[doc. web n. 10247485]

Parere sullo svolgimento del lavoro statistico “IND-0465 Rilevamento flussi e calcolo indicatori statistici del traffico veicolare provinciale”, inserito nello schema di Programma statistico provinciale 2025 - 2027 della Provincia Autonoma di Trento - 17 aprile 2026 

Registro dei provvedimenti
n. 268 del 17 aprile 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

VISTO in particolare l’art. 2-sexies, comma 2, lett. cc), del Codice che per i trattamenti svolti in esecuzione di un compito di interesse pubblico, ai sensi dell’art. 9, par. 2, lett. g), del Regolamento, indica tra i motivi di interesse pubblico rilevante “i trattamenti effettuati [...] per fini statistici da parte di soggetti che fanno parte del sistema statistico nazionale (Sistan)”;

VISTO il d.lgs. 6 settembre 1989, n. 322, recante le “Norme sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica”; 

VISTE le “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale”, adottate dal Garante ai sensi dell’art. 20, comma 4 del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 514 del 19 dicembre 2018, allegato A4 al Codice (doc. web n. 9069677, di seguito “Regole deontologiche”);

VISTO il decreto del Presidente della Provincia Autonoma di Trento, del 8 ottobre 2013, n. 27-129/Leg., recante “Approvazione del regolamento per il trattamento dei dati sensibili e giudiziari, ai sensi degli articoli 20 e 21 del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)”, pubblicato nel B.U. Trentino-Alto Adige 15 ottobre 2013, n. 42, Supplemento n. 1, e, in particolare, la Scheda 32 del predetto regolamento, relativa ai trattamenti non ricompresi nel Programma statistico nazionale (Psn) effettuati per scopi statistici da soggetti SISTAN (Ufficio statistico della Provincia);

VISTO in particolare che, in base alla predetta Scheda, è consentito il trattamento di dati sensibili e giudiziari da parte dell’Ufficio di statistica della provincia, per lavori statistici non inclusi nel Programma statistico nazionale (Psn), laddove previsti nel Programma statistico provinciale (Psp) o in altro documento provinciale programmatico che deve individuare i tipi di dati sensibili o giudiziari trattati, le rilevazioni per le quali i predetti dati sono trattati e le modalità di trattamento, sentito il Garante;

VISTA la legge provinciale 23 ottobre 2014, n. 9, come da ultimo modificata con l.p. 30 dicembre 2024, n. 12, che all’art. 11, comma 1, stabilisce che “Il programma statistico provinciale individua le rilevazioni, le elaborazioni e gli studi d'interesse provinciale, nonché le relative metodologie e modalità attuative”;

VISTO il parere favorevole condizionato del Garante sullo schema di Programma statistico provinciale 2025-2027 della Provincia Autonoma di Trento (provv. n. 666 del 13 novembre 2025, doc. web n. 10202046);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000, doc. web n. 1098801;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

Con il provvedimento n. 666 del 13 novembre 2025 (doc. web n. 10202046), l’Autorità ha espresso parere favorevole sullo schema di “Programma statistico provinciale 2025-2027” della Provincia autonoma di Trento (di seguito, “Provincia”), ad eccezione del lavoro statistico “IND-0465 Rilevamento flussi e calcolo indicatori statistici del traffico veicolare provinciale”, in quanto, dall’esame della documentazione trasmessa e dall’istruttoria svolta, era emersa la persistenza di criticità relative, in particolare, alla proporzionalità dei trattamenti, alla effettiva applicazione dei principi di minimizzazione dei dati, di integrità e riservatezza e alle garanzie da attuarsi ai sensi dell’art. 89 del Regolamento per gli interessati; ciò anche in considerazione della circostanza che potrebbe rilevare una raccolta di particolari categorie di dati presso gli interessati. In particolare, con riferimento alle tecniche di anonimizzazione impiegate era emersa la necessità di “acquisire ulteriori elementi in ordine alle metriche adottate, nelle diverse fasi del trattamento (anche mediante esemplificazioni), per la stima della probabilità di re-identificazione degli interessati” (cfr. punto 3.1. del citato provvedimento).

In relazione a tali profili, l’Autorità ha ritenuto opportuno svolgere una specifica istruttoria, al fine di verificare la conformità dei trattamenti del predetto lavoro statistico alla disciplina vigente in materia di protezione dei dati personali.

RILEVATO

1. L’attività istruttoria

Con ordine di servizio del XX, l’Autorità ha avviato un accertamento ispettivo nei confronti della Provincia, al fine di verificare l’osservanza delle disposizioni in materia di protezione dei dati personali nell’ambito del citato lavoro statistico “IND-0465 Rilevamento flussi e calcolo indicatori statistici del traffico veicolare provinciale”. 

