Con provvedimento del 19 maggio 2020, n. 87 (doc. web n. 9370217), il Garante si è espresso favorevolmente sui lavori statistici IST-02607 Indagine su bambini e ragazzi: comportamenti, atteggiamenti e progetti futuri, e IST-02732 Modulo dell’indagine sulla immagine sociale della violenza nelle scuole e IST-01858 Multiscopo sulle famiglie (lavori sospesi a seguito del parere 9 maggio 2018 sullo schema di Psn 2017-2019, aggiornamento 2018-2019 (doc. web n. 9001732).

Le principali criticità rilevate avevano riguardato il coinvolgimento di soggetti minori di età, anche infraquattordicenni, e l’assenza di garanzie idonee a tutelare la dignità di rispondenti particolarmente giovani d’età e, per ciò solo, estremamente vulnerabili, specie nelle ipotesi di raccolta di dati connessi a temi particolarmente delicati oltre che di informazioni sensibili (quali le difficoltà nelle attività quotidiane, la contraccezione e la vita sessuale, i determinanti della salute, l’abitudine al fumo, i problemi di peso, l’attività fisica, il consumo di alcol e la storia migratoria). Il Garante ha ritenuto pertanto necessario acquisire ulteriori elementi istruttori, con particolare riguardo alle valutazioni d’impatto ai sensi dell’art. 35 del RGPD.

Con riferimento all’indagine IST-02607 Indagine su bambini e ragazzi: comportamenti, atteggiamenti e progetti futuri, al cui interno è inserito il lavoro IST-02732 Modulo dell’indagine sulla immagine sociale della violenza nelle scuole, il principale elemento di osservazione del Garante ha riguardato la residuale previsione di applicare l’obbligo di risposta per i minorenni di età compresa tra i 14 e i 18 anni; già a seguito del provvedimento del 9 maggio 2018, infatti, era stato eliminato tale obbligo per gli infraquattordicenni, indicando tale circostanza nel relativo prospetto informativo. Ciò premesso, pur non essendo l’obbligo di risposta previsto per i minori tra i 14 e i 18 anni corredato da una sanzione amministrativa in caso di violazione, il Garante ha ritenuto tale previsione sproporzionata, tenuto conto dell’invasività dei quesiti sottoposti rispetto alla finalità perseguita di promuovere l’adesione all’indagine da parte dei rispondenti. Ciò anche alla luce di quanto previsto dalla Convenzione sui diritti dell’infanzia e dell’adolescenza nella parte in cui richiede che gli Stati garantiscano “al fanciullo capace di discernimento il diritto di esprimere liberamente la sua opinione su ogni questione che lo interessa” (art. 12).

Anche in relazione al lavoro IST-01858 Multiscopo sulle famiglie: uso del tempo l’Autorità si è, in primo luogo, soffermata sull’obbligo di risposta, ritenendolo proporzionato per gli ultraquattordicenni, soprattutto in ragione della minore invasività della tipologia di dati raccolti rispetto al lavoro IST-02607. Tuttavia, affinché la previsione dell’obbligo di risposta per i soggetti ultraquattordicenni possa costituire una misura rispettosa della sfera privata degli interessati, si è ritenuto necessario, anche in considerazione del principio di correttezza e trasparenza del trattamento, prescrivere all’Istituto di evidenziare chiaramente nell’informativa, resa all’atto della rilevazione (tramite una lettera inviata alle famiglie a firma del Presidente), nonché nel relativo prospetto informativo, che al mancato conferimento dei dati per i quali è previsto un obbligo di risposta non corrisponde l’applicazione di una sanzione amministrativa da parte dell’Istituto (artt. 5, par. 1, lett. a) e 13, par. 2, lett. e), del RGPD).

A tale riguardo, si segnala che il Garante ha preso favorevolmente atto della scelta di considerare come quesiti di natura sensibile, non soggetti quindi all’obbligo di risposta, anche quelli relativi allo stress (sez. 5.2 e 5.3 del modello denominato Istat IMF-13B), che toccano la sfera della salute psico-fisica dei rispondenti. Nel provvedimento in esame, con riferimento ad entrambi i lavori statistici, l’Autorità si è espressa in relazione ai tempi di ulteriore conservazione dei dati, ritenendo che in entrambi i casi lo scopo dell’ulteriore trattamento − previsto per il lavoro IST-02607 in 20 anni e per il lavoro IST-01858 in 10 anni − non fosse ben determinato (art. 5, par. 1, lett. e), del RGPD).

Sul punto rileva altresì la disciplina di settore in base alla quale i dati personali raccolti specificatamente per uno scopo statistico possono essere trattati dai soggetti che fanno parte o partecipano al Sistan per altri scopi statistici di interesse pubblico e previsti da una specifica base normativa quando questi ultimi sono chiaramente determinati e di limitata durata. Tale eventualità è chiaramente rappresentata agli interessati al momento della raccolta o, quando ciò non è possibile, è resa preventivamente nota al pubblico e al Garante nei modi e nei termini previsti dalle regole deontologiche (art. 6-bis, comma 4, d.lgs. n. 322/1989).

Su tali basi, nelle more della revisione delle regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistan (All. A.4 al Codice), il Garante ha quindi prescritto che eventuali ulteriori trattamenti con i dati raccolti per la realizzazione dei lavori statistici in esame siano preventivamente resi noti all’Autorità. Ciò al fine di consentire una verifica circa la compatibilità degli stessi rispetto allo scopo della raccolta, soprattutto laddove siano previste operazioni di collegamento (record linkage) con archivi amministrativi, tenuto anche conto dell’adeguatezza delle misure implementate ai sensi dell’art. 89 del RGPD. Sul punto il Garante ha prescritto che ai lavori in esame siano applicate le tecniche di pseudonimizzazione che verranno adottate dall’Istituto per conformarsi al provvedimento del 23 gennaio 2020, n. 10 (doc. web n. 9261093).

L’Autorità si è poi concentrata sulla verifica dell’effettiva applicazione del principio di esattezza del dato all’atto della composizione dei campioni statistici necessari alla realizzazione delle indagini. Un campione è esattamente composto quando risulta adeguatamente rappresentativo della popolazione oggetto di rilevazione, con tutte le sue variabili. Tale circostanza incide in maniera determinate sul corretto trattamento di dati personali nella misura in cui il fine di ogni rilevazione statistica è quello di raggiungere una migliore comprensione di un fenomeno sociale, allo scopo di far discendere da tale nuova conoscenza idonei interventi da parte dei decisori pubblici.

Ciò premesso, l’Autorità, pur ritenendo astrattamente non critici i criteri per la definizione del campione definiti dall’Istat, ha rilevato come l’Istituto non avesse adeguatamente rappresentato, attraverso specifici indicatori, l’efficacia della metodologia applicata per la definizione del campione (cfr. in particolare i punti 64, 65, da 72 a 74, delle Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, adottate il 13 novembre 2019, dal Cepd). È stato quindi prescritto di integrare le valutazioni di impatto con tali elementi e l’Istituto ha provveduto in tal senso.

L’Autorità ha rilevato specifiche criticità anche in relazione alle tecniche di aggregazione applicate in fase di diffusione dei dati per escludere il rischio di reidentificazione degli interessati, riguardanti per lo più le modalità di aggregazione dei dati. In particolare, è stato evidenziato come, in primo luogo, l’Istat non supportasse attraverso specifiche metriche l’indicazione delle probabilità di reidentificazione degli interessati; in secondo luogo, si è rilevato come la sola applicazione ex ante di tecniche di aggregazione non consentisse sempre di prevenire casi di singolarità all’interno di un campione.

Infatti, possono verificarsi situazioni nelle quali la disponibilità di un’informazione ausiliaria da parte di un soggetto terzo (cd. attaccante) può consentire la reidentificazione di un interessato presente in un campione sottoposto a preventive tecniche di aggregazione. Questa evenienza (cd. attacco) è tanto più probabile quanto più rare sono le caratteristiche del campione. È stato quindi prescritto all’Istat di evidenziare in termini numerici la probabilità di reidentificazione degli interessati tenendo conto dei richiamati rilievi.

Anche a tale prescrizione l’Istituto ha ottemperato fornendo le indicazioni metodologiche richieste.

Fonte : Relazione GPDP 2020

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9676435