[doc. web n. 9806228]

Parere sullo schema di deliberazione della Giunta Regionale della Regione Emilia-Romagna, che adotta lo “Schema di regolamento di attuazione dell'art. 2Bis della Legge Regionale della Regione Emilia-Romagna 14/2015” - 21 luglio 2022

Registro dei provvedimenti
n. 253 del 21 luglio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTA la l.r. 30 luglio 2015, n. 14 della Regione Emilia-Romagna (Disciplina a sostegno dell'inserimento lavorativo e dell'inclusione sociale delle persone in condizione di fragilità e vulnerabilità, attraverso l'integrazione tra i servizi pubblici del lavoro, sociali e sanitari), con la quale sono stati previsti percorsi per l’integrazione socio-lavorativa delle persone in condizione di fragilità e vulnerabilità, nonché corsi e attività formative in favore di tali soggetti;

CONSIDERATO che le disposizioni della predetta legge regionale perseguono gli obiettivi di “promuovere e sostenere l'inserimento al lavoro, l'inclusione sociale e l'autonomia, attraverso il lavoro, delle persone in condizioni di fragilità e vulnerabilità”, caratterizzata dalla compresenza di problematiche afferenti la dimensione lavorativa, sociale o sanitaria, nonché di “realizzare una programmazione e attuazione integrata dei necessari interventi, definendone i presupposti istituzionali, organizzativi, strumentali, gestionali e metodologici e assicurando e favorendo la più ampia integrazione tra enti e servizi pubblici, al fine di offrire alle [predette] persone […] prestazioni adeguate, in considerazione dei bisogni emergenti (art. 1, comma 1);

CONSIDERATO che, al fine di perseguire tali obiettivi, la legge regionale prevede che “la Regione Emilia-Romagna promuove azioni volte a: a) individuare e fornire idonee prestazioni di sostegno, occupazionali, sociali e sanitarie, a fronte delle nuove emergenze palesatesi in tali ambiti; b) ottimizzare l'impiego delle risorse, strumentali e di personale, al fine di incrementare e migliorare le prestazioni offerte; c) realizzare sinergie con soggetti privati, ove ciò sia funzionale al raggiungimento degli obiettivi perseguiti,  dedicando particolare attenzione al settore del “privato sociale”” (art. 1, comma 2);

CONSIDERATO che la predetta legge regionale prevede, altresì, che:

“la Giunta regionale, sentita la commissione di cui all'articolo 5, comma 1, individua e disciplina gli strumenti di valutazione della fragilità e vulnerabilità delle persone […]” (art. 2, comma 2);

“la gestione integrata dei servizi del lavoro, sociale e sanitario costituisce la modalità d'intervento per sostenere le persone in condizione di fragilità e vulnerabilità” (art. 8);

“le persone destinatarie delle prestazioni integrate, erogate attraverso i servizi pubblici del lavoro, sociali e sanitari, possono rivolgersi indifferentemente al centro per l'impiego, al servizio sociale territoriale ovvero al servizio sanitario presso i quali si svolge il primo accesso alle prestazioni integrate”, e “il centro per l'impiego, il servizio sociale territoriale e il servizio sanitario prevedono l'intervento di un'equipe multiprofessionale, a beneficio della persona, se ritengono possano sussistere le condizioni di fragilità vulnerabilità […]” (art. 9);

“la condizione di fragilità e vulnerabilità viene accertata dagli operatori facenti parte di un'equipe multiprofessionale, che a tal fine si avvale degli strumenti di valutazione di cui all'articolo 2, comma 2 […]” (art. 10);

“l'equipe multiprofessionale, una volta accertata la condizione di fragilità e vulnerabilità della persona e realizzata la presa in carico unitaria, predispone un programma personalizzato d'interventi, ne rileva e verifica gli effetti, provvedendo, ove necessario, a ridefinire il programma personalizzato” (art. 12, comma 2);

