Parere del Garante n. 523 del 16/11/2023

Parere sullo schema di Programma statistico nazionale 2023-2025

Il Garante per la protezione dei dati personali si pronuncia sullo schema di Programma statistico nazionale 2023-2025 trasmesso da Istat, ai sensi dell’art. 6-bis del d.lgs. 6 settembre 1989, n. 322 e dell’art. 4-bis delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistan. Il PSN è esaminato come atto che funge da base giuridica per trattamenti di dati personali, anche appartenenti alle particolari categorie di cui agli artt. 9 e 10 del GDPR.

Quadro normativo di riferimento

Il Garante richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003, il d.lgs. 322/1989 e le Regole deontologiche del Sistan. Sottolinea che il Programma statistico nazionale deve indicare finalità, garanzie, dati trattati, rilevazioni interessate e modalità di trattamento, oltre a rispondere ai requisiti di chiarezza, precisione e prevedibilità richiesti dal considerando 41 del GDPR per gli atti normativi che costituiscono base giuridica del trattamento.

Valutazione generale sullo schema di PSN

L’Autorità prende atto dei miglioramenti apportati da Istat ai prospetti informativi del Volume 2, elaborati secondo un nuovo schema condiviso con il Garante. In particolare, rileva positivamente:

• una rappresentazione più chiara dei tempi di conservazione, compresa l’eventuale ulteriore conservazione;
• la ricognizione delle fonti da cui i dati sono raccolti, anche quando provengono da soggetti terzi;
• una maggiore aderenza del PSN alle esigenze di trasparenza e autodeterminazione informativa degli interessati.

Il Garante osserva che il PSN, in quanto base normativa dei trattamenti statistici, deve essere formulato in modo tale da consentire agli interessati di comprendere ex ante quali dati siano trattati, da chi provengano e con quali garanzie.

Criticità generali sui prospetti informativi

Nel corso dell’istruttoria, l’Ufficio del Garante rileva che alcune sezioni dei prospetti continuano a presentare criticità già emerse nei precedenti pareri: ripetizioni di adempimenti già previsti dal GDPR, formulazioni eccessivamente generiche, differenze non giustificate tra schede e scarsa focalizzazione sulle misure tecniche e organizzative effettivamente adottate per i trattamenti statistici.

Il Garante richiama, in particolare, i principi di:

• minimizzazione dei dati, ai sensi degli artt. 5, par. 1, lett. c), 25 e 89 GDPR;
• limitazione della conservazione, ai sensi dell’art. 5, par. 1, lett. e) GDPR;
• responsabilizzazione, ai sensi dell’art. 5, par. 2 GDPR;
• privacy by design e by default, ai sensi dell’art. 25 GDPR.

Viene ribadito che le valutazioni su quantità e qualità dei dati da trattare devono essere compiute sin dalla progettazione del trattamento e non solo in fase successiva.

Tempi di conservazione e ulteriore conservazione

Il Garante dedica attenzione ai tempi di conservazione indicati nei prospetti, riscontrando in alcuni casi termini troppo brevi e in altri eccessivamente estesi. Istat fornisce chiarimenti puntuali, ad esempio:

• per alcuni lavori con conservazione inferiore a 12 mesi, la breve durata è giustificata dal fatto che il trattamento è strumentale alla sola elaborazione di dati aggregati e che sono necessari dati aggiornati;
• per altri lavori, come l’indagine sulla fiducia delle imprese dei servizi, il termine di 360 mesi è giustificato dalla necessità di seguire campioni panel e svolgere controlli longitudinali;
• per il lavoro MIDEA/ANVIS, il termine di 440 mesi è collegato al riferimento al tempo di una generazione;
• per il registro statistico tematico del lavoro, il termine di 480 mesi è ricondotto al tempo medio di attività lavorativa di un individuo.

Il Garante prende atto delle precisazioni e segnala che i presupposti, limiti e condizioni dell’ulteriore conservazione sono oggetto di revisione delle Regole deontologiche avviata dopo la deliberazione di promovimento del 15 aprile 2021.

Dati relativi a condanne penali e reati

L’Autorità ribadisce che il trattamento di dati di cui all’art. 10 GDPR è consentito solo in presenza di una norma di legge o, nei casi previsti, di regolamento che preveda garanzie appropriate. In mancanza, i trattamenti e le garanzie devono essere individuati con decreto del Ministro della giustizia ai sensi dell’art. 17, comma 3, della legge n. 400/1988, sentito il Garante.

Poiché tale decreto non risulta ancora adottato, il Garante segnala la persistenza di una criticità per la produzione di statistica ufficiale in settori che richiedono il trattamento di dati giudiziari.