Nel corso delle attività ispettive, che si sono svolte nelle giornate del XX, la Provincia ha fornito informazioni e documentazione in relazione al trattamento, che intende effettuare nell’ambito del citato lavoro statistico, dei dati relativi ai veicoli che transitano sulla rete stradale in gestione alla Provincia, raccolte utilizzando telecamere intelligenti. In particolare, è stato rappresentato che:

- il lavoro statistico è volto ad acquisire informazioni oggettive sulla rete stradale, sul carico, sui flussi veicolari e sulla loro origine e destinazione, al fine di consentire le attività di pianificazione, progettazione e realizzazione delle opere pubbliche, comprese quelle relative alla rete stradale, di cui si occupa il Dipartimento infrastrutture e trasporti della Provincia;

- all’inizio degli anni 2000 la Provincia si è dotata di una rete di monitoraggio del traffico veicolare basata sull’utilizzo di spire induttive annegate nel manto stradale in grado di rilevare, al transito di un veicolo, informazioni sulla classe (calcolata sulla base della lunghezza e della massa metallica rilevate dalla spira), sulla direzione e sulla velocità e sul momento del transito (aggregato su base oraria); tale rete di monitoraggio è divenuta obsoleta nel corso del tempo visti i diversi limiti connessi alle modalità e alla tempistica della raccolta dei dati;

- al fine di superare le predette criticità, la Provincia ha avviato un progetto di rifacimento della rete di monitoraggio del traffico, realizzato nell’ambito di un più ampio progetto europeo denominato “Meridian”; il progetto si pone l’obiettivo di ammodernare la rete di monitoraggio del traffico veicolare, da un lato sostituendo le spire induttive con quelle di nuova generazione (che consentono di acquisire i medesimi dati in tempo reale) e dall’altro installando telecamere intelligenti (che consentono di acquisire ulteriori dati relativi ai veicoli in transito, inclusi data e ora del transito, targa, nazionalità e categoria del veicolo ed eventuali codici Kemler); tali dati consentono di elaborare informazioni sull’origine e sulla destinazione dei flussi veicolari (cc.dd. “matrici O/D”);

- il progetto prevede l’installazione di circa 130 varchi di monitoraggio del traffico veicolare, ove, in base alle esigenze, possono essere installate una o più telecamere intelligenti e, se del caso, spire induttive. Allo stato sono stati installati circa 60 varchi di monitoraggio, dei quali circa il 90% costituiti da telecamere e spire e circa il 10% costituiti solo da telecamere. Le telecamere sono orientate sulla porzione di strada dove sono annegate le spire induttive (ove presenti) in modo che i dati raccolti dalle une e dalle altre possano essere poi associati sulla base della data e dell’ora di ciascun transito;

- le telecamere intelligenti sono attualmente spente e, solo in fase di installazione, sono state accese per circa 30 minuti per verificarne il corretto posizionamento e funzionamento, attraverso la rilevazione delle informazioni relative ai veicoli in transito e la loro trasmissione al sistema utilizzato per la raccolta e l’elaborazione dei dati trasmessi dai varchi della rete di monitoraggio del traffico. In ogni caso, tutte le informazioni trasmesse dalle telecamere al sistema sono state successivamente cancellate una volta completate le citate attività di verifica;

- allo stato attuale, il progetto prevede che la raccolta di dati sia effettuata direttamente presso gli interessati; ciò non esclude che, in futuro, la Provincia possa avvalersi di enti locali per la raccolta dei dati come previsto dall’art. 11-bis, comma 4, della l.p. 30 giugno 2017, n. 6.

Nel corso delle attività ispettive, sono stati altresì effettuati accessi all’applicativo web del sistema utilizzato dalla Provincia per la raccolta e il trattamento dei dati trasmessi dai varchi della rete di monitoraggio del traffico veicolare sulle strade in gestione alla Provincia stessa e alle interfacce web della strumentazione tecnologica installata presso ciascun varco, al fine di verificare le relative misure di sicurezza implementate per garantire l’effettiva applicazione dei principi di protezione dei dati personali con particolare riferimento a quello di esattezza, di minimizzazione dei dati e di integrità e riservatezza (art. 5, par. 1, lett. c), d)) e f), del Regolamento). In particolare, sono state verificate:

- le procedure di autenticazione informativa previste per l’accesso all’applicativo web e al database del sistema utilizzato per la raccolta e l’elaborazione dei dati trasmessi dai varchi della rete di monitoraggio del traffico, alle interfacce web della strumentazione tecnologica installata presso ciascun varco, nonché alla rete privata ove tali sistemi sono attestati;

- le funzionalità e le configurazioni delle telecamere intelligenti e delle spire;

- le diverse tipologie di dati relativi ai veicoli in transito che è possibile raccogliere mediante le telecamere intelligenti e le spire.

