[doc. web n. 9994638]

Parere sul lavoro statistico EMR-00028 Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi, inserito nel PSN2020-2022 e in quello 2023-2025 - 22 febbraio 2024

Registro dei provvedimenti
n. 93 del 22 febbraio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

VISTO il d.lgs. 6 settembre 1989, n. 322, recante le “Norme sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica” e in particolare, l’art. 6- bis del medesimo decreto;

VISTE le “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale”, Allegato A.4 al Codice (di seguito “Regole deontologiche”) e, in particolare, l’art. 4-bis delle medesime Regole deontologiche in base al quale “Nel Programma statistico nazionale sono illustrate le finalità perseguite e le garanzie previste dal d.lgs. 6 settembre 1989, n. 322 e dal d.lgs. 30 giugno 2003, n. 196 e successive modificazioni e integrazioni e dalle presenti regole deontologiche. Il Programma indica altresì i dati di cui agli artt. 9, par. 1, e 10 del Regolamento, le rilevazioni per le quali i dati sono trattati e le modalità di trattamento. Il Programma è adottato, con riferimento ai dati personali, di cui agli art. 9 e 10 del Regolamento, sentito il Garante per la protezione dei dati personali, ai sensi dell´art. 58, par. 3, lett. b) Regolamento”;

VISTO il Regolamento UE n. 692/2011 del Parlamento europeo e del Consiglio, così come modificato dal Regolamento delegato 1681/2019, della Commissione del 10 agosto 2019 relativo alle statistiche europee sul turismo per quanto riguarda i termini di trasmissione e la modifica degli allegati I e II;

VISTO il provvedimento del Garante n. 237 del 30 giugno 2022 (doc. web 9794929) recante parere sullo schema di Programma statistico nazionale 2020-2022, aggiornamento 2022;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Premessa

Con il provvedimento n. 237 del 30 giugno 2022 (doc. web 9794929), recante parere sullo schema di Programma statistico nazionale 2020-2022, aggiornamento 2022 (PSN), il Garante, nell’esprimersi favorevolmente sul richiamato atto, ha disposto, tra l’altro, la sospensione del lavoro statistico EMR-00028 Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi (di seguito lavoro statistico EMR-00028).

Tale lavoro, di titolarità della regione Emilia Romagna (di seguito la “Regione”), è volto ad “Analizzare le caratteristiche socio-demografiche e tipologiche della clientela che soggiorna negli esercizi ricettivi (alberghieri e complementari) della Regione, integrando e approfondendo le informazioni previste dalla rilevazione IST-00139. Spostando maggiormente l'attenzione sulla clientela, la Regione cerca di capire quali sono le caratteristiche delle persone che visitano il proprio territorio, quali sono i fenomeni e gli eventi che influenzano l'attrazione dei turisti, se esiste una segmentazione della clientela legata alle peculiarità dei diversi territori”. Esso prevede la raccolta di alcune informazioni riferite ai turisti, quali “sesso, l'età, la tipologia di ospite, la motivazione della vacanza, il mezzo utilizzato, la provenienza, il canale di prenotazione. La raccolta delle informazioni viene spostata al momento del check-in recuperando le informazioni proprio da quelle rilevate dal gestore durante la registrazione dell'ospite”.

Il Garante ha sospeso il richiamato lavoro in quanto ha rilevato che “prima facie le strutture ricettive non appaiono tenute ad acquisire tutte le informazioni ivi indicate” [età; sesso; motivazione (turismo, affari); mezzo di trasporto; data di arrivo; data di partenza; tipologia di ospite (singolo, capofamiglia, capogruppo, familiare, membro di gruppo); provenienza (provincia o regione o stato); nazionalità dell'ospite; canale di prenotazione] e quindi per poter verificare, nell’ambito di una specifica istruttoria, i presupposti giuridici del trattamento e le modalità con le quali vengono raccolte le richiamate informazioni presso gli interessati, per il tramite delle strutture turistiche, il ruolo attribuito a queste ultime e come vengono assolti gli obblighi informativi e assicurata, se del caso, la volontarietà dell’adesione alla rilevazione statistica (artt. 6, 12, 13, 24, 28 del Regolamento).

