Parere del Garante n. 265 del 03/05/2024

Parere su istanza di accesso civico a dati vaccinali e sui decessi nella Regione Toscana

Il Garante si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 14 marzo 2013, n. 33, sulla richiesta di parere formulata dal Responsabile della prevenzione della corruzione e della trasparenza della Regione Toscana in relazione al riesame di un diniego di accesso civico generalizzato. L’istanza riguardava dati molto dettagliati su residenti, vaccinazioni anti Covid-19 e decessi, con articolazione territoriale, anagrafica e temporale molto puntuale.

Quadro normativo di riferimento

Il parere si colloca nel perimetro dell’accesso civico generalizzato di cui all’art. 5, comma 2, del d.lgs. n. 33/2013, e dei limiti previsti dall’art. 5-bis del medesimo decreto. Il Garante richiama il GDPR, in particolare:

• art. 4, par. 1, nn. 1 e 15, sulle definizioni di dato personale e dati relativi alla salute;
• art. 5, par. 1, lett. b) e c), sui principi di limitazione della finalità e minimizzazione;
• art. 5, par. 2, e art. 24, sull’accountability del titolare;
• art. 9, sulle categorie particolari di dati personali;
• art. 32 e art. 35, rispettivamente su sicurezza del trattamento e valutazione d’impatto.

Sono richiamate inoltre le Linee guida ANAC n. 1309 del 28 dicembre 2016, adottate d’intesa con il Garante, e il provvedimento del Garante n. 521 del 15 dicembre 2016. Il Garante ribadisce la distinzione tra eccezioni assolute ed eccezioni relative all’accesso civico: nel primo caso l’ostensione va esclusa senza bilanciamento, nel secondo va verificato se l’accesso arrechi un pregiudizio concreto a un interesse giuridicamente rilevante, tra cui la protezione dei dati personali.

Contenuto dell’istanza e motivazioni del diniego

L’istanza chiedeva, per il periodo 2018-2023, dati sui residenti in Toscana suddivisi per provincia, sesso, classe quinquennale di età e status vaccinale Covid-19, indicando numero di dosi e periodi di inoculazione. Per i decessi, l’istanza richiedeva il numero totale dei decessi per provincia, sesso, classe d’età, cause di morte e status vaccinale.

La Regione Toscana ha respinto la richiesta rilevando che si trattava di dati relativi alla salute e che le informazioni richieste, pur senza nominativi, non potevano dirsi anonimizzate né sufficientemente aggregate. L’amministrazione ha inoltre osservato che il ristretto ambito territoriale e la granularità delle variabili avrebbero reso agevole l’identificazione indiretta degli interessati, anche mediante incrocio con altre fonti. Ha infine rappresentato che la predisposizione del documento avrebbe richiesto un’elaborazione non ordinaria e la creazione di un nuovo documento.

Valutazione del Garante sulla delicatezza dei dati richiesti

Il Garante considera le informazioni richieste particolarmente delicate, poiché riferite a soggetti vaccinati, al numero delle dosi somministrate e, in alcuni casi, al decesso con indicazione della causa di morte. Osserva che la richiesta può rivelare, anche indirettamente, dati sulla salute o altre categorie particolari di dati personali.

Viene sottolineato che una eventuale ostensione dei dati, così come formulata, sarebbe idonea a incidere sulle misure di sicurezza e sulle valutazioni di rischio di re-identificazione effettuate dal titolare del trattamento ai sensi degli artt. 32 e 35 GDPR. Il Garante evidenzia che il numero di dosi e l’eventuale mancato completamento del ciclo vaccinale potrebbero, in concreto, lasciare emergere situazioni di esonero o differimento connesse a morbilità pregresse o attuali, con conseguente possibile rivelazione di dati sanitari o di altre convinzioni personali.

Regime di accessibilità dell’Anagrafe vaccinale

Il provvedimento richiama il D.M. 17 settembre 2018, istitutivo dell’Anagrafe nazionale vaccini, adottato in attuazione dell’art. 4-bis del d.l. n. 73/2017. Tale disciplina prevede che l’anagrafe sia alimentata anche dalle anagrafi vaccinali regionali e che l’accesso ai dati avvenga secondo livelli differenziati, in base alla funzione istituzionale e al soggetto abilitato.

