Parere del Garante n. 625 del 21/09/2026

Accesso civico a dati degli utenti dei Ser.D. dell’ASL Avellino

Il Garante si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. n. 33/2013, su una richiesta di riesame relativa a un’istanza di accesso civico generalizzato presentata all’Azienda Sanitaria Locale Avellino. Il parere, adottato il 21 settembre 2026, conferma gli orientamenti già espressi nei provvedimenti n. 480 del 22 agosto 2025 e n. 475 del 13 agosto 2025, affrontando anche la richiesta di dati aggregati relativi a utenti minorenni.

Oggetto della richiesta

L’istanza, presentata da un’associazione di categoria, riguarda dati riferiti all’anno indicato come XX: numero complessivo degli utenti in carico presso i Ser.D. dell’Azienda, disaggregato per tipologia di dipendenza; numero degli utenti con disturbo da gioco d’azzardo; numero degli utenti minorenni per tipologia di dipendenza; e caratteristiche degli utenti quanto a età, genere, stato occupazionale e livello di istruzione. L’associazione ha dichiarato di voler utilizzare le informazioni per una ricerca nazionale sull’estensione e la natura delle diverse forme di dipendenza, con particolare riguardo a quelle associate al gioco d’azzardo. L’ASL non aveva risposto entro il termine di trenta giorni e l’istante si era rivolto al RPCT, insistendo nella richiesta.

Quadro normativo e natura dei dati

Le informazioni relative agli utenti dei Ser.D. sono dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR e riguardano categorie particolari di dati disciplinate dall’art. 9 GDPR. Il Codice privacy, agli artt. 2-septies, comma 8, e 2-ter, comma 4, lett. b), vieta la diffusione dei dati sulla salute; lo stesso limite è richiamato dall’art. 7-bis, comma 6, del d.lgs. n. 33/2013.

Di conseguenza, l’accesso civico generalizzato a informazioni che rivelino dati sulla salute ricade nell’esclusione prevista dall’art. 5-bis, comma 3, del d.lgs. n. 33/2013. Si tratta di un’eccezione assoluta: quando il divieto di divulgazione è applicabile, l’amministrazione deve rifiutare l’accesso senza procedere a una distinta valutazione del pregiudizio concreto. Rilevano, in materia, anche le Linee guida ANAC adottate con determinazione n. 1309 del 28 dicembre 2016, in particolare i paragrafi 6 e 6.2.

Anonimizzazione e dati aggregati

Il fatto che l’istanza riguardi dati numerici e non nomi o altri identificativi diretti non basta a escludere la presenza di dati personali. Ai sensi dell’art. 4, par. 1, n. 1, GDPR, è personale anche l’informazione riferibile a una persona identificabile, direttamente o indirettamente. Il considerando 26 GDPR impone di valutare tutti i mezzi ragionevolmente utilizzabili per l’identificazione, considerando fattori obiettivi quali costi, tempi e tecnologie disponibili.

Il considerando 26 definisce anonime le informazioni che non si riferiscono a una persona identificata o identificabile, o i dati personali resi sufficientemente anonimi da impedire o non consentire più l’identificazione. L’anonimizzazione deve impedire in modo irreversibile l’attribuzione dei dati a una persona specifica, tenendo conto anche dei rischi residui e delle informazioni ulteriori disponibili. Tra le tecniche possibili figurano randomizzazione, generalizzazione, rumore statistico, permutazione, privacy differenziale e aggregazione; la loro efficacia dipende dalla progettazione e dal contesto concreto.

L’aggregazione mira a impedire l’individuazione di una persona raggruppandola con altre e generalizzando i valori degli attributi. Per essere efficace, le soglie devono essere proporzionate al campione e alle informazioni contenute. Le Regole deontologiche per trattamenti statistici o di ricerca scientifica effettuati nell’ambito del Sistema statistico nazionale, adottate con provvedimento n. 514 del 19 dicembre 2018, definiscono aggregati non identificativi le combinazioni di modalità con frequenza non inferiore a una soglia prestabilita e fissano a tre il valore minimo attribuibile alla soglia. La soglia numerica, tuttavia, non sostituisce l’esame del contesto e del rischio concreto.