Si evidenzia, inoltre, che tale lavoro risulta inserito nella documentazione relativa al PSN 2023-2025 -e in particolare nell’elenco dei Lavori statistici che trattano dati personali momentaneamente sospesi- sul quale il Garante si è espresso con il parere del 16 novembre 2023 (doc. web 9966570).

2. L’attività istruttoria

A seguito di un preliminare incontro informale, svolto in data 16 settembre 2022, la Regione, con nota del 20 ottobre 2022 (prot. n. 57168), ha fornito alcune indicazioni in ordine ai profili di criticità rilevati dal Garante nel richiamato provvedimento e ribaditi dall’Ufficio nel citato incontro.
Cionondimeno, vista la persistenza di numerose e specifiche criticità, l’Ufficio ha formulato un’ulteriore richiesta di informazioni (nota del 15 gennaio 2023, prot. n. 6415) al fine, in particolare, di:

- chiarire i presupposti giuridici del trattamento e le modalità con le quali vengono raccolte le informazioni presso gli interessati, per il tramite delle strutture turistiche, il ruolo attribuito a queste ultime e come vengono assolti gli obblighi informativi e assicurata, se del caso, la volontarietà dell’adesione alla rilevazione statistica;

- anche alla luce di quanto indicato nell’informativa predisposta per gli interessati, meglio rappresentare la titolarità dei dati trattati per la realizzazione lavoro statistico EMR-00028, giacché, la ricostruzione fornita con la nota dell’ottobre del 2022 lasciava ipotizzare che talune delle informazioni raccolte presso gli interessati dalle strutture ricettive per la realizzazione del lavoro statistico in oggetto vi “transitassero” senza che esse ne assumessero al riguardo alcun ruolo o responsabilità. Ciò in contrasto con la normativa di settore in base alla quale in nessun caso è consentita la raccolta di dati di carattere personale da parte di un soggetto che non ne sia in qualche maniera legittimato, abbia informato gli interessati e se ne assuma le conseguenti la responsabilità (art. 5 del Regolamento). Viceversa qualora si fosse inteso qualificare le strutture ricettive come titolari del trattamento anche delle informazioni ulteriori rispetto a quelle necessarie all’erogazione del servizio (es. canale di prenotazione), sarebbe stato necessario indicare lo specifico presupposto di legittimità per il trattamento di tali dati da parte della struttura, diverso dal contratto di cui è parte l’interessato (art. 6, par. 1, lett. b) del Regolamento);

- sottolineare l’esigenza che le informazioni siano rese agli interessati in modo conciso, trasparente e intellegibile con un linguaggio semplice e chiaro (art. 12 del Regolamento);

- indicare il ruolo della Regione, anche nella misura in cui fornisce alle strutture recettive la piattaforma, sistema informativo turistico “Ross1000” utilizzata da queste ultime per le finalità di registrazione del check-in e invio alla prefettura dei dati degli ospiti;

- chiarire i tempi di conservazione dei dati trattati, atteso che sembrava emergere che gli stessi fossero conservati all’interno della piattaforma regionale per periodi differenti a seconda della finalità perseguita.

Con riferimento a tali aspetti la Regione ha chiarito che “L’Ufficio Statistica della Regione Emilia-Romagna effettua il trattamento di dati personali per la rilevazione EMR-00028 “Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi” (nota del 23 maggio 2023, prot. 0505590).

In particolare, la Regione ha trasmesso in atti un modello di informativa che dovrebbe corrispondere a quello che le strutture ricettive, in qualità di autonomi titolari del trattamento, potrebbero fornire ai loro ospiti. Tale modello contiene un elenco numerato di tutte le tipologie di dati trattati e, attraverso molteplici rinvii, per ciascuna di esse la finalità perseguita e la base giuridica del trattamento. Il punto B dell’informativa concerne, invece i dati trattati dalla “Giunta della Regione Emilia-Romagna, e per essa l’Ufficio Statistica della Regione Emilia-Romagna, in qualità di “Titolare” del trattamento” per la rilevazione EMR-00028 “Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi”.

Rispetto alla rilevazione in esame, le strutture ricettive sono indicate esclusivamente quali autonomi titolari del trattamento presso le quali l’Ufficio di statistica raccoglie i dati necessari per la realizzazione del lavoro statistico EMR-00028.

