[doc. web n. 10191303]

Parere sullo schema di Programma statistico nazionale 2023-2025 - Aggiornamento 2025, presentato dall’Istituto nazionale di statistica - 9 ottobre 2025

Registro dei provvedimenti
n. 580 del 9 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, l’avv. Guido Scorza, componenti e il Cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

VISTO in particolare, l’art. 2-sexies, comma 2, lett. cc) del Codice che per i trattamenti svolti in esecuzione di un compito di interesse pubblico, ai sensi dell’art. 9, par. 2, lett. g) del Regolamento, indica tra i motivi di interesse pubblico rilevante “i trattamenti effettuati [...] per fini statistici da parte di soggetti che fanno parte del sistema statistico nazionale (Sistan)”;

VISTO il d.lgs. 6 settembre 1989, n. 322, recante le “Norme sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica” e in particolare, l’art. 6- bis, comma 1-bis secondo il quale “Per i trattamenti di dati personali, compresi quelli di cui all'articolo 9 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, effettuati per fini statistici di interesse pubblico rilevante ai sensi dell'articolo 2-sexies, comma 2, lettera cc), del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, in conformità all'articolo 108 del medesimo codice, nel programma statistico nazionale sono specificati i tipi di dati, le operazioni eseguibili e le misure adottate per tutelare i diritti fondamentali e le libertà degli interessati, qualora non siano individuati da una disposizione di legge o di regolamento. Il programma statistico nazionale, adottato sentito il Garante per la protezione dei dati personali, indica le misure tecniche e organizzative idonee a garantire la liceità e la correttezza del trattamento, con particolare riguardo al principio di minimizzazione dei dati, e, per ciascun trattamento, le modalità, le categorie dei soggetti interessati, le finalità perseguite, le fonti utilizzate, le principali variabili acquisite, i tempi di conservazione e le categorie dei soggetti destinatari dei dati. Per i trattamenti dei dati personali di cui all'articolo 10 del citato regolamento (UE) 2016/679 effettuati per fini statistici di interesse pubblico rilevante ai sensi del citato articolo 2-sexies, comma 2, lettera cc), del codice di cui al decreto legislativo n. 196 del 2003 trova applicazione l'articolo 2-octies del medesimo codice)”;

VISTE le “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale”, Allegato A.4 al Codice (di seguito “Regole deontologiche”) e, in particolare, l’art. 4-bis in base al quale “Nel Programma statistico nazionale sono illustrate le finalità perseguite e le garanzie previste dal d.lgs. 6 settembre 1989, n. 322 e dal d.lgs. 30 giugno 2003, n. 196 e successive modificazioni e integrazioni e dalle presenti regole deontologiche. Il Programma indica altresì i dati di cui agli artt. 9, par. 1, e 10 del Regolamento, le rilevazioni per le quali i dati sono trattati e le modalità di trattamento. Il Programma è adottato, con riferimento ai dati personali, di cui agli art. 9 e 10 del Regolamento, sentito il Garante per la protezione dei dati personali, ai sensi dell´art. 58, par. 3, lett. b) Regolamento”;

VISTA la richiesta di parere sullo schema di Programma statistico nazionale 2023-2025, aggiornamento 2025 trasmessa dall’Istituto Nazionale di Statistica (note del XX, prot. n. XX, del XX, prot. n. XX e del XX, prot. n. XX);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

L’Istituto nazionale di statistica (“Istat” o “Istituto”) ha chiesto il parere di competenza del Garante sullo schema di Programma statistico nazionale 2023 - 2025, aggiornamento 2025 (di seguito anche solo “PSN” o “Programma”), ai sensi dell’art. 6-bis, comma 1-bis del d.lgs. 6 settembre 1989, n. 322 e dell’art. 4-bis delle Regole deontologiche (note del XX, prot. n. XX, del XX, prot. n. XX e del XX, prot. n. XX).

