplicarli in autonome banche dati.

4.2. L’art. 5, comma 2, dello schema prevede che le amministrazioni procedano al tracciamento dell’accesso ai dati tramite registrazioni che consentono di verificare a posteriori ciascun accesso eseguito da ciascun utente.

A questo riguardo, si ritiene necessario riformulare tale disposizione in modo da precisare, in relazione a ciascuna delle modalità di accesso indicate all’art. 4, comma 1, del medesimo schema, le tipologie di operazioni (ad esempio, login/logout, consultazione di dati, estrazione di dati o documenti) che ciascun soggetto (INPS in qualità di titolare delle banche dati accedute, INL/GDF in qualità di amministrazioni accedenti) è tenuto a registrare e conservare al fine di assicurare l’efficacia delle attività di verifica rispetto alla liceità dei trattamenti posti in essere.

Sempre in quest’ultima prospettiva, in considerazione della rilevanza delle informazioni accessibili e del numero di operatori destinati ad essere abilitati all’accesso, è necessario prevedere, inoltre, che, in relazione ad ogni interrogazione, gli utenti inseriscano la motivazione alla base dell’accesso, che deve risultare verificabile a posteriori e registrata nei log di tracciamento delle operazioni eseguite.

4.3. L’art. 5, comma 1, dello schema stabilisce che l’INPS proceda al controllo periodico, anche a campione, della correttezza degli accessi e alle attività di verifica rese necessarie a seguito dell’introduzione di appositi alert, attivati allo scopo individuare comportamenti anomali o a rischio, relativi alle operazioni eseguite sulle proprie banche dati.

Si ritiene necessario che, al medesimo fine, anche i soggetti accedenti introducano autonome ed efficaci forme di controllo, anche a campione, sulla correttezza degli accessi, tenuto conto delle motivazioni indicate dagli utenti autorizzati, oltre alle dovute attività di verifica in presenza di anomalie, rilevate anche sulla base dei predetti alert generati dai sistemi dell’INPS, nonché di quelli che tali soggetti accedenti dovranno attivare, a seconda della modalità di accesso adottata tra quelle indicate all’art. 4, comma 1, dello schema.

Tutto quanto riportato nel presente paragrafo risulta necessario anche per assicurare, già all’interno della base giuridica, l’individuazione delle misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati, ai sensi degli artt. 2-sexies e 2-octies del Codice, in considerazione del fatto che potrebbero essere oggetto di trattamento le categorie particolari di dati e i dati relativi a condanne penali e reati di cui, rispettivamente, agli artt. 9 e 10 del Regolamento. Ciò anche nell’ottica di assicurare le più stringenti garanzie previste dal d.lgs. 18 maggio 2018, n. 51 (cfr., in particolare, il par. 5 del presente parere).

5. L’accesso da parte della Guardia di finanza

Con riferimento agli accessi da parte degli operatori della GDF, si osserva che essi trovano fondamento nel d.lgs. 19 marzo 2001, n. 68, e, quindi, richiedono l’applicazione anche di quanto previsto dal d.lgs. 51/2018 (cfr. art. 3, comma 4, dello schema).

Ciò, con particolare riferimento all’art. 47 del menzionato d.lgs. 51/2018, il quale, al comma 1, prevede che, nei casi in cui le autorità di pubblica sicurezza o le forze di polizia possono acquisire, in conformità alle vigenti disposizioni di legge o di regolamento, dati, informazioni, atti e documenti da altri soggetti, l’acquisizione può essere effettuata anche per via telematica, avvalendosi di convenzioni volte ad agevolare tale consultazione, nel rispetto delle pertinenti disposizioni e delle disposizioni generali in materia di protezione dei dati personali; le convenzioni sono adottate su conforme parere del Garante e stabiliscono le modalità dei collegamenti e degli accessi, anche al fine di assicurare l'accesso selettivo ai soli dati necessari al perseguimento delle finalità previste.

Nel caso di specie, l’art. 7, comma 2, ultimo periodo, del d.l. 48/2023 prevede che l'INL e la GDF stipulino apposita convenzione, sentito il Garante.

Sul punto, il Ministero ha rappresentato, nel corso dell’istruttoria, che ha ritenuto di integrare il novero dei soggetti richiamati alla sottoscrizione della predetta convenzione prevedendo anche la partecipazione dell’INPS, quale titolare delle banche dati oggetto di accesso.

