IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTO il decreto legislativo 14 settembre 2015, n. 149, recante “Disposizioni per la razionalizzazione e la semplificazione dell'attività ispettiva in materia di lavoro e legislazione sociale, in attuazione della legge 10 dicembre 2014, n. 183” e, in particolare, l’articolo 2, comma 2, lett. a), secondo il quale l’Ispettorato “esercita e coordina su tutto il territorio nazionale, sulla base di direttive emanate dal Ministro del lavoro e delle politiche sociali, contenenti anche specifiche linee di indirizzo per la vigilanza sul corretto utilizzo delle prestazioni di lavoro accessorio, la vigilanza in materia di lavoro, contribuzione e assicurazione obbligatoria nonché legislazione sociale, ivi compresa la vigilanza in materia di tutela della salute e della sicurezza nei luoghi di lavoro (…)”;

VISTO l’articolo 27, del decreto legislativo 9 aprile 2008, n. 81 secondo il quale con decreti del Ministro del lavoro e delle politiche sociali, sentito l’Ispettorato nazionale del lavoro, sono individuate da un lato le modalità di presentazione della domanda per il conseguimento della patente che le imprese e i lavoratori autonomi che operano nei cantieri temporanei o mobili sono tenuti a possedere, i contenuti informativi della patente medesima nonché i presupposti e il procedimento per l’adozione del provvedimento di sospensione cautelare della patente (comma 3), dall’altro i criteri di attribuzione di crediti ulteriori rispetto al punteggio iniziale e le modalità di recupero di quelli decurtati (comma 5);

VISTO il decreto del Ministro del lavoro e delle politiche sociali 18 settembre 2024, n. 132, recante “Regolamento relativo all'individuazione delle modalità di presentazione della domanda per il conseguimento della patente per le imprese e i lavoratori autonomi operanti nei cantieri temporanei o mobili” e, in particolare, l’art. 2, comma 1, secondo il quale “Per ciascuna patente il portale rende disponibili le seguenti informazioni: a) dati identificativi della persona giuridica, dell'imprenditore individuale o del lavoratore autonomo titolare della patente; b) dati anagrafici del soggetto richiedente la patente; c) data di rilascio e numero della patente; d) punteggio attribuito al momento del rilascio; e) punteggio aggiornato alla data di interrogazione del portale; f) esiti di eventuali provvedimenti di sospensione di cui all'articolo 27, comma 8, del decreto legislativo 9 aprile 2008, n. 81; g) esiti di eventuali provvedimenti definitivi, di natura amministrativa o giurisdizionale, ai quali consegue la decurtazione dei crediti ai sensi dell'articolo 27, comma 6, del decreto legislativo 9 aprile 2008, n. 81”;

VISTO, altresì, il comma 2 del predetto articolo 2, secondo il quale “Con provvedimento dell'Ispettorato nazionale del lavoro, previo parere del Garante per la protezione dei dati personali, sono individuate le modalità di ostensione delle informazioni di cui al presente articolo ai titolari della patente o loro delegati, alle pubbliche amministrazioni di cui all'articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, ai rappresentanti dei lavoratori per la sicurezza e a rappresentanti dei lavoratori per la sicurezza territoriale, agli organismi paritetici iscritti nel Repertorio nazionale di cui all'articolo 51, comma 1 bis, del decreto legislativo 9 aprile 2008, n. 81, al responsabile dei lavori, ai coordinatori per la sicurezza in fase di progettazione e di esecuzione dei lavori e ai soggetti che intendono affidare lavori o servizi ad imprese o lavoratori autonomi che operano nei cantieri temporanei o mobili di cui all'articolo 89, comma 1, lettera a, del decreto legislativo 9 aprile 2008, n. 81. Le informazioni di cui al comma 1 sono conservate per il tempo di

vigenza della patente e comunque limitatamente alle informazioni di cui alle lettere f) e g) del comma 1, per un tempo non superiore a cinque anni dall'iscrizione sul portale”;