Lavori statistici dell’ISS: riqualificazione come SDA

Una parte significativa dell’istruttoria riguarda i lavori dell’Istituto superiore di sanità. Il Garante chiarisce che la distinzione tra statistiche da indagine (SDI) e statistiche da fonti amministrative organizzate (SDA) è rilevante perché cambia il presupposto di raccolta e il regime informativo verso gli interessati.

Alla luce dei chiarimenti forniti, l’Istat riqualifica diversi lavori dell’ISS come statistiche da fonti amministrative organizzate, correggendo i relativi prospetti nel PSN. La modifica riguarda, tra gli altri, registri e sistemi di sorveglianza relativi ad AIDS, epatite virale acuta, ipotiroidismo congenito, legionellosi, malattia di Creutzfeldt-Jakob, influenza, coagulopatie congenite, ormone della crescita, malattie batteriche invasive, morbillo e rosolia, nuove diagnosi HIV, malattie rare e mortalità materna. Il sistema di sorveglianza IVG viene invece qualificato come statistica derivata o rielaborazione, perché fondato su altri lavori statistici.

Diffusione di variabili in forma disaggregata

Ai sensi dell’art. 13, comma 3-bis, del d.lgs. 322/1989, il PSN individua 27 lavori per i quali è prevista la diffusione di variabili in forma disaggregata. Il Garante chiarisce che tale previsione non costituisce di per sé una base autonoma per la diffusione di dati personali, ma va letta alla luce del considerando 26 GDPR e dei principi di minimizzazione e accountability.

Per l’indagine su decessi e cause di morte, il Garante ritiene necessario che Istat rivaluti la necessità di diffondere variabili in forma disaggregata, oppure che motivi in modo più chiaro e rigoroso la scelta, anche perché il lavoro tratta dati relativi alla salute e la diffusione al livello richiesto è indicata come destinata esclusivamente alla ricerca.

Intellegibilità delle descrizioni e uso di fonti amministrative

Il Garante prende atto delle modifiche introdotte da Istat per rendere più comprensibili obiettivi e descrizioni sintetiche di diversi lavori statistici, spesso troppo tecnici o ridondanti. Valuta positivamente anche l’uniformazione delle denominazioni delle fonti amministrative e l’esplicitazione per esteso degli acronimi utilizzati nel PSN.

In relazione a specifiche indagini, Istat chiarisce la pertinenza di alcune fonti e categorie di variabili, ad esempio per i consumi energetici delle famiglie e per la fiducia dei consumatori, precisando che le variabili su stili di vita, comportamenti e opinioni sono riferite a contenuti non riconducibili alle particolari categorie di dati dell’art. 9 GDPR.

Minori e raccolta indiretta dei dati

Il Garante prende atto delle garanzie fornite da Istat sulla raccolta di dati presso minori di età. Per alcuni lavori le informazioni non sono raccolte direttamente presso i minori, ma tramite altri componenti della famiglia; per altri, i soggetti maggiori di 15 anni rispondono direttamente, mentre per i minori di 15 anni rispondono genitori o adulti di riferimento, pur auspicando la partecipazione autonoma dei minori tra 11 e 14 anni.

Intelligenza artificiale e supervisione umana

Per il lavoro "Hate speech on line", il Garante apprezza la sintesi operata ma chiede che sia reinserita nel prospetto la precisazione secondo cui la classificazione dei dati tramite machine learning non sarà interamente automatizzata, bensì sempre supervisionata da un operatore umano.

L’Autorità richiama i principi di conoscibilità, non esclusività della decisione algoritmica e non discriminazione algoritmica, evidenziando che l’uso di strumenti di intelligenza artificiale deve essere accompagnato da supervisione qualificata e da adeguate garanzie di qualità, completezza e rappresentatività dei dati.

Studio sui mobile network data

Per il lavoro IST-02834, relativo allo studio dei mobile network data a fini statistici, il Garante prende atto della semplificazione del prospetto e osserva che la descrizione della pseudonimizzazione e delle misure tecniche e organizzative resta sostanzialmente coerente con quanto già valutato in precedenza, in particolare con il provvedimento del 9 giugno 2022. Viene richiamata la necessità di prevenire indebite correlazioni tra i dati dell’operatore e le fonti interne Istat.

Esito del parere

Il Garante esprime parere favorevole sullo schema di Programma statistico nazionale 2023-2025, ma con due condizioni:

• per il lavoro IST-02854 "Hate speech on line" deve essere indicato che la classificazione tramite machine learning non è interamente automatizzata e resta sempre supervisionata umanamente;
• per il lavoro IST-00095 "Indagine su decessi e cause di morte" Istat deve rivalutare la diffusione disaggregata delle variabili o motivarla in modo più chiaro e rigoroso, in coerenza con i principi di minimizzazione e responsabilizzazione.

Il provvedimento richiama infine i rimedi esperibili davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.