La Provincia ha inoltre chiarito che l’applicativo web del sistema utilizzato per la raccolta e l’elaborazione dei dati trasmessi dai varchi della rete di monitoraggio del traffico “sarà reso accessibile al solo personale autorizzato dell’Agenzia provinciale per le opere pubbliche (APOP) appartenente al Servizio opere stradali e ferroviarie e al Servizio opere stradali locali e puntuali, mentre la strumentazione tecnologica installata presso ciascun varco sarà resa accessibile, oltre che al personale autorizzato dell’APOP, anche al personale autorizzato [… del fornitore] e del soggetto a cui verranno affidate le attività di manutenzione della strumentazione tecnologica”.

Con specifico riferimento alla finalità statistica perseguita dal lavoro in esame, è stato rappresentato che l’Istituto di statistica della Provincia autonoma di Trento (di seguito, “ISPAT”) può svolgere trattamenti statistici direttamente ovvero avvalendosi, come nel caso del lavoro statistico in esame, di altre articolazioni provinciali, quali l’Agenzia Provinciale per le Opere Pubbliche (di seguito APOP”), quando la predetta rilevazione statistica richiede competenze tecniche, risorse e strumentazione non nella disponibilità dell’ISPAT; quest’ultimo in tali casi definisce la metodologia statistica, fornisce le necessarie istruzioni volte a garantire il rispetto della specifica disciplina di settore e di quella in materia di protezione dei dati personali e garantisce la supervisione scientifica della rilevazione statistica in esame.

Pertanto l’APOP, al fine garantire il rispetto delle misure di cui all’art. 89 del Regolamento e all’art. 105 del Codice nel lavoro in esame, anche a seguito di un confronto con l’ISPAT e delle indicazioni fornite da quest’ultimo, ha svolto ulteriori valutazioni volte a migliorare l’efficacia delle misure descritte nel documento “Rilevamento, gestione e trattamento dei dati relativi al traffico veicolare in Provincia di Trento”, dove sono state valutate le possibili tecniche di anonimizzazione e pseudonimizzazione da applicare alle targhe dei veicoli in transito, cercando di contemperare la tutela dei dati personali degli interessati con le esigenze statistiche sottese al progetto ossia quelle di poter disporre dei dati relativi alla origine/destinazione dei veicoli, ai livelli di servizio e alla durata media dei viaggi necessarie ai fini di una corretta pianificazione, progettazione e realizzazione delle opere pubbliche, comprese quelle relative alla rete stradale provinciale.

Con nota del XX, la Provincia ha sciolto le riserve formulate nel corso dell’attività ispettiva svolta nel mese di XX, rappresentando, in particolare, per quel che qui rileva, che:

- “la rete stradale gestita dalla Provincia si estende per 2.450 km, di cui 1.540 km di strade provinciali e 910 km di strade statali”;

- con riferimento alla possibile acquisizione di informazioni rientranti nelle particolari categorie di dati di cui all’art. 9 del Regolamento, “sebbene le telecamere elaborino immagini, il loro raggio d'azione è limitato a una porzione di strada molto ristretta e, di norma, non inquadra marciapiedi o edifici. Solitamente viene ripreso un tratto di strada compreso tra i 22 e i 35 metri; inoltre, i dispositivi sono orientati per leggere esclusivamente le targhe posteriori dei veicoli in transito. Tali immagini sono visualizzabili esclusivamente in tempo reale per scopi di configurazione, ma non vengono salvate nella memoria interna né inviate al server di elaborazione dati. In forza dei criteri adottati per individuare le aree di installazione non si è ritenuto di procedere a una specifica analisi dei luoghi sensibili (in quanto) tale valutazione deriva dal fatto che la viabilità interessata è esclusivamente ad alta percorrenza e che non sono state previste postazioni ravvicinate sulla stessa direttrice (evitando così la duplicazione superflua dei dati. Di conseguenza, si esclude la possibilità di individuare un unico luogo di arrivo dei mezzi”;

- con riferimento alla finalità statistica del lavoro in esame, la Provincia ha prodotto documentazione attestante in particolare gli incontri che si sono svolti tra l’ISPAT, l’APOP e il responsabile della protezione dei dati “per condividere gli obiettivi della rilevazione e l’impostazione metodologica del progetto”. In particolare, “Durante gli incontri (…) nonché durante i colloqui telefonici tra i soggetti coinvolti il documento di progetto è stato oggetto di analisi e valutazione, sia per quanto riguarda l’algoritmo di generalizzazione da adottare e la successiva aggregazione dei dati sia per le scelte di proporzionalità e minimizzazione del trattamento di dati personali”.