VISTE le note del 25 dicembre 2024, del 6 maggio 2025 e, da ultimo, del 14 maggio 2025 con cui l’Ispettorato nazionale del lavoro (“INL” o “Ispettorato”) ha trasmesso all’Autorità, per il prescritto parere, lo schema di provvedimento recante le modalità di ostensione delle informazioni concernenti la patente a crediti (ai sensi del citato art. 2, comma 2, del decreto del Ministro del lavoro e delle politiche sociali n. 132/2024), rese disponibili ai soggetti indicati dalla medesima disposizione in ragione delle specifiche finalità individuate all’articolo 5 e in conformità a quanto previsto dall’art. 27 del decreto legislativo 9 aprile 2008, n. 81, rappresentando, in particolare, di aver effettuato la valutazione d’impatto del trattamento, a valle della quale sono state individuate misure tecniche e organizzative volte a tutelare i diritti e le libertà fondamentali degli interessati, poi confluite nello schema di decreto e nei relativi allegati;

RILEVATO che lo schema di provvedimento in esame prevede, in particolare, che: l’INL è titolare autonomo del trattamento dei dati personali finalizzati alla gestione del servizio denominato “patente a crediti” (PaC) erogato attraverso il Portale dei servizi gestito dal medesimo Ispettorato, anche ricorrendo a soggetti terzi, previamente nominati responsabili del trattamento, ai sensi dell’articolo 28 del Regolamento (art. 2); le informazioni concernenti la patente a crediti sono suddivise in sezioni all’interno del Portale e sono riferite a: ragione sociale/nome cognome del lavoratore autonomo, codice fiscale e Paese dell’impresa o del lavoratore autonomo; nome e cognome, codice fiscale, ruolo (legale rappresentante/delegato) del richiedente la patente; numero, data di rilascio e stato della patente (attiva/sospesa); punteggio della patente (iniziale e attuale); fine della sospensione della patente (solo laddove la stessa sia stata sospesa) ed eventuali provvedimenti definitivi adottati (numero dei crediti decurtati in relazione a ciascuna violazione e data della decurtazione) (art. 3);

sono abilitati a visualizzare le informazioni relative alla patente, i titolari della patente o loro delegati, le pubbliche amministrazioni, i rappresentanti dei lavoratori per la sicurezza e rappresentanti dei lavoratori per la sicurezza territoriale, gli organismi paritetici iscritti nel Repertorio nazionale, il responsabile dei lavori, i coordinatori per la sicurezza in fase di progettazione e di esecuzione dei lavori, e i soggetti che intendono affidare lavori o servizi ad imprese o lavoratori autonomi che operano nei cantieri temporanei o mobili (art. 4);

i soggetti abilitati a visualizzare le informazioni relative alla PaC possono accedere al Portale dei Servizi a mezzo SPID (con livello di sicurezza 2), CIE o strumenti di autenticazione equivalenti notificati ai sensi dell’art. 9 del Regolamento (UE) n. 910/2014, attraverso interrogazione puntuale, inserendo il codice fiscale del titolare della patente. La visualizzazione viene consentita ai soggetti titolari di patente solo laddove risultino legali rappresentanti pro-tempore, lavoratori autonomi o loro delegati, sui sistemi dell’Ispettorato nazionale del lavoro. Gli altri soggetti indicato dal citato art. 4 dello schema dichiarano, sotto propria responsabilità, ai sensi del d.P.R. n. 445/2000, il titolo abilitante alla visualizzazione (art. 5, comma 1);

gli organi di vigilanza accedono alle informazioni di cui al richiamato art. 3 dello schema, nonché alle ulteriori informazioni utili in rapporto alle specifiche finalità istituzionali perseguite, in qualità di titolari autonomi del trattamento, secondo modalità disciplinate da uno specifico atto convenzionale (art. 5, comma 2);

i titolari della patente o loro delegati accedono a tutte le informazioni di cui all’art. 3 (art. 6, comma 2);

le pubbliche amministrazioni e i rappresentanti dei lavoratori per la sicurezza possono accedere alle sole informazioni relative al riepilogo dell’impresa e della patente, nonché al punteggio della stessa (le prime, al fine esclusivo di verificare il possesso e il mantenimento del titolo abilitante nell’ambito delle procedure di appalto; i secondi, per verificare, a fronte di un provvedimento di sospensione, la possibilità, da parte del titolare della patente, di poter comunque completare le attività oggetto di appalto) (art. 6, commi 2, 3 e 4); alle medesime informazioni possono accedere anche i soggetti che intendono affidare lavori o servizi ad imprese o lavoratori autonomi che operano nei cantieri temporanei o mobili, nonché il responsabile dei lavori, rispettivamente ai fini della verifica del possesso del titolo abilitativo e al fine di accertare, a fronte di un eventuale provvedimento di sospensione, la possibilità, da parte del titolare della patente, di poter completare le attività oggetto di appalto o subappalto in corso di esecuzione (art. 6, comma 6);

