Parere del Garante n. 711 del 30/09/2026

Accesso civico a dati epidemiologici oncologici

Il Garante si è pronunciato il 30 settembre 2026, su richiesta del Difensore civico della Regione Lazio ai sensi dell’art. 5, comma 8, del d.lgs. n. 33/2013, sul diniego di un’istanza di accesso civico generalizzato presentata al Dipartimento di Epidemiologia dell’ASL Roma 1. La richiesta riguardava dati di morbilità e mortalità oncologica riferiti a una coorte circoscritta territorialmente, individuata in alcune vie di un Comune, per il periodo 2010-2026.

Quadro normativo sull’accesso ai dati sanitari

I dati relativi alla salute sono categorie particolari di dati personali ai sensi dell’art. 9 GDPR. Il Codice privacy vieta la diffusione di tali dati, ossia la loro conoscibilità da parte di soggetti indeterminati: il divieto è previsto dagli artt. 2-septies, comma 8, e 2-ter, comma 4, lett. b), del d.lgs. n. 196/2003 ed è richiamato dall’art. 7-bis, comma 6, del d.lgs. n. 33/2013.

Di conseguenza, una richiesta di accesso civico generalizzato avente a oggetto dati relativi alla salute rientra nell’esclusione prevista dall’art. 5-bis, comma 3, del d.lgs. n. 33/2013. Si tratta di un’eccezione assoluta: l’amministrazione è tenuta a negare l’accesso e non deve procedere a un’ulteriore valutazione del pregiudizio concreto. Il Garante richiama, in proposito, le Linee guida ANAC adottate con determinazione n. 1309 del 28 dicembre 2016, in particolare i paragrafi 6 e 6.2.

Quando i dati numerici possono essere anonimi

Il fatto che l’istanza riguardi conteggi e non nominativi non esclude che le informazioni siano dati personali. Ai sensi dell’art. 4, par. 1, n. 1, GDPR, rilevano anche le informazioni riferibili a persone identificabili indirettamente. Il considerando 26 richiede di considerare tutti i mezzi ragionevolmente utilizzabili per identificare una persona, tenendo conto dei fattori obiettivi, dei costi e del tempo necessari e delle tecnologie disponibili o in evoluzione.

L’anonimizzazione deve impedire in modo effettivo e irreversibile che i dati siano attribuiti a una persona specifica. La valutazione deve considerare non solo la possibilità di recuperare un’identità, ma anche l’individuazione di una persona all’interno di un gruppo, il collegamento con altri dati e la deduzione di informazioni personali. Il Garante richiama le tecniche di anonimizzazione descritte dal Gruppo di lavoro art. 29, tra cui randomizzazione, generalizzazione, rumore statistico, permutazioni, privacy differenziale e aggregazione, precisando che la loro efficacia dipende dalla progettazione e dall’applicazione adeguata al caso concreto e che possono residuare rischi anche dopo il trattamento.

Aggregazione e soglia minima

L’aggregazione mira a ridurre l’identificabilità raggruppando le persone e generalizzando i valori degli attributi. Deve essere commisurata alla dimensione del campione e alle informazioni disponibili: la sola applicazione preventiva di tecniche di aggregazione non esclude necessariamente singolarità o re-identificazione, soprattutto quando terzi dispongano di informazioni ausiliarie.

Il Garante richiama l’art. 4, comma 1, lett. a), delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica nell’ambito del Sistema statistico nazionale, secondo cui i dati aggregati corrispondono a combinazioni di modalità con frequenza non inferiore a una soglia prestabilita, il cui valore minimo è pari a tre. Tale soglia costituisce un riferimento minimo e non sostituisce la valutazione concreta della proporzionalità rispetto al campione e al rischio di identificazione.

Valutazione del caso concreto e ruolo del titolare

Nel caso in esame, il limitato ambito territoriale e i criteri richiesti — patologie, morbilità, mortalità e periodo temporale — devono essere valutati con particolare cautela, data la natura sensibile delle informazioni. Le soglie di aggregazione devono essere sufficienti a evitare che una persona possa essere isolata nel gruppo o che il dato possa essere collegato ad altre informazioni riferibili alla stessa persona.

Il Dipartimento di Epidemiologia dell’ASL Roma 1 ha motivato il diniego rilevando il rischio di re-identificazione indiretta e dichiarando che la Regione Lazio – Direzione regionale Salute e integrazione socio-sanitaria è titolare del trattamento, mentre il Dipartimento opera come responsabile ai sensi dell’art. 28 GDPR. Ha inoltre rappresentato che, in base all’art. 28, par. 3, lett. a), GDPR e alle convenzioni di servizio, non dispone del potere di condividere con terzi i dati e i documenti richiesti.

Il Garante ha ritenuto che, allo stato degli atti, non vi fossero elementi per discostarsi da tali valutazioni. Non ha condiviso l’argomento del Difensore civico secondo cui l’area richiesta non sarebbe assimilabile a un microinsediamento: il rischio va valutato in concreto dal titolare, secondo i principi di responsabilizzazione di cui agli artt. 5, par. 2, e 24 GDPR. La valutazione deve considerare anche la possibilità che l’istante o altri soggetti, in ragione della pubblicità propria dell’accesso civico prevista dall’art. 3, comma 1, del d.lgs. n. 33/2013, incrocino i dati con informazioni ausiliarie o con altre banche dati.

Esito del parere

L’eventuale re-identificazione renderebbe conoscibili informazioni sulla salute dei pazienti oncologici, per le quali l’accesso civico è escluso dall’art. 5-bis, comma 3, del d.lgs. n. 33/2013, e determinerebbe un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà degli interessati, in relazione al principio di minimizzazione dell’art. 5, par. 1, lett. c), GDPR.

Il parere è reso nei termini esposti e non avalla l’ostensione dei dati richiesti nella forma prospettata. Resta al titolare del trattamento la valutazione dell’eventuale comunicazione di informazioni adeguatamente aggregate, purché i criteri adottati impediscano ogni singolarità o collegabilità a persone fisiche e assicurino un’effettiva anonimizzazione.