“il programma personalizzato d'interventi individua l'insieme delle azioni finalizzate all'inserimento lavorativo e all'inclusione sociale delle persone in condizione di fragilità e vulnerabilità” e “viene elaborato in coerenza con i bisogni, le conoscenze, le competenze e le propensioni delle persone in condizioni di fragilità e vulnerabilità, tenendo altresì conto del supporto personale ed economico su cui le medesime possono contare” (art. 13, commi 1 e 3);

VISTO l’art. 2 bis, comma 1, della predetta legge regionale, in base al quale le finalità perseguite “afferiscono ai motivi di interesse pubblico rilevante di cui all'articolo 2-sexies, comma 2, lettera dd), del [Codice]”;

VISTO l’art. 2 bis, comma 2, della predetta legge regionale, ai sensi del quale “la Giunta regionale con proprio regolamento individua i tipi di dati personali che possono essere trattati, le operazioni eseguibili nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato”;

VISTO l’art. 3 della predetta legge regionale, ai sensi del quale “la Giunta regionale […] approva le linee di programmazione integrata dei servizi pubblici del lavoro, sociali e sanitari, di norma con cadenza triennale”, che “contengono gli obiettivi, le priorità degli interventi, le risorse nonché i criteri di riparto territoriale, l'elenco delle azioni ammissibili e le regole di decadenza dai benefici previsti dalla presente legge”, nonché “individuano le competenze degli operatori che costituiscono le equipe e definiscono i necessari percorsi formativi”;

VISTE le “Linee di programmazione integrata ai sensi dell'art. 3 della L.R. 30 luglio 2015 n. 14 "Disciplina a sostegno dell'inserimento lavorativo e dell'inclusione sociale delle persone in condizione di fragilità e vulnerabilità, attraverso l'integrazione tra i servizi pubblici del lavoro, sociali e sanitari", approvate con Deliberazione della Giunta Regionale n. 73 del 22 gennaio 2018, ed in particolare il par. 8 dell’Allegato 1, ai sensi del quale “l’equipe multi-professionale, in base alla L.R. 14/2015, è l’unico  soggetto autorizzato a definire o a modificare il programma personalizzato rivolto alle persone” e “per la realizzazione [dello stesso] gli operatori utilizzeranno le applicazioni informatiche rese disponibili dall’Agenzia regionale del lavoro per le quali sono personalmente  accreditati”;

VISTO l’art. 32 bis della l. r. 1° agosto 2005, n. 17 della Regione Emilia-Romagna, che istituisce l’“Agenzia regionale per il lavoro, ente regionale, ai sensi dell'articolo 1, comma 3 bis, lettera c), della legge regionale 26 novembre 2001, n. 43 (Testo unico in materia di organizzazione e di rapporti di lavoro nella Regione Emilia-Romagna), dotato di personalità giuridica, di autonomia tecnico operativo, amministrativo contabile e finanziaria, patrimoniali, organizzativa”, che “si configura come agenzia operativa ai sensi degli articoli 42 e 43 della legge regionale n. 6 del 2004” (comma 1) e “provvede a […] attuare interventi integrati rivolti alle persone con disabilità e con fragilità e vulnerabilità in integrazione con i servizi sociali dei Comuni e i dipartimenti di salute mentale delle aziende AUSL” (comma 2, lett. p));

CONSIDERATO che all’Agenzia Regionale per il lavoro (di seguito, l’“Agenzia”), quale ente strumentale della Regione Emilia-Romagna, sono attribuiti compiti concernenti la gestione e la qualificazione dei servizi per il lavoro erogati a cittadini ed imprese (v. l.r. n. 13 del 30 luglio 2015) e che alla stessa è assegnata la funzione di assicurare il maggior grado di efficienza nella gestione delle funzioni amministrative di elevata complessità in materia di servizi per il lavoro (v. anche l. 7 aprile 2014, n. 56);