- con specifico riguardo all’adempimento degli obblighi informativi nei confronti degli interessati, ai sensi degli artt. 12 e 13 del Regolamento, la Provincia ha adottato un modello di segnaletica che costituisce l’informativa breve di primo livello, che al contempo garantisce “la massima intelligibilità senza generare confusione con la segnaletica stradale ordinaria” ciò anche tenuto conto dell’assenza di “pittogrammi codificati” previsti dall’attuale Regolamento del Codice della strada per il monitoraggio statistico. Tale segnaletica stradale è integrata da un’informativa estesa di secondo livello resa disponibile sul sito web istituzionale dell’ISPAT, sulla piattaforma “Viaggiare in Trentino” e attraverso l’utilizzo di media radiotelevisivi;

- nel rispetto dell’art. 21 del Regolamento, agli interessati è data la possibilità di opporsi al trattamento, inviando una comunicazione ad un’apposita casella di posta elettronica, a seguito della quale l’ISPAT “procederà ad inserire il numero di targa in una “Lista di esclusione”, che permetterà l’esclusione automatica di tali veicoli da ogni elaborazione o analisi statistica”;

- con riferimento alle misure tecniche e organizzative adottate per garantire la sicurezza del trattamento, ai sensi degli artt. 5, par. 1, lett. f), e 32 del Regolamento, la Provincia ha fornito ulteriori informazioni sulle procedure di autenticazione informatica previste per l’accesso alla rete privata ove è attestata la strumentazione tecnologica di ciascun varco della rete di monitoraggio del traffico e sui differenti profili di autorizzazione (“Utente amministratore” e “Utente utilizzatore”) previsti per l’accesso all’interfaccia web delle telecamere intelligenti; la Provincia ha altresì illustrato la procedura adottata per le attività di configurazione, di installazione e puntamento e di monitoraggio e test delle telecamere intelligenti.

La Provincia ha, inoltre, trasmesso una nuova versione del documento “Rilevamento, gestione e trattamento dei dati relativi al traffico veicolare in provincia di Trento”, nel quale, in relazione all’attività statistica svolta dalla Provincia, è stato rappresentato, in particolare, che:

- “per quanto riguarda il soggetto istituzionale incaricato di effettuare la rilevazione […] con la legge provinciale 23 ottobre 2014, n. 9 “Riordino dell’attività statistica e disciplina del sistema statistico provinciale” sono stati aggiornati, in ambito provinciale, il ruolo e le funzioni dell’Istituto di statistica della provincia di Trento (ISPAT) ed è stato istituito il Sistema statistico provinciale (Sispat). Pertanto, la produzione di statistica ufficiale in Trentino è sviluppata:

●dall’ISPAT, costituito quale agenzia della Provincia, dotato di autonomia scientifica, organizzativa, amministrativa e contabile;

● dal Sispat, costituito dall’insieme degli enti ed uffici che producono statistica ufficiale in Trentino”;

- “all’art. 3 della legge provinciale n. 9/2014 vengono individuati i compiti dell'ISPAT tra i quali figurano […] (la) promozione e coordinamento dello sviluppo, della produzione e della diffusione delle statistiche d'interesse dell'amministrazione provinciale nell'ambito del programma statistico provinciale”;

- “l’art. 5 (Coordinamento interno) co. 2 della già menzionata legge dispone che “l'attività di produzione statistica può essere effettuata anche tramite altre strutture provinciali, se prevista dal programma statistico provinciale, con la supervisione scientifica e metodologica dell'ISPAT e secondo gli indirizzi e le direttive da esso impartite””;

- l’art. 11-bis della legge provinciale 30 giugno 2017, n. 6, ha confermato che ISPAT è autorizzato, anche tramite altre strutture provinciali, a trattare i dati relativi agli spostamenti dei veicoli che transitano sulla rete stradale del territorio provinciale; 

- sulla base di tale quadro normativo, “ISPAT ha ritenuto più efficiente ed efficace delegare l’attività di raccolta, gestione ed elaborazione dei dati di traffico all’Agenzia Provinciale per le Opere Pubbliche (APOP) che dispone delle competenze e delle risorse tecniche specifiche per effettuare la rilevazione, mantenendo la supervisione scientifica e metodologica di tutto il processo di rilevazione, dalla definizione del campione all’elaborazione finale dei dati e degli indicatori statistici”.

