[normattiva_dump]

Resta, invece valida la definizione di «istituto o ente di ricerca», di cui alla lettera e), dell'articolo in esame, che deve esser interpretata alla luce del nuovo quadro normativo di settore di cui all'art. 5-ter del decreto legislativo 33 del 2013, che ha demandato al Comstat l'individuazione, sentito il garante, dei criteri per il riconoscimento degli enti di ricerca e delle strutture di ricerca di istituzioni pubbliche e private, avuto riguardo agli scopi istituzionali perseguiti, all'attività svolta e all'organizzazione interna in relazione all'attività di ricerca, nonché alle misure adottate per garantire la sicurezza dei dati. Tali criteri sono stati di recente individuati nelle linee guida per l'accesso a fini scientifici ai dati elementari del Sistema statistico nazionale (Gazzetta Ufficiale n. 287 dell'11 dicembre 2018). L'art. 4, «Identificabilità dell'interessato», è stato ritenuto necessario, in primo luogo, sostituire la parola «identificativi», al comma 1, lettera a), con la seguente locuzione «dati che ... identificano» l'unità statistica in quanto la definizione di «dati identificativi» di cui all'art. 4, comma 1, lettera c), del Codice è stata abrogata dal decreto legislativo n. 101 del 2018, e non è più prevista dal Regolamento; in secondo luogo, il comma 1, lettera c), è stato ritenuto incompatibile nella misura in cui introduceva, per la valutazione del rischio di identificabilità degli interessati, dei parametri predefiniti che non sono in linea con il quadro giuridico introdotto dal Regolamento. Rispetto alle indicazioni fornite dal considerando 26, che per l'identificabilità di una persona indica, in particolare, che si tengano in considerazione «tutti i mezzi» di cui il titolare può ragionevolmente avvalersi, la disposizione in esame poneva come parametri predefiniti la tipologia di dati comunicati o diffusi, la proporzione tra i mezzi per l'identificazione e la lesione o il pericolo di lesione dei diritti degli interessati, ciò anche alla luce del vantaggio che ne poteva trarre il titolare. Tale disposizione, quindi, nel fornire ai titolari delle coordinate per valutare l'identificabilità dell'interessato attualmente superate, manifestava anche un approccio alla definizione e valutazione del rischio più circoscritte rispetto a quella del Regolamento in cui tale valutazione deve tener conto delle nuove tecnologie utilizzate, della natura, dell'oggetto, del contesto e delle finalità di ogni tipo di trattamento, (cfr. anche cons. 84, 89, 93 e 95 e articoli 5, § 1, lettera e), 24, 35 e 36 del Regolamento). L'art. 5, «Criteri per la valutazione del rischio di identificazione», è stato mantenuto considerandosi, in via generale, compatibile con il Regolamento, nella misura in cui si limita a fornire alcuni parametri, orientativi, non esaustivi, per la valutazione del rischio di identificazione degli interessati. Al fine di assicurarne un'applicazione conforme al Regolamento, si è, tuttavia, ritenuto necessario modificarlo con l'aggiunta di un «anche» (al primo comma, tra le parole «tiene conto» e «dei seguenti»), affinchè sia chiaro che i parametri ivi indicati devono, comunque, considerarsi meramente esemplificativi e, soprattutto, non alternativi rispetto al nuovo quadro giuridico introdotto dal Regolamento sopra descritto. Sono stati modificati il titolo del Capo II da «Informativa, comunicazione e diffusione» in «Informazioni agli interessati, comunicazione e diffusione» e la rubrica dell'art. 6 da «Informativa» a «Informazioni agli interessati», per omogeneità con il Regolamento. L'art. 6, «Informazioni agli interessati», il comma 2 è risultato incompatibile con il Regolamento nella parte in cui prevedeva alcune deroghe all'obbligo di informativa in caso di raccolta dei dati presso gli interessati. In particolare, tale comma è stato eliminato, che consentiva di fornire un'informativa differita, per la parte riguardante le specifiche finalità e modalità del trattamento, qualora ciò risultasse necessario per il raggiungimento dell'obiettivo dell'indagine. Ciò, in quanto l'art. 13 del Regolamento non prevede alcuna forma di deroga o semplificazione agli obblighi informativi quando i dati sono raccolti presso gli interessati. L'art. 6, comma 3, che consente ad un soggetto di rispondere in nome e per conto di un altro, è stato considerato compatibile con il Regolamento e con l'art. 105, comma 3, del Codice, in quanto definisce le specifiche circostanze in cui tale modalità di raccolta è possibile. Sul punto, tuttavia, deve precisarsi che, il principio di responsabilizzazione impone, in ogni caso, al titolare del trattamento di porre in essere specifiche misure per verificare, ed essere in grado di dimostrare, che il rispondente sia effettivamente legittimato a fornire i dati di un terzo. È stato altresì ritenuto incompatibile l'art. 6, comma 4, che individuava alcuni casi di deroga all'obbligo di fornire, informazioni agli interessati quando i dati sono raccolti presso terzi, disponendo che il titolare dovesse dare preventiva informazione al garante delle modalità prescelte, tra quelle indicate a titolo esemplificativo dalla norma. Parimenti, è stato considerato incompatibile il comma 5 dell'articolo in esame, nella parte in cui, qualora il titolare avesse ritenuto di non utilizzare le forme di pubblicità indicate al comma 4, poteva individuare idonee forme di pubblicità da comunicare preventivamente al garante, che poteva prescrivere eventuali misure e accorgimenti. L'art. 14, § 5, lettera b), del Regolamento ora prevede, infatti, che le informazioni in caso di raccolta di dati presso terzi possano essere omesse nel caso in cui la comunicazione di tali informazioni risultasse impossibile o implicherebbe uno sforzo sproporzionato. Con particolare riferimento ai trattamenti a fini di ricerca scientifica o a fini statistici, fatte salve le condizioni e le garanzie di cui all'art. 89, § 1, non vi è, inoltre, l'obbligo di informare l'interessato nella misura in cui ciò rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento è tenuto comunque ad adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni. L'art. 7 «Consenso» è stato eliminato perché le condizioni di liceità del trattamento, ed in particolare le condizioni per il consenso, sono disciplinate nel Regolamento (articoli 6 e 7). L'art. 8 «Comunicazione e diffusione dei dati» è stato considerato incompatibile in quanto i presupposti di liceità di tali operazioni di trattamento sono adesso individuate nel Regolamento (articoli 6, 9 e 10) e nel Codice (articoli 2-ter, 2-sexies, 2-septies e 2-octies). L'articolo in esame è stato, inoltre, considerato incompatibile nella parte in cui, al comma 4, ultimo alinea, e al comma 5 disciplinava il trasferimento di dati personali verso paesi terzi, adesso normato agli articoli 44 e seguenti del Regolamento.