hanno accesso alle sole informazioni relative al riepilogo dell’impresa e della patente, gli organismi paritetici ai fini delle proprie attività di controllo sulla efficacia del titolo abilitante, nonché i coordinatori per la sicurezza in fase di progettazione e di esecuzione dei lavori, ai fini dello svolgimento della propria attività di coordinamento (art. 6, commi 5 e 7);

le informazioni di cui al citato art. 3 dello schema sono consultabili sulla piattaforma per il tempo di vigenza della patente; le informazioni relative al numero di crediti decurtati in relazione a ciascuna violazione e alla data della decurtazione sono invece consultabili per un tempo non superiore a cinque anni dall’iscrizione delle stesse sulla piattaforma informatica (art. 7);

RILEVATO, altresì, che l’allegato allo schema di decreto si propone di individuare le misure di sicurezza tecniche implementate sui sistemi informatici dell’Ispettorato, prevedendo, in particolare, che:

siano implementati sistemi di sicurezza perimetrale unificata a protezione della rete aziendale e filtri per il blocco della navigazione su siti potenzialmente pericolosi, oltre ad un monitoraggio continuo della rete;

i log di tracciatura degli eventi non sono sottoposti ad analisi automatizzate e non sono previsti sistemi di alert automatico; gli stessi vengono raccolti al fine di poter ricostruire le operazioni eseguite sul sistema e vengono conservati per cinque anni;

sono effettuate verifiche a campione, anche in occasione di accessi ispettivi e sulla base dei log di accesso, sulla effettiva abilitazione dei soggetti che hanno proceduto a visualizzare le informazioni relative alla patente;

il sistema prevede due distinte applicazioni per l’accesso alla visualizzazione dei dati relativi alla patente a crediti, denominate “Visualizzazione Patente a Crediti – Accesso titolari e delegati” e “Visualizzazione Patente a Crediti in autodichiarazione”, rese disponibili all’utenza per il tramite del portale dei servizi dell’Ispettorato, che implementa meccanismi di autenticazione forte basati su SPID, SPID Professionale, CIE, CNS ed eIDAS;

l’infrastruttura che ospita il sistema PaC è interamente in cloud, è rilasciata sul Polo Strategico Nazionale (PNS) ed è protetta dalle misure di sicurezza proprie di quest’ultimo;

CONSIDERATO che lo schema di decreto in esame tiene conto delle indicazioni fornite dall’Ufficio del Garante nel corso delle interlocuzioni intercorse, volte ad assicurare la conformità del trattamento in esame alla normativa in materia di protezione dei dati personali, precisando, in particolare:

il ruolo dell’Ispettorato Nazionale del Lavoro in qualità di titolare del trattamento dei dati trattati nell’ambito del servizio denominato “Patente a Crediti”, erogato attraverso il portale dei servizi gestito dal medesimo Ispettorato nazionale del lavoro, che in tale contesto può avvalersi di responsabili del trattamento, ai sensi dell'articolo 28 del Regolamento (artt. 4, nn. 7 e 8, nonché 24 e 28 del Regolamento);

le tipologie di dati resi disponibili attraverso il portale, al fine di assicurare l’ostensione dei soli dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite, senza riferimenti agli estremi dei provvedimenti di natura amministrativa o giurisdizionale alla base della decurtazione dei punti o della sospensione della PaC, nel rispetto del principio di minimizzazione (art. 5, par. 1, lett. c), del Regolamento);

l’individuazione delle tipologie di dati personali accessibili, in modo selettivo, per ciascuna categoria di soggetti pubblici o privati che accedono al portale ai fini della visualizzazione delle informazioni, per le relative finalità istituzionali e per quelle previste dalla legge;

l’individuazione del periodo temporale entro il quale le informazioni i dati trattati nell’ambito del portale sono consultabili, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e), del Regolamento);

le misure tecniche e organizzative per garantire un livello di sicurezza adeguato ai rischi, con particolare riguardo all’implementazione di specifici meccanismi di tracciamento che registrino e conservino le informazioni necessarie ad effettuare verifiche a campione sulla effettiva abilitazione dei soggetti che hanno proceduto a visualizzare le informazioni relative alla patente, anche sulla base dei log di accesso, nel rispetto del principio di integrità e riservatezza, e degli obblighi di sicurezza (art. 5, par. 1, lett. f), e art. 32 del Regolamento);

