Parere del Garante n. 580 del 09/10/2025

Parere sullo schema di Programma statistico nazionale 2023-2025 - Aggiornamento 2025

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di Programma statistico nazionale 2023-2025 - Aggiornamento 2025 presentato da Istat, ai sensi dell’art. 58, par. 3, lett. b) GDPR, dell’art. 6-bis del d.lgs. 6 settembre 1989, n. 322 e dell’art. 4-bis delle Regole deontologiche per i trattamenti statistici del Sistan. Il provvedimento valuta le modifiche introdotte nel PSN, con particolare attenzione ai lavori che comportano trattamenti di dati personali, alle misure di garanzia previste e alle criticità già evidenziate in precedenti pareri.

Quadro normativo di riferimento

Il Garante richiama anzitutto il quadro normativo applicabile alle statistiche ufficiali nel Sistan. In particolare, viene menzionato l’art. 2-sexies, comma 2, lett. cc) del Codice privacy, che qualifica come motivo di interesse pubblico rilevante i trattamenti per fini statistici svolti da soggetti del Sistan. Viene poi richiamato l’art. 6-bis del d.lgs. 322/1989, che richiede che nel Programma statistico nazionale siano specificati, per i trattamenti di dati personali, i tipi di dati, le operazioni eseguibili e le misure adottate a tutela dei diritti e delle libertà degli interessati, oltre alle modalità, categorie di interessati, finalità, fonti, variabili, tempi di conservazione e destinatari.

Sono inoltre richiamate le Regole deontologiche del Sistan, in particolare l’art. 4-bis, che impone che il Programma illustri finalità e garanzie, indichi i dati di cui agli artt. 9 e 10 GDPR e le modalità di trattamento, e sia adottato sentito il Garante. Il provvedimento richiama anche i principi e gli articoli del GDPR rilevanti, in particolare gli artt. 5, 25, 32, 35 e 89.

Attività istruttoria e modifiche apportate da Istat

L’Autorità descrive l’istruttoria svolta sul Volume 2 del PSN, dedicato ai dati personali. Dopo un primo esame della documentazione, l’Ufficio ha avviato un confronto con Istat su alcuni profili: aggiunta di archivi, fonti amministrative e variabili rispetto alla programmazione precedente; aumento dei tempi di conservazione; misure di pseudonimizzazione; uso di web scraping; ulteriori periodi di conservazione per scopi statistici; armonizzazione del testo, soprattutto per i lavori regionali; superamento dei rilievi sul lavoro IST-02066 relativo ai minori.

Istat ha trasmesso una nuova versione del Volume 2 e una relazione illustrativa, chiarendo le ragioni delle modifiche. In particolare, ha spiegato che l’introduzione di variabili di localizzazione e di nuove fonti risponde all’esigenza di circoscrivere meglio i fenomeni, migliorare la qualità dei prodotti statistici e ridurre il disturbo statistico sui rispondenti. Per alcuni lavori, l’aumento del tempo di conservazione è stato ricondotto al naturale processo di rivalutazione annuale della programmazione. L’Istituto ha anche rafforzato l’attenzione alle misure tecniche e organizzative, creando una sezione dedicata nel PSN e invitando i titolari dei lavori a descrivere in modo adeguato tali misure.

Quanto al web scraping, Istat ha dichiarato di non utilizzare al momento tale tecnica come fonte per le liste di partenza, eliminando i riferimenti presenti in alcuni lavori e rinviando a future valutazioni l’eventuale inserimento nel PSN 2026-2028. Infine, per il lavoro IST-02066, ha modificato il prospetto relativo ai minori, eliminando il riferimento alla sospensione del trattamento e all’autorizzazione del genitore, e precisando le modalità di raccolta dei dati per i minori da 0 a 14 anni e per i soggetti dai 15 anni in su.

Valutazioni generali del Garante

Sul piano generale, il Garante prende favorevolmente atto delle motivazioni fornite da Istat per l’aggiunta di archivi, fonti amministrative e variabili ulteriori. L’Autorità riconosce che tali aggiunte possono essere necessarie e proporzionate rispetto alle finalità statistiche, poiché consentono una migliore pertinenza dell’informazione per gli enti territoriali, una maggiore qualità statistica e una minore incidenza sui rispondenti.

Allo stesso tempo, il Garante sottolinea che la valutazione di necessità e proporzionalità deve essere svolta in modo costante non solo dall’Istat ma anche dagli enti Sistan titolari dei lavori inseriti nel PSN, nel rispetto dei principi di limitazione delle finalità e di esattezza dei dati. Tale valutazione, ove necessario, deve essere documentata nelle valutazioni d’impatto ai sensi dell’art. 35 GDPR.

Misure di garanzia, minimizzazione e pseudonimizzazione

Il provvedimento dedica ampio rilievo alle misure tecniche e organizzative di tutela. Il Garante rileva la presenza nel PSN di una sezione dedicata alle misure adottate dai titolari dei lavori statistici e richiama la centralità della pseudonimizzazione quale misura di salvaguardia tipica dei trattamenti a fini statistici.

L’Autorità ribadisce che la pseudonimizzazione, in un contesto statistico, favorisce l’applicazione dei principi di minimizzazione, integrità, riservatezza, limitazione della finalità e della conservazione, ma deve essere implementata in modo effettivo e non meramente formale. Non basta sostituire i dati identificativi diretti con un codice; occorre valutare anche la parte residua del dato, che può conservare un potere identificativo significativo, specie quando i dati sono condivisi.

Il Garante indica inoltre requisiti minimi che la pseudonimizzazione dovrebbe soddisfare in concreto:

• unidirezionalità dello pseudonimo, ad esempio tramite funzioni hash;
• perdita di sequenzialità e di riferimenti temporali o ordinali presenti nel dato originario;
• varietà e casualità apparente degli pseudonimi;
• struttura gerarchica nella corrispondenza degli pseudonimi e rotazione nel tempo degli stessi.

Il provvedimento collega tali indicazioni ai principi di privacy by design e accountability, richiedendo che le misure siano calibrate sul contesto, sulle banche dati disponibili, sulle risorse, sullo scopo del trattamento e sullo stato dell’arte tecnologico.

Conservazione dei dati e informativa agli interessati

L’Autorità prende favorevolmente atto anche delle modifiche apportate ad alcuni lavori statistici in tema di conservazione dei dati, in particolare laddove il tempo di conservazione previsto per l’obiettivo principale ricomprende quello precedentemente indicato come ulteriore, necessario per controlli di qualità. Il Garante ritiene che tale soluzione sia coerente con il principio di limitazione della conservazione e migliori la trasparenza dell’informazione resa agli interessati.

Viene infatti ricordato che il PSN svolge, in molte ipotesi, la funzione di informativa agli interessati quando i dati sono raccolti presso terzi. Di conseguenza, una descrizione più chiara e completa dei tempi di conservazione è essenziale per garantire correttezza e trasparenza del trattamento.

Minori e lavoro statistico IST-02066

Un passaggio specifico riguarda il lavoro IST-02066, "Indagine su Condizione e integrazione sociale dei cittadini stranieri". Il Garante rileva che i precedenti profili di criticità, già evidenziati nel parere del 9 maggio 2018 sul PSN 2017-2019 aggiornamento 2018-2019, possono considerarsi superati.

In passato l’Autorità aveva manifestato forti perplessità sui lavori statistici che coinvolgevano minori, soprattutto quando erano previste risposte obbligatorie a questionari con domande delicate e con conservazione indefinita dei dati identificativi, eventualmente integrati con altre fonti amministrative. Nel nuovo assetto, invece, Istat ha precisato che:

• per i minori da 0 a 14 anni inclusi, le informazioni sono raccolte tramite i genitori o un adulto di riferimento;
• per i soggetti di 15 anni e più, le informazioni sono fornite direttamente dal rispondente e non è previsto obbligo di risposta;
• l’informativa sarà inviata all’intestatario della scheda di famiglia in cui il minore è residente.

Alla luce di tali modifiche, il Garante considera superati i rilievi precedenti, ritenendo le nuove modalità di raccolta adeguate anche rispetto ai criteri indicati nel provvedimento del 19 maggio 2020 sui trattamenti riferiti ai minori.

Web scraping e futuri sviluppi

Il Garante prende atto della scelta di Istat di espungere ogni riferimento al web scraping come fonte per la costituzione delle liste di partenza nei lavori IST-00220, IST-00706 e IST-01940. L’Autorità richiama tuttavia che, qualora tale tecnica dovesse essere riproposta nella futura programmazione triennale, dovrà essere oggetto di una rigorosa valutazione di conformità alla disciplina privacy.

Il provvedimento ricorda che il fatto che i dati siano pubblicamente disponibili non esonera dal rispetto del GDPR: restano applicabili i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della finalità. Se il web scraping dovesse essere impiegato su larga scala mediante nuove tecnologie, Istat dovrà valutare attentamente la necessità di ricorrervi rispetto a soluzioni meno invasive e documentare specifiche misure di garanzia in una valutazione d’impatto ex art. 35 GDPR.

Esito finale

All’esito dell’istruttoria, il Garante esprime parere favorevole sullo schema di Programma statistico nazionale 2023-2025 - Aggiornamento 2025 presentato da Istat. Il parere è quindi positivo, ma accompagnato da una serie di richiamate esigenze di attenzione continuativa su minimizzazione, pseudonimizzazione, conservazione, trasparenza e valutazione di eventuali future tecniche di raccolta innovative.