Con le predette note, l’ISTAT ha trasmesso la seguente documentazione:

- Programma statistico nazionale 2023-2025 - Aggiornamento 2025, Volume 1, Evoluzione dell’informazione statistica;

- Programma statistico nazionale 2023-2025 - Aggiornamento 2025, Volume 2, Dati personali;

- Allegato al Programma statistico nazionale 2023-2025 - Aggiornamento 2025, Diffusione di variabili in forma disaggregata;

- Allegato al Programma statistico nazionale 2023-2025 - Aggiornamento 2025, Elenco delle rilevazioni rientranti nel Psn 2023-2025 - Aggiornamento 2025 che comportano l’obbligo di risposta da parte dei soggetti privati;

- Allegato al Programma statistico nazionale 2023-2025 - Aggiornamento 2025, Criteri da utilizzare per individuare le unità di rilevazione la cui mancata risposta comporta l'applicazione della sanzione amministrativa e correlato elenco dei lavori per i quali la mancata fornitura dei dati configura violazione dell'obbligo di risposta - Anno 2025;

- Relazione di accompagnamento, comprensiva delle Appendici;

- estratto del verbale della seduta del XX del Comitato di indirizzo e coordinamento e dell’informazione statistica (Comstat) di approvazione del “Programma statistico nazionale 2023-2025

- Aggiornamento 2025”, come previsto dall’art. 3, comma 6, del d.P.R. 7 settembre 2010, n. 166;

- Parere della Conferenza Unificata, espresso in data 27 marzo 2025, ai sensi dell’art. 9 del decreto legislativo 28 agosto 1997, n. 281.

Con apposita nota illustrativa trasmessa a questa Autorità, l’ISTAT ha rappresentato che l’aggiornamento 2025 del PSN - predisposto sulla base di informazioni rilevate tra aprile e maggio del 2024 dagli Enti facenti parte del Sistema Statistico Nazionale (Sistan) - oggetto del presente parere costituisce la seconda annualità di aggiornamento del Psn 2023-25, e che in esso sono previsti 234 lavori, di cui 35 nuovi, che prevedono il trattamento di dati personali. In base alla rispettiva tipologia, tali lavori sono così suddivisi: 212 STA (Statistiche), 21 STU (Studi progettuali), 1 SIS (Sistemi informativi statistici). Pertanto, il presente parere verte su tali lavori statistici, sui quali l’ISTAT ha opportunamente evidenziato le differenze sostanziali.

L’Istituto, inoltre, ha dichiarato di aver recepito le richieste formulate dall’Autorità con il parere sull’aggiornamento 2024-2025 (provv. del 27 febbraio 2025, n. 91, doc. web n. 10114317) e concernenti principalmente i seguenti aspetti: uniformità e chiarezza delle informazioni contenute negli obiettivi e nelle descrizioni dei lavori statistici; declinazione degli acronimi non di uso comune; comunicazione di dati a soggetti diversi dal titolare del lavoro; conservazione dei dati personali per il raggiungimento dell’obiettivo del lavoro e per ulteriori trattamenti statistici.

Riguardo alla descrizione delle misure tecniche e organizzative volte a garantire il rispetto dei principi applicabili al trattamento dei dati personali, l’ISTAT ha rappresentato di aver evidenziato ai titolari dei lavori la necessità di una adeguata e pertinente descrizione di tali misure e che dunque un ulteriore intervento affinché le stesse risultino maggiormente aderenti al dettato della norma sarà possibile a partire dalla prossima programmazione triennale 2026-2028.

Nell’allegato “Diffusione di variabili in forma disaggregata” sono stati riportati tutti i lavori per i quali è stata richiesta la deroga per la diffusione di variabili disaggregate. In particolare, la deroga è stata richiesta per 24 lavori: 20 che trattano dati personali e 4 che non trattano dati personali (FES-00024, IST-01944, TES-00021 e TES-00024). Rispetto al corrispondente documento dell’annualità precedente del Psn è presente un solo lavoro nuovo (EMR-00029), mentre non è più richiesta la deroga per il lavoro IST-02648, che non è stato riproposto, e per il lavoro IST-02493, che è stato invece modificato a seguito delle interlocuzioni relative all’aggiornamento 2024-2025.

