Parere del Garante n. 93 del 22/02/2024

Parere sul lavoro statistico EMR-00028 della Regione Emilia-Romagna

Il Garante per la protezione dei dati personali esamina il lavoro statistico EMR-00028 "Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi", inserito nel PSN 2020-2022 e nel PSN 2023-2025. Il parere è reso ai sensi dell’art. 58, par. 3, lett. b) GDPR, dell’art. 6-bis del d.lgs. 322/1989 e dell’art. 4-bis delle Regole deontologiche per i trattamenti a fini statistici nel Sistema statistico nazionale.

Quadro normativo di riferimento

Il Garante richiama i principi generali del GDPR applicabili al trattamento: liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione e responsabilizzazione del titolare, con riferimento agli artt. 5, 6, 12, 13, 14, 24, 28 e 15-22 GDPR, oltre alle disposizioni del Codice privacy e alle Regole deontologiche dell’allegato A.4.

Per i trattamenti statistici svolti nell’ambito del Sistema statistico nazionale, il parere si colloca nel quadro del d.lgs. 322/1989, dell’art. 6-bis, comma 1-bis, e dell’art. 108 del Codice, nonché delle norme sul Programma statistico nazionale, che deve indicare finalità, garanzie, dati trattati e modalità del trattamento.

Oggetto della rilevazione e dati trattati

Il lavoro statistico è finalizzato ad analizzare le caratteristiche socio-demografiche e tipologiche della clientela che soggiorna negli esercizi ricettivi della Regione, per approfondire i flussi turistici, l’attrattività dei territori e la segmentazione della domanda.

Le informazioni considerate riguardano, tra le altre:

• età, ricavata dalla data di nascita;
• sesso;
• data di arrivo e data di partenza;
• provincia di residenza, ricavata dalla località di residenza o dal documento di identità;
• nazionalità;
• tipologia di ospite;
• motivazione del soggiorno;
• mezzo di trasporto;
• canale di prenotazione.

La Regione ha chiarito che tali dati sono un sottoinsieme di quelli trattati dalle strutture ricettive per altre finalità, quali check-in e comunicazioni per pubblica sicurezza, tassa di soggiorno, conservazione dei dati per soggiorni successivi e comunicazioni commerciali/promozionali.

Criticità originarie e sospensione del lavoro

Nel precedente parere del 30 giugno 2022 sul PSN 2020-2022 aggiornamento 2022, il Garante aveva sospeso il lavoro statistico EMR-00028 perché, prima facie, non appariva che le strutture ricettive fossero tenute ad acquisire tutte le informazioni previste. Di conseguenza, era necessario verificare i presupposti giuridici del trattamento, le modalità di raccolta, il ruolo delle strutture, gli obblighi informativi e l’eventuale volontarietà dell’adesione alla rilevazione.

La sospensione era collegata anche al dubbio sulla titolarità e sulla possibilità che alcune informazioni "transitassero" presso le strutture senza che queste ne assumessero effettiva responsabilità, in contrasto con il principio di liceità e con l’art. 5 GDPR.

Attività istruttoria e chiarimenti della Regione

A seguito di un incontro informale del 16 settembre 2022 e di ulteriori richieste del Garante, la Regione ha trasmesso chiarimenti con nota del 23 maggio 2023. In particolare ha precisato che l’Ufficio statistica regionale effettua il trattamento per la rilevazione EMR-00028, ma non raccoglie mai i dati direttamente presso gli interessati: li raccoglie invece presso le strutture ricettive, che agiscono come autonomi titolari.

La Regione ha inoltre specificato che alcune variabili sono solo eventualmente raccolte dalle strutture per finalità commerciali e promozionali. Per la variabile relativa alla località di residenza, è stato spiegato che, se il dato non è conferito per tali finalità, può essere utilizzata una proxy desunta dal documento di identità, in linea con il manuale metodologico Eurostat e con le istruzioni Istat per la rilevazione IST-00139.

Informativa agli interessati e ruolo delle strutture ricettive

La Regione ha modificato la scheda informativa del lavoro statistico, chiarendo che essa funge anche da informativa agli interessati quando i dati non sono raccolti direttamente presso di essi, ai sensi dell’art. 6, comma 2, delle Regole deontologiche e dell’art. 14, par. 5, lett. b) GDPR.

Il Garante precisa che, in questa ipotesi, l’informativa si intende resa attraverso la scheda del PSN. Non spetta quindi all’Autorità valutare il modello di informativa predisposto per le strutture ricettive, la cui idoneità deve essere verificata da ciascuna struttura in qualità di autonomo titolare, secondo il principio di responsabilizzazione.

Trasparenza, forma dell’informativa e linguaggio usato

Nel parere viene ribadito che le informative, sia ex art. 13 sia ex art. 14 GDPR, devono essere concise, trasparenti, intelligibili e formulate con linguaggio semplice e chiaro, secondo il considerando 58 e le linee guida europee sulla trasparenza.

L’Autorità osserva che un testo troppo lungo, articolato e ricco di rinvii a norme o sezioni interne può compromettere l’autodeterminazione informativa degli interessati. La Regione aveva comunque rappresentato di avere reso il documento più intellegibile e di aver predisposto un’infografica sintetica da rendere disponibile sulla piattaforma Ross1000 e sul portale regionale di statistica.

Conservazione dei dati e uso della piattaforma Ross1000

La Regione ha chiarito che, per la rilevazione statistica, i dati non sono conservati in forma personale perché il dataset non consente di risalire al singolo interessato. Nel repository, dopo 120 mesi, vengono cancellate anche le informazioni che identificano la struttura ricettiva.

Il periodo di conservazione è stato ritenuto congruo per analisi in serie storica dei fenomeni turistici, anche rispetto a shock strutturali e politiche di promozione. Quanto alla piattaforma Ross1000, la Regione l’ha qualificata come software messo gratuitamente a disposizione delle strutture che non dispongono di un proprio gestionale.

Valutazione finale del Garante

Alla luce delle modifiche apportate alla scheda informativa e dei chiarimenti resi, il Garante ritiene superate le criticità originarie e conclude che nulla osta all’esecuzione del lavoro statistico EMR-00028, anche in attuazione del PSN 2023-2025.

Il parere è quindi favorevole. Resta ferma la precisazione che la Regione, nel predisporre il modello di informativa per le strutture ricettive, non sostituisce la valutazione che ogni struttura deve compiere come titolare autonomo del trattamento.

Indicazione conclusiva

Il provvedimento si chiude con il parere favorevole sul lavoro statistico EMR-00028 e con l’avvertenza sui rimedi giurisdizionali esperibili avverso il provvedimento, secondo l’art. 78 GDPR, gli artt. 152 del Codice e 10 del d.lgs. 150/2011.