Bonus Covid e privacy: quando i controlli di massa sono legittimi
La gestione dei bonus durante l’emergenza pandemica ha sollevato importanti questioni sul confine tra la lotta alle frodi e la protezione dei dati personali. Una recente sentenza della Corte di Cassazione ha chiarito che, in contesti eccezionali, l’interesse pubblico a controlli rapidi ed efficaci può prevalere su una rigida applicazione del principio di minimizzazione dei dati. Questa decisione ha portato all’annullamento di una sanzione di 300.000 euro che l’Autorità Garante per la protezione dei dati personali aveva imposto a un importante Ente Previdenziale nazionale.
I fatti: un controllo incrociato per scovare i ‘furbetti’ del bonus
Durante il periodo più critico della pandemia, il Governo ha introdotto il cosiddetto ‘bonus covid’ per sostenere economicamente alcune categorie di lavoratori. Per erogare i sussidi velocemente, i controlli sui requisiti venivano effettuati in un secondo momento. L’Ente Previdenziale, per verificare che i richiedenti non ricoprissero cariche politiche incompatibili con il beneficio, ha adottato una strategia di controllo massivo. Ha acquisito elenchi pubblici di parlamentari e amministratori locali e li ha incrociati con l’intera lista dei richiedenti il bonus. Questo incrocio includeva non solo chi aveva ricevuto il sussidio, ma anche coloro la cui domanda era stata già respinta.
L’Autorità Garante ha ritenuto questa modalità operativa illecita. Secondo l’Autorità, l’Ente avrebbe dovuto limitare i controlli solo a coloro che avevano effettivamente percepito il bonus. Includere anche le domande respinte significava trattare una quantità di dati personali superiore al necessario, violando così il principio di minimizzazione dei dati sancito dal GDPR.
La violazione del principio di minimizzazione dei dati secondo il Garante
Il cuore della contestazione mossa dall’Autorità Garante risiedeva proprio nel principio di minimizzazione dei dati. Questo pilastro della normativa sulla privacy stabilisce che i dati personali devono essere ‘adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati’. L’Autorità sosteneva che, una volta respinta una domanda, non c’era più alcuna finalità che giustificasse un ulteriore trattamento dei dati del richiedente per quel tipo di controllo. L’Ente, invece, avrebbe dovuto adottare un approccio più selettivo, risparmiando un trattamento di dati non indispensabile a migliaia di cittadini.
Le motivazioni: il bilanciamento tra privacy e interesse pubblico
La Corte di Cassazione ha ribaltato completamente questa prospettiva. I giudici hanno affermato che il diritto alla protezione dei dati personali non è un diritto assoluto, ma deve essere bilanciato con altri interessi fondamentali. In questo caso specifico, l’interesse pubblico alla celerità, trasparenza ed efficacia dell’azione amministrativa, specialmente in un contesto di emergenza, era prevalente. Il metodo adottato dall’Ente Previdenziale, sebbene su larga scala, era l’unico in grado di garantire controlli rapidi e completi, includendo anche le domande che, seppur respinte, potevano essere oggetto di riesame. La Corte ha sottolineato che i dati utilizzati (nomi e codici fiscali) non erano dati sensibili e provenivano da fonti pubbliche. Pertanto, il trattamento era proporzionato allo scopo di prevenire e reprimere la percezione indebita di fondi pubblici.
Le conclusioni: legittimo il controllo che rispetta il principio di proporzionalità
La sentenza stabilisce un principio di diritto molto importante: la valutazione sulla violazione del principio di minimizzazione dei dati non può essere astratta, ma deve tenere conto di tutte le circostanze del caso concreto. L’urgenza, la natura dei dati, la finalità di interesse pubblico e la proporzionalità delle misure adottate sono tutti elementi decisivi. La Corte ha concluso che l’operato dell’Ente Previdenziale era legittimo e proporzionato. Di conseguenza, ha annullato la sanzione del Garante, stabilendo che l’Ente non dovrà pagare alcuna multa. Vince l’Ente Previdenziale, che vede riconosciuta la correttezza del suo operato in una situazione di eccezionale difficoltà.
Un ente pubblico può controllare i dati di tutti i richiedenti un bonus, anche se alcuni sono già stati respinti?
Sì, la Cassazione ha ritenuto legittimo un controllo esteso a tutte le domande, anche quelle respinte, se esiste la possibilità di un riesame e per garantire la celerità e l’efficacia delle verifiche in un contesto di emergenza.
Cosa significa principio di minimizzazione dei dati?
Significa che chi tratta dati personali deve usare solo le informazioni strettamente necessarie per raggiungere lo scopo dichiarato, evitando di raccogliere o elaborare dati superflui.
L’interesse pubblico a prevenire le frodi può giustificare una minore protezione della privacy?
La Corte ha stabilito che il diritto alla privacy non è assoluto e deve essere bilanciato con altri interessi. In questo caso, l’interesse pubblico a controlli rapidi ed efficienti per prevenire frodi ha prevalso su un’interpretazione rigida delle norme sulla privacy.