Infine, merita segnalarsi la posizione della Conferenza Unificata con il sopra citato parere sull’aggiornamento 2025 espresso in data 27 marzo 2025, ai sensi dell’art. 9 del decreto legislativo 28 agosto 1997, n. 281. In particolare, la Conferenza, nell’esprimere parere favorevole, ha tuttavia ribadito quanto già evidenziato in precedenti pareri, ovvero che la complessità dei passaggi previsti dalla normativa vigente determina un allungamento dei tempi di approvazione, i quali risultano decisamente inadeguati rispetto agli obiettivi di programmazione e che, dunque, si richiede la necessità di un intervento strutturale, anche di tipo normativo, per il superamento di tale criticità.

Pertanto, la Conferenza ha evidenziato la necessità di proseguire la collaborazione e il coordinamento tra i diversi attori del Sistan, così da rendere più efficiente l’attività che porta alla definitiva approvazione del Psn.

A tale riguardo, il Garante, con nota del XX (prot. n. XX), ha accolto con favore l’invito di Istat a partecipare al Tavolo tecnico che verrà costituito tra quest’ultimo e tutti i soggetti che in ragione delle rispettive competenze, partecipano, al procedimento di adozione del PSN, allo scopo di individuare “le azioni che possano favorire l’accelerazione e la semplificazione del procedimento di adozione del Psn” (nota del XX, prot. n. XX).

RILEVATO

1. L’attività istruttoria svolta

A seguito di un preliminare esame della documentazione trasmessa dall’ISTAT all’Autorità, sono emersi taluni aspetti rilevanti sotto il profilo della protezione dei dati personali sui quali l’Ufficio ha ritenuto opportuno promuovere un incontro con i rappresentanti dell’Istituto (nota del XX, prot. n. XX). In particolare, durante l’incontro, tenutosi il XX, sono state trattate le seguenti questioni:

− il motivo per il quale, in alcune indagini, sono stati aggiunti archivi, fonti amministrative e/o variabili ulteriori rispetto all’aggiornamento precedente o alla programmazione triennale, nonostante l’obiettivo e la descrizione sintetica dello studio siano rimasti immutati (a titolo esemplificativo: CAM-00001 Studio longitudinale campano; IAI-00032 Sistema di monitoraggio dei rischi di insorgenza di patologie in ambiente di lavoro; IAP-00027 Indagine sul lavoro da remoto; ILA-00002 La domanda di lavoro per bacino dei Centri per l'impiego; lavori di INPS, ISTAT ecc..);

− il motivo per il quale plurime indagini hanno visto aumentare i tempi di conservazione dei dati, nonostante l’obiettivo e la descrizione sintetica dello studio siano rimasti immutati;

− specifiche misure di pseudonimizzazione applicate in relazione a taluni lavori statistici quali ad es. il lavoro “CAM-00001 Studio longitudinale campano”;

− la raccolta dei dati attraverso tecniche di web scraping, quale fonte utilizzata per definire la lista dei rispondenti (es. IST-00220 Indagine sull'inserimento professionale dei laureati);

− l’ulteriore conservazione dei dati di alcuni lavori statistici volta a consentire la verifica, il miglioramento e l'attendibilità delle stime degli stati membri, inserita nella sezione “Tempo e finalità di conservazione dei dati personali per ulteriori scopi statistici”;

− l’armonizzazione del testo con particolare riferimento ai lavori svolti a livello regionale (cfr. ad es. gli studi longitudinali regionali; disuguaglianze di salute determinate da differenze socio-economiche);

− con riferimento al lavoro statistico IST-02066 (sospeso con il provvedimento del 9 maggio 2018 recante il parere sullo schema di Programma statistico nazionale 2017-2019, Aggiornamento 2018-2019, doc. web n. 9001732), il superamento dei rilievi mossi dall’Autorità che consentirebbero pertanto l’avvio dei trattamenti relativi a tale lavoro statistico.

