L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de l'Institut national de la prévoyance sociale (INPS), comprenant le prononcé d'une amende de 40 000 €, pour des manquements liés au pré-remplissage des données dans le service en ligne de la Déclaration substitutive unique (DSU) à des fins d'Indicateur de la situation économique équivalente (ISEE). Cette affaire débute par le signalement d'un administrateur de soutien qui, en utilisant le service, s'est vu proposer les données de tous les résidents d'une maison de repos.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5 et 6 du RGPD) : L'INPS a pré-rempli les déclarations en utilisant les données de l'Anagrafe Nazionale della Popolazione Residente (ANPR) relatives aux "familles d'état civil" et aux "cohabitations d'état civil" (communautés religieuses, de soins, pénales, etc.), alors que la réglementation sectorielle n'autorise le pré-remplissage qu'à partir des données de la dernière DSU soumise. Cette pratique a été mise en place en l'absence de base juridique adéquate, la définition du noyau familial aux fins de l'ISEE différant de celle du registre d'état civil.

* Obligation de protection des données sensibles et de confidentialité (articles 9, 10 et 5 du RGPD) : Le pré-remplissage à partir des données de cohabitation a révélé à des tiers des données de catégories particulières (santé, convictions religieuses) et des données relatives à des condamnations pénales. Cette violation de la confidentialité a touché 47 464 personnes, dont les données (code fiscal, nom, prénom, date de naissance) ont été rendues visibles à 2 919 utilisateurs du service.

* Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : L'autorité a conclu que la violation de données n'était pas due à un dysfonctionnement technique fortuit, mais à une erreur de conception du service. Le respect de la réglementation sectorielle, qui limitait les sources de données, aurait empêché l'incident de se produire.

En conséquence, l’autorité a imposé une amende de 40 000 € à l'INPS pour cette série de manquements.

Par ailleurs, l'autorité a adressé un avertissement à l'INPS pour des manquements concernant l'accès des mineurs à ce même service en ligne. Cette problématique a été identifiée au cours de la même instruction.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité et de protection des données dès la conception (article 5, 6, 24 et 25 du RGPD) : Jusqu'à fin mars 2023, l'INPS a permis à des mineurs de soumettre des DSU en utilisant leur propre identité numérique (SPID ou CIE), ce qui a été constaté dans 3 200 cas. L'autorité a estimé qu'il incombait à l'INPS, en tant que responsable du traitement, de configurer son service pour empêcher un tel accès direct, les mineurs n'ayant pas la capacité juridique de faire de telles déclarations. Le fait que l'INPS ait ultérieurement bloqué cet accès confirme sa responsabilité dans la conception du service.

En conséquence, l'autorité a émis un avertissement à l'encontre de l'INPS, considérant la violation comme mineure au vu de la complexité du cadre réglementaire de l'époque et des mesures correctives prises.

En outre, l’autorité a ordonné la publication de sa décision.