La valutazione deve impedire che soggetti ragionevolmente in grado di utilizzare i dati possano isolare una persona in un gruppo (single-out), collegare il dato a informazioni relative alla stessa persona presenti altrove (linkability) o dedurre nuove informazioni personali (inference). L’aggregazione preventiva non esclude sempre singolarità o re-identificazione mediante informazioni ausiliarie.

Valutazione del caso concreto

Il Garante considera rilevanti il bacino territoriale circoscritto all’ASL Avellino e la granularità delle variabili richieste: tipologia di dipendenza, distinzione dei minori, anno, età, genere, occupazione e livello di istruzione. In un contesto provinciale di ridotta consistenza e di elevata prossimità sociale, la combinazione di tali informazioni può rendere più agevole la re-identificazione, anche da parte di persone che condividano con l’interessato contesti familiari, scolastici o comunitari.

Il RPCT aveva riferito che i dati aggregati privi di rischio di re-identificazione potevano essere ostensibili, mentre le celle di ridotta numerosità, in particolare quelle con un solo caso, potevano consentire ragionevolmente l’identificazione degli interessati. Il Garante non ravvisa elementi per discostarsi da questa valutazione. In base ai principi di responsabilizzazione degli artt. 5, par. 2, e 24 GDPR, compete al titolare valutare concretamente la natura identificativa dei dati e il rischio derivante dall’ostensione, considerando anche il regime di pubblicità dell’accesso civico previsto dall’art. 3, comma 1, del d.lgs. n. 33/2013 e la possibilità di incrociare i dati con altre informazioni o banche dati.

Una re-identificazione potrebbe rivelare informazioni sulla salute, per le quali l’accesso è escluso dall’art. 5-bis, comma 3, del d.lgs. n. 33/2013, e determinare un’interferenza ingiustificata e sproporzionata nei diritti degli interessati, anche in considerazione del fatto che il servizio è reso in completo anonimato. L’Azienda può valutare la comunicazione di dati adeguatamente aggregati, purché i criteri adottati impediscano singolarità e collegabilità a persone fisiche e garantiscano un’effettiva anonimizzazione.

Finalità di ricerca scientifica o statistica

La dichiarazione dell’istante di voler svolgere una ricerca nazionale non è sufficiente, nel caso concreto, a dimostrare che il trattamento richiesto soddisfi la disciplina applicabile alla ricerca. I trattamenti per finalità scientifiche o statistiche devono rispettare gli artt. 5, par. 1, lett. a) e b), e 89 GDPR, gli artt. 104 e seguenti del Codice, le Prescrizioni relative al trattamento dei dati personali per scopi di ricerca scientifica, allegate al provvedimento n. 497 del 13 dicembre 2018, e le Regole deontologiche di cui all’allegato A5 al Codice, adottate con provvedimento n. 515 del 19 dicembre 2018. Queste ultime costituiscono condizione essenziale di liceità e correttezza ai sensi dell’art. 2-quater del Codice e dell’art. 21, comma 5, del d.lgs. n. 101 del 10 agosto 2018.

In particolare, le Regole deontologiche richiedono che la ricerca sia svolta da università, enti o istituti di ricerca, società scientifiche o ricercatori operanti nell’ambito di tali soggetti (art. 2, commi 1 e 2) e che si fondi su un progetto conforme agli standard metodologici del pertinente settore disciplinare (art. 3, comma 1). Il progetto deve descrivere anche le misure di protezione dei dati, gli eventuali responsabili e l’impegno a rispettare le Regole (art. 3, comma 2); deve inoltre essere conservato in forma riservata presso l’ente di afferenza per cinque anni dalla conclusione programmata della ricerca (art. 3, comma 4). Per le categorie particolari di dati devono essere rispettati anche i principi dell’art. 7 delle Regole deontologiche. Nel caso esaminato questi elementi non risultano documentati: la sola indicazione di una ricerca su scala nazionale non dimostra il rispetto dei requisiti.

Esito

Il Garante esprime il parere sulla richiesta del RPCT dell’ASL Avellino nei termini esposti. L’accesso non può riguardare dati sulla salute divulgati o dati aggregati che, nel contesto concreto, consentano la re-identificazione; resta rimessa all’Azienda la valutazione di eventuali aggregazioni che rendano i dati effettivamente anonimi e privi di rischio di individuazione o collegamento.