Al riguardo, è necessario che nello schema di decreto sia prevista la sottoscrizione di due convenzioni distinte, da stipularsi tra l’INPS, da una parte, e, dall’altra, rispettivamente, l’INL e la GDF.

Ciò, in quanto la convenzione con la GDF dovrà assicurare il rispetto di quanto previsto dall’art. 47 del d.lgs. 51/2018, contenendo le garanzie stabilite nel quadro normativo specifico che disciplina il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, con la specificazione delle modalità di accesso da parte della GDF; GDF che, peraltro, nel corso dell’istruttoria ha rappresentato l’intenzione di avvalersi, a tal fine, di un modello di federazione applicativa per il tramite dell’INL.

A questo proposito, si ritiene necessario rimandare l’esame delle prospettate modalità di accesso alle banche dati in questione in sede di valutazione della predetta convenzione con la GDF, ciò anche con riferimento alla conformità delle stesse al Regolamento, al Codice e al d.lgs. 51/2018, in relazione all’accesso da parte di una forza di polizia mediato dal ricorso a sistemi messi a disposizione da un altro soggetto.

RITENUTO

Come già evidenziato nel parere reso dal Garante con provv. n. 611 del 17 ottobre 2024, i trattamenti di dati personali disciplinati mediante lo schema di decreto in esame comportano rischi elevati per i diritti e le libertà fondamentali di un’ampia platea di interessati, peraltro vulnerabili, considerata la quantità e qualità di informazioni personali che sono oggetto di accesso e ulteriore trattamento da parte di soggetti istituzionali, comprese le forze di polizia, che trattano i dati per il tramite del proprio personale autorizzato.

Ciò anche in ragione dell’ampio numero di operatori abilitati ad accedere alle banche dati in esame, che espone gli interessati ad ulteriori elevati rischi connessi ad eventuali accessi non autorizzati alle informazioni ivi detenute, con possibili effetti pregiudizievoli e, in taluni casi, grave danno alle persone cui tali dati si riferiscono.

Resta pertanto fermo che, come già rilevato, i titolari coinvolti nei trattamenti oggetto di disciplina da parte del presente schema di decreto, effettuino la valutazione di impatto sulla protezione dei dati ai sensi dell’art. 35 del Regolamento, al fine di individuare le misure adeguate a mitigare e gestire i predetti rischi.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, e par. 3, lett. b), del Regolamento, esprime parere favorevole, nei termini di cui in motivazione, sullo schema di decreto del Ministro del lavoro e delle politiche sociali, ai sensi dell’art. 7, comma 3, del d.l. 4 maggio 2023, n. 48 e ss.mm., a condizione che:

a) il numero di utenti di ciascun soggetto accedente sia circoscritto a coloro che necessitano di accedervi in relazione alle mansioni affidate in concreto e per il tempo strettamente necessario allo svolgimento delle stesse (cfr. par. 3 del presente parere);

b) i trattamenti in esame non consentano ai soggetti accedenti di acquisire massivamente dall’INPS dati personali e duplicarli in autonome banche dati (cfr. par. 4.1 del presente parere);

c) siano precisate, in relazione a ciascuna delle modalità di accesso, le tipologie di operazioni che ciascun soggetto è tenuto a registrare e conservare al fine di assicurare l’efficacia delle attività di verifica rispetto alla liceità dei trattamenti posti in essere (cfr. par. 4.2 del presente parere);

d) in relazione ad ogni interrogazione, gli utenti inseriscano la motivazione alla base dell’accesso, verificabile a posteriori e registrata nei log di tracciamento delle operazioni eseguite (cfr. par. 4.2 del presente parere);

e) anche i soggetti accedenti introducano autonome ed efficaci forme di controllo, anche a campione, sulla correttezza degli accessi, tenuto conto delle motivazioni indicate dagli utenti autorizzati, oltre alle dovute attività di verifica in presenza di anomalie, rilevate anche sulla base dei predetti alert generati dai sistemi dell’INPS, nonché di quelli che tali soggetti accedenti dovranno attivare, a seconda della modalità di accesso adottata (cfr. par. 4.3 del presente parere);

f) nello schema di decreto sia prevista la sottoscrizione di due convenzioni distinte, da stipularsi tra l’INPS, da una parte, e, dall’altra, rispettivamente, l’INL e la GDF, quest’ultima da stipularsi anche ai sensi del d.lgs. 18 maggio 2018, n. 51 (cfr. par. 5 del presente parere).

Roma, 6 agosto 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi