Ordinanza ingiunzione o revoca n. 674 del 13/11/2024

INPS - trattamenti statistici ufficiali, pseudonimizzazione, conservazione e DPIA

Il provvedimento riguarda l’Istituto nazionale della previdenza sociale, destinatario di un’ordinanza ingiunzione per trattamenti di dati personali effettuati nell’ambito della statistica ufficiale. Il procedimento nasce da un’attività ispettiva dell’Ufficio del Garante svolta sull’Ufficio di statistica dell’Istituto, con focus sui lavori statistici IPS-00081 e IPS-00061.

Attività ispettiva e trattamenti esaminati

Il Garante ha verificato le modalità con cui l’INPS costruisce le basi statistiche per gli osservatori pubblicati sul sito istituzionale. Il processo descritto dall’Istituto prevede:

• accesso degli attuari al data warehouse con microdati riferiti ai singoli interessati;
• importazione delle tabelle nel sistema dello statistico;
• verifica della qualità dei dati;
• costruzione di basi statistiche aggregate;
• pubblicazione degli output con tecnica di k-anonimity e regola del 3.

Per il lavoro IPS-00081, l’INPS ha dichiarato che gli attuari accedono anche al codice fiscale delle unità statistiche e che i dati non sono oggetto di pseudonimizzazione. Per IPS-00061 è stato chiarito che si trattava di uno studio progettuale chiuso, senza output, e che i dati erano stati cancellati.

Quadro normativo richiamato

L’Autorità ha richiamato il GDPR, il Codice privacy e le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica nel Sistema statistico nazionale. In particolare, sono stati considerati i seguenti articoli del GDPR:

• art. 5, par. 1, lett. a), c) ed e) e par. 2, su trasparenza, minimizzazione, limitazione della conservazione e accountability;
• art. 14, sull’informativa ai dati raccolti presso terzi;
• art. 25, su privacy by design e by default;
• art. 35, sulla valutazione di impatto;
• art. 58, par. 2, sui poteri correttivi;
• art. 83, sulle sanzioni amministrative pecuniarie.

Sono stati inoltre richiamati i principi sulla pseudonimizzazione, distinguendola dall’anonimizzazione, e le linee guida europee sull’art. 25 e sulla DPIA.

Violazione del principio di minimizzazione e privacy by design/by default

Il Garante ha ritenuto illecito l’uso di dati direttamente identificativi, in particolare del codice fiscale, nella fase di lavorazione statistica. Secondo l’Autorità, la pseudonimizzazione costituisce una misura rilevante per attuare i principi di minimizzazione e protezione dei dati sin dalla progettazione, soprattutto nel settore statistico.

Le difese dell’INPS, centrate sull’esigenza di verifiche qualitative e sulla necessità di mantenere rapidità e accuratezza del processo statistico, non sono state accolte. L’Autorità ha osservato che:

• le misure organizzative e il segreto professionale degli attuari non sostituiscono gli obblighi imposti dal GDPR;
• il titolare non ha dimostrato di avere seriamente valutato l’impiego della pseudonimizzazione;
• la tutela della qualità statistica può essere raggiunta con tecniche più rispettose della protezione dei dati.

Il Garante ha anche richiamato precedenti provvedimenti e ha osservato che, in un contesto di trattamento massivo di dati per statistica ufficiale, l’adozione di pseudonimizzazione avanzata è particolarmente opportuna.

Conservazione dei dati e informativa non coerente

Con riferimento a IPS-00081, l’INPS conservava i dati in un ambiente SAS per 5 anni e poi per ulteriori 10 anni in backup, per un totale di 15 anni. Tuttavia, la scheda informativa del PSN indicava un tempo di conservazione di 120 mesi.

Il Garante ha ritenuto che la conservazione non fosse adeguatamente giustificata in modo standardizzato e che, in generale, i tempi di conservazione nei trattamenti statistici debbano essere motivati in relazione allo specifico scopo perseguito. In questo caso, l’Autorità ha considerato sufficienti le motivazioni fornite per superare la contestazione sulla conservazione, ma ha rilevato che l’informativa resa agli interessati risultava inesatta e incompleta perché non corrispondente alla conservazione effettiva.

Obbligo di valutazione di impatto

L’Autorità ha contestato il mancato completamento della DPIA per i lavori statistici inseriti nel PSN, in particolare IPS-00081 e IPS-00061. L’INPS ha sostenuto che le valutazioni fossero già in corso e che i lavori fossero stati in precedenza approvati nel PSN.

Il Garante ha ribadito che:

• il parere sul PSN non esonera dall’obbligo di effettuare la DPIA;
• l’obbligo sorge quando il trattamento presenta rischio elevato, secondo l’art. 35 GDPR;
• nei trattamenti statistici su larga scala, con dati anche particolari, la DPIA è normalmente necessaria.

Poiché le attività istruttorie risultavano ancora incomplete, la violazione è stata confermata.

Diffusione statistica, k-anonimity e rischio di reidentificazione

Per la pubblicazione dei risultati statistici, l’INPS applicava la regola del 3 e ricorreva a una società esterna per evitare la diffusione di ipercubi con meno di tre unità statistiche. Tuttavia, il controllo finale avveniva in modo manuale e a campione, senza che fosse reperita la documentazione delle regole impartite alla società esterna.

Il Garante ha ritenuto insufficiente un sistema basato su verifiche ex post e non sistematiche, in quanto non garantisce che tutte le pubblicazioni siano effettivamente controllate. Ha quindi prescritto l’adozione di misure concrete e automatizzate per la prevenzione del rischio di reidentificazione, soprattutto in presenza di dati sensibili o altamente personali e di un elevato numero di lavori statistici.

Valutazione complessiva e sanzione

L’Autorità ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. c), e par. 2, 14, 25 e 35 GDPR. Ai fini della quantificazione della sanzione, ha considerato:

• l’elevato numero di interessati coinvolti;
• la possibile presenza di categorie particolari di dati;
• le finalità statistiche del trattamento;
• l’assenza di precedenti pertinenti;
• la collaborazione dell’INPS nel corso dell’istruttoria;
• l’adozione di alcune misure correttive già dichiarate.

La sanzione amministrativa pecuniaria è stata determinata in euro 40.000, con pubblicazione dell’ordinanza ingiunzione sul sito del Garante.

Misure correttive ordinate e termini

Ai sensi dell’art. 58, par. 2, lett. d) GDPR, l’INPS è stato ingiunto di conformare i trattamenti entro 180 giorni dalla notifica, adottando in particolare:

• tecniche di pseudonimizzazione dei dati, con riferimento soprattutto al codice fiscale, tali da mantenere l’univocità dei record e garantire la minimizzazione;
• il completamento delle valutazioni di impatto relative ai lavori statistici del PSN, in particolare IPS-00081 e IPS-00061;
• misure specifiche, automatizzate ed effettive, per valutare e ridurre il rischio di reidentificazione nella diffusione dei risultati statistici, anche fornendo istruzioni alla società esterna incaricata dell’anonimizzazione.

L’INPS deve inoltre comunicare le iniziative intraprese entro 20 giorni dalla scadenza del termine dei 180 giorni.

Esito finale

Il provvedimento contiene:

• ordinanza di pagamento della sanzione di euro 40.000;
• ingiunzione ad adempiere alle misure correttive entro 180 giorni;
• ordine di riscontro documentato;
• disposizione di pubblicazione sul sito del Garante;
• indicazione della possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.