Nel sopra citato documento sono state, altresì, descritte le misure volte a garantire la tutela dei diritti e delle libertà dei cittadini, di cui all’art. 89 del Regolamento, nello svolgimento della rilevazione statistica in esame, attraverso tecniche di generalizzazione, randomizzazione e pseudonimizzazione.

In particolare, nel predetto documento è stato rappresentato che in relazione alle misure volte ad applicare i principi di proporzionalità e minimizzazione, “al fine di garantire stime accurate conformi ai principi in materia di protezione dei dati personali, la rilevazione statistica è stata suddivisa in “due processi logici distinti e indipendenti””;

- il primo è finalizzato alla “determinazione quantitativa dei veicoli realmente circolanti su base giornaliera sul territorio provinciale” e prevede che “le targhe vengono sottoposte a pseudonimizzazione immediata e memorizzate in forma univoca per evitare conteggi multipli del medesimo veicolo. Per questa finalità non vengono registrati né il varco di transito né l'istante temporale. Il sistema genera esclusivamente un conteggio numerico puro. Il periodo di conservazione dei record pseudonimizzati è limitato a 24 ore, al termine delle quali rimane solo il dato statistico aggregato”;

- il secondo riguarda “l’analisi dinamica della mobilità, che richiede […] la tracciabilità spaziale e temporale” e prevede che “per garantire la massima sicurezza del dato, verrà implementato un protocollo di protezione strutturato su tre livelli logici consecutivi: Generalizzazione, Randomizzazione e Pseudonimizzazione. Questa architettura a triplo strato riduce drasticamente il rischio associato alla re-identificazione delle targhe originali. Le prestazioni e l'efficacia dell'algoritmo dipendono direttamente dal volume totale di veicoli da gestire. Per i primi sei mesi di esercizio, il sistema utilizzerà un valore stimato di 175.000 veicoli/giorno. Successivamente, tale parametro verrà ricalibrato dinamicamente sulla base dei flussi reali rilevati dal "Database di Volume". Al fine di conformarsi pienamente alle norme vigenti in materia di protezione dei dati personali, il sistema adotta un campionamento del 50% del parco circolante, alternando su base settimanale il rilevamento tra targhe "Pari" e "Dispari". Data l'elevata numerosità dei veicoli transitanti sulla rete provinciale, questa scelta non comporta errori statistici rilevanti. Per evitare che le stime siano inficiate da eventuali ordinanze restrittive del traffico (basate sull'ultima cifra della targa), il criterio di distinzione tra "Pari" e "Dispari" non si baserà sull’ultimo numero, bensì sulla somma di tutte le cifre presenti nella targa. Questa metodologia garantisce una distribuzione casuale e rappresentativa dell'intero universo veicolare”.

Inoltre, con riferimento alle procedure di generalizzazione, randomizzazione e pseudonimizzazione alle quali vengono sottoposte le targhe dei veicoli in transito – ad eccezione di quelle per le quali l’interessato abbia chiesto l’esclusione dalla rilevazione e che, quindi, sono oggetto di immediata cancellazione –, la Provincia ha evidenziato che:

- “l’architettura del sistema prevede un processo di protezione stratificato, articolato in tre fasi sequenziali:

- Step 1: Generalizzazione tramite K-anonymity. Riduzione del dettaglio alfanumerico della targa per inserire ogni veicolo in un gruppo di indistinguibilità.

- Step 2: Randomizzazione per Permutazione. Alterazione controllata di specifici caratteri per prevenire la correlazione biunivoca.

- Step 3: Pseudonimizzazione tramite [la funzione] HMAC. Generazione dell'identificativo finale. […] il dato viene elaborato con due chiavi segrete, ricreate su base settimanale, garantendo che lo pseudonimo risultante sia resistente ad attacchi di forza bruta e pre-computazione (rainbow tables)”;
 

- “ogni settimana, il sistema esegue un reset integrale delle variabili crittografiche e logiche. Durante questa operazione, vengono sovrascritte e distrutte:

- Le chiavi dell’algoritmo di permutazione (la selezione delle coppie per la randomizzazione).

- Le due chiavi (IPAD\OPAD) dell'algoritmo di pseudonimizzazione HMAC.

