Parere al Ministero del Lavoro e delle Politiche sociali sullo schema di decreto concernente il Portale nazionale del sommerso (PNS) – 29 aprile 2025

Premessa

La lotta al contrasto delle violazioni in materia di lavoro sommerso nonché in materia di lavoro e legislazione sociale ha indotto gli Uffici ispettivi dell’INPS, dell’INAIL, dell’Arma dei Carabinieri e della Guardia di finanza a fare confluire le risultanze dell’attività di vigilanza in un portale unico nazionale gestito dall’Ispettorato nazionale del lavoro denominato Portale nazionale del sommerso (PNS). Il Portale nazionale del sommerso[1] sostituisce e integra le banche dati esistenti attraverso le quali l’Ispettorato nazionale del lavoro, l’INPS e l’INAIL condividono le risultanze degli accertamenti ispettivi.

Nel portale nazionale del sommerso confluiscono i verbali ispettivi nonché ogni altro provvedimento consequenziale all’attività di vigilanza, ivi compresi tutti gli atti relativi ad eventuali contenziosi instaurati sul medesimo verbale”

L’Ispettorato nazionale del lavoro assicura, con modalità tecniche dallo stesso definite, la possibilità di accesso al Portale nazionale del sommerso da parte delle pubbliche amministrazioni e degli enti che erogano o gestiscono fondi pubblici, per le finalità di verifica nelle attività di propria competenza, nel rispetto della vigente normativa in materia di tutela dei dati personali. Con uno o più decreti del Ministro del lavoro e delle politiche sociali, da adottare entro centoventi giorni dalla data di entrata in vigore della presente disposizione, sono individuati i dati oggetto di condivisione ai sensi del comma 1, nonché i soggetti abilitati ad accedere al Portale nazionale del sommerso ai sensi del presente comma”.

Il Garante ha reso il parere sullo schema di decreto di cui al menzionato art. 10, comma 1-ter, del d.lgs. 124/2004[2], ponendo la condizione che lo stesso disciplinasse gli elementi essenziali del trattamento (descritti nella motivazione del parere stesso) ovvero introducesse un’autonoma disposizione che rinviasse la disciplina dei predetti elementi essenziali del trattamento ad un successivo decreto da adottarsi previo parere del Garante medesimo;

A tale riguardo, il decreto del Ministro del lavoro e delle politiche sociali 20 novembre 2024, n. 170, che stabilisce che, “Al fine di realizzare la tempestiva attuazione delle misure finalizzate a conseguire gli obiettivi del Piano nazionale per la lotta al lavoro sommerso, entro il 30 maggio 2025 sono completate le attività volte ad assicurare l’interoperabilità dei dati relativi alle violazioni in materia di lavoro sommerso nonché in materia di lavoro e legislazione sociale all’interno del Portale nazionale del sommerso di cui all’articolo 10, comma 1[3], del decreto legislativo 23 aprile 2004, n. 124” (art. 1, comma 1);

VISTO, in particolare, l’art. 4 del menzionato d.m. 170/2024[4], concernente il Trattamento dei dati personali, il quale, nel recepire le osservazioni formulate dal Garante nel predetto parere, prevede che:

“Il trattamento dei dati personali ai sensi dell’articolo 1, comma 3, del presente decreto è effettuato a norma del Regolamento 2016/679/UE del Parlamento europeo e del Consiglio del 27 aprile 2016, nonché del decreto legislativo 30 giugno 2023, n. 196 e, per i dati inerenti alle violazioni penali di cui all’articolo 1, comma 3, lettera l), è consentito esclusivamente per i motivi di interesse pubblico di cui all’articolo 10, comma 1, del decreto legislativo 23 aprile 2004, n. 124”;

“Con successivo decreto del Ministero del lavoro e delle politiche sociali, da adottarsi ai sensi dell’articolo 10, comma 1-ter, del decreto legislativo 23 aprile 2004, n. 124, sono disciplinati gli elementi essenziali del trattamento dei dati personali e, in particolare:

a) le tipologie di dati personali trattati, sia con riferimento a quelli che alimentano il Portale, sia con riferimento a quelli che vengono messi a disposizione di ciascuno dei soggetti abilitati, nonché i relativi tempi di conservazione proporzionati rispetto alle finalità perseguite;

b) le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati in relazione al trattamento di categorie particolari di dati e dei dati relativi a condanne penali e reati di cui agli artt. 9 e 10 del Regolamento 2016/679/UE, nonché degli artt. 2-sexies e 2-octies del decreto legislativo 30 giugno 2023, n. 196;

c) le misure tecniche e organizzative per garantire un livello di sicurezza adeguato ai rischi per i diritti e le libertà fondamentali degli interessati;

d) i flussi di dati personali tra il Portale e la Piattaforma per la gestione delle azioni di compliance e per il contrasto al lavoro sommerso, rilasciata dall’INPS, anche con riferimento alle tipologie di dati personali coinvolte, alle modalità attraverso cui si articola tale interoperabilità e alle misure tecniche e organizzative necessarie per garantire la sicurezza;

e) i ruoli assunti dai soggetti coinvolti nei trattamenti di dati personali”.

La definizione dei ruoli “Privacy”

Il suddetto schema di decreto stabilisce, in particolare:

il ruolo di titolare del trattamento assunto da INL, INPS, INAIL, Arma dei Carabinieri e Guardia di Finanza quali soggetti cooperanti, ai sensi dell’art. 10, comma 1, del d.lgs. 124/2004, abilitati sia a conferire che a consultare i dati trattati all’interno del PNS (art. 1, comma 3, e art. 2, comma 1), nonché, nello specifico, dall’INL in relazione ai trattamenti dei dati raccolti e trattati all’interno del PNS, curandone la gestione tecnica ed informatica;

• le tipologie di dati personali trattati all’interno del Portale;
• le modalità di individuazione dei documenti da condividere tra i soggetti cooperanti;
• le modalità di scambio dei dati, prevedendo il ricorso alla Piattaforma digitale nazionale dati (PDND);
• le misure tecniche e organizzative che l’INL, quale gestore dell’infrastruttura che ospita il PNS, e i soggetti cooperanti, quali erogatori e fruitori dei dati trattati nell’ambito del PNS, sono tenuti ad assicurare;
• i meccanismi di segnalazione tempestiva che soggetti cooperanti e INL devono adottare per gestire incidenti di sicurezza che possano comportare una compromissione di integrità, riservatezza e disponibilità dei dati trattati nell’ambito del PNS;
• i tempi di conservazione dei dati trattati nell’ambito del PNS.

Il Garante ha espresso parere favorevole sullo schema di decreto del Ministro del lavoro e delle politiche sociali di cui all’art. 4 del decreto del Ministro del lavoro e delle politiche sociali 20 novembre 2024, n. 170.

[1] Il Decreto Ministeriale n. 170 del 20 novembre 2024, emanato dal Ministero del Lavoro e delle Politiche Sociali, disciplina l’implementazione del Portale Nazionale del Sommerso (PNS). Tale iniziativa, in linea con gli obiettivi del Piano Nazionale di Ripresa e Resilienza (PNRR), si propone di costituire uno strumento centrale per il monitoraggio, la gestione e la prevenzione del lavoro sommerso, rafforzando la capacità operativa delle istituzioni competenti. Finalità del Portale. L’istituzione del Portale mira a perseguire i seguenti obiettivi: Monitoraggio centralizzato: accentrare le informazioni derivanti dalle attività di vigilanza in materia di lavoro e legislazione sociale. Prevenzione e contrasto: facilitare l’identificazione di fenomeni di irregolarità lavorativa e prevenire recidive, con particolare riguardo ai datori di lavoro beneficiari di incentivi contributivi o normativi. Efficienza amministrativa: garantire una gestione più coordinata e uniforme delle informazioni, superando la frammentazione delle banche dati esistenti.

[2] Provv. n. 723 del 18 novembre 2024 (disponibile sul sito istituzionale www.garanteprivacy.it, doc. web n. 10095723)

[3] Art. 10 Razionalizzazione e coordinamento della attività ispettiva 1. Al fine di una efficace programmazione dell’attività ispettiva nonché di monitorare il fenomeno del lavoro sommerso su tutto il territorio nazionale, le risultanze dell’attività di vigilanza svolta dall’Ispettorato nazionale del lavoro e dal personale ispettivo dell’INPS, dell’INAIL, dell’Arma dei Carabinieri e della Guardia di finanza avverso violazioni in materia di lavoro sommerso nonché in materia di lavoro e legislazione sociale confluiscono in un portale unico nazionale gestito dall’Ispettorato nazionale del lavoro denominato Portale nazionale del sommerso (PNS). Il Portale nazionale del sommerso sostituisce e integra le banche dati esistenti attraverso le quali l’Ispettorato nazionale del lavoro, l’INPS e l’INAIL condividono le risultanze degli accertamenti ispettivi.

[4] Articolo 4 (Trattamento dei dati personali) 1. Il trattamento dei dati personali ai sensi dell’articolo 1, comma 3, del presente decreto è effettuato a norma del Regolamento 2016/679/UE del Parlamento europeo e del Consiglio del 27 aprile 2016, nonché del decreto legislativo 30 giugno 2023, n. 196 e, per i dati inerenti alle violazioni penali di cui all’articolo 1, comma 3, lettera l), è consentito esclusivamente per i motivi di interesse pubblico di cui all’articolo 10, comma 1, del decreto legislativo 23 aprile 2004, n. 124.  2. Con successivo decreto del Ministero del lavoro e delle politiche sociali, da adottarsi ai sensi dell’articolo 10, comma 1-ter, del decreto legislativo 23 aprile 2004, n. 124, sono disciplinati gli elementi essenziali del trattamento dei dati personali e, in particolare:  a)  le tipologie di dati personali trattati, sia con riferimento a quelli che alimentano il Portale, sia con riferimento a quelli che vengono messi a disposizione di ciascuno dei soggetti abilitati, nonché i relativi tempi di conservazione proporzionati rispetto alle finalità perseguite; b) le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati in relazione al trattamento di categorie particolari di dati e dei dati relativi a condanne penali e reati di cui agli artt. 9 e 10 del Regolamento 2016/679/UE, nonché degli artt. 2-sexies e 2-octies del decreto legislativo 30 giugno 2023, n. 196;  c) le misure tecniche e organizzative per garantire un livello di sicurezza adeguato ai rischi per i diritti e le libertà fondamentali degli interessati;  d) i flussi di dati personali tra il Portale e la Piattaforma per la gestione delle azioni di compliance e per il contrasto al lavoro sommerso, rilasciata dall’INPS, anche con riferimento alle tipologie di dati personali coinvolte, alle modalità attraverso cui si articola tale interoperabilità e alle misure tecniche e organizzative necessarie per garantire la sicurezza; e) i ruoli assunti dai soggetti coinvolti nei trattamenti di dati personali.  3. Fermo il disposto dell’articolo 10 comma 1-ter del decreto legislativo 23 aprile 2004, n. 124, i soggetti cooperanti adottano ogni misura tecnica e organizzativa idonea ad assicurare la tutela dei dati personali trattati, garantendo altresì la sicurezza dei medesimi per tutte le fasi del trattamento, previa valutazione di impatto sulla produzione dei dati ai sensi dell’articolo 35 del citato Regolamento 2016/679/UE.