RILEVATO, altresì, che l’allegato allo schema di decreto prevede che le password in uso a tutti gli utenti dell’Ispettorato debbano soddisfare requisiti minimi di robustezza e siano conservate mediante sistemi di cifratura non reversibile;

RITENUTO, al riguardo, necessario specificare che le funzioni crittografiche utilizzate per la conservazione delle password devono garantire un livello di sicurezza adeguato, sulla base delle misure adottabili allo stato dell’arte (artt. 5, par. 1, lett. f), 25 e 32 del Regolamento, e “Linee Guida Funzioni Crittografiche – Conservazione delle Password”, su cui il Garante ha espresso il proprio parere con provvedimento n. n. 594 del 7 dicembre 2023 - doc. web n. 9962283);

RILEVATO, inoltre, che, con riferimento alla registrazione delle operazioni di trattamento, l’allegato prevede il tracciamento di ogni evento rilevante per le operazioni su patenti e i relativi requisiti (con particolare riferimento alla creazione, rettifica o eliminazione di una patente o istanza di patente, alla sospensione o revoca di una patente o istanza di patente, nonché alla verifica dei requisiti obbligatori e aggiuntivi, e all’invalidazione degli stessi), registrando altresì l’eventuale fallimento dei predetti eventi e tracciando, per ciascun utente che accede, il codice fiscale, l’indirizzo di posta elettronica ordinaria, il ruolo e gli “eventuali dettagli su quando è stato creato o modificato il record dell’utente”, senza che siano descritte le misure a garanzie dell’immodificabilità e dell’integrità delle richiamate registrazioni e senza che siano individuate nel dettaglio le necessarie informazioni oggetto di registrazione;

CONSIDERATO, al riguardo, che il tracciamento delle operazioni svolte nell’ambito del portale e la conservazione delle relative registrazioni (file di log) rappresentano una misura che risponde a specifiche esigenze di sicurezza, essendo volta a consentire la verifica a posteriori della liceità e correttezza delle attività svolte dai soggetti abilitati ad accedere al portale e, quindi, a rilevare eventuali operazioni non autorizzate;

RITENUTO, pertanto, necessario che l’allegato sia integrato specificando le misure e le garanzie volte ad assicurare l’immodificabilità e l’integrità dei file di log, nonché precisando nel dettaglio, per ogni operazione di tracciamento, le informazioni registrate - anche al fine di consentire l’identificazione del soggetto che ha eseguito le operazioni e garantire la verifica del ruolo ricoperto e, quindi, delle finalità perseguite - le quali, dovendo essere limitate a quelle strettamente necessarie alle finalità di tracciamento, non devono ricomprendere anche l’indirizzo di posta elettronica ordinaria (artt. 5, par. 1, lett. c) e f), e 32 del Regolamento);

RITENUTO, pertanto, sulla base di tali condizioni, di poter esprimere parere favorevole sullo schema di decreto dell’Ispettorato Nazionale del Lavoro;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del

regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto dell’Ispettorato Nazionale del Lavoro recante le modalità di ostensione delle informazioni concernenti la patente a crediti per le imprese e i lavoratori autonomi operanti nei cantieri temporanei o mobili, ai sensi dell’articolo 2, comma 2, del decreto del Ministro del lavoro e delle politiche sociali 18 settembre 2024, n. 132, e sul relativo allegato, con le seguenti condizioni:

sia specificato che le funzioni crittografiche utilizzate per la conservazione delle password devono garantire un livello di sicurezza adeguato, sulla base delle misure adottabili allo stato dell’arte (artt. 5, par. 1, lett. f), 25 e 32 del Regolamento);

siano precisate le misure e le garanzie volte ad assicurare l’immodificabilità e l’integrità dei file di log, nonché, per ogni operazione di tracciamento, le informazioni di dettaglio registrate le quali, dovendo essere limitate a quelle strettamente necessarie alle finalità di tracciamento, non devono ricomprendere anche l’indirizzo di posta elettronica ordinaria (artt. 5, par. 1, lett. c) e f), e 32 del Regolamento).