Le informazioni in questione concernono:

i. Età (ricavata dalla data di nascita);

ii. sesso;

iii. data di arrivo;

iv. data di partenza;

v. provincia di residenza dell'ospite (ricavata dalla località di residenza o di rilascio del doc. d’identità);

vi. nazionalità dell'ospite

vii. tipologia di ospite (singolo, capofamiglia, capogruppo, familiare, membro di gruppo);

viii. motivazione (turismo, affari, ecc.);

ix. mezzo di trasporto;

x. canale di prenotazione.

Esse costituiscono un sottoinsieme del novero maggiore di quelle trattate dalle strutture ricettive, in base a differenti presupposti normativi e per il perseguimento di altre finalità (Check-in e comunicazione per finalità di pubblica sicurezza; Tassa di soggiorno; Conservazione dei dati personali per agevolare le procedure di registrazione nei Suoi prossimi soggiorni; Comunicazioni commerciali e promozionali da parte della nostra struttura a mezzo di posta elettronica).

Rispetto ai richiamati dati è stato chiarito che quelli relativi a:

- tipologia di ospite (singolo, capofamiglia, capogruppo, familiare, membro di gruppo);

- motivazione (turismo, affari, ecc.);

- mezzo di trasporto;

- canale di prenotazione

sono “solo eventualmente raccolti dalle strutture ricettive per la finalità di comunicazioni commerciali e promozionali”.

In particolare, con riferimento alla variabile relativa alla “località di residenza” dell’ospite è stato chiarito che: “[...] la variabile residenza non è tra quelle previste per le finalità di pubblica sicurezza, quindi rientra tra quelle nella disponibilità del gestore solo nel caso in cui il cliente conferisca il dato per la finalità “Comunicazioni commerciali e promozionali”. Trattandosi però di una variabile obbligatoria anche per la rilevazione Istat, è necessario individuare una proxy che possa essere utilizzata nel momento in cui tale conferimento non avvenga: la soluzione adottata discende direttamente dal Manuale metodologico per le statistiche sul turismo di Eurostat (cfr. pag. 74) e in particolare dal passaggio che la stessa Istat richiama nell’allegato 1 alla circolare che illustra le disposizioni tecniche fornite dall’Istat per la rilevazione dei dati sul movimento dei clienti negli esercizi ricettivi (IST-00139):

“Per l’indicazione della residenza dei clienti valgono le seguenti avvertenze:

1. se non è possibile registrare l’esatta residenza del cliente, si può utilizzare quanto riportato nel passaporto o in altro documento d’identità”.

L’informativa trasmessa inoltre, nell’indicare l’ambito di comunicazione dei dati consentito, evidenzia, che essi possono essere trasmessi tra gli altri “agli enti preposti alle rilevazioni statistiche in aderenza alle norme di cui all’art. 7 d.lgs. n. 322/1989 e del Decreto del Presidente della Repubblica del 9 marzo 2022 recante “Approvazione del Piano Statistico Nazionale” con cui il legislatore ha posto il “Lavoro statistico EMR-00028 Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi” nell’ “Elenco delle rilevazioni rientranti nel PSN 2020-2022 che comportano obbligo di risposta da parte dei soggetti privati, a norma dell'art. 7 del decreto legislativo 6 settembre 1989, n. 322” di cui all’art. 1 comma 1 lett. b) dello stesso Decreto”.

Con riferimento alla trasparenza dei dati trattati la Regione, nel modificare il testo dell’informativa, ha ritenuto che “La revisione dell’informativa descritta al passaggio precedente, […]  abbia reso più intellegibile il documento; abbiamo inoltre predisposto un’infografica che descriva in modo semplice e sintetico quanto contenuto nell’informativa completa [...] Tale infografica verrà resa disponibile sia sulla piattaforma Ross1000, sia sul portale regionale di statistica”.

La Regione ha poi fornito specifiche indicazioni in ordine ai tempi di conservazione dei dati trattati per ciascuna delle diverse finalità perseguite dalle strutture e dagli enti ai quali le strutture sono tenute per legge a comunicare alcune delle informazioni relative ai clienti.

