Decreto legislativo - 30/06/2003 - n. 196 art. 108 - (Sistema statistico nazionale) 1

Il d.lgs. n. 322/1989. Il SISTAN

Il d.lgs. n. 322/89 (d'ora innanzi il “Decreto”) è la norma cardine che ha istituito il Sistema Statistico Nazionale (SISTAN), con il quale si è realizzato un importante riordinamento della statistica pubblica costituita da un insieme di organismi, sia pubblici che privati, incaricati alla rilevazione, diffusione, analisi, delle informazioni statistiche.

Ai sensi dell'art. 2 del Decreto, in tale assetto organizzativo, l'Istituto Nazionale di Statistica (Istat) si pone come titolare della funzione di indirizzo e coordinamento della statistica ufficiale unitamente, tra gli altri, agli uffici di statistica centrali e periferici, agli uffici di statistica delle regioni e delle province anche autonome, agli uffici di statistica dei comuni singoli o associati e delle unità sanitarie locali, agli uffici di statistica delle camere di commercio, industria, artigianato e agricoltura, agli altri enti ed organismi pubblici di informazione statistica individuati con decreto del Presidente del Consiglio dei Ministri.

L'art. 6 del Decreto disciplina i compiti degli uffici di statistica tra cui:

– la promozione della rilevazione, dell'elaborazione, della diffusione e dell'archiviazione dei dati statistici che interessano l'amministrazione di appartenenza, nell'ambito del programma statistico nazionale;

– l'onere di fornire al Sistema statistico nazionale i dati informativi, anche in forma individuale, relativi all'amministrazione o all'ente di appartenenza, ovvero da questi detenuti in ragione della propria attività istituzionale o raccolti per finalità statistiche, necessari per i trattamenti statistici previsti dal programma statistico nazionale;

– l'onere di collaborare con le altre amministrazioni per l'esecuzione delle rilevazioni previste dal programma statistico nazionale;

– l'onere di contribuire alla promozione e allo sviluppo informatico a fini statistici degli archivi gestionali e delle raccolte di dati amministrativi.

Per quanto di interesse in materia di trattamento dei dati personali l'art. 6-bis del Decreto, introdotto dall'art. 11 del d.lgs. n. 281/1990 e successive modifiche (l. n. 125/2013 e l. n. 26/2019), conformemente al GDPR richiama taluni principi fondamentali. Dalla lettura del Decreto in commento – in particolare al comma 3 dell'articolo 6 bis in forza del quale: “Quando sono raccolti per altri scopi, i dati personali possono essere ulteriormente trattati per scopi statistici, se ciò è previsto dal presente decreto, dalla legge, dalla normativa comunitaria o da un regolamento” – si rilevano delle deroghe specifiche per i trattamenti di dati personali per scopi statistici, quale diretta applicazione dell'art. 5 del GDPR che, nel sancire il principio di limitazione delle finalità, prevede ipotesi di trattamento di dati personali ulteriori e per finalità diverse da quelle per le quali i dati personali sono stati inizialmente raccolti, ovesvolto a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici. Il citato art. 5 GDPR pone dunque delle fattispecie di deroga al principio di limitazione delle finalità – in forza del quale i dati personali devono essere “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità” – che il legislatore italiano ha espressamente previsto nell'art. 6-bis del Decreto in commento.

L'art. 6-bis del Decreto è anche diretta espressione del principio di minimizzazione, rinvenibile nell'art. 5 GDPR Par. 1 punto c) in ragione del quale i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.

Il comma 1-bis dell'art. 6-bis del Decreto, introdotto dal d.l. n. 4/2019 (convertito con modificazioni dalla l. n. 26/2019), disciplina il trattamento dei dati personali per finalità statistiche comprendendo anche i dati cd. “particolari” di cui all'art. 9 del GDPR e i dati personali relativi a condanne penali e reati di cui all'art. 10 GDPR così disponendo: “Per i trattamenti di dati personali, compresi quelli di cui all'art. 9 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, effettuati per fini statistici di interesse pubblico rilevante ai sensi dell'art. 2-sexies, comma 2, lettera cc), del codice in materia di protezione dei dati personali, di cui al d.lgs. n. 196/2003, in conformità all'art. 108 del medesimo codice, nel programma statistico nazionale sono specificati i tipi di dati, le operazioni eseguibili e le misure adottate per tutelare i diritti fondamentali e le libertà degli interessati, qualora non siano individuati da una disposizione di legge o di regolamento. Il programma statistico nazionale, adottato sentito il Garante per la protezione dei dati personali, indica le misure tecniche e organizzative idonee a garantire la liceità e la correttezza del trattamento, con particolare riguardo al principio di minimizzazione dei dati, e, per ciascun trattamento, le modalità, le categorie dei soggetti interessati, le finalità perseguite, le fonti utilizzate, le principali variabili acquisite, i tempi di conservazione e le categorie dei soggetti destinatari dei dati. Per i trattamenti dei dati personali di cui all'art. 10 del citato regolamento (UE) 2016/679 effettuati per fini statistici di interesse pubblico rilevante ai sensi del citato art. 2-sexies, comma 2, lettera cc), del codice di cui al decreto legislativo n. 196 del 2003 trova applicazione l'articolo 2-octies del medesimo codice)”.

Il comma 4 dell'art. 6-bis del Decreto prescrive che: “I dati personali raccolti specificamente per uno scopo statistico possono essere trattati dai soggetti di cui al comma 1 per altri scopi statistici di interesse pubblico previsti ai sensi del comma 3, quando questi ultimi sono chiaramente determinati e di limitata durata. Tale eventualità, al pari di quella prevista dal medesimo comma 3, è chiaramente rappresentata agli interessati al momento della raccolta o, quando ciò non è possibile, è resa preventivamente nota al pubblico e al Garante nei modi e nei termini previsti dal codice di deontologia e di buona condotta”.

Come emerge dalla lettura del comma, viene evidenziato l'obbligo di rilascio delle informazioni agli interessati conformemente agli artt. 13 e 14 GDPR, dunque, sia che i dati vengano acquisiti direttamente dai medesimi interessati (art. 13 GDPR) che da altre fonti (art. 14 GDPR). In quest'ultima ipotesi la norma dispone che le informazioni siano rese preventivamente pubbliche, ad esempio mediante siti la diffusione su quotidiani nazionali e/o siti internet istituzionali, nonché comunicate al “Garante nei modi e nei termini previsti dal codice di deontologia e di buona condotta”. A tal riguardo l'assunto appare obsoleto: il rinvio è ai “vecchi” Codici di deontologia e buona condotta, dunque, non conforme al nuovo quadro normativo di cui GDPR, in particolare, il comma 4 dell'art. 6 bis del Decreto non è stato adeguato al riferimento alle “Regole deontologiche” in luogo dei citati vecchi “Codici di deontologia e buona condotta”. Non appare altresì necessaria nemmeno la comunicazione al GPDP come prescritta dalla norma: è il Titolare del trattamento, in forza del principio di responsabilizzazione (accountability), che dovrebbe determinare i casi nei quali possa rendere le informazioni agli interessati nelle forme cd. “semplificate”, a norma dell'art. 14 Par. 5 GDPR e dell'art. 6, comma 2, delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema Statistico nazionale, a rigore del quale: “Quando il trattamento riguarda dati personali non raccolti presso l'interessato e il conferimento delle informazioni a quest'ultimo richieda uno sforzo sproporzionato rispetto al diritto tutelato, in base a quanto previsto dall'art. 14, par. 5, lett. b) del Regolamento, le informazioni stesse si considerano rese se il trattamento è incluso nel programma statistico nazionale o è oggetto di pubblicità con idonee modalità”.

I successivi commi 5, 6 e 7 dell'art. 6-bis del Decreto dettano alcune prescrizioni relativamente alle misure tecniche e organizzative che, ai sensi dell'art. 32 GDPR, il Titolare del trattamento ha l'onere di attuare per garantire la sicurezza dei diritti e delle libertà delle persone fisiche. In particolare, ai sensi del comma 5: “I dati personali sono resi anonimi dopo la raccolta o quando la loro disponibilità non sia più necessaria per i propri trattamenti statistici”.

Il comma 8 dell'art. 6-bis del Decreto prevede che, in caso di esercizio dei diritti dell'interessato, “l'aggiornamento, la rettificazione o l'integrazione dei dati siano annotate senza modificare questi ultimi qualora il risultato di tali operazioni non produca effetti significativi sull'analisi statistica o sui risultati statistici”.

L'art. 13 del Decreto detta le regole per l'attuazione del Programma statistico nazionale. Ai sensi del comma 1 del citato art. 13 “le rilevazioni statistiche di interesse pubblico affidate al Sistema statistico nazionale ed i relativi obiettivi sono stabiliti nel programma statistico nazionale”. Il Programma statistico Nazionale (PSN) è l'atto di programmazione in cui sono stabiliti i lavori statistici di interesse pubblico, viene predisposto dall'ISTAT e adottato con decreto del Presidente della Repubblica a seguito di un articolato iter che vede il coinvolgimento del GPDP ai fini di consultazione, come emerge dal combinato disposto dell'art. 13, comma 3 e dell'art. 6-bis, comma 1-bis del Decreto. Con provvedimento n. 237 del 30 giugno 2022 il GPDP ha emesso l'ultimo “Parere sullo schema di Programma statisticonazionale 2020-2022”. Attualmente è in corso di formalizzazione il PSN per l'intero triennio 2023-2025.