Garante per i dati personali - 19/12/2018 - n. 514 art. 1

Ambito di applicazione (art. 1)

Dal punto di vista soggettivo, le regole deontologiche in esame si applicano ai trattamenti di dati personali effettuati per finalità statistiche di cui siano titolarigli enti ed uffici di statistica che fanno parte o partecipano al Sistema Statistico Nazionale per l'attuazione del programma statistico nazionale o per la produzione di informazione statistica, in conformità ai rispettivi ambiti istituzionali, ovvero strutture diverse dagli uffici predetti, ma appartenenti alla medesima amministrazione o ente, a condizione che i relativi trattamenti siano previsti dal programma statistico nazionale e gli uffici di statistica attestino le metodologie adottate conformemente al d.lgs. n. 322/1989, al Reg. (UE) 2016/679, al codice privacy, nonché alle presenti regole deontologiche.

Definizioni (art. 2)

Le definizioni previste nell'articolo in commento integrano quelle presenti nel Reg. (UE) 2016/679. In particolare, occorre evidenziare come, ai sensi dello stesso regolamento, gli scopi statistici si riferiscono a tutte quelle operazioni di trattamento di dati personali necessarie alle indagini statistiche o alla produzione di risultati statistici (considerando 162 del GDPR). Tale definizione ha una portata maggiore (in termini di finalità) rispetto a quella contenuta nelle regole deontologiche in esame. Sotto questo aspetto, invero, va osservato che ai fini dell'applicazione delle regole deontologiche in oggetto, la definizione di «trattamento per scopi statistici» indicata all'art. 2.1.a) delle regole medesime va riferita solo ad una parte dei trattamenti tratteggiati dal considerando 162 del GDPR, segnatamente, quei trattamenti svolti in attuazione del programma statistico nazionale o per effettuare informazione statistica in conformità agli ambiti istituzionali dei soggetti predetti di cui all'art. 1.

La definizione più restrittiva di cui all'art. 2.1.a) del provvedimento non appare, dunque, incoerente con il considerando 162 del GDPR.

Identificabilità dell'interessato (art. 3)

In merito al concetto di identificabilità dell'interessato valgono le stesse considerazioni rese con riguardo alle “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica”, in particolare v. sub art. 4. Nell'ambito della valutazione del rischio di identificabilità degli interessati ( ex considerando 26 e artt. 25 e 32 del GDPR) sarà necessario considerare tutti i mezzi che possano essere ragionevolmente utilizzati (dal titolare o da terzi) per identificare gli interessati; ciò tenendo in conto, oltre che deiparametri individuati nel presente articolo alla lett. b ), anche della natura, del contesto e delle finalità del trattamento (per una più ampia trattazione sul punto si veda: Bolognini e Pelino, in Bolognini, Pelino, Bistolfi, 50 e ss.).

Criteri per la valutazione del rischio di identificazione (art. 4)

Rispetto al pregresso allegato A.3 al codice, l'articolo in commento è rimasto inalterato, essendo stato considerato dal Garante, in via generale, compatibile con ilReg. (UE) 2016/679. Il carattere di compatibilità si giustifica, secondo il Garante, in ragione del fatto che, con l'introduzione del termine «anche» al primo comma, l'articolo si limita a fornire alcuni criteri di natura tecnica esemplificativi – dunque, non esaustivi e soprattutto non alternativi rispetto al nuovo quadro giuridico introdotto dal citato Regolamento – di cui tener conto nella valutazione del rischio di identificazione degli interessati ai fini della comunicazione e diffusione dei risultati statistici aggregati (per maggiori approfondimenti in merito ai concetti di comunicazione e diffusione si veda: Pelino, in Bolognini, Pelino,16).

Trattamento di particolari categorie di dati e di dati relativi a condanne penali e reati

Nel Programma statistico nazionale sono illustrate le finalità perseguite e le garanzie previste dal d.lgs. n. 322/1989, dal codice privacy e dalle presenti regole deontologiche. Il Programma statistico indica altresì i dati di cui agli artt. 9.1, e 10 del GDPR, le rilevazioni per le quali i dati sono trattati e le modalità̀ di trattamento. Con riferimento ai dati personali di cui agli artt. 9 e 10 del GDPR, Il Programma statistico è adottato, sentito il Garante per la protezione dei dati personali, ai sensi dell'art. 58, par. 3, lett. b) del GDPR.

L'articolo in esame rimane sostanzialmente invariato rispetto alla sua precedente formulazione contenuta nel codice deontologico, salvi i necessari aggiornamenti normativi. Si consideri che il Programma statistico predisposto dall'ISTAT stabilisce gli obiettivi delle rilevazioni statistiche di interesse pubblico affidate al Sistema statistico nazionale ed ha una durata di tre anni (art. 13 d.lgs. n. 322/1989).

