Prescrizioni del Garante n. 326 del 04/06/2025

Regione Lazio - ammonimento per violazione dell'art. 28 GDPR nella rilevazione statistica IST-00139

Il provvedimento riguarda la Regione Lazio, nella qualità di responsabile del trattamento nell'ambito della rilevazione statistica "Movimento dei clienti negli esercizi ricettivi – IST-00139", svolta per conto di Istat. Il procedimento trae origine da accertamenti ispettivi presso l'Ufficio di statistica regionale e dalla successiva contestazione di profili relativi alla conservazione dei dati e alla corretta configurazione dei rapporti con il fornitore della piattaforma Radar, LazioCrea.

Contesto dell'attività ispettiva e del trattamento esaminato

L'Ufficio del Garante ha verificato le modalità di raccolta, aggregazione e diffusione dei dati relativi ai movimenti dei clienti negli esercizi ricettivi. La raccolta avveniva mensilmente tramite la piattaforma Radar, gestita da LazioCrea per conto della Regione; le strutture ricettive inserivano i dati entro il 5 del mese successivo a quello di riferimento, con successiva aggregazione per comuni e categoria ai fini della trasmissione a Istat. La Regione ha dichiarato di rispettare la regola del 5 in fase di diffusione e di non consentire query sulle tabelle pubblicate, salvo filtri per lo scarico delle informazioni di interesse. È stato inoltre indicato che non venivano effettuati controlli sul rischio di identificazione derivante dall'incrocio di pubblicazioni diverse.

Contestazioni avviate dall'Ufficio del Garante

Con l'atto di avvio del procedimento, notificato ai sensi dell'art. 166, comma 5, del Codice, l'Ufficio ha contestato:

• la violazione del principio di limitazione della conservazione di cui all'art. 5, par. 1, lett. e) GDPR;
• la violazione degli obblighi derivanti dall'art. 28 GDPR.

La contestazione sulla conservazione si fondava, in particolare, sulla dichiarazione resa in sede ispettiva secondo cui non era prevista una politica di cancellazione dei dati presenti sulla piattaforma Radar, nonostante la scheda PSN 2023-2025 indicasse un tempo di conservazione pari a 60 mesi. Quanto all'art. 28 GDPR, il Garante ha rilevato che LazioCrea era stata indicata come responsabile del trattamento della Regione, mentre nella catena del trattamento, rispetto al lavoro statistico in esame, avrebbe dovuto essere inquadrata come sub-responsabile, previa autorizzazione del titolare Istat e con le condizioni previste dall'art. 28, parr. 2 e 4, GDPR.

Difese della Regione Lazio

La Regione ha sostenuto di aver agito in assenza di istruzioni chiare e univoche di Istat, soprattutto per gli anni precedenti al 2024, richiamando circolari che indicavano tempi di conservazione formulati in modo generico o indefinito. Ha osservato che solo con una circolare successiva Istat avrebbe finalmente indicato in modo chiaro il termine di cancellazione: 60 mesi dall'invio dei prospetti riepilogativi dei dati definitivi. La Regione ha anche riferito di aver richiesto a LazioCrea la cancellazione dei dati antecedenti al 2019 e di aver trasmesso una bozza di contratto per la nomina della società quale sub-responsabile del trattamento, allegando documentazione attestante l'avvenuta cancellazione dei dati secondo le istruzioni ricevute.

Valutazione sulla limitazione della conservazione

Il Garante ha esaminato la documentazione istruttoria e le circolari Istat richiamate, rilevando che nelle indicazioni più recenti era stato introdotto un criterio espresso di conservazione e che, nel PSN 2023-2025, il termine era stato esteso a 60 mesi. Alla luce delle difese e dell'intervento successivo della Regione, l'Autorità ha ritenuto superata la contestazione relativa all'art. 5, par. 1, lett. e), GDPR nei confronti della Regione. Resta tuttavia annotato che la Regione, e per essa LazioCrea, avrebbe potuto tenere un comportamento più proattivo nella gestione della cancellazione dei dati, in conformità al principio di accountability e alle indicazioni delle linee guida EDPB sul rapporto tra titolare e responsabile.

Violazione dell'art. 28 GDPR e carente qualificazione di LazioCrea

La violazione confermata riguarda la mancata tempestiva designazione di LazioCrea come sub-responsabile del trattamento e la conseguente mancata informazione al titolare Istat. Il Garante ha osservato che l'atto omnibus di designazione di LazioCrea come responsabile non conteneva l'esplicita disciplina richiesta per la figura del sub-responsabile, né riportava le specifiche istruzioni in materia di protezione dei dati impartite da Istat, né prevedeva garanzie sufficienti per assicurare misure tecniche e organizzative adeguate.

Secondo l'Autorità, questa omissione ha compromesso la possibilità di Istat di esercitare un controllo effettivo sulla catena dei soggetti coinvolti nel trattamento, in contrasto con gli artt. 28, parr. 2 e 4, e con il principio di accountability di cui all'art. 5, par. 2, GDPR. Il Garante ha richiamato anche le Linee guida EDPB 07/2020 e l'Opinion 22/2024 sui processor e sub-processor, per evidenziare che il titolare deve essere messo in condizione di conoscere l'identità dei sub-responsabili e di controllare le attività di trattamento svolte per suo conto.

Esito del procedimento e motivazione dell'ammonimento

Pur confermando l'illiceità del trattamento limitatamente alla violazione dell'art. 28 GDPR, il Garante ha ritenuto che fosse sufficiente un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR. La scelta è stata motivata considerando che:

• la Regione ha già avviato la formalizzazione della nomina di LazioCrea quale sub-responsabile;
• la violazione è stata qualificata come colposa;
• non risultano effetti negativi significativi sugli interessati;
• non risultano precedenti violazioni pertinenti in materia di trattamenti statistici;
• la Regione ha collaborato nel corso dell'istruttoria e ha adottato misure correttive tempestive;
• le circostanze concrete consentono di qualificare il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle Linee guida WP 253.

Dispositivo finale e rimedi

Il Garante ha quindi:

• dichiarato l'illiceità del trattamento effettuato dalla Regione Lazio per la violazione degli obblighi di cui all'art. 28 GDPR;
• ammonito la Regione ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice.

È stato inoltre richiamato il regime di impugnazione: ricorso all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.