Prescrizioni del Garante n. 337 del 08/06/2023

Istat – trattamento di dati statistici nel Sistema di Integrazione dei Microdati (SIM) e nel Registro disabilità

Il provvedimento riguarda Istat, in qualità di titolare del trattamento, con riferimento al DSI del Registro disabilità (Ist-02748) nell’ambito del Sistema di Integrazione dei Microdati (SIM). L’istruttoria origina da accertamenti ispettivi svolti per verificare l’attuazione del provvedimento del Garante del 23 gennaio 2020, che aveva prescritto misure di pseudonimizzazione e di disaccoppiamento gerarchico dei codici per i trattamenti necessari al censimento permanente.

Origine dell’accertamento e contesto istruttorio

L’Ufficio del Garante ha effettuato verifiche presso Istat ai sensi degli artt. 58 GDPR, 157 e 158 Codice privacy e del Regolamento interno n. 1/2019. L’attività era finalizzata a controllare come l’Istituto avesse implementato le prescrizioni già impartite nel 2020 in tema di privacy by design e by default, minimizzazione, limitazione della finalità e della conservazione, nonché pseudonimizzazione.

Istat aveva rappresentato un articolato piano di evoluzione del SIM, sviluppato anche a seguito di interlocuzioni informali con l’Autorità, ma il Garante ha ritenuto necessario un approfondimento ispettivo perché le soluzioni prospettate apparivano ancora complesse e non del tutto chiarite sul piano tecnico.

Trattamenti esaminati e architettura del sistema

L’esame ha riguardato il sistema SIM e, in particolare, la sperimentazione del DSI relativo al Registro disabilità. L’Istat ha illustrato:

• la classificazione delle fonti amministrative esterne e di archivi interni;
• la creazione di domini specifici di integrazione;
• il meccanismo di pseudonimizzazione gerarchica;
• le misure di logging e tracciamento;
• la cifratura dei dati sensibili nel dominio disabilità mediante Transparent Data Encryption con AES_256.

Secondo quanto riferito dall’Istituto, i dati identificativi e quelli tematici sensibili risultavano separati solo logicamente e non fisicamente, sulla medesima infrastruttura, con accesso controllato da credenziali distinte.

Violazioni contestate e norme richiamate

L’Ufficio ha contestato la violazione degli artt. 5, par. 2, 24, 25 e 32 GDPR. In particolare, ha ritenuto che Istat non avesse adottato misure sufficienti, né sotto il profilo qualitativo né sotto quello quantitativo, rispetto a quanto prospettato nel progetto di adeguamento al provvedimento del 23 gennaio 2020.

Le criticità principali sono state ricondotte a tre ambiti:

• classificazione dei dati;
• minimizzazione nei domini specifici di integrazione;
• pseudonimizzazione e sicurezza del trattamento.

Classificazione dei dati e valutazione del rischio

Istat aveva classificato solo una parte delle fonti e, al momento dell’accertamento, la classificazione riguardava in via sperimentale il solo Registro disabilità. Il Garante ha osservato che la classificazione non risultava ancora pienamente integrata in una valutazione dei rischi concreta e puntuale, né accompagnata da misure differenziate e specifiche per le diverse classi di dati.

L’Autorità ha rilevato che l’attività descritta appariva più orientata a esigenze statistiche che a una vera progettazione della protezione dei dati, come richiesto dall’art. 25 GDPR. Le misure elencate da Istat erano state considerate troppo generiche e, in parte, coincidenti con adempimenti già imposti dal Regolamento, senza indicare con sufficiente precisione quali principi di protezione dei dati fossero attuati e con quali soluzioni tecniche.

Minimizazione dei dati nei DSI

Per il Garante, il principio di minimizzazione nei DSI deve essere garantito anche tecnicamente, non solo tramite scelte organizzative. Nel caso esaminato, Istat aveva rimesso la selezione dei contenuti informativi e la gestione delle singolarità alla valutazione del direttore responsabile della richiesta, con possibilità di usare variabili alternative meno identificative, ma senza un meccanismo tecnologico ab origine capace di impedire o segnalare l’inserimento di combinazioni di dati eccessive o re-identificative.