Come precisato dal Garante, la disposizione in commento è stata introdotta nell'allora codice di deontologia con provvedimento dell'autorità n. 170 del 24 luglio 2014 su sollecitazione dell'ISTAT; tale sollecitazione aveva lo scopo di mantenere i contenuti dell'art. 6-bis d.lgs. n. 322/1989 che era stato abrogato ad opera dell'art. 8-bis, d.l. n. 101/2013, convertito con modificazioni in l. n. 125/2013).

Lo stesso Garante, infine, ha evidenziato come le prescrizioni indicate dall'articolo in commento non siano da sole sufficienti a legittimare il trattamento dei dati particolari e giudiziari per tali fini statistici o di ricerca scientifica effettuati nell'ambito del Piano Statistico nazionale, ma che la base di liceità di tali trattamenti vada rintracciata anche negli artt. 2- sexies e 107 del cod. privacy per i dati particolari, e negli artt. 10 del GDPR e 2- sexies e 2- octies del cod. privacy per quelli relativi a condanne penali e reati.

Trattamento di particolari categorie di dati ex art. 9.1 GDPR, da parte di soggetti privati (art. 5)

Il primo comma dell'art. 5 in esame prevede in capo ai soli soggetti privati che partecipano al Sistema statistico nazionale (ai sensi della l. n. 125/1988) l'obbligo specifico di raccogliere o trattare ulteriormente per scopi statistici dati particolari (ex art. 9 GDPR) in forma anonima, salvo che il trattamento di dati anonimi impedisca loro di raggiungere gli scopi statistici perseguiti ex art. 6-bis, comma 1 d.lgs. n.322/1989, come introdotto dal d.lgs. n. 281/1999 e s.m.i..

Al riguardo si evidenzia come i dati anonimi (o originariamente o attraverso un ulteriore trattamento di anonimizzazione) fuoriescano dall'ambito di applicazione della disciplina in materia di protezione dei dati (considerando 26 del GDPR). Tale prescrizione, nella parte in cui prevede il necessario trattamento di dati anonimi, purchè ciò non impedisca il conseguimento degli scopi statistici perseguiti, si basa sull'art. 89.1 GDPR, sebbene tale articolo non sia stato richiamato dal Garante.

Al secondo comma dell'articolo 5 in esame è previsto che,nei casi in cui gli scopi statisticidel trattamento delle particolari categorie di dati non possano essere raggiuntisenza l'identificazione anche temporanea degli interessatiil trattamento dei dati personali potrà considerarsi lecito solo ove ricorrano i seguenti presupposti: a ) che si basi sul consenso informato degli interessati, da questi espresso in forma scritta (v. il terzo comma); b ) che il titolare adotti specifiche misure tecniche ed organizzative per mantenere separati i dati identificativi già al momento della raccolta (misure di pseudonimizzazione), salvo che ciò non risulti irragionevole o richieda uno sforzo manifestamente sproporzionato; c ) che il trattamento sia compreso nel programma statistico nazionale. Tali condizioni devono coesistere.

Si osservi come per i trattamenti dei dati particolari effettuati dai soggetti privati che partecipano al SISTAN sia prevista un vincolo ulteriore rispetto all'art. 89.1 GDPR nella parte in cui viene previsto l'utilizzo di dati anonimi; invero, a tali soggetti è richiesto di raccogliere il consenso degli interessati e di adottare la misura della pseudonimizzazione già al momento della raccolta dei dati personali. A quest'ultimo riguardo la pseudonimizzazione non rappresenta un vicolo laddove risulti irragionevole o richieda una sforzo manifestamente sproporzionato; ciò a differenza di quanto previsto dal predetto art. 89 GDPR che deroga all'adozione di tale misura nel caso in cui questa impedisca il conseguimento delle finalità.

Si consideri, inoltre, che nella precedente formulazione, l'articolo in commento prevedeva, come ulteriore condizione di liceità del trattamento delle particolari categorie di dati da parte di soggetti privati che partecipano al Sistema statistico nazionale, quella di ottenere l'autorizzazione preventiva del Garante. Come precisato dal Garante, tale condizione è stata considerata incompatibile con il nuovo assetto normativo in quanto, come precisato dal Garante, questo circoscrive solo ad alcuni specifici ambiti l'applicazione dell'istituto dell'autorizzazione del Garante (cfr. art. 36.5GDPR, art. 110-bis del cod. privacy e l'art. 21 del d.lgs. n. 101/2018).