In particolare, per le regioni e le province autonome, l’accesso ai dati per il monitoraggio delle coperture vaccinali è consentito solo in forma aggregata e anonima. Il Garante richiama inoltre l’art. 5, comma 2, del D.M. 17 settembre 2018, secondo cui i dati contenuti nell’Anagrafe nazionale vaccini possono essere diffusi esclusivamente in forma anonima.

Dato aggregato, dato anonimo e rischio di re-identificazione

Il Garante dedica una parte significativa del parere alla distinzione tra dati aggregati e dati anonimi. L’aggregazione è descritta come tecnica utile a impedire l’individuazione degli interessati mediante raggruppamento con almeno altre persone e generalizzazione dei valori. Tuttavia, tale tecnica è efficace solo se le soglie di aggregazione sono adeguate al campione e alle informazioni contenute, perché la sola aggregazione ex ante non sempre evita la singolarizzazione del soggetto.

Richiamando anche le regole deontologiche per i trattamenti statistici e le indicazioni del WP29, il Garante ribadisce che i dati aggregati non devono consentire combinazioni con frequenza inferiore a tre. Per quanto riguarda l’anonimizzazione, viene ricordato che essa deve impedire in modo irreversibile l’identificazione, tenendo conto di tutti i mezzi ragionevolmente utilizzabili per identificare, direttamente o indirettamente, l’interessato. Sono richiamati, in particolare, i rischi di:

• single-out, cioè isolamento della persona nel gruppo;
• linkability, cioè collegamento tra dati anonimizzati e altri dati riferibili alla stessa persona;
• inference, cioè deduzione di nuove informazioni riferibili alla persona.

Applicazione al caso concreto

Nel caso esaminato, il Garante condivide la valutazione della Regione Toscana sul rischio elevato di re-identificazione. La combinazione di variabili richieste — provincia, sesso, classi quinquennali di età, numero di dosi, periodi di somministrazione mese/anno, decessi e cause di morte — rende particolarmente forte il rischio, specie per i gruppi numericamente più piccoli o estremi, come bambini e anziani.

Il Garante osserva inoltre che il richiedente aveva presentato richieste analoghe anche ad altre Regioni e che, secondo i precedenti dell’Autorità, sono disponibili presso terzi ulteriori banche dati con informazioni individuali e disaggregate su milioni di soggetti vaccinati, comprensive di date di nascita, decesso e somministrazioni delle dosi. Ciò rafforza il rischio di incrocio e identificazione indiretta.

In questa prospettiva, il parere del 2020 richiamato dal richiedente non è ritenuto conferente, perché riferito a dati diversi e comunque alla necessità di evitare ostensioni che possano rivelare, anche indirettamente, identità e stato di salute.

Bilanciamento tra trasparenza e protezione dei dati personali

Il Garante afferma che l’accesso civico, per la sua natura pubblica, attribuisce ai dati un regime di conoscibilità più ampio di quello dell’accesso documentale ex l. n. 241/1990, sicché il bilanciamento deve essere svolto con particolare attenzione. La conoscibilità generalizzata delle informazioni richieste determinerebbe un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà degli interessati, in particolare alla luce delle ragionevoli aspettative di confidenzialità e della non prevedibilità, al momento della raccolta, dell’ulteriore diffusione dei dati.

Tuttavia, il Garante precisa che le esigenze di trasparenza possono essere soddisfatte con dati anonimi e aggregati, purché non si introducano elementi che aumentino il rischio di re-identificazione oltre quanto necessario. In questo senso, la Regione può valutare quali aggregazioni siano idonee a evitare ogni singolarità.

Indicazioni operative e esito del parere

Il Garante richiama l’opportunità, in linea con ANAC e con la circolare n. 2/2017 del Ministro per la semplificazione e la pubblica amministrazione, di instaurare un dialogo cooperativo con il richiedente per ridefinire l’oggetto dell’istanza entro limiti compatibili con la normativa privacy e con i principi di buon andamento e proporzionalità.

L’esito è favorevole con condizioni: il Garante esprime parere favorevole alla posizione del RPCT della Regione Toscana, a condizione che l’amministrazione, dopo una valutazione concreta della natura identificativa dei dati e del rischio di re-identificazione ai sensi degli artt. 5, par. 2, e 24 GDPR, comunichi solo dati aggregati idonei a evitare casi di singolarità. Resta fermo che eventuali operazioni volte a re-identificare gli interessati non sarebbero compatibili con la normativa in materia di protezione dei dati personali.