Con provvedimento del 13 febbraio 2020, n. 29 (doc. web n. 9283929), il Garante ha reso parere favorevole sullo schema di Programma statistico nazionale 2017-2019 − Aggiornamento 2019 (Psn), pur esprimendosi negativamente rispetto a taluni specifici lavori statistici.

In via preliminare, è stato evidenziato come, dopo l’entrata in vigore del Regolamento, sia seguita una modifica rilevante all’art. 6-bis, d.lgs. n. 322/1989, il quale ora richiede che nel Psn siano indicati, in particolare:

• - i tipi di dati;
• - le operazioni eseguibili;
• - le misure adottate per tutelare i diritti fondamentali e le libertà degli interessati;
• - le misure tecniche e organizzative idonee a garantire la liceità e la correttezza del trattamento, con particolare riguardo al principio di minimizzazione dei dati. Inoltre, per ciascun trattamento, vanno indicati: a) le modalità; b) le categorie dei soggetti interessati; c) le finalità perseguite; d) le fonti utilizzate; e) le principali variabili acquisite; f) i tempi di conservazione; g) le categorie dei soggetti destinatari dei dati.

Occorre considerare che il Psn funge da informativa agli interessati in riferimento ai dati raccolti presso soggetti terzi (come previsto dall’art. 6, comma 2 delle menzionate regole deontologiche) e che, in base al Regolamento, sono più ampi gli elementi informativi che i titolari del trattamento devono rendere noti agli interessati in fase di raccolta (cfr. art. 13 del RGPD).

Il Garante ha fornito ulteriori e specifiche indicazioni affinché, nei Psn futuri, i prospetti informativi relativi ai singoli lavori statistici siano più chiari e comprensibili e quindi sia assicurata l’effettiva applicazione del principio di trasparenza; anzitutto prevedendo che ciascun prospetto informativo debba recare le indicazioni riguardanti il tempo di conservazione (o i criteri utilizzati per definirli) rispetto a ciascun lavoro statistico (art. 13, par. 2, lett. a), del RGPD).

Il Garante ha altresì ritenuto fuorviante l’indicazione, per ciascun lavoro statistico, di tempi di conservazione differenti in ragione della fonte di provenienza dei diversi dati trattati, rappresentando l’esigenza che, per ogni lavoro, sia indicato il tempo di conservazione necessario al proseguimento dello specifico scopo statistico dichiarato e l’eventuale ulteriore periodo di conservazione nel caso del perseguimento di ulteriori scopi statistici con i medesimi dati (artt. 5, par. 1, lett. b) ed e) e 89 del RGPD e 6-bis, comma 4, d.lgs. n. 322/1989).

L’Autorità si è espressa anche sulle modalità con le quali l’Istat ha inteso adempiere alla nuova prescrizione in base alla quale il Psn deve contenere anche specifiche indicazioni in ordine alle misure adottate per tutelare i diritti fondamentali e le libertà degli interessati e alle misure tecniche e organizzative idonee a garantire la liceità e la correttezza del trattamento, con particolare riguardo al principio di minimizzazione dei dati (art. 6-bis, d.lgs. n. 322/1989). Sul punto, è stata apprezzata l’impostazione individuata dall’Istituto in base alla quale ogni titolare fornisce specifiche indicazioni rispetto alle misure tecniche e organizzative implementate (riportate in un’apposita appendice). L’Autorità ha sottolineato però come non risulti a tal fine necessario dare evidenza ad adempimenti già previsti dal Regolamento (si pensi ad es. alla compilazione del registro dei trattamenti ex art. 30 del RGPD o all’adesione a codici di condotta, tenuto in considerazione che, allo stato, non risultavano ancora approvati ai sensi dell’art. 40 del RGPD). In secondo luogo, rilevando una certa eterogeneità nella descrizione delle misure in esame fornita dai diversi soggetti Sistan, titolari dei lavori statistici inseriti nel Psn, il Garante ha invitato l’Istituto a conferire maggiore coerenza e omogeneità al paragrafo in esame (artt. 6-bis e 15, comma 1, lett. a) e d ), d.lgs. n. 322/1989).

Nel corso dell’istruttoria relativa allo schema di Psn in esame, l’Ufficio ha svolto taluni ulteriori approfondimenti istruttori sul SIM (Sistema integrato di microdati amministrativi), oggetto di parere negativo nell’ambito del provvedimento del 9 maggio 2018 e di specifiche prescrizioni nel provvedimento del 23 gennaio 2020, n. 271 (rispettivamente docc. web nn. 9261093 e 9001732).

Nel provvedimento del 2020, il Garante si è nuovamente soffermato sul Sistema integrato di microdati amministrativi, consistente in un’infrastruttura tecnologica costruita in base a specifiche logiche statistiche e contrassegnata nel Psn dal codice IST-02270; più precisamente, si tratta di un’infrastruttura “intermedia” di supporto ai lavori statistici, deputata alla centralizzazione dell’acquisizione di fonti amministrative e alla gestione dei dati. In tal modo l’Istat mira a creare un ambiente unico e sicuro per l’acquisizione, la gestione e l’archiviazione dei dati amministrativi raccolti per finalità statistiche. A ogni singola unità statistica è attribuito un codice SIM che consente il collegamento di varie basi di dati attraverso specifiche operazioni (record linkage). I dati così strutturati sono quindi resi accessibili agli utenti interni autorizzati. Su tali basi l’Autorità, tenuto conto delle misure già prescritte con il citato provvedimento, ha ritenuto che non vi siano elementi ostativi al suo utilizzo.

Nel rilevare un incremento di registri statistici all’interno del Psn, il Garante ha ribadito la necessità che vengano adottate specifiche misure di pseudonimizzazione secondo le indicazioni già fornite per il trattamento e la conservazione dei dati in tali contesti; ciò in quanto in tali registri spesso si cumulano trattamenti primari e secondari di dati personali per scopi statistici. L’Autorità si è quindi espressa negativamente in relazione ai seguenti lavori statici: IST-2729-Registro degli edifici e delle unità abitative; IST-02721-Registro base degli individui delle famiglie e delle convivenze, IST-02742-Registro del lavoro, IST-01382-Registro annuale su retribuzioni, ore e costo del lavoro individuale, IST-02638-Integrazione dati e registro redditi, consumi e ricchezza; IST-02638-Integrazione dati e registro redditi, consumi e ricchezza; IST-02634-Sistema informativo sull’occupazione - Registro Asia Occupazione.

Fonte : Relazione GPDP 2020

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9676435