Poiché il progetto non prevede in alcun caso la necessità di invertire il processo, queste chiavi, scelte casualmente dal software, non vengono mai trascritte su supporti fisici o memorie permanenti: risiedono unicamente nella memoria volatile (RAM) del sistema. Allo scadere della settimana, le chiavi vengono definitivamente sovrascritte e distrutte”;

- con riferimento alla “capacità di un attaccante di risalire alla targa originale a partire dai dati salvati nel database”, “con i tre livelli di sicurezza implementati […] anche assumendo la violazione della pseudonimizzazione con HMAC (cosa considerata altamente improbabile), l'identità del proprietario della targa rimane indistinguibile tra 1.530 veicoli. Anche nel caso più catastrofico, in cui la chiave dell’algoritmo di randomizzazione venisse violata (situazione altamente improbabile) l'attaccante otterrebbe un elenco di 306 potenziali targhe, un numero statisticamente troppo elevato per consentire una violazione della privacy individuale. Pertanto, [si ritiene …] che il sistema soddisfi pienamente il requisito di non-correlabilità del dato personale”.

2. Le valutazioni dell’Autorità

2.1 La finalità statistica perseguita

La disciplina in materia di protezione dei dati personali prevede che il titolare del trattamento è tenuto a rispettare i principi applicabili al trattamento di dati personali, tra i quali, il principio di liceità, correttezza e trasparenza, secondo il quale i dati devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e il principio di limitazione della finalità, per cui i dati personali devono essere “raccolti per finalità determinate, esplicite e legittime e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»);” (art. 5, par. 1, lett. a) e b), del Regolamento).

Il trattamento di dati personali per il perseguimento di scopi statistici di interesse pubblico, perseguito dai soggetti che fanno parte o partecipano al Sistema statistico nazionale, deve essere effettuato nel rispetto delle pertinenti disposizioni del Regolamento (artt. 5, 6, 9 e 89), del Codice (artt. 2-ter, 2-sexies e 104 e ss.), delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema Statistico nazionale del 19 dicembre 2018 (doc. web n. 9069677), nonché della specifica disciplina di settore. 

Con specifico riferimento al lavoro statistico in esame, rileva la legge provinciale del 23 ottobre 2014, n. 9, che definisce i compiti e le funzioni dell’ISPAT tra le quali figurano “(la) promozione e coordinamento dello sviluppo, della produzione e della diffusione delle statistiche d'interesse dell'amministrazione provinciale nell'ambito del programma statistico provinciale” (art. 3) e prevede espressamente che “l'attività di produzione statistica può essere effettuata anche tramite altre strutture provinciali, se prevista dal programma statistico provinciale, con la supervisione scientifica e metodologica dell'ISPAT e secondo gli indirizzi e le direttive da esso impartite” (art. 5, comma 2). Rileva poi il citato art. 11-bis della legge provinciale 30 giugno 2017, n. 6, in base al quale “l'Istituto di statistica della provincia di Trento (ISPAT) è autorizzato, anche tramite altre strutture provinciali, ai sensi dell'articolo 5, comma 2, della legge provinciale 23 ottobre 2014, n. 9, a trattare i dati relativi agli spostamenti dei veicoli che transitano sulla rete stradale del territorio provinciale in gestione alla Provincia medesima nel rispetto dei principi di proporzionalità, di minimizzazione e di limitazione della finalità di cui all'articolo 5, paragrafo 1, lettere b) e c), e 25 del Regolamento […]”. Il predetto articolo rinvia poi al programma statistico regionale l’individuazione dei “criteri, modalità, tempistiche della raccolta dei dati e misure di sicurezza, nonché le relative metodologie e modalità attuative, gli specifici dati trattati, le operazioni eseguibili, i periodi di conservazione e le idonee misure di sicurezza adottate ai sensi dell' articolo 32 del Regolamento, anche in relazione all'esito della preventiva valutazione d'impatto da eseguirsi ai sensi degli articoli 35 e 36 del Regolamento […]” (art. 11-bis, comma 2).

Rileva altresì il d.lgs. 6 settembre 1989, n. 322, recante la quale prevede in particolare che “I soggetti che fanno parte o partecipano al Sistema statistico nazionale possono raccogliere ed ulteriormente trattare i dati personali necessari per perseguire gli scopi statistici previsti dal presente decreto, dalla legge […]” (art. 6-bis, comma 1, del d.lgs. n. 322 del 1989) e che “Il programma statistico nazionale prevede modalità di raccordo e di coordinamento con i programmi statistici predisposti a livello regionale” (art. 13, comma 2).

Al riguardo, alla luce del quadro normativo sopra rappresentato, si evidenzia che la Provincia, nel corso dell’attività istruttoria svolta, ha correttamente rappresentato la finalità statistica perseguita attraverso la rilevazione in esame, tenuto conto in particolare che le predette finalità statistiche possono essere perseguite anche con il supporto di altre strutture provinciali, dotate delle necessarie competenze tecniche quali quelle necessarie per la rilevazione in esame (art. 11-bis della legge provinciale 30 giugno 2017, n. 6, in combinato disposto con l’art. 5, comma 2, della legge provinciale 23 ottobre 2014, n. 9).