Con nota del XX (prot. n. XX), l’ISTAT ha trasmesso una nuova versione del Volume 2 del PSN, sul quale si concentra in particolare l’esame del Garante in quanto contenente le informazioni sui lavori statistici che comportano il trattamento di dati personali, recependo le osservazioni dell’Ufficio, trasmettendo, altresì, una relazione illustrativa, in cui sono state indicate le azioni volte a superare le criticità rilevate ovvero le motivazioni sottese alle modifiche apportate. In particolare, è stato rappresentato quanto segue:

con riferimento all’aggiunta in plurimi lavori statistici di archivi, di fonti amministrative e/o di variabili ulteriori rispetto all’aggiornamento precedente o alla programmazione triennale, l’ISTAT ha dichiarato che “l'aggiunta delle variabili di localizzazione in plurimi lavori statistici nasce dall'esigenza di meglio circoscrivere i fenomeni indagati ad uno specifico territorio, anche per venire incontro alle necessità degli enti territoriali di disporre di un'offerta informativa che sia il più possibile pertinente ed adeguata a supportare le migliori politiche in merito a un determinato tema”, mentre “l’aggiunta di categorie di variabili si motiva in molti casi con la necessità di migliorare la qualità dei prodotti statistici. In casi residuali, la variazione (aggiunta o eliminazione) di categorie di variabili costituisce l’esito della verifica della correttezza e completezza della descrizione delle informazioni riportate nei prospetti del Volume 2” e “l'aggiunta (…) di fonti statistiche o di fonti amministrative in lavori statistici che non hanno cambiato il proprio obiettivo si motiva con il costante aggiornamento dei dati a disposizione di questo Istituto e degli altri enti Sistan titolari di lavori nel Psn che permette di meglio identificare quali siano i dati necessari a conseguire la finalità originariamente prefissata”. “Inoltre, nei lavori che prevedono la raccolta diretta dei dati l'aumento di fonti statistiche o fonti amministrative viene incontro all'esigenza di ridurre, nell'immediato o nel prossimo futuro, il “disturbo statistico” sui rispondenti, sia attraverso una più corretta identificazione di questi ultimi, sia attraverso il reperimento e l’utilizzo di informazioni già presenti in fonti accessibili agli enti del Sistan”;

per quanto riguarda l’aumento dei tempi di conservazione, è stato rappresentato che “tali differenze sono spesso il frutto naturale del processo di rivalutazione e approfondimento insito in un’attività di programmazione scandita annualmente”;

sulle misure adottate per tutelare i diritti fondamentali e le libertà degli interessati, “l’Istat ha evidenziato ai titolari dei lavori la necessità di una adeguata e pertinente descrizione di queste misure, creando un’apposita sezione del Psn dove inserire sia quelle organizzative sia quelle tecniche e invitando più volte i responsabili della compilazione a rivedere quanto dichiarato e fornendo esempi e indicazioni sulla corretta applicazione del GDPR (…) ribadendo la necessità di descrivere le misure in oggetto e richiamando le definizioni corrette di anonimizzazione e pseudonimizzazione”;

con riguardo alla necessità di armonizzare il testo del PSN, con particolare riferimento ai lavori di titolarità delle regioni, è stato dichiarato che “i lavori (…) mantengono un’autonomia progettuale, di titolarità dei dati ed operativa, inclusa quella relativa al trattamento dei dati e alla specifica articolazione del disegno di studio, che possono portare a delle differenze nella descrizione sintetica. La condivisione delle metodologie si configura come una forma di “coordinamento scientifico”, basata su riferimenti teorici e strumenti comuni, che non incide però sull’indipendenza dei singoli progetti”;