Il terzo comma dell'articolo in commento prevede modalità semplificate sotto il profilo probatorio per la prestazione del consenso esplicito degli interessati (ex art. 9.2. aGDPR) nei casi in cui i dati personali vengano raccolti attraverso interviste telefoniche o assistite da elaboratore; e che la documentazione dell'informativa resa all'interessato e l'acquisizione del relativo consenso sia conservata dal titolare del trattamento per tre anni.

Le medesime prescrizioni possono essere rintracciate nelle regole deontologiche per trattamenti a fini statistici o di ricerca scientifica (art. 7). Pertanto, in merito alle disposizioni predette, si rinvia alle considerazioni già operate nel commento a tali regole deontologiche, v. sub “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica”.

Informazioni agli interessati (art. 6)

Al primo comma dell'articolo in commento è stabilito che i dati personali (anche appartenenti alla categoria dei dati giudiziari e particolari) raccolti per uno scopo statistico possono essere ulteriormente trattati per altri scopi statistici, e che tale eventualità debba essere chiaramente rappresentata ai soggetti presso i quali i dati personali sono raccolti (all'interessato al momento della raccolta dei dati o ad altre persone) nell'ambito delle informazioni di cui all'art. 13GDPR (ex art. 6-bis d.lgs. n. 322/1989).

Tale prescrizione è in linea con il Reg. (UE) 2016/679 che introduce, all'art. 5.1.b) una presunzione di compatibilità tra le finalità iniziali del trattamento e quelle ulteriori laddove i dati, raccolti per una determinata finalità siano trattati ulteriormente (o dal medesimo titolare o da titolari diversi), tra gli altri, per scopi statistici e scientifici [EDPB, op. 3/2019, relativo alle domande e risposte sull'interazione tra il regolamento sulla sperimentazione clinica e il regolamento generale sulla protezione dei dati (art. 70, paragrafo 1, lett. b), 23 gennaio 2019, 9]. Più specificamente, tali scopi ulteriori non sono considerati a priori incompatibili con lo scopo iniziale della raccolta dei dati a condizione che ciò avvenga conformemente alle disposizioni dell'articolo 89 GDPR, che al riguardo prevede specifiche garanzie.

In tal caso, dunque, il titolare può, a determinate condizioni, elaborare ulteriormente i dati senza la necessità di una nuova base giuridica (considerando 50 del GDPR), fermo restando l'obbligo di informare preventivamente l'interessato (ai sensi dell'art. 13.3, nel caso in cui il trattamento ulteriore venga effettuato dal medesimo titolare, ovvero dall'art. 14.4. GDPR nel caso in cui il trattamento ulteriore venga effettuato da un titolare diverso), salvo che quest'ultimo disponga già delle informazioni (ex 13.4 e 14.5).

Il secondo comma dell'articolo in esame, sulla base dell'artt. 14.5.b) del GDPR prevede che, nel caso in cui si vogliano trattare per scopi statistici e scientifici dati raccolti presso terzi e la comunicazione delle informazioni di cui all'art. 14 del GDPR agli interessati implicherebbe uno sforzo sproporzionato, tali informazioni si considerino rese, laddove il trattamento è incluso nel programma statistico nazionale ovvero è oggetto di pubblicità̀ con idonee modalità̀; fatte salve, in ogni caso, le condizioni e le garanzie di cui all'art. 89.1. GDPR (cfr. art. 105.4 cod. privacy). Su quest'ultimo punto, si osserva come il Garante introduca una condizione di deroga all'informativa aggiuntiva rispetto a quanto previsto dal citato art. 14.5 del GDPR; infatti, laddove il trattamento è incluso nel programma statistico nazionale, tali informazioni si considerano rese.

Comunicazione a soggetti non facenti parte del Sistema statistico nazionale (art. 7)

L'art. 7 in commento è dedicato alla comunicazione di dati personali da parte dei soggetti facenti parte del SISTAN a soggetti al di fuori di tale sistema.