Si ritiene pertanto che il trattamento dei dati personali effettuato attraverso il lavoro statistico IND-0465, trovi la propria base giuridica nelle citate disposizioni, ciò tenuto anche conto che il programma statistico provinciale e la documentazione tecnica trasmessa – tra cui rileva in particolare la valutazione d’impatto sulla protezione dei dati redatta ai sensi dell’art. 35 del Regolamento e la nuova versione del documento denominato “Rilevamento, gestione e trattamento dei dati relativi al traffico veicolare in provincia di Trento”, oggetto di sostanziali modifiche effettuate a seguito dei rilievi mossi dagli Uffici nel corso degli accertamenti ispettivi – individuano i tipi di dati, le operazioni eseguibili e le misure adottate per tutelare i diritti fondamentali e le libertà degli interessati. 

2.2 Il principio di trasparenza

In base al principio di trasparenza i dati devono essere trattati in modo trasparente nei confronti degli interessati e inoltre il titolare del trattamento deve fornire preventivamente agli interessati – nel caso in cui i dati siano raccolti direttamente presso gli interessati – tutte le informazioni indicate nell’art. 13 del Regolamento, le quali devono altresì essere rese in una forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12, par. 1, del Regolamento). 

L’obbligo di fornire agli interessati le informazioni e le comunicazioni in forma “concisa e trasparente” implica che il titolare del trattamento presenti le informazioni/comunicazioni in maniera efficace e succinta al fine di evitare un subissamento informativo. Tali informazioni dovrebbero essere differenziate nettamente da altre che non riguardano la vita privata, quali clausole contrattuali o condizioni generali d’uso. Nell’ambiente online l’utilizzo di una dichiarazione/informativa sulla privacy stratificata consentirà all’interessato di consultarne immediatamente la specifica sezione desiderata, senza dover scorrere ampie porzioni di testo alla ricerca di un argomento in particolare. L’elemento della “facile accessibilità” implica che l’interessato non sia costretto a cercare le informazioni, ma che anzi gli sia immediatamente chiaro dove e come queste siano accessibili, ad esempio perché gli sono fornite direttamente, un link lo dirige verso di esse o le informazioni sono contrassegnate chiaramente oppure perché le informazioni si configurano come risposta a una domanda in linguaggio naturale (cfr. punti 8 e 11 delle “Linee guida sulla trasparenza ai sensi del Regolamento 2016/679” del Gruppo di Lavoro Articolo 29 per la Protezione dei Dati del 29 novembre 2017, come modificate e adottate in ultimo l’11 aprile 2018 e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018).

Nel caso in esame, che prevede una raccolta di dati personali direttamente presso gli interessati attraverso la rilevazione delle targhe, si prende favorevolmente atto che a seguito dei rilievi formulati dagli Uffici nel corso dell’istruttoria, la Provincia ha predisposto un modello informativa conforme al richiamato principio di trasparenza e alle  Linee guida del Comitato europeo sulla protezione dei dati personali, prevedendo un’informativa breve di primo livello fornita attraverso la segnaletica stradale, con dimensioni tali che, da una parte, rispettano i vincoli previsti dal Codice della strada, dall’altra, consentono comunque di attirare l’attenzione del guidatore che, qualora interessato, potrà accedere all’informativa estesa, di secondo livello, che verrà resa disponibile dalla Provincia, non solo sul sito web istituzionale dell’ISPAT, ma anche sulla piattaforma “Viaggiare in Trentino” e attraverso canali media radiotelevisivi, ciò al fine di poter raggiungere il maggior numero possibile di viaggiatori. 

Si prende inoltre favorevolmente atto che la Provincia, in relazione alla rilevazione in esame, che, come anche da quest’ultima affermato, prevede la raccolta dei dati direttamente presso gli interessati, abbia introdotto una ulteriore garanzia consistente nella  possibilità degli interessati di poter chiedere l’esclusione del veicolo dalla rilevazione statistica, di cui sarà data ampia visibilità anche sul sito web istituzionale della Provincia, inviando una comunicazione ad un’apposita casella di posta elettronica, a seguito della quale l’ISPAT “procederà ad inserire il numero di targa in una “Lista di esclusione”, che permetterà l’esclusione automatica di tali veicoli da ogni elaborazione o analisi statistica”.

2.3 Il principio di proporzionalità e di minimizzazione

Per pseudonimizzazione si intende “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile” (cons. 26 e art. 4, punto 5, del Regolamento). La pseudonimizzazione costituisce una misura di estremo rilievo nel settore della ricerca scientifica in particolare al fine di garantire effettiva applicazione al principio di minimizzazione (art. 5, par. 1, lett. c), e 89 del Regolamento). 