in merito alla raccolta dei dati attraverso tecniche di web scraping, quale fonte utilizzata per definire la lista dei rispondenti, “l’ISTAT ha verificato che al momento il web scraping non viene ancora utilizzato come fonte per le liste di partenza, rinviando a successive valutazioni la decisione sull’inserimento del web scraping come fonte di dati nel Psn 2026-2028”, e che di conseguenza “sono stati eliminati i riferimenti alla formazione di liste di partenza tramite web scraping nei lavori: IST-00220; IST-00706; IST-01940 del Psn agg. 2025”;

infine, con precipuo riferimento al superamento dei rilievi mossi dall’Autorità per l’inizio delle rilevazioni del lavoro statistico IST-02066, l’ISTAT ha dichiarato che “nel prospetto del lavoro IST-02066 è stata eliminata la nota che segnalava la sospensione del trattamento dei dati personali ed è stato eliminato il riferimento all’autorizzazione del genitore, modificando come segue il campo “Misure adottate per la raccolta di dati relativi a soggetti minorenni”: “Le informazioni relative ai soggetti minori da 0 a 14 anni di età inclusa, sono raccolte per il tramite dei genitori o adulto di riferimento che risponde per il minore. Per le persone di 15 anni e più, le informazioni sono fornite direttamente dal rispondente e non è previsto l’obbligo di risposta. L'informativa verrà inviata all'intestatario della scheda di famiglia in cui il minore è iscritto come residente””.

L’Istituto, tenuto conto del ruolo di coordinamento delle attività statistiche degli enti Sistan, ha infine ribadito l’impegno a perseguire l’obiettivo di migliorare la rappresentazione delle informazioni sul trattamento dei dati personali soprattutto in termini di chiarezza e coerenza e in ottemperanza a quanto previsto dalla normativa di riferimento e alle indicazioni di volta in volta fornite dall’Autorità nei propri provvedimenti (art. 15 del d.lgs. 6 settembre 1989, n. 322).

2. Considerazioni dell’Autorità

2.1. Osservazioni di carattere generale

Sulla base di quanto sopra rappresentato, si prende favorevolmente atto delle motivazioni illustrate dall’ISTAT in relazione all’aggiunta di archivi, fonti amministrative e/o variabili ulteriori rispetto all’aggiornamento precedente o alla programmazione triennale.

L’Istituto ha rappresentato in particolare  che l’aggiunta delle predette informazioni risulta necessaria e proporzionata rispetto alle finalità perseguite con le rilevazioni statistiche di riferimento, consentendo agli enti territoriali di disporre di un'offerta informativa che sia il più possibile pertinente allo scopo del trattamento, di migliorare il risultato statistico per garantire una sempre maggiore qualità statistica  e di ridurre il disturbo statistico nei confronti degli interessati. Come noto infatti, le statistiche ufficiali sempre più si basano sull’acquisizione di dati detenuti da altre amministrazioni anche sulla base di quanto stabilito a livello europeo e nazionale (art. 17 bis del Regolamento (CE) n. 223/2009 del parlamento europeo e del consiglio dell’11 marzo 2009, come modificato da ultimo dal Regolamento (UE) 2024/3018 del Parlamento europeo e del Consiglio, del 27 novembre 2024; art. 6 del d. lgs. n. 322 del 1989; Direttiva del Comstat n. 12 del 16 dicembre 2021 recante il “Codice italiano per la qualità delle statistiche ufficiali”).

A tale riguardo tuttavia si evidenzia l’importanza che la valutazione sulla necessità e proporzionalità delle informazioni acquisite rispetto alla finalità statistica perseguita, anche in omaggio ai principi di limitazione delle finalità e di esattezza dei dati sia costantemente svolta non solo da parte dell’Istituto ma anche da parte degli enti Sistan i cui lavori sono inseriti nel PSN in esame, se del caso documentandone gli esiti nelle valutazioni d’impatto redatte ai sensi dell’art. 35 del Regolamento (art. 5, par. 1, lett. b) e c) del Regolamento).