Il Garante ha ritenuto i commi 2, 3, 4 dell'art. 7 contenuto nell'Allegato A.3. al previgente Codice privacy (“Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale”), non conformi al rinnovato quadro normativo in quanto in quanto, ai sensi degli artt. 6, § 3, del Regolamento e 2-ter del Codice (così come recentemente modificato dal d.l. n. 139/2021), per la comunicazione di dati tra soggetti pubblici o tra soggetti che svolgono compiti di interesse pubblico, quali sono i soggetti del Sistema statistico nazionale si richiede una norma di legge o, nei casi previsti dalla legge, di regolamento o atti amministrativi generali ovvero la comunicazione deve essere necessaria per l'adempimento di un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri ad esse attribuiti (comma 1 e 1-bis). Ciò, tenuto anche conto delle condizioni individuate nello specifico quadro normativo di settore in materia accesso per fini scientifici ai dati elementari raccolti per finalità statistiche, di cui all'art. 5-ter del d.lgs. n. 33/2013, che, di recente, ha trovato piena applicazione con l'approvazione da parte del Comstat delle linee guida per l'accesso a fini scientifici ai dati elementari del Sistema statistico nazionale” (G.U. n. 287 del 11 dicembre 2018)”.

Sul punto non appare chiara la giustificazione dell'eliminazione dei commi 2, 3 e 4 dell'art. 7 ritenedoli in contrasto con la sopravvenuta disciplina degli artt. 6.3 del GDPR e 2-ter del cod. privacy in materia di comunicazione di dati tra soggetti pubblici o tra soggetti che svolgono compiti di interesse pubblico. Al riguardo va osservato che tali commi, invero, stabilivano condizioni e divieti nella comunicazione dei dati che oggi risultano superati dal nuovo quadro normativo in materia di accesso per fini scientifici ai dati elementari raccolti per finalità statistiche, di cui all'art. 5-ter del d.lgs. n. 33/2013, come modificato dal d.lgs. n. 97/2016. Per il vero va detto che tale disciplina è stata richiamata dal Garante nelle premesse delle regole deontologiche in commento, senza tuttavia averla posta alla base dell'eliminazione dei predetti commi.

In relazione a quest'ultimo punto, si ritiene che l'inserimento di un secondo comma all'art. 7 in commento, contenente un rinvio alla predetta disciplina in materia di accesso, avrebbe contribuito al rendere il quadro più chiaro.

Con riguardo alla comunicazione dei dati tra i soggetti facenti parte del sistema statistico nazionale, precedentemente disciplinato dall'art. 8 dell'Allegato A.3. al previgente Codice privacy (“Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale”), il Garante, nel provvedimento in esame, ha chiarito come anche tali prescrizioni non appaiono conformi alla normativa del Regolamento (UE) 2016/679 e del codice privacy. Più specificamente, ai sensi dell'art. 2-ter (così come recentemente modificato dal d.l. n. 139/2021) tale comunicazione di dati tra soggetti pubblici o tra soggetti che svolgono compiti di interesse pubblico (quali sono i soggetti che fanno parte del SISTAN), deve essere prevista, ai sensi del comma 1, da una norma di legge o, nei casi previsti dalla legge, di Regolamento o da atti amministrativi generali ovvero deve essere necessariaai sensi del comma 1.bis per l'esercizio di pubblici poteri.

Autorità di controllo (art. 8)

La Commissione per la garanzia dell'informazione statistica, istituita ai sensi dell'art. 12 del d.lgs. n. 322/1989, presso la Presidenza del Consiglio dei Ministri, è un organismo autonomo e indipendente. Tra gli altri compiti che le sono stati assegnati dal citato art. 12, la Commissione deve vigilare sulla imparzialità, sulla completezza e sulla qualità dell'informazione statistica. Ad essa è richiesto di collaborare con il Garante riguardo al rispetto delle presenti regole deontologiche segnalando all'autorità i casi di inosservanza di cui venga a conoscenza.

Raccolta dei dati (art. 9)

L'articolo in commento definisce la figura del «preposto alla raccolta dei dati» stabilendo prescrizioni comportamentali che la stessa figura dovrà osservare per assicurare che il trattamento avvenga conformemente alle regole deontologiche e, più in generale, alla normativa in materia di protezione dei dati personali. Tale figura è riconducibile alla persona “autorizzata al trattamento dei dati”, tratteggiata all'art. 2-quaterdecies del vigente cod. privacy. Tale soggetto (persona fisica) deve attenersi alle disposizioni contenute nelle presenti regole e alle istruzioni ricevute dal titolare o dal responsabile del trattamento, anche in linea con gli l'art. 29 del GDPR.

A tal fine – anche in ottica di accountability ex art. 5.2 del GDPR – è necessario che il titolare o il responsabile adottino specifiche policies e procedure interne che stabiliscano gli strumenti e le modalità con cui tale raccolta dovrà essere svolta e che vincoli il personale a rispettarle (cfr. artt. 28, 29, 32 del Regolamento e 2-quaterdeciescod. privacy).

Si osserva che le prescrizioni contenute nel presente articolo coincidono con quelle stabilite nelle regole deontologiche per trattamenti a fini statistici o di ricerca scientifica (art. 10); si rinvia, pertanto, alle considerazioni già operate in merito nel commento a tali regole deontologiche v. sub “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica”.

Conservazione dei dati (art. 10)

In virtù del principio di limitazione, i dati devono essere conservati (in un modo che consenta l'identificazione degli interessati) per un arco di tempo non superiore al conseguimento delle finalità̀ per le quali sono trattati ex art. 5.1.e) GDPR. Nell'ambito di questa norma, si ammette che i dati possano essere conservati oltre tale periodo nel caso in cui vengano (ulteriormente) trattati, tra gli altri, a fini statistici, fermo restando le garanzie di cui all'art. 89.1 del GDPR.

La previsione in commento è evidentemente funzionale ad un eventuale “ri-uso” dei dati per ulteriori scopi (artt. 5.1.b e 5.1.e) del GDPR), in conformità̀ anche a quanto previsto dall'art. 6-bis del d.lgs. n. 322/1989.

A quest'ultimo riguardo è il caso di osservare come il richiamo al rispetto congiunto dell'art. 5.1.e) GDPR e 6-bis del d.lgs. n. 322/1989 pone l'interrogativo circa la finalità del riuso dei dati, vale a dire solo per scopi statistici (come potrebbe risultare dall'applicazione congiunta dei predetti articoli) o anche per archiviazione nel pubblico interesse e per la ricerca scientifica e storica.

La previsione in commento, infine, trova rispondenza nell'art. 99 del cod. privacy in materia di durata del trattamento.

Esercizio dei diritti dell'interessato (art. 11)

L'art. 11 in commento prescrive le modalità per la modifica dei dati trattati per scopi statistici a seguito dell'esercizio dei diritti degli interessati; ciò in attuazione a quanto previsto dal comma 8 dell'art. 6-bis del d.lgs. n. 322/1989. Nello specifico è previsto che le modifiche dei dati che si rendano necessarie a seguito delle richieste dagli interessati, devono essere annotate in appositi spazi o registri senza variare i dati originariamente immessi nell'archivio, qualora tali operazioni non producano effetti significativi sull'analisi statistica o sui risultati statistici connessi al trattamento. In particolare, non si procede alla variazione se le modifiche richieste contrastano con le classificazioni e con le metodologie statistiche adottate in conformità alle norme internazionali comunitarie e nazionali.

A tal riguardo occorre fare riferimento all'art. 106, comma 2, lett. f) del cod. privacy (sebbene non richiamato) che prevedrebbe i casi e le garanzie in cui i diritti degli interessati, in particolare il diritto di rettifica (ex art. 16 GDPR), possono essere limitati ai sensi dell'art. 89.2 GDPR.

Disposizioni finali (art. 12)

L'articolo in commento fa riferimento a soggetti che hanno legittimo accesso ai dati personali trattati per scopi statistici. Al riguardo, conviene osservare come sebbene il Garante non fornisca ulteriori indicazioni sulla legittimità dell'accesso e sulle caratteristiche di tali soggetti, sembrerebbe che questi siano esterni al SISTAN e che la legittimità dell'accesso abbia come base giuridica l'art. 5-ter del d.lgs. n. 33/2013 (cfr. art. 7 del presente commento).

Le regole deontologiche devono essere rispettate anche quando le persone che accedono ai dati non siano vincolate al rispetto del segreto d 'ufficio o del segreto professionale. In particolare, dovranno: i) trattare i dati ai soli fini (statistici) definiti all'atto della progettazione del trattamento (in ossequio al principio di limitazione delle finalità ex art. 5.1.b GDPR); ii) conservare i dati in modo da garantirne la riservatezza e l'integrità (conformemente al principio di cui all'art. 5.1.f GDPR); iii) non diffondere le informazioni non disponibili al pubblico di cui si venga a conoscenza in occasione dello svolgimento dell 'attività̀ statistica (o di attività̀ ad essa strumentali) e, comunque, non utilizzarle in alcun altro modo per interessi privati, propri o altrui; iv) documentare adeguatamente il lavoro svolto; v) aggiornare costantemente le conoscenze professionali in materia di protezione dei dati personali all'evoluzione delle metodologie e delle tecniche; v) favorire la comunicazione e la diffusione dei risultati statistici in relazione alle esigenze conoscitive della comunità̀ scientifica e dell 'opinione pubblica, nel rispetto della disciplina sulla protezione dei dati personali; vi) segnalare, i comportamenti non conformi alle presenti regole deontologiche, immediatamente dal momento in cui se ne ha conoscenza, al titolare o al responsabile che provvederanno a comunicarli al Garante (cfr. art. 9).