VISTA la nota del 13 giugno 2022 (prot. n. 0547391.U), con la quale la Regione Emilia-Romagna ha sottoposto all’Autorità, ai fini di acquisire il prescritto parere  previsto dal Regolamento, lo schema di deliberazione della Giunta Regionale, che adotta lo “schema di regolamento di attuazione dell’art. 2bis della l.r. 14/2015” - in materia di sostegno dell'inserimento lavorativo e dell'inclusione sociale delle persone in condizione di fragilità e vulnerabilità - cui sono allegate le Appendici A (“Tracciato Dati”) e B (“Disciplinare Tecnico di Sicurezza”), unitamente alla “Valutazione d’impatto ex art. 35 del Regolamento UE 2016/679 sui trattamenti di dati personali di cui all’attuazione della l.r. 14/2015”;

CONSIDERATO che lo schema di regolamento, che si compone di undici articoli, in particolare, e i relativi allegati, individuano:

le attività di trattamento effettuate dall’Agenzia, mediante un proprio specifico sistema applicativo, in attuazione delle finalità di promozione e sostegno dell'inserimento al lavoro, l'inclusione sociale e l'autonomia attraverso il lavoro, delle persone in condizioni di fragilità e vulnerabilità, come determinate dalla Regione Emilia-Romagna ed in aderenza al disposto di cui agli artt. 1 comma 1, lett. a), e 2, comma 1, della l.r. n. 14/2015 (art. 2, comma 1);

i tipi di dati personali che possono essere trattati, le operazioni eseguibili, nonché le misure appropriate e specifiche per tutelare  i diritti fondamentali e gli interessi dell'interessato (artt. 2, comma 2, 3, comma 1, e 4, nonché Appendice A);

gli strumenti di valutazione della fragilità e vulnerabilità delle persone (artt. 3, comma 3, 4, comma 2, nonché Appendice A);

le specifiche caratteristiche dell’applicazione “ASSISTER”, nell’ambito dei servizi del “Sistema Informativo Lavoro” (SIL), che è fruibile attraverso il sistema “Portale Lavoro Per Te” (Appendice B, par. 1).

CONSIDERATO che lo schema di regolamento stabilisce, altresì, che:

i dati personali relativi ai soggetti fragili e vulnerabili e ai componenti del nucleo familiare di appartenenza sono raccolti dal centro per l'impiego dell’Agenzia, dal servizio sociale territoriale del Comune e dal servizio sanitario territorialmente competenti cui l’interessato può indistintamente rivolgersi. La raccolta di tali dati, previa somministrazione di apposita informativa, avviene a mezzo di un sistema applicativo dell’Agenzia, cui accedono, per gli ambiti di attività afferenti alle finalità di cui al presente regolamento, esclusivamente i soggetti autorizzati dagli Enti, ciascuno per il proprio ambito di competenza (art. 5; cfr. Appendici A e B);

gli operatori delle predette strutture svolgono una prima valutazione di accesso della condizione di fragilità della persona nelle modalità e secondo parametri definiti dalla Regione Emilia-Romagna ai sensi dell’art. 2, comma 2, della l.r. n. 14/2015, raccogliendo i dati anagrafici dell’interessato e compilando gli indicatori rivelatori di fragilità nella scheda di accesso (“valutazione iniziale dell’indice di fragilità”) e dando luogo, al ricorrere di specifici presupposti, a un’eventuale valutazione “approfondita” degli ulteriori “indicatori rivelatori di fragilità”, sulla cui base un’equipe multidisciplinare (composta da operatori dell’Agenzia, dei Servizi sanitari delle Aziende sanitarie e dei servizi sociali comunali) assegna  un punteggio - definito in aderenza ai parametri predeterminati dalla Regione Emilia-Romagna -, accertando l’effettiva condizione di fragilità, nonché elaborando un programma personalizzato d'interventi per l’inserimento lavorativo e/o l'inclusione sociale, che prevede, previa accettazione da parte dell’interessato, interventi da parte di soggetti istituzionali e di servizi pubblici, nonché di soggetti privati accreditati (art. 6 e Appendice A);