Inoltre, nel Programma è presente un’apposita sezione dedicata alle misure adottate da ciascun titolare dei lavori statistici, per tutelare i diritti e le libertà fondamentali degli interessati e delle misure tecniche e organizzative volte a garantire, in ambito statistico, il rispetto dei principi applicabili al trattamento dei dati personali, in particolare attraverso l’uso di misure di minimizzazione quali le tecniche di pseudonimizzazione (artt. 5, 25, 32 e 89 del Regolamento; cfr. provv. n. 29 del 13 febbraio 2020 doc. web n. 9283929; provv. n. 261 del 10 dicembre 2020, doc. web n.9520567; provv. n. 237 del 30 giugno 2022 doc. web n. 9794929; provv. n. 523 del 16 novembre 2023, doc. web n. 9966570).

Ferma restando la necessità di continuare a garantire ma maggiore aderenza delle predette misure ai trattamenti statistici inseriti nel PSN (cfr. provv. sopra citati), si ribadisce che la pseudonimizzazione costituisce una misura di salvaguardia che, nel far salva la possibilità per il titolare del trattamento di risalire all’identità dell’interessato laddove necessario, favorisce al contempo l’effettiva applicazione dei principi (giuridicamente vincolanti) di protezione dei dati personali, non solo di minimizzazione e di integrità e riservatezza ma anche di limitazione della finalità e della conservazione (art. 5, par. 1, lett. b), c), e) e f) del Regolamento, cfr. provv. del 23 gennaio del 23 gennaio 2020, doc. web n. 9261093 e provv. del 16 settembre 2021, punto 3, doc. web n. 9717477).

La centralità della pseudonimizzazione nell’ambito dei trattamenti di dati personali a fini statistici, espressamente sancita dall’art. 89 del Regolamento, si comprende proprio in ragione dalla natura medesima della ricerca statistica, interessata all’esame di fenomeni, alla loro incidenza in determinati contesti, alla loro frequenza ecc., a prescindere dall’identità dei soggetti che vi sono coinvolti.

Tanto premesso, si evidenzia come le misure di pseudonimizzazione debbano essere implementate tenendo in debita considerazione il contesto di riferimento e le diverse banche dati di cui può disporre il titolare del trattamento, le risorse disponibili, lo scopo del trattamento e lo stato dell’arte tecnologica (elementi peraltro da considerare per aumentare e non ridurre la robustezza delle misure da adottare), al fine di dare effettiva applicazione ai sopra citati principi di protezione di dati personali, con un approccio di privacy by design e di responsabilizzazione (artt. 5, par. 2 e 25 del Regolamento).

A tale riguardo, esse non dovrebbero limitarsi alla mera sostituzione delle informazioni direttamente identificative (nome, cognome o altro identificatore) con un codice pseudonimo “non parlante” (ad es. ottenuto mediante l’impiego di tecniche di cifratura, o di funzioni unidirezionali, quali gli hash). Invero, tenuto conto del contesto, nonostante l’informazione sia privata degli identificativi diretti sostituiti con uno pseudonimo, può assumere un rilievo significativo anche la parte residua del dato stesso, ossia quella tradizionalmente non sottoposta ad alcuna trasformazione, il cui potere identificativo deve essere adeguatamente ponderato soprattutto in caso di condivisione del dato. È dunque necessario considerare anche tale porzione del dato in modo da intervenire per rimuovere eventuali singolarità o attributi rari che potrebbero da soli consentire l’attribuzione del dato alla persona senza la conoscenza dell’identificatore nascosto dallo pseudonimo.

In aggiunta, la scelta dello pseudonimo dovrebbe, in concreto, soddisfare al minimo i seguenti requisiti:

unidirezionalità dello pseudonimo, ottenuta ad esempio, come già richiamato, mediante l’impiego di funzioni di hash;

perdita nello pseudonimo di ogni sequenzialità, intesa come riferimento temporale o ordinamento presente nel dato di partenza;

varietà e casualità apparente degli pseudonimi impiegati;

introduzione di una struttura gerarchica nella corrispondenza degli pseudonimi, per disaccoppiare, quando necessario, i contesti d’uso dello stesso dato di partenza e rotazione nel tempo degli pseudonimi stessi (cfr. Guidelines 01/2025 on Pseudonymisation, adottate il 16 Gennaio 2025 e provv. del 23 gennaio 2020, doc. web n. 9261093).

Le medesime riflessioni valgono con riferimento alle motivazioni fornite in merito all’aumento dei tempi di conservazione dei dati nell’ambito di specifiche rilevazioni statistiche, dettato anche dalla necessità di programmazione in capo agli Enti rilevatori, in osservanza del principio di limitazione della conservazione (art. 5, par. 1, lett. e) del Regolamento). Pertanto, anche in tal caso si prende favorevolmente atto delle motivazioni addotte e delle modifiche apportate ai predetti studi (tra i quali in particolare IST-00580; IST-00679; IST-00683; IST-00684; IST-00685), per i quali nel tempo di conservazione indicato per l’obiettivo principale è stato ricompreso anche quello precedentemente dichiarato come “ulteriore”, necessario a svolgere controlli di qualità. Ciò, in particolare rafforza la trasparenza informativa nei confronti degli interessati, tenuto conto che il PSN funge da informativa agli interessati nel caso di raccolta di dati presso terzi.

L’Istat ha, infine, dichiarato di aver espunto ogni riferimento all’utilizzo del web scraping quale fonte per la costituzione delle liste di partenza relative a specifiche rilevazioni. Pertanto, si prende favorevolmente atto anche di tale modifica, facendo presente che, laddove l’Istituto intendesse raccogliere i dati degli utenti attraverso la tecnica del web scraping in relazione alla programmazione triennale 2026-28, come meglio rappresentato nel paragrafo che segue, dovrà valutare la conformità di tale trattamento alla vigente disciplina in materia di protezione dei dati personali.

2.2.  Considerazioni relative ai singoli lavori statistici

In relazione al lavoro statistico “IST-02066 Indagine su Condizione e integrazione sociale dei cittadini stranieri”, si prende favorevolmente atto del superamento dei profili di criticità espressi dall’Autorità con il parere sullo schema di programma statistico nazionale 2017-2019, Aggiornamento 2018-19, del 9 maggio 2018 (doc. web n. 9001732).

In particolare, l’Autorità aveva mosso alcune perplessità su numerose “statistiche da indagine” che prevedevano il coinvolgimento dei minori, in quanto la realizzazione di tali progetti prevedeva che minori, anche giovanissimi, fossero chiamati a rispondere (talvolta obbligatoriamente, tramite la compilazione di appositi questionari, anche on line, o diari giornalieri) a numerosi quesiti, spesso connessi ad aspetti molto delicati della vita quotidiana che, oltre a rivelare informazioni, anche sensibili, erano comunque idonee a creare situazioni di forte disagio e imbarazzo (es. difficoltà nelle attività quotidiane, la contraccezione e la vita sessuale, i determinanti della salute -abitudine al fumo, problemi di peso, attività fisica, consumo di alcol e la storia migratoria).

Al riguardo, il Garante aveva sottolineato che, anche laddove le predette informazioni fossero acquisite tramite terzi (genitore o adulto di riferimento, c.d. proxy), la giovane età dei soggetti interessati imponeva un’ancor più prudente valutazione dell’Istituto degli elevati rischi derivanti dalla realizzazione di siffatti lavori statistici in cui erano previste la conservazione dei dati identificativi diretti per un tempo indefinito e l’integrazione dei dati raccolti con altre fonti amministrative. Ciò, a maggior ragione con riferimento alla previsione dell’obbligo di risposta, che risultava suscettibile di determinare un’ingiustificata ingerenza nella sfera della personalità dei minori.

Orbene, al fine di assicurare il massimo rispetto ai diritti, alla libertà e alla dignità di soggetti la cui personalità è ancora in via di sviluppo, l’Istituto, nel predetto provvedimento, è stato invitato a valutare con estrema attenzione, anche nell’ambito di una specifica valutazione d’impatto effettuata ai sensi dell’art. 35 del Regolamento, l’opportunità di trattare dati personali riferiti a tale particolare categoria vulnerabile di interessati e ad adottare appropriate garanzie (ad esempio, innalzando l’età per la quale la raccolta dei dati viene effettuata tramite proxy e rendendo anonimi i dati al termine del trattamento statistico per il quale sono stati raccolti).  

Considerato che l’ISTAT, nel lavoro statistico IST-02066, ha garantito che “Le informazioni relative ai soggetti minori da 0 a 14 anni di età inclusa, sono raccolte per il tramite dei genitori o adulto di riferimento che risponde per il minore”;  la facoltatività delle risposte per i minori di età compresa tra i 15 e i 18 anni, riportando tali circostanze nel relativo prospetto informativo e che “L'informativa verrà inviata all'intestatario della scheda di famiglia in cui il minore è iscritto come residente”, i rilievi sollevati dall’Autorità nel citato provvedimento del 9 maggio 2018 possono ritenersi superati in quanto le modalità di raccolta dei dati personali risultano adeguate al provvedimento del 19 maggio 2020  (doc. web n. 9370217), avente ad oggetto specifiche rilevazioni riferite ai minori.

In relazione, ai lavori statistici IST-00220; IST-00706; IST-01940 contenuti nella prima versione del PSN sottoposto all’esame del Garante, si prende atto della decisione dell’Istituto di eliminarli dal presente aggiornamento del PSN 2023 - 2025, “rinviando a successive valutazioni la decisione sull’inserimento del web scraping come fonte di dati nel Psn 2026-2028”.

Sul tema, Eurostat ha adottato a novembre del 2020 delle linee guida sul web scraping, in particolare per l’uso nelle statistiche sui prezzi (HICP- Practical guidelines on web scraping for the HICP”, di novembre 2020), che non affrontano tematiche di protezione dei dati non comportando la raccolta di informazioni personali.

Con riferimento alla disciplina in materia di protezione dei dati personali, si evidenzia come sia il Comitato europeo per la protezione dei dati che il Garante hanno ribadito che anche quando i dati sono “pubblicamente disponibili”, ciò non solleva chi li raccoglie dal rispetto del Regolamento. I principi di liceità, trasparenza, minimizzazione, finalità sono sempre applicabili. In particolare, tali tecniche comportano una raccolta di dati che poi verranno utilizzati per finalità diverse da quelle per le quali sono stati originariamente pubblicati on line.

È dunque importante che il titolare effettui una valutazione in ordine al rispetto dei principi di liceità, correttezza, trasparenza e limitazione della finalità (art. 5, par. 1 lett. a) e b) del Regolamento; cfr. anche Opinion on AI Model del 18 dicembre 2024; provv. n. 329 del 20 maggio 2024, doc. web n. 9794929).

Pertanto, qualora l’utilizzo di questa tecnologia dovesse essere riproposta per futuri lavori statistici già dalla prossima programmazione triennale 2025-2028, trattandosi di trattamenti su larga scala effettuati attraverso nuove tecnologie, l’Istat sarà chiamato ad effettuare puntuali e rigorose valutazione in ordine alla necessità di ricorrere a tali tecniche per la composizione dei campioni delle rilevazioni statistiche, piuttosto che a strumenti meno invasivi e a prevedere specifiche misure per garantire l’effettiva applicazione dei principi di protezione dei dati personali sopra indicati e per tutelare i diritti e le libertà degli interessati, da documentare in una specifica valutazione d’impatto redatta ai sensi dell’art. 35 del Regolamento.  

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b) del Regolamento, dell’art. 6- bis del d.lgs. 322 del 1989 e dell’art. 4-bis delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale, Allegato A.4 al Codice, esprime parere favorevole sullo schema di Programma statistico nazionale 2023-2025 - Aggiornamento 2025, presentato dall’Istituto nazionale di statistica con sede legale in via Cesare Balbo, 16 – 00184 Roma codice fiscale 80111810588.

Roma, il 9 ottobre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Fanizza