Parere del Garante n. 318 del 06/10/2022

Parere sullo schema di regolamento per il censimento dei gruppi linguistici in provincia di Bolzano

Il Garante per la protezione dei dati personali esprime parere favorevole, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, sullo schema di regolamento d’esecuzione della Provincia autonoma di Bolzano adottato in attuazione dell’art. 18, comma 2, del d.P.R. 26 luglio 1976, n. 752. L’atto disciplina le modalità di attuazione del censimento dei gruppi linguistici e introduce misure per consentire la rilevazione telematica in forma anonima.

Contesto e finalità del trattamento

L’art. 18 del d.P.R. n. 752/1976 prevede che ogni dieci anni i cittadini residenti nella provincia di Bolzano, con determinate caratteristiche soggettive, rendano una dichiarazione individuale di appartenenza a uno dei tre gruppi linguistici italiano, tedesco e ladino. La dichiarazione può essere resa anche per via telematica e il decreto provinciale deve definire modalità attuative che garantiscano misure idonee ad assicurare l’anonimato della rilevazione.

Impostazione del trattamento e ripartizione dei ruoli

Lo schema sottoposto al Garante struttura il trattamento in due fasi distinte, collegate a soggetti con ruoli separati:

• i Comuni trattano i dati personali necessari all’identificazione degli interessati;
• l’ASTAT tratta i dati relativi all’espressione dell’appartenenza o aggregazione a uno dei gruppi linguistici;
• il Consorzio dei Comuni svolge la funzione di responsabile del trattamento ai sensi dell’art. 28 GDPR per il trasferimento dei dati verso l’ASTAT.

Questa articolazione è ritenuta coerente con l’esigenza di separare l’identificativo personale dal dato censuario, così da preservare la segretezza della dichiarazione.

Misure tecniche e organizzative per l’anonimato

Il Garante valorizza la previsione di sistemi informatici distinti, idonei a separare il dato linguistico da ogni riferimento all’identità del soggetto interessato. Lo schema è considerato conforme alle indicazioni fornite dall’Ufficio del Garante nel corso delle interlocuzioni, anche con riguardo ai principi di minimizzazione dei dati e di privacy by design e by default, richiamati dagli artt. 5, par. 1, lett. c), e 25 GDPR.

Profili di rischio e dati sensibili

L’Autorità sottolinea che il trattamento riguarda dati particolarmente delicati, relativi all’appartenenza o aggregazione a gruppi linguistici, ed è svolto su larga scala. Il fatto che coinvolga anche minori accentua il livello di rischio per i diritti e le libertà degli interessati, imponendo misure adeguate a evitare o rendere impossibile la re-identificazione.

Valutazione d’impatto e riserva sul controllo successivo

Lo schema prevede che la valutazione d’impatto del trattamento sia effettuata a ogni tornata censuaria e trasmessa al Garante ai sensi dell’art. 36, par. 5, GDPR. Pur non ravvisando criticità nello schema regolamentare, l’Autorità precisa di riservarsi l’esame della DPIA quando sarà trasmessa, al fine di verificare in concreto l’adeguatezza delle misure tecniche e organizzative adottate in ciascuna fase del trattamento, soprattutto rispetto alla non re-identificazione degli interessati.

Esito del parere

Il parere è favorevole. Il Garante non introduce condizioni ostative allo schema di regolamento, ma richiama l’attenzione sulla necessità di una successiva verifica concreta della valutazione d’impatto e delle misure effettivamente implementate nella gestione telematica anonima del censimento linguistico.