Per quel che concerne la rilevazione statistica effettuata dall’Ufficio di statistica regionale, è stato chiarito che “i dati trattati in seno alla rilevazione EMR-00028 non sono conservati in forma personale poiché, il data set non consente di risalire al singolo interessato. All’interno del repository, decorsi 120 mesi, sono eliminati, altresì, anche le informazioni che identificano la struttura ricettiva. Per le ragioni sopra emarginate, si ritiene che la conservazione dei dati per le finalità di analisi sia quantificabile in almeno 120 mesi: tale lasso di tempo può essere individuato come un intervallo congruo per l’analisi in serie storica dei fenomeni osservati, permettendo di analizzare nel tempo, ad es., l’impatto di shock strutturali sul sistema turistico regionale o la reazione del mercato turistico a determinate politiche di supporto o di promozione”.

La Regione ha infine rappresentato di avere conseguentemente modificato la scheda informativa relativa al lavoro statistico in esame. In particolare, al par. 4 recante “Descrizione delle attività” è stato indicato che “Emulando l'impianto metodologico e organizzativo della attività IST-00139, per la quale la Regione già opera per ISTAT come organo intermedio di rilevazione, la presente rilevazione pone al centro dell’analisi il turista, ovvero le caratteristiche socio-demografiche e tipologiche della clientela che soggiorna negli esercizi ricettivi della Regione, l’incidenza di fenomeni e di eventi che influenzano i flussi turistici nonché l’attrattività che i diversi territori hanno verso una o più determinate tipologie di clientela [...].Per agevolare tale trasmissione [dei dati riferiti ai clienti] la Regione mette a disposizione gratuitamente un software per le strutture che non sono dotate di un proprio gestionale. Tale organizzazione permette di migliorare l'efficienza con cui la Regione risponde anche alle rilevazioni IST-00138 e IST-00139 [...]”.

Con ciò quindi fornendo anche i chiarimenti richiesti in ordine al sistema informativo turistico “Ross1000”, qualificato, appunto come “un software per le strutture che non sono dotate di un proprio gestionale”.

3. La normativa in materia di protezione dei dati personali

Il trattamento di dati personali deve avvenire in primo luogo nel rispetto dei principi stabiliti dal Regolamento e dal d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”).

Di questi si segnalano, in particolare, il principio di liceità, in base al quale ogni trattamento di dati personali deve fondarsi su uno specifico presupposto giuridico (art. 5, par. 1, lett. a), 6 del Regolamento), il principio di trasparenza volto ad assicurare che gli interessati possano esercitare un controllo attivo sui loro dati personali, anche attraverso l’esercizio dei diritti ad essi riconosciuti (art. 5, par. 1, lett. a), 12, 13 e da 15 a 22 del Regolamento), il principio di limitazione della finalità in base al quale i dati sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità (art. 5, par. 1 lett. b del Regolamento) e il principio di responsabilizzazione per cui il titolare del trattamento è competente non solo per l’osservanza dei richiamati principi ma deve anche essere in grado di comprovarne il rispetto (art. 5, par. 2 e 24 del Regolamento).

In tale ambito, il trattamento di dati personali per scopi statistici effettuato da soggetti che fanno parte o partecipano del Sistema statistico nazionale deve essere svolto nel rispetto delle specifiche disposizioni previste al riguardo dal Codice (art. 108), delle Regole deontologiche, nonché della disciplina di settore di cui al d.lgs. 6 settembre 1989, n. 322 e in particolare dell’art. 6-bis, comma 1-bis del citato decreto legislativo.

Da ultimo, in relazione al principio di trasparenza e agli oneri informativi si evidenzia che in base al Regolamento, il titolare è tenuto a fornire le informazioni in modo conciso, trasparente e intellegibile con un linguaggio semplice e chiaro (considerando 39, 58, artt. 5, par. 1 lett. a), 12 de 13 del Regolamento e Linee guida sulla trasparenza ai sensi del regolamento 2016/679, adottate dal Gruppo Articolo 29, il 29 novembre 2017, versione emendata adottata l’11 aprile 2018). Al riguardo, si segnala altresì che con riferimento ai dati raccolti presso soggetti terzi, il PSN funge da informativa agli interessati (art. 14, par. 5, lett. b) del Regolamento, art. 6 Regole deontologiche, all. A4 al Codice).

4. Valutazioni dell’Autorità

Come anticipato, con il parere del 30 giugno 2022 (doc. web 9794929) sul PSN 2020-2022 aggiornamento 2022, il Garante ha disposto tra l’altro la sospensione del lavoro statistico EMR-00028.

La scheda informativa del lavoro statistico, che funge anche da informativa agli interessati nel caso in cui per gli scopi statistici ivi indicati i dati non siano raccolti direttamente presso gli interessati (art. 6, comma 2 delle Regole deontologiche), non lasciava comprendere se per il trattamento in esame le informazioni fossero raccolte direttamente presso gli interessati ovvero presso le strutture ricettive e in tale ultimo caso quale fosse per tali titolari del trattamento il presupposto di liceità per la raccolta delle informazioni.

In sede istruttoria la Regione ha chiarito che in nessun caso l’Ufficio di statistica della Ragione raccoglie dati direttamente presso gli interessati, raccogliendo i dati presso le strutture ricettive che agiscono in qualità di autonomi titolari del trattamento.

I dati necessari per la realizzazione del lavoro statistico EMR-00028 sono raccolti presso tali strutture nella misura in cui e limitatamente a quelle che sono nella loro disponibilità, rispetto ad alcune delle quali nell’informativa è infatti chiarito che “il conferimento dei suoi dati alla struttura ricettiva è facoltativo. Una volta conferiti la struttura ha l’obbligo di comunicare i dati agli enti preposti alle rilevazioni statistiche in aderenza a quanto definito nel Piano Statistico Nazionale”

Ciò premesso, viste le modifiche apportate alla scheda informativa del lavoro statistico EMR-00028 e i chiarimenti resi, idonei a superare le criticità rilevate dal Garante in relazione al lavoro statistico in esame, si ritiene che nulla osti all’esecuzione del lavoro stesso, anche in attuazione del PSN 2023-2025 sul quale il Garante si è espresso con il parere del 16 novembre 2023 (doc. web 9966570).

Sotto altro profilo, appare necessario chiarire che, prevedendo la rilevazione in esame una raccolta di dati personali presso soggetti terzi, l’informativa si intende resa attraverso la richiamata scheda informativa del lavoro statistico inserita nel PSN, ai sensi dell’art. 6, comma 2 delle Regole deontologiche, allegato A4 al Codice e dell’art. 14, par. 5 lett. b) del Regolamento.

Non spetta quindi a questa Autorità esprimersi rispetto al modello di informativa predisposto dalla Regione Emilia Romagna per i trattamenti di dati personali dei clienti svolti dalle strutture ricettive, la cui idoneità, in omaggio al principio di responsabilizzazione (art. 5, par. 2 del Regolamento), dovrà essere valutata da ciascuna di esse in qualità di autonomo titolare del trattamento.

Cionondimeno, in un’ottica di promozione della consapevolezza dei titolari del trattamento riguardo agli obblighi imposti dal Regolamento, preme ricordare, come già evidenziato nel precedente paragrafo 3, che le informative sul trattamento dei dati personali, rese ai sensi degli articoli 13 o 14 del Regolamento, a seconda che i dati siano raccolti presso di essi ovvero presso terzi, devono essere predisposte in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (cfr. Guidelines on transparency under Regulation 2016/679, Adopted on 29 November 2017), rilevandosi come un testo lungo, articolato, recante numerosi rinvii a specifiche disposizioni di legge o differenti sezioni interne del documento medesimo, come quello trasmesso in atti, rischi di disattendere tale caratteristiche a discapito della autodeterminazione informativa degli interessati.

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b) del Regolamento, dell’art. 6- bis del d.lgs. 322 del 1989 e dell’art. 4-bis delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale, Allegato A.4 al Codice, esprime parere favorevole, nei termini di cui in premessa, sul lavoro statistico EMR-00028 Rilevazione delle tipologie e caratteristiche dei clienti negli esercizi ricettivi, inserito nel PSN2020-2022 e in quello 2023-2025 .

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, il 22 febbraio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei