Reddito di cittadinanza, Garante privacy: “Rischi per tutela dei dati personali. Intrusione ingiustificata in vita privata”

La memoria dell'authority mette nel mirino sia le informazioni che bisogna rilasciare per ottenere la tessera sia il controllo sull'utilizzo del sussidio. Perplessità anche sulle piattaforme interconnesse, facilmente violabili per raccogliere dati e utilizzarli in maniera fraudolenta. Irregolare anche il sito web dedicato alla misura: non garantisce la privacy e trasmette indirizzi Ip e orari di navigazione a terzi in maniera "indebita e non trasparente"

Il meccanismo di riconoscimento, l’erogazione e la gestione del reddito di cittadinanza, ma anche lo stesso sito internet dedicato, rischiano di non garantire la tutela dei dati personali. A sostenerlo è il Garante per la Privacy con una memoria depositata in Senato in cui evidenzia le “rilevanti criticità” della disciplina che “così come formulata, non appare, in più punti, idonea a soddisfare i requisiti richiesti” della normativa europea in materia di trattamento dei dati. “Comporta trattamenti su larga scala di dati personali ai quali è riconosciuta la massima tutela in ragione della loro attinenza alla sfera più intima della persona”, sottolinea l’autorità.

Cinque i punti toccati dal documento presentato a Palazzo Madama. Il primo riguarda i dati che bisogna rilasciare per ottenere la tessera, riferiti sia ai diretti richiedenti che ai componenti del nucleo familiare, tra cui i minorenni, “ai quali è riconosciuta la massima tutela in ragione della loro attinenza alla sfera più intima della persona o perché suscettibili di esporre l’interessato a discriminazioni”. Secondo il Garante il meccanismo, allo stato attuale della normativa, “presuppone un patrimonio informativo complesso e articolato, fondato sull’interconnessione di molteplici banche dati, la circolazione di delicatissime informazioni tra una pluralità di soggetti pubblici, nonché il monitoraggio e la valutazione dei consumi e dei comportamenti dei singoli familiari del beneficiario”. Insomma una raccolta di dati e informazioni per cui, accusa l’autorità, non è stato richiesto alcun parere. Un giudizio del Garante che avrebbe evidenziato “i rischi derivanti dalle diverse attività di trattamento” e individuato preventivamente “misure idonee a mitigarli, così da evitare limitazioni  dei diritti degli interessati sproporzionate ed ingiustificate rispetto al legittimo obiettivo di interesse pubblico perseguito”. L’attuazione della misura, conclude quindi il Garante, non può prescindere dal Regolamento europeo sulla protezione dei dati. Necessario, continua la nota, “individuare con precisione i titolari del trattamento, le tipologie di dati trattati, i soggetti ai quali essi possono essere comunicati e le rispettive finalità, nonché termini di conservazione dei dati proporzionati (e non eccedenti) rispetto agli scopi perseguiti  inoltre il Garante”.

L’abuso non riguarda solo la modalità di raccolta dei dati, ma anche il loro eventuale utilizzo condiviso tra più banche dati. L’esempio portato dal Garante è quello delle due “piattaforme digitali” che raccoglieranno le informazioni, una dell’Anpal e una del Ministero del lavoro, condividendole poi con i centri per l’impiego e con i comuni. Il problema quindi è la disciplina che regolerà questo scambio di dati che, ricorda il Garante, “è demandata nel dettaglio ai decreti attuativi”, ma che comunque rischia di portare a un “utilizzo fraudolento dei dati” o a una “violazione dei sistemi informativi“.

Perplessità dell’autorità anche sul “monitoraggio” dei beni acquistati con la card. Secondo la normativa, infatti, i beneficiari non potranno acquistare, ad esempio, “giochi che prevedano vincite in denaro” o beni illeciti. Il controllo avverrà in modo capillare, sia al livello centrale che negli stessi centri per l’impiego e nei Comuni di riferimento per ogni cittadino. Un’esigenza di verifica che, sottolinea il Garante, “determinerà un’intrusione sproporzionata e ingiustificata su ogni aspetto della vita privata degli interessati”, entrando palesemente in contrasto con le “garanzie sancite dalla disciplina di protezione dati”.

Ipotetiche violazioni anche nel momento del rilascio dell’attestazione Isee. Per la dichiarazione, infatti, bisogna rilasciare una quantità di dati personali, ma soprattutto tributari, “finora inaccessibili persino nell’ambito delle attività di controllo tributario”. La disciplina in materia stabilisce che, a decorrere da quest’anno, la dichiarazione venga precompilata a cura dell’Inps, con la collaborazione dell’Agenzia delle entrate che, a tal fine, mette a disposizione dell’Istituto le informazioni presenti nel Catasto e nell’Anagrafe tributaria, comprese quelle sui rapporti  finanziari con saldi e giacenze medie del patrimonio mobiliare di tutti i componenti il nucleo familiare. Con la precompilazione, quindi, il dichiarante avrà a disposizione “non solo le informazioni da lui stesso fornite, ma anche quelle contenute nelle banche dati di Inps e Agenzia delle entrate”, ma anche informazioni relative a tutti i componenti del suo nucleo familiare. Dati che, sottolinea il Garante, potrebbero far gola anche a terzi, con il rischio di “fraudolente sostituzioni di identità presso i Caf” o, ad esempio, attacchi informatici a sistemi che “non sempre sono adeguatamente protetti”. E non basta neanche, secondo l’Autorità, il mancato consenso al trattamento dei dati, che non è un “presidio adeguato al rispetto e alla sicurezza di tali informazioni”.

Ultima critica, infine, anche all'”architettura del sito web“, dedicato al Reddito. Un portale che, secondo il Garante, già all'”attuale stato di sviluppo” presenta numerose carenze, in particolare proprio sull'”informativa sul trattamento dei dati e nelle modalità tecniche della sua implementazioni”. Sotto accusa un'”indebita e non trasparente” trasmissione a terzi dei dati di navigazione, come indirizzi IP e orario di connessione, da parte dei visitatori del medesimo sito. Misure ancora più essenziali, conclude il Garante, nel caso in cui si facesse ricorso “a strumenti e piattaforme informatici messi a disposizione da enti controllati o vigilati da parte di amministrazioni dello Stato, ovvero da società in house”.