Pasquale Tridico, presidente dell'Inps
Milano - Lo scandalo del bonus Covid da 600 euro per le partite Iva chiesto da parlamentari era scoppiato lo scorso agosto, quando era emerso che tre deputati, due leghisti e uno dei Cinque Stelle, con un reddito mensile tra i 14mila e i 15mila euro, avevano chiesto e ottenuto l'aiuto statale previsto per i professionisti in difficoltà. Altri due parlamentari invece non l'avevano ottenuto. La segnalazione era arrivata dalla direzione centrale Antifrode, anticorruzione e trasparenza dell’Inps e ne era seguita un'indignazione generalizzata, visto che la mossa dei furbetti di Montecitorio, seppur dentro i confini del lecito, era risultata davvero inopportuna.
Ma ora arriva un nuovo colpo di scena: per quei casi si è mosso il Garante della provacy, che ha ordinato all'Inps il pagamento di una sanzione di 300mila euro in relazione alle violazioni commesse nell'ambito degli accertamenti antifrode effettuati dall'Istituto.
I rilievi del Garante
Mancata definizione dei criteri per trattare i dati di determinate categorie di richiedenti il bonus Covid, uso di informazioni non necessarie rispetto alle finalità di controllo, ricorso a dati non corretti o incompleti, inadeguata valutazione dei rischi per la privacy. Sono queste le motivazioni che hanno spinto il Garante a sanzionare l'Inps. L'istruttoria era stata avviata ad agosto. Nel corso degli accertamenti l'Autorità, pur riconoscendo che lo svolgimento dei controlli sulla sussistenza dei requisiti previsti dalla legge per l'erogazione del bonus è riconducibile a compiti di interesse pubblico rilevante, ha riscontrato numerose criticità nelle modalità utilizzate dall'Istituto. L'istruttoria dell'Autorità ha messo in luce che l'Inps non ha adeguatamente progettato il trattamento e non è stata in grado di dimostrare di aver svolto i controlli nel rispetto del Regolamento, violando i principi di privacy by design, di privacy by default e di accountability.
In primo luogo, dopo aver acquisito da fonti aperte i dati di decine di migliaia di persone che ricoprono incarichi di carattere politico, l'Istituto ha effettuato elaborazioni e incroci tra i dati di tutti coloro che avevano richiesto il bonus con quelli dei titolari dei predetti incarichi. Ciò senza però aver prima determinato se ai parlamentari e agli amministratori regionali o locali spettasse o meno tale beneficio, anche in considerazione delle differenti caratteristiche delle cariche ricoperte. In questo modo l'Inps ha violato i principi di liceità, correttezza e trasparenza stabiliti dal Regolamento Ue in materia di protezione dei dati personali.
L'Inps non ha rispettato neppure il principio di minimizzazione dei dati, avendo avviato i controlli finalizzati al recupero dei bonus anche su tutti quei soggetti che, pur avendolo richiesto, non lo avevano percepito, visto che la loro domanda era già stata respinta per ragioni indipendenti dalla carica ricoperta. È emerso inoltre che l'Inps non ha valutato adeguatamente i rischi collegati a un trattamento di dati così delicato come è quello riguardante i richiedenti un beneficio economico classificato come ammortizzatore sociale, non effettuando la valutazione di impatto sui diritti e le libertà degli interessati. L'Autorità ha inoltre prescritto all'Istituto di cancellare i dati non necessari fino ad ora trattati ed effettuare un'adeguata valutazione di impatto privacy
La replica dell'Inps
Dal canto suo l'Inps "prende atto della decisione del garante della privacy" in merito al caso dei controlli effettuati dall`istituto sui beneficiari di bonus Covid, in particolare tra coloro che ricoprono incarichi politici, per i quali il ministero del Lavoro ha poi indicato che i percettori di indennità assimilabili al lavoro dipendente non ne avessero diritto. "Nell`analisi e nei controlli effettuati, per i quali l`istituto ha osservato integrale riservatezza - riferisce una nota - non sono stati utilizzati dati sensibili o anche dati che non fossero visibili al pubblico. Cionondimeno è stato deciso di perseguire l`Inps con una sanzione e ravvisare gli estremi di violazione dei criteri di privacy. L`istituto, pur ritenendo eccessivo l`impianto di giudizio complessivo, attiverà prontamente la valutazione di impatto richiesta e la cancellazione dei dati non necessari".