Parere del Garante n. 526 del 25/09/2025

Modalità di messa a disposizione nella PDND dei dati aggregati e anonimizzati

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Presidente del Consiglio dei ministri da adottare ai sensi dell’art. 50-ter, comma 4, del d.lgs. 7 marzo 2005, n. 82 (CAD). Il parere riguarda le modalità di messa a disposizione, nella Piattaforma Digitale Nazionale Dati, dei dati aggregati e anonimizzati di titolarità dei soggetti di cui all’art. 2, comma 2, CAD, per finalità di supporto a politiche pubbliche basate sui dati.

Contesto normativo e oggetto del provvedimento

La disposizione di riferimento, l’art. 50-ter CAD, prevede una Piattaforma Digitale Nazionale Dati gestita dalla Presidenza del Consiglio dei ministri, destinata anche a favorire la condivisione di dati tra pubbliche amministrazioni e altri soggetti abilitati. Il comma 4 demanda a un DPCM la definizione della strategia nazionale dati e delle modalità di messa a disposizione, su richiesta della Presidenza del Consiglio, di dati aggregati e anonimizzati in un’infrastruttura tecnologica separata da quella dedicata all’interoperabilità dei sistemi informativi.

Lo schema sottoposto al Garante è stato trasmesso dal Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri e accompagnato dalla relazione illustrativa. Il provvedimento è trattato con carattere d’urgenza, in quanto inserito nel programma di attuazione del PNRR, tenuto conto anche dell’art. 9, comma 3, del d.l. 8 ottobre 2021, n. 139, convertito dalla l. 3 dicembre 2021, n. 205.

Struttura della PDND-Osservatorio dati

Lo schema disciplina una specifica componente della PDND, denominata PDND-Osservatorio dati (PDND-OD), destinata a ospitare dati aggregati e anonimizzati per il supporto di politiche pubbliche basate sui dati. Tale infrastruttura è separata da quella prevista per l’interoperabilità dei sistemi informativi ex art. 50-ter, comma 2, CAD. La progettazione, realizzazione e gestione della PDND-OD sono affidate a PagoPA S.p.A.

Individuazione dei progetti e requisiti informativi

Il Dipartimento per la trasformazione digitale individua i progetti da avviare, anche sulla base di proposte formulate dai soggetti pubblici interessati. Per ogni progetto lo schema richiede la definizione di elementi essenziali, tra cui:

• finalità e risultati attesi;
• tipologie di dati funzionali al progetto e soggetti pubblici di riferimento;
• direttive per individuare le misure tecniche necessarie a escludere il trattamento di dati personali, incluso il ricorso all’anonimizzazione;
• eventuale soggetto incaricato di garantire la messa a disposizione in formato anonimo dei dati personali, con obbligo di cancellazione tempestiva dei dati personali al termine delle operazioni di anonimizzazione.

Garanzie privacy e comunicazione al Garante

Per i progetti che implicano l’anonimizzazione di dati personali conferiti alla PDND-OD e che presentano un rischio elevato per i diritti e le libertà delle persone fisiche, lo schema prevede la comunicazione al Garante, unitamente alle informazioni rilevanti e alla valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR. I progetti possono essere avviati dopo quarantacinque giorni dalla comunicazione, salvo che il Garante adotti una diversa determinazione sulle misure da applicare a tutela degli interessati.

Il Garante prende atto della precisazione del Dipartimento per la trasformazione digitale, secondo cui è quest’ultimo il soggetto tenuto alla comunicazione, in ragione del ruolo che lo schema gli attribuisce nell’individuazione dei progetti. Tale impostazione è ritenuta coerente con il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Verifiche sulla non reidentificabilità

Lo schema prevede che il Dipartimento per la trasformazione digitale svolga, ogni sei mesi, verifiche a campione per accertare che i dati aggregati e anonimizzati resi disponibili nella PDND-OD non consentano la reidentificazione, neppure indiretta, degli interessati. Il Garante considera tali verifiche parte delle misure necessarie affinché i dati pubblicati o resi disponibili non perdano il requisito dell’anonimizzazione.

Riutilizzo dei risultati e trasparenza

I risultati dei progetti e i dati su cui essi si basano devono essere messi a disposizione dei soggetti pubblici, anche per verificare la correttezza delle proprie basi di dati, nonché dei soggetti legittimati a riceverli e riutilizzarli secondo la normativa vigente. Fatto salvo il regime di riutilizzo dei documenti contenenti dati pubblici, i risultati dei progetti, inclusi i dati su cui si basano e opportunamente aggregati, devono essere resi disponibili anche in formato aperto, ai sensi del CAD e del d.lgs. 24 gennaio 2006, n. 36, con indicazione dei soggetti titolari delle basi di dati coinvolte.

Valutazione del Garante ed esito

Il Garante rileva che lo schema tiene conto delle osservazioni formulate dall’Ufficio nel corso di interlocuzioni informali, volte a rendere i trattamenti conformi alla disciplina in materia di protezione dei dati personali. In particolare, vengono considerate adeguate le garanzie predisposte per l’aggregazione e l’anonimizzazione dei dati nella PDND-OD, con riferimento ai principi di cui all’art. 5, par. 1, lett. a) e c), GDPR e all’art. 25 GDPR, nonché all’esigenza di assicurare la non reidentificabilità, anche indiretta, degli interessati.

Non essendo emerse ulteriori osservazioni, il Garante esprime parere favorevole sullo schema di DPCM relativo alle modalità di messa a disposizione nella Piattaforma Digitale Nazionale Dati dei dati aggregati e anonimizzati.