Parere del Garante n. 358 del 31/10/2022

Parere su istanza di accesso civico al database di uno studio clinico

Il Garante per la protezione dei dati personali si pronuncia, ai sensi dell’art. 5, comma 7, d.lgs. 33/2013, sulla richiesta del RPCT dell’Istituto Superiore di Sanità relativa a un’istanza di accesso civico generalizzato avente a oggetto il database di uno studio clinico. Il caso riguarda un insieme di dati pseudonimizzati riferiti a soggetti arruolati nella sperimentazione, con numerosi elementi idonei a incidere sulla riservatezza e sul rischio di re-identificazione.

Quadro normativo di riferimento

Il parere richiama l’art. 5, comma 2, del d.lgs. 33/2013 sull’accesso civico generalizzato e l’art. 5-bis del medesimo decreto, in particolare:

• il comma 2, lett. a), che consente il diniego quando necessario per evitare un pregiudizio concreto alla protezione dei dati personali;
• il comma 3, che esclude l’accesso nei casi di divieti di accesso o divulgazione previsti dalla legge.

Sul piano privacy, il Garante richiama il GDPR, in particolare gli artt. 4, par. 1, nn. 1, 5 e 15, nonché l’art. 9 sui dati appartenenti a categorie particolari. Vengono inoltre richiamati l’art. 1, comma 1, il divieto di diffusione dei dati relativi alla salute previsto dal Codice privacy, in particolare l’art. 2-septies, comma 8, e il richiamo contenuto nell’art. 7-bis, comma 6, d.lgs. 33/2013. Rilevano anche le Linee guida ANAC sull’accesso civico e il precedente parere reso dal Garante sull’intesa relativa a tali linee guida.

Valutazione sulla natura dei dati richiesti

Il database oggetto dell’istanza contiene dati registrati in forma pseudonimizzata e, secondo l’istruttoria, include identificatori diretti e quasi-identificatori, tra cui codice del paziente e del centro, età, etnia, peso, altezza, abitudini al fumo, varie date cliniche e informazioni su terapia, esiti e complicanze.

Il Garante osserva che la pseudonimizzazione non elimina la natura di dato personale: i dati restano riferibili a una persona fisica identificabile. Inoltre, il contenuto del database è riconducibile ai dati relativi alla salute, poiché attiene alla prestazione di servizi sanitari e rivelazione dello stato di salute dei partecipanti allo studio clinico.

Conseguenze sull’accesso civico generalizzato

Poiché i dati in questione sono dati sulla salute, per i quali vige il divieto di diffusione, l’accesso civico generalizzato deve essere escluso ai sensi dell’art. 5-bis, comma 3, d.lgs. 33/2013. Il Garante qualifica la fattispecie come “eccezione assoluta”: l’amministrazione è tenuta a rifiutare l’ostensione e non deve procedere alla valutazione del pregiudizio concreto prevista per le ipotesi di diniego non assoluto.

L’Autorità sottolinea anche che i dati relativi alla salute, pur oggetto di accesso civico, non possono diventare “dato pubblico” liberamente conoscibile da chiunque, in ragione delle garanzie poste dalla normativa privacy e del rischio di successiva re-identificazione.

Anonimizzazione, minimizzazione e limiti dell’obbligo di rielaborazione

Una parte rilevante del parere riguarda la richiesta di ottenere il database previa anonimizzazione. L’ISS rappresenta che l’operazione sarebbe tecnicamente complessa e costosa, richiederebbe strumenti informatici specifici non disponibili e dovrebbe essere eseguita con grande cautela per evitare sia il rischio di re-identificazione sia l’alterazione del significato dei dati, specie nei testi liberi.

Il Garante osserva che il principio di accountability impone al titolare di valutare il rischio di re-identificazione, ma ribadisce anche che, in materia di accesso civico generalizzato, la pubblica amministrazione non è tenuta a rielaborare i dati in suo possesso: deve consentire l’accesso ai documenti e ai dati già detenuti, nei limiti di legge, non a ricostruirli o trasformarli appositamente per l’istanza.

Il parere aggiunge che, ove i dati fossero realmente anonimizzati in modo irreversibile, la disciplina privacy non troverebbe applicazione e non vi sarebbero motivi ostativi all’accesso sotto tale profilo. Tuttavia, nel caso concreto, l’ISS ha motivato l’impossibilità di procedere in modo adeguato e l’Autorità non contesta tale valutazione.

Data sharing e qualità di co-investigatore dell’istante

Il soggetto istante aveva richiamato una data sharing policy pubblicata con l’articolo scientifico e la propria qualità di co-investigatore. Il Garante chiarisce che tali elementi non incidono sulla valutazione dell’istanza di accesso civico generalizzato, poiché seguono eventuali meccanismi di data availability e le procedure previste in quel contesto, che esulano dall’analisi svolta nel parere.

Conclusioni

Il Garante esprime parere favorevole alla posizione dell’Istituto Superiore di Sanità, confermando che il database richiesto non può essere osteso in via di accesso civico generalizzato, in quanto contiene dati personali relativi alla salute e quindi soggetti a un divieto di diffusione. Il diniego è quindi legittimo come eccezione assoluta ai sensi dell’art. 5-bis, comma 3, d.lgs. 33/2013.