il titolare del trattamento è l’Agenzia; i Comuni e le Aziende sanitarie territorialmente competenti, sono designati, ai sensi e per gli effetti di cui all’art. 28 del Regolamento, responsabili del trattamento dall’Agenzia, limitatamente alla raccolta dei dati personali degli interessati e alla valutazione della condizione di fragilità ed elaborazione dei predetti programmi personalizzati d’interventi (restando comunque impregiudicate le relative funzioni istituzionali, sulla cui base operano, in qualità di titolari del trattamento, nei rispettivi ambiti di competenza); le azioni in attuazione dei programmi personalizzati d’intervento sono svolte dai soggetti attuatori (soggetti pubblici e soggetti privati accreditati), nonché dai servizi comunali e dalle Aziende sanitarie territorialmente competenti in qualità di autonomi titolari del trattamento (art. 7);

gli interventi previsti nel programma personalizzato sono finanziati dai fondi strutturali europei e, ai fini del rispetto degli obblighi derivanti dal controllo e monitoraggio previsti dalla normativa europea e nazionale, l’Agenzia comunica alla Regione Emilia-Romagna, attraverso un processo di cooperazione applicativa tra sistemi di proprietà dei due Enti, i dati definiti dalla normativa in materia di fondo sociale europeo e raccolti dall’equipe multidisciplinare, fermo restando che per tale finalità la titolarità del trattamento è della Regione Emilia-Romagna. L’Agenzia agisce, in tale ambito, in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (art. 8);

i dati personali sono raccolti esclusivamente presso l’interessato, che riceve l’informativa sul trattamento dei dati personali dall’Agenzia, fermo restando che, in relazione ai trattamenti di dati personali in relazione ai quali agiscono come titolari del trattamento, i soggetti attuatori dei programmi personalizzati, i servizi comunali e le Aziende sanitarie territorialmente competenti rilasciano agli interessati una propria informativa sul trattamento dei dati personali (art. 9);

i tempi di conservazione dei dati trattati per le predette finalità, tenuto conto anche degli obblighi derivanti dal quadro normativo europeo in materia di fondo sociale europeo (art. 10);

le attività di trattamento di cui al regolamento sono effettuate in aderenza al ”Disciplinare tecnico in materia di misure di sicurezza per i trattamenti di cui alla L.r. 14/2015” (Appendice B), che è tenuto costantemente aggiornato dall’Agenzia (art. 11).

VISTA la valutazione d’impatto sul trattamento dei dati personali redatta dall’Agenzia ai sensi dell’art. 35 del Regolamento;

CONSIDERATO che i trattamenti in esame possono comportare rischi elevati per gli interessati (principalmente soggetti vulnerabili), anche in ragione della natura dei dati personali oggetto di trattamento (tra i quali quelli relativi alla salute e alla condizione economica e sociale degli interessati), che sono elaborati, mediante l’attribuzione di un punteggio, ai fini della valutazione della condizione di fragilità in vista della definizione di programmi personalizzati d’interventi;

RITENUTO che il regolamento, da adottarsi con lo schema di deliberazione in esame, tiene conto delle indicazioni che, alla luce dei predetti rischi per gli interessati e delle caratteristiche del trattamento, sono state fornite nel corso dell’attività istruttoria e delle interlocuzioni intercorse con l’Ufficio del Garante, volte ad assicurare il rispetto della normativa in materia di protezione dei dati personali, con particolare riguardo a:

la necessità di richiamare puntualmente nel regolamento le disposizioni della l.r. n. 14/2015 che costituiscono la base giuridica del trattamento, nonché di individuare esattamente le finalità di trattamento perseguite (art. 5, par. 1, lett. a) e b), e 6, par. 3, lett. b), del Regolamento), prevedendo:

disposizioni di dettaglio con riguardo, in particolare, alle condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; alle tipologie di dati oggetto del trattamento; agli interessati; ai soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; alle limitazioni della finalità e alle operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto (cfr. art. 2 dello schema di regolamento);

la possibilità che le disposizioni di cui all’Appendice A siano aggiornate con delibera di Giunta salvo che non comportino modifiche alla previsione del regolamento relativi ai tipi di dati e alle operazioni eseguibili (cfr. art. 4 dello schema di regolamento);

la definizione dei ruoli e delle responsabilità, ai fini della normativa in materia di protezione dei dati personali, dei vari soggetti pubblici e privati coinvolti (art. 4, par. 1, nn. 7) e 8), del Regolamento), anche ai fini della definizione delle modalità di rilascio agli interessati dell’informativa sul trattamento dei dati personali (art. 5, par. 1, lett. a), 12 e 13 del Regolamento; cfr. art. 7 dello schema di regolamento);

in applicazione dei principi di “liceità, correttezza e trasparenza” ed “esattezza” (art. 5, par. 1, lett. a) ed e), del Regolamento), la chiara, puntuale e trasparente indicazione degli indicatori rivelatori di fragilità e dei criteri per la loro valorizzazione nell’ambito sia della valutazione iniziale sia dell’eventuale successiva valutazione approfondita,  ai fini dell’assegnazione di un punteggio a ciascun interessato e all’elaborazione del programma personalizzato d’interventi (cfr. Appendice A allo schema di regolamento);

la puntuale definizione dei dati personali oggetto di trattamento, assicurando che, in conformità al principio di “minimizzazione dei dati”:

siano trattati solo dati “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c), del Regolamento; cfr. Appendice A allo schema di regolamento);

con riguardo alle finalità di controllo e monitoraggio dei destinatari delle operazioni finanziate con il Fondo Sociale Europeo, siano trattati soltanto i dati strettamente necessari all’assolvimento degli obblighi derivanti dal quadro giuridico di settore che disciplina la materia (cfr. art. 8 dello schema di regolamento);

per le finalità di programmazione degli interventi di cui all’art. 3 della l.r. n. 14/2015, l’Agenzia metta a disposizione della Regione Emilia-Romagna soltanto dati aggregati o statistici (art. 5, par. 1, lett. c), del Regolamento; cfr. art. 2, par. 3, dello schema di regolamento);

in conformità al principio di “limitazione della conservazione”, l’individuazione dei tempi di conservazione dei dati (art. 5, par. 1, lett. e), del Regolamento; cfr. art. 10 dello schema di regolamento e par. 5 dell’Appendice B allo schema di regolamento);

la puntuale definizione dei sistemi informativi utilizzati, degli Enti coinvolti, dei flussi informativi, delle modalità di accesso da parte degli addetti, prevedendo distinti profili di autorizzazione, quali misure appropriate e specifiche per tutelare i diritti di interessati vulnerabili, tenuto conto della natura dei dati trattati (art. 2-sexies del Codice; cfr. Appendice B allo schema di regolamento);

al fine di garantire la conformità ai principi di “integrità e riservatezza” e “protezione dei dati fin dalla progettazione e per impostazione predefinita”, le misure tecniche e organizzative a protezione dei dati trattati (art. 5, parr. 1, lett. f), e par. 2, 24, 25 e 32; cfr. Appendice B allo schema di regolamento), con particolare riguardo a:

la robustezza delle credenziali di autenticazione utilizzate per effettuare le operazioni di trattamento;

le modalità di notifica all’ente attuatore dell’avviso di avvenuta sottoscrizione del programma personalizzato;

le modalità di conservazione cartacea e digitale del documento “Programma Personalizzato”;

le informazioni registrate nei file di log e alle misure a protezione dei medesimi, nonché ai relativi tempi di conservazione.

RITENUTO di non dover formulare osservazioni sullo schema di deliberazione oggetto del presente parere;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 57, par. 1, lett. c), del Regolamento, esprime parere favorevole sullo schema di deliberazione della Giunta Regionale della Regione Emilia-Romagna, che adotta lo “Schema di regolamento di attuazione dell'art. 2Bis della Legge Regionale della Regione Emilia-Romagna 14/2015”.

Roma, 21 luglio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei