Parere del Garante n. 97 del 23/03/2023

Censimento telematico dei gruppi linguistici della Provincia autonoma di Bolzano

Il Garante per la protezione dei dati personali esprime un parere favorevole sulla valutazione d’impatto relativa alle modalità telematiche di svolgimento del censimento dei gruppi linguistici nella Provincia autonoma di Bolzano. La richiesta è stata trasmessa dalla Provincia autonoma di Bolzano ai sensi dell’art. 5 del regolamento di esecuzione del 6 dicembre 2022, n. 28, e dell’art. 36, par. 5, GDPR, con riferimento ai trattamenti effettuati dai Comuni della Provincia di Bolzano e dall’ASTAT.

Quadro normativo di riferimento

Il procedimento trae origine dall’art. 18 del d.P.R. 26 luglio 1976, n. 752, come modificato dal d.lgs. 4 ottobre 2021, n. 150, che impone ai residenti nella provincia di Bolzano di età superiore a quattordici anni, non interdetti per infermità di mente, di rendere ogni dieci anni una dichiarazione individuale di appartenenza a uno dei tre gruppi linguistici italiano, tedesco e ladino. La dichiarazione deve essere resa in forma anonima, anche via telematica. Il regolamento provinciale di esecuzione n. 28/2022 disciplina le modalità operative del censimento e prevede espressamente, all’art. 5, che i titolari presentino la DPIA al Garante.

Struttura del trattamento esaminato

La DPIA descrive un modello organizzativo fondato sulla separazione tra due distinte fasi di trattamento:

• una fase di identificazione dell’interessato, svolta dai Comuni mediante un’applicazione web che richiede autenticazione tramite SPID, CIE, TS o CNS e genera un TOKEN e un PIN con relativo HASH, utilizzabili entro 24 ore;
• una fase successiva di espressione dell’appartenenza o aggregazione a uno dei tre gruppi linguistici, gestita da ASTAT tramite una seconda applicazione web che utilizza TOKEN e PIN come credenziali, previa verifica del codice HASH.

Il sistema è costruito per impedire che il dato relativo alla preferenza linguistica possa essere ricondotto all’identità della persona che lo ha espresso.

Profili di protezione dati considerati dal Garante

Nel valutare la DPIA, l’Autorità richiama le indicazioni già fornite nel corso di interlocuzioni informali con gli enti coinvolti. I profili considerati riguardano in particolare:

• la corretta definizione dei ruoli e delle responsabilità di titolari e responsabili del trattamento, ai sensi degli artt. 4, par. 1, nn. 7 e 8, 24 e 28 GDPR;
• l’individuazione e la valutazione dei rischi elevati per i diritti e le libertà degli interessati;
• la separazione effettiva tra identificazione ed espressione dell’appartenenza/aggregazione, tramite due sistemi informatici distinti, nel rispetto dei principi di minimizzazione, privacy by design e by default e limitazione della finalità, richiamati dagli artt. 5, par. 1, lett. b) e c), e 25 GDPR;
• la destinazione dei dati esclusivamente a finalità statistiche connesse alla realizzazione del censimento;
• le misure da adottare per la selezione dei fornitori di servizi cloud;
• la definizione dei tempi di conservazione dei dati e dei log delle operazioni, in conformità al principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR;
• l’adozione di misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi, ai sensi degli artt. 5, par. 1, lett. f), e 32 GDPR.

Valutazione finale e decisione

Il Garante rileva che la valutazione d’impatto presentata tiene conto delle indicazioni ricevute e contiene misure adeguate a rendere anonimo il dato relativo all’appartenenza o aggregazione linguistica, impedendo o non consentendo la re-identificazione degli interessati. Su questa base, l’Autorità afferma di non avere rilievi da formulare sulla DPIA esaminata.

Esito

Ai sensi degli artt. 36, par. 5, e 58, par. 3, lett. c), GDPR, nonché dell’art. 5 del regolamento di esecuzione provinciale n. 28/2022, il Garante autorizza i Comuni della Provincia di Bolzano e l’ASTAT a effettuare i trattamenti di dati personali descritti nella valutazione d’impatto.