I dati pseudonimizzati sono quindi dati personali che devono essere trattati nel rispetto del Regolamento. A tale riguardo, il Gruppo Articolo 29 per la Protezione dei Dati ha evidenziato che “la pseudonimizzazione non è un metodo di anonimizzazione. Si limita a ridurre la correlabilità di un insieme di dati all’identità originaria di una persona interessata, e rappresenta pertanto una misura di sicurezza utile” (“Parere 05/2014 sulle tecniche di anonimizzazione”, adottato il 10 aprile 2014). 

Le recenti “Linee guida 01/2025 sulla pseudonimizzazione”, nella versione oggetto di consultazione pubblica, adottate dal Comitato europeo per la protezione dei dati il 16 gennaio 2025, hanno chiarito che i dati pseudonimizzati sono sempre dati personali e che essa rappresenta una misura che permette di non attribuire i dati personali a uno specifico interessato senza l'ausilio di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure di sicurezza tecniche e organizzative. Infatti, se i dati possono essere ricondotti a persone fisiche dal titolare del trattamento o da altri, rimangono dati personali e sono dunque soggetti agli obblighi dettati dal Regolamento. Le predette Linee guida inoltre, esaminano le misure tecniche e le salvaguardie, nell’utilizzo della pseudonimizzazione, per assicurare la confidenzialità delle informazioni ed evitare l’identificazione non autorizzata degli interessati. 

Il dato anonimizzato è tale solo se non consente in alcun modo l’identificazione diretta o indiretta di una persona tenuto conto di tutti i mezzi (economici, informazioni, risorse tecnologiche, competenze, tempo) nella disponibilità di chi (titolare o altro soggetto) provi a utilizzare tali strumenti per identificare un interessato. 

Un compiuto processo di anonimizzazione deve impedire che chiunque utilizzi tali dati, in combinazione con i mezzi “ragionevolmente disponibili”, possa: 

1. isolare una persona in un gruppo (single-out); 

2. collegare un dato anonimizzato a dati riferibili a una persona presente in un distinto insieme di dati (linkability); 

3. dedurre nuove informazioni riferibili a una persona da un dato anonimizzato (inference). 

Sempre in riferimento all’anonimizzazione dei dati, sotto altro profilo, si sottolinea che il Comitato europeo per la protezione dei dati ha evidenziato, altresì, come essa già di per sé rappresenti un trattamento di dati personali e che, in quanto tale, deve essere svolta in conformità con la normativa vigente in materia di protezione dei dati personali (cfr. Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, adottato il 2 febbraio 2021). Ciò è stato confermato anche dal Tribunale di Milano (sentenza del 10 maggio 2024). 

Il Garante inoltre, ha in più occasioni ribadito che l’anonimizzazione deve essere considerata un trattamento dinamico da valutare in ragione dei differenti criteri indicati nel considerando 26 del Regolamento. Il titolare del trattamento pertanto è tenuto ad impegnarsi a rimuovere ogni singolarità, qualora, con qualsiasi mezzo, ne venga a conoscenza in una fase successiva all’anonimizzazione e che tenga traccia di tali eventi in modo da ripetere la valutazione del rischio di re-identificazione al raggiungimento di una soglia predefinita, adeguata rispetto al contesto, individuata sul totale di record inclusi nella banca dati (cfr. provv. del 24 gennaio 2024, doc. web n. 9988614; provv. del 30 giugno 2022, doc. web n. 9791886; provv. del 7 marzo 2023, doc. web n. 9875254).

Con specifico riferimento al caso concreto, si prende favorevolmente atto delle misure indicate dalla Provincia nella nuova versione del documento “Rilevamento, gestione e trattamento dei dati relativi al traffico veicolare in provincia di Trento”, volte ad applicare i principi di proporzionalità e minimizzazione, in quanto la raccolta dei dati degli interessati è ridotta a un determinato arco temporale e limitata in quanto è prevista l’applicazione di misure di campionamento nonché di elaborazione dei dati, idonee a garantire i diritti e le libertà dei soggetti interessati dalla rilevazione statistica in esame. 

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo svolgimento del lavoro statistico “IND-0465 Rilevamento flussi e calcolo indicatori statistici del traffico veicolare provinciale”, inserito nello schema di Programma statistico provinciale 2025 - 2027 della Provincia Autonoma di Trento, sede centrale, Piazza Dante, 15 - 38122 Trento - C.F. e P.IVA 00337460224. 

Roma, 17 aprile 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori