Parere del Garante n. 91 del 27/02/2025

Parere sullo schema di Programma statistico nazionale 2023-2025 - Aggiornamento 2024-2025

Il Garante per la protezione dei dati personali esprime parere, ai sensi dell’art. 58, par. 3, lett. b) GDPR, dell’art. 6-bis del d.lgs. 322/1989 e dell’art. 4-bis delle Regole deontologiche Sistan, sullo schema di Programma statistico nazionale 2023-2025 - aggiornamento 2024-2025, presentato da Istat. Il PSN costituisce, per i trattamenti statistici di interesse pubblico, lo strumento che completa la base giuridica e specifica tipi di dati, operazioni, misure di tutela, fonti, categorie di interessati e tempi di conservazione.

Quadro normativo di riferimento

Il Garante richiama in particolare:

• l’art. 2-sexies, comma 2, lett. cc), del Codice privacy, che qualifica come rilevante interesse pubblico i trattamenti per fini statistici svolti dai soggetti del Sistan;
• l’art. 6-bis, comma 1-bis, del d.lgs. 322/1989, che impone al PSN di indicare misure tecniche e organizzative, tipi di dati, operazioni eseguibili, fonti, finalità, variabili acquisite, tempi di conservazione e categorie di destinatari;
• l’art. 4-bis delle Regole deontologiche, che disciplina il contenuto del PSN e il necessario parere del Garante per i dati di cui agli artt. 9 e 10 GDPR;
• gli artt. 5, 6, 9, 10, 12-14, 21, 25, 30, 32, 35, 37 e 89 GDPR, nonché gli artt. 105, 106 e 108 del Codice, richiamati nel corso delle valutazioni.

Valutazioni generali sul Programma

Il Garante prende atto con favore dell’attività svolta da Istat per migliorare la qualità e l’intellegibilità dei prospetti informativi dei singoli lavori statistici. Dopo le interlocuzioni informali con l’Ufficio, Istat ha proseguito nelle attività di formazione e sensibilizzazione dei titolari dei lavori, affinché le schede siano più chiare, omogenee e comprensibili anche come informativa agli interessati, quando il trattamento riguarda dati non raccolti presso l’interessato e la comunicazione diretta richiederebbe uno sforzo sproporzionato ai sensi dell’art. 14, par. 5, lett. b), GDPR.

L’Autorità valuta positivamente la revisione dei campi “obiettivo” e “descrizione sintetica”, l’eliminazione di formule e tecnicismi non necessari, la correzione dei riferimenti all’anonimizzazione, la precisazione dei presupposti normativi delle comunicazioni di dati personali e la maggiore evidenza delle misure adottate per il trattamento dei dati relativi ai minori. In termini generali, il PSN appare ora più idoneo a dimostrare necessità e proporzionalità dei trattamenti, anche grazie all’attività di coordinamento esercitata da Istat nei confronti degli enti del Sistan.

Misure tecniche e organizzative: rilievi del Garante

Resta tuttavia una criticità importante sul modo in cui il PSN descrive le misure tecniche e organizzative. Istat ha strutturato il Programma prevedendo, prima delle schede dei singoli lavori, una sezione introduttiva contenente le misure implementate dai titolari; secondo il Garante, però, tali sezioni continuano spesso a limitarsi a richiamare adempimenti già previsti dal GDPR, come registro dei trattamenti, DPIA e designazione del DPO.

L’Autorità osserva che le schede restano eterogenee e non sempre orientate a descrivere misure realmente idonee a garantire i principi di liceità, correttezza e minimizzazione, anche tramite soluzioni come la pseudonimizzazione. Il Garante auspica quindi un intervento più incisivo di Istat, in quanto soggetto di coordinamento del Sistan, e richiama la possibilità di individuare, per le prossime edizioni del PSN, un set standard di misure e azioni condivise con l’Autorità, accompagnato da specifiche attività di formazione.

Dati giudiziari e limiti attuali

Un passaggio rilevante riguarda i dati relativi a condanne penali e reati. Il Garante ribadisce che tali trattamenti sono consentiti solo se autorizzati da legge o regolamento che prevedano garanzie appropriate; in mancanza, occorre il decreto del Ministro della giustizia previsto dall’art. 2-octies del Codice, da adottare sentito il Garante.

Poiché tale decreto non risulta ancora adottato, l’Autorità segnala la persistente mancanza di un’adeguata base normativa per i trattamenti statistici di dati giudiziari nei casi non coperti da una specifica disposizione di legge o regolamento. Si tratta di una criticità che il Garante qualifica come rilevante per la produzione della statistica ufficiale in settori che richiedono tali dati.

Esame dei singoli lavori statistici

Nel dettaglio, il Garante prende atto delle numerose modifiche apportate a singoli lavori statistici, tra cui:

• aggiornamenti dei riferimenti normativi;
• integrazioni degli obiettivi;
• miglioramenti delle descrizioni sintetiche;
• precisazioni sulla tipologia dei dati acquisiti;
• chiarimenti sull’obbligo di risposta e sulle sue conseguenze;
• adeguamenti dei tempi di conservazione per ulteriori trattamenti statistici e analisi longitudinali.

Con riferimento a lavori che trattano dati particolari o coinvolgono minori, il Garante apprezza gli interventi che hanno chiarito l’assenza dell’obbligo di risposta per minori sotto i 15 anni, la non previsione di sanzioni per la mancata risposta in taluni casi, e la maggiore specificazione delle variabili raccolte. In particolare, viene chiarito che, ove si intendessero rilevare specificamente episodi di bullismo o cyberbullismo, la relativa scheda dovrebbe indicare anche l’eventuale trattamento di particolari categorie di dati.

Per il lavoro IST-02740 relativo a discriminazioni e diversità LGBT+ nel contesto formativo e lavorativo, l’Autorità prende favorevolmente atto della rimozione del riferimento al consenso come base giuridica e ribadisce che la base giuridica corretta è il compito di interesse pubblico, con conseguente possibilità per gli interessati di esercitare il diritto di opposizione nei limiti dell’art. 21, par. 6, GDPR, e non la revoca del consenso.

Per il lavoro IST-02741 sulle condizioni sociali e inclusione abitativa, il Garante valorizza la riduzione delle “liste di partenza” e l’eliminazione di categorie particolari di dati, in applicazione dei principi di accountability, limitazione della finalità e minimizzazione.

Censimento permanente: modifica metodologica e valutazione favorevole

Un capitolo specifico riguarda il lavoro IST-02493, relativo al Sistema Integrato Censimento permanente e Indagini sociali, componente areale. Istat ha rappresentato la necessità di modificare il prospetto identificativo per recepire una parziale modifica metodologica, finalizzata a migliorare la qualità del conteggio e ridurre il burden statistico. La nuova impostazione, recepita anche nel Piano generale di censimento, non incide sui tipi di dati trattati né sulle modalità di trattamento, ma riduce il numero di soggetti intervistati secondo la logica dell’indagine L, con un ricorso più limitato e cadenzato nel tempo.

Il Garante prende atto che la modifica non comporta criticità sotto il profilo della protezione dei dati personali e che anzi produce una riduzione delle operazioni di trattamento necessarie. In questo ambito esprime quindi un apprezzamento favorevole.

Conclusione

Alla luce della documentazione acquisita, delle interlocuzioni con Istat e del parere della Cogis, il Garante ritiene ampiamente comprovate la necessità e la proporzionalità dei trattamenti di dati personali previsti dal PSN, inclusi quelli relativi a particolari categorie di dati, per la produzione della statistica ufficiale.

Il provvedimento si conclude con parere favorevole sullo schema di Programma statistico nazionale 2023-2025 - aggiornamento 2024-2025. Permangono, sul piano sistemico, l’esigenza di migliorare la descrizione delle misure tecniche e organizzative e la criticità derivante dalla mancata adozione del decreto ministeriale sui dati relativi a condanne penali e reati.