Ordinanza ingiunzione o revoca n. 275 del 29/03/2025

Regione Emilia-Romagna - diffusione illecita di dati statistici e mancata contitolarità

Il provvedimento riguarda la Regione Emilia-Romagna, destinataria di una sanzione per trattamenti connessi al lavoro statistico sulla popolazione residente (PBO 00004 - Sistema informativo provinciale sulla popolazione). Il procedimento trae origine da accertamenti ispettivi svolti dall’Ufficio del Garante presso l’Ufficio di statistica regionale.

Attività ispettiva e trattamento esaminato

L’ispezione ha riguardato la verifica dell’osservanza della normativa privacy nei trattamenti svolti per scopi di statistica ufficiale, con attenzione ai principi di protezione dei dati e alle misure ex art. 89 GDPR. Il lavoro statistico esaminato, presente nel Programma Statistico Nazionale dal 2000, è finalizzato alla descrizione demografica delle persone e delle famiglie, al supporto della governance locale e alla costruzione di basi dati e metadati.

Il trattamento coinvolge dati anagrafici riferiti all’intera popolazione regionale, per circa 4.500.000 record, con una decina di attributi, tra cui sesso, luogo di nascita, cittadinanza, codici identificativi individuali e familiari e indirizzo di residenza. I dati sono raccolti presso i Comuni e le Province, e trasmessi all’Ufficio di statistica previa pseudonimizzazione per residente e per nucleo familiare.

Diffusione dei risultati e violazione della regola del 3

Nel corso degli accertamenti è emerso che la Regione diffondeva i risultati del lavoro statistico tramite il proprio sito internet, mediante tabelle generate in ambiente SAS. Tuttavia, la diffusione non rispettava la c.d. regola del 3: risultavano pubblicate informazioni su base comunale per classi quinquennali anche con una sola unità statistica. La violazione riguardava tre comuni.

La società IConsulting Spa, designata responsabile del trattamento ai sensi dell’art. 28 GDPR, elaborava le procedure di business intelligence secondo criteri regionali che non includevano la soglia minima di tre unità. Il Garante ha osservato che non era stata adottata alcuna misura di aggregazione idonea a prevenire il rischio di re-identificazione quando le variabili coincidevano con una sola unità statistica.

Quadro normativo richiamato

L’Autorità richiama il Regolamento (UE) 2016/679, il Codice privacy e le Regole deontologiche per i trattamenti statistici effettuati nell’ambito del Sistema statistico nazionale. In particolare, vengono richiamati:

• l’art. 5, par. 1, lett. a), par. 2 GDPR, sul principio di liceità, correttezza, trasparenza e responsabilizzazione;
• l’art. 6, par. 1, lett. e) GDPR e l’art. 2-ter del Codice, in tema di diffusione di dati da parte di soggetti pubblici;
• l’art. 9 del d.lgs. 322/1989, sul segreto statistico e sulla diffusione solo in forma aggregata;
• l’art. 13-bis, comma 3-bis, del d.lgs. 322/1989 e l’art. 14 delle Regole deontologiche, che consentono in casi specifici la diffusione disaggregata;
• l’art. 4 delle Regole deontologiche, che indica la soglia minima di tre per i dati aggregati.

Il Garante ribadisce che la possibilità di diffondere dati disaggregati è eccezionale e va coordinata con il principio di minimizzazione e con la valutazione concreta del rischio di re-identificazione.

Mancato accordo di contitolarità e successiva ridefinizione dei ruoli

La scheda del PSN indicava la Regione e la Città Metropolitana di Bologna come contitolari del trattamento, ma non risultava alcun accordo ex art. 26 GDPR né la messa a disposizione degli elementi essenziali dell’accordo agli interessati. L’Autorità ha quindi contestato la violazione dell’obbligo di formalizzare la contitolarità e di garantire trasparenza verso gli interessati.

Nel corso del procedimento, la Regione ha riferito di aver avviato una riflessione con gli uffici statistici coinvolti, giungendo a un diverso assetto: Regione quale titolare del trattamento e Città Metropolitana e Province quali responsabili del trattamento per la raccolta dei dati. È stata inoltre proposta, per il prossimo aggiornamento del PSN 2023-2025, la nuova rilevazione "EMR-00029 - Rilevazione della popolazione anagrafica comunale" in sostituzione della precedente scheda. Il Garante ha preso atto favorevolmente di tali misure, ma ha comunque ritenuto accertata la violazione per il periodo precedente.

Difese della Regione e valutazioni del Garante

La Regione ha sostenuto che la diffusione contestata fosse stata adottata in buona fede, anche sulla base della prassi seguita da Istat, e ha sottolineato che il dato anagrafico sarebbe stato erroneamente considerato pubblico. Ha inoltre evidenziato che la violazione avrebbe inciso solo su tre comuni e non avrebbe comportato effetti negativi significativi sugli interessati.

L’Autorità ha ritenuto tali argomentazioni non decisive. In particolare, ha osservato che il lavoro statistico regionale non era incluso tra le diffusioni di variabili disaggregate previste nel PSN per i lavori di Istat, e che la Regione non aveva valutato in concreto il rischio di re-identificazione né definito il parametro minimo di aggregazione necessario. Ne è derivata la violazione del principio di accountability e, per effetto della diffusione non consentita, anche del principio di liceità.

Esito del procedimento

Il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), par. 2 e 26 GDPR, nonché dell’art. 2-ter del Codice. Pur prendendo atto delle misure correttive già adottate dalla Regione, l’Autorità ha ritenuto cessati gli effetti della condotta e quindi non ha adottato misure correttive ulteriori ai sensi dell’art. 58, par. 2 GDPR.

Sanzione amministrativa e criteri di quantificazione

In applicazione degli artt. 58, par. 2, lett. i) e 83 GDPR e dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di 15.000 euro. Ai fini della quantificazione ha considerato:

• la natura del trattamento, svolto per funzioni istituzionali di statistica ufficiale;
• il carattere colposo della violazione;
• l’assenza di effetti negativi significativi sugli individui, pur in presenza di un elevato numero di interessati;
• l’assenza di precedenti violazioni pertinenti;
• la collaborazione della Regione e le misure correttive adottate.

L’Autorità ha qualificato la gravità della violazione come media, richiamando le Linee guida EDPB/Comitato europeo sulla quantificazione delle sanzioni amministrative.

Disposizioni finali

Il provvedimento dispone:

• il pagamento della sanzione di 15.000 euro entro trenta giorni dalla notifica;
• la facoltà di definizione agevolata mediante pagamento della metà della sanzione, nei termini di legge;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure nel registro interno del Garante.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR e dagli artt. 152 del Codice e 10 del d.lgs. 150/2011.