L’Autorità ha ritenuto problematica anche l’assenza di strumenti automatici per rilevare singolarità, cioè combinazioni di attributi univoche riferibili a un solo soggetto. Tali strumenti, secondo il Garante, sono necessari per consentire decisioni tempestive sulla possibilità di aggregare maggiormente i dati o di adottare ulteriori misure di tutela.

Pseudonimizzazione, reversibilità controllata e sicurezza

Sul piano della pseudonimizzazione, il Garante ha evidenziato che il sistema calcolava un codice hash basato sui soli dati identificativi e che la chiave segreta era legata a un parametro troppo volatile, cioè l’ora corrente al millisecondo. Ciò rendeva la reversibilità controllata poco affidabile sul piano concreto e non coerente con l’esigenza di conservare separatamente le informazioni aggiuntive necessarie alla pseudonimizzazione.

Inoltre, non essendo ancora implementata una pluralità di DSI, non è stato possibile verificare la reale efficacia del meccanismo di disaccoppiamento gerarchico prescritto nel 2020. Il Garante ha poi osservato che l’assenza di elementi casuali nel calcolo dell’hash e la mancata diversificazione delle chiavi esponevano al rischio che, in caso di incidente di sicurezza, la compromissione potesse estendersi all’intero dominio.

Difese di Istat e contesto attenuante

Nelle memorie difensive, Istat ha richiamato il contesto pandemico e le conseguenti difficoltà organizzative, sostenendo che il ritardo nell’attuazione delle prescrizioni fosse dipeso anche da circostanze straordinarie. L’Istituto ha inoltre rappresentato di avere avviato procedure di gara, sperimentazioni tecniche e un progressivo sviluppo di una nuova piattaforma di pseudonimizzazione, indicando una roadmap evolutiva del sistema.

Il Garante ha preso atto della cooperazione e degli sforzi compiuti, ma ha escluso che la pandemia integrasse una causa idonea a escludere la responsabilità, qualificandola al più come circostanza rilevante ai fini della graduazione della responsabilità.

Valutazioni finali del Garante

L’Autorità ha concluso che Istat non aveva ancora assicurato una protezione effettiva e automatizzata dei dati, essendosi limitato in larga misura a misure organizzative e a soluzioni ancora in fase progettuale o sperimentale. È stata quindi affermata l’illiceità del trattamento per violazione degli artt. 5, par. 2, 24, 25 e 32 GDPR.

Pur in presenza delle violazioni, il Garante ha ritenuto il caso riconducibile a una "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253, anche in considerazione:

• della complessità tecnica del progetto;
• del periodo emergenziale da Covid-19;
• della collaborazione mostrata dall’Istituto;
• degli ulteriori impegni di adeguamento assunti in corso d’istruttoria.

Provvedimenti adottati: ammonimento e ingiunzione

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento;
• ammonito Istat ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti entro 180 giorni dalla notifica.

Le prescrizioni imposte riguardano in particolare:

• completare la classificazione delle fonti, associando a ciascuna classe il rischio misurabile di re-identificazione e le relative misure di mitigazione;
• introdurre misure tecniche che rilevino automaticamente le singolarità nei DSI e ne segnalino la presenza con alert all’analista;
• adottare una policy interna per la gestione delle singolarità, anche mediante generalizzazione dei dati;
• affinare la reversibilità controllata degli pseudonimi usando una chiave segreta più robusta e conservata separatamente;
• utilizzare lo pseudonimo master SIM anche per controlli automatizzati di consistenza sulle nuove unità statistiche, superando i controlli manuali basati su identificativi diretti.

Obblighi di riscontro e ulteriori effetti

L’Istat deve comunicare al Garante, entro 20 giorni dalla scadenza del termine dei 180 giorni, le iniziative adottate per l’attuazione delle prescrizioni, documentando adeguatamente il riscontro. Il provvedimento richiama inoltre la sanzionabilità del mancato riscontro ex art. 157 Codice privacy e la pubblicazione del provvedimento sul sito del Garante come sanzione accessoria.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.