Parere del Garante n. 552 del 27/11/2023

Parere sul diniego di accesso civico ai dati dell’Anagrafe nazionale vaccini

Il Garante per la protezione dei dati personali si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, sulla richiesta di parere del Responsabile della prevenzione della corruzione e della trasparenza del Ministero della salute relativa al diniego di un’istanza di accesso civico generalizzato. La richiesta concerneva dati individuali sui soggetti sottoposti alla prima dose di vaccino anti Covid-19 tra il 27 dicembre 2020 e il 26 dicembre 2022, deceduti entro il 9 gennaio 2023.

Oggetto dell’istanza e posizione delle parti

L’istante chiedeva dati utili a integrare un precedente flusso informativo già ottenuto dal Ministero in esecuzione di una sentenza, relativo ai soggetti vaccinati nel periodo 27/12/2020 - 26/12/2021 e deceduti entro il 09/01/2022. Il Ministero ha rigettato la nuova istanza sostenendo che la specificità del target richiesto comportasse un concreto pregiudizio per la riservatezza e la protezione dei dati personali, con elevato rischio di re-identificazione degli interessati, già emerso in occasione della precedente fornitura. Ha inoltre richiamato il fatto che i dati richiesti attengono a dati relativi alla salute e che il loro trattamento è vietato dall’art. 9 GDPR, con conseguente applicazione del limite di cui all’art. 5-bis, comma 2, lett. a), d.lgs. 33/2013.

Quadro normativo applicato

Il Garante richiama la disciplina dell’accesso civico generalizzato, per cui chiunque può accedere a dati e documenti detenuti dalle pubbliche amministrazioni nei limiti dell’art. 5-bis del d.lgs. 33/2013. Ricorda la distinzione tra eccezioni assolute e relative nelle Linee guida ANAC: le prime impongono il diniego senza bilanciamento, le seconde richiedono una valutazione caso per caso del pregiudizio concreto alla tutela dell’interesse protetto.

Vengono richiamati anche:

• la definizione di dato personale dell’art. 4, par. 1, n. 1, GDPR;
• i principi di limitazione della finalità e minimizzazione dei dati, art. 5, par. 1, lett. b) e c), GDPR;
• la tutela dei dati relativi alla salute, quali categorie particolari di dati personali;
• la disciplina dei dati delle persone decedute, alla luce del considerando 27 GDPR e dell’art. 2-terdecies del Codice privacy;
• il principio di responsabilizzazione del titolare, art. 5, par. 2, e art. 24 GDPR.

Regime di accesso all’Anagrafe nazionale vaccini

Il parere ricostruisce il decreto del Ministero della salute 17 settembre 2018, istitutivo dell’Anagrafe nazionale vaccini, adottato in attuazione dell’art. 4-bis del d.l. 73/2017. L’anagrafe è finalizzata al monitoraggio dei programmi vaccinali e alla verifica delle coperture vaccinali, nonché all’elaborazione di indicatori a livello nazionale, regionale e aziendale.

Il decreto disciplina un accesso selettivo e funzionale ai dati, riservato a specifiche unità organizzative regionali e ministeriali e, in diversi casi, soltanto in forma aggregata e anonima. Il Garante sottolinea dunque che il sistema normativo di settore non consente una divulgazione indiscriminata di dati individuali tramite accesso civico.

Valutazione del caso concreto

Nel caso esaminato, l’istante disponeva già di un database fornito dal Ministero in esecuzione di una decisione giudiziale, contenente dati individuali e disaggregati di oltre 45 milioni di soggetti vaccinati, privi di nome e cognome, ma comprensivi di data di nascita, data di eventuale decesso e date delle dosi vaccinali. La nuova richiesta mirava ad ottenere dati riferiti a un periodo successivo.

Il Garante osserva che le informazioni richieste sono particolarmente delicate perché, anche in assenza di nominativi, consentono di riferire i record a singoli individui quando vengano incrociati con altre fonti informative. Il rischio di re-identificazione è rafforzato dal fatto che i dati riguardano una popolazione molto ampia ma al tempo stesso estremamente caratterizzata da elementi specifici, come le date di nascita, le dosi effettuate e il decesso.

Dati aggregati, anonimizzazione e rischio di re-identificazione

Il Garante chiarisce che i dati oggetto dell’istanza non possono essere considerati "aggregati". L’aggregazione richiede infatti un raggruppamento idoneo a impedire l’individuazione dei soggetti, con una soglia minima pari a tre, come richiamato dalle regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica. Nel caso concreto non risultano adottate tecniche di generalizzazione o raggruppamento tali da escludere la singolarità dei record.

Analogamente, i dati non sono considerabili "anonimi". La semplice rimozione di nome e cognome non basta, poiché l’anonimizzazione richiede che l’identificazione sia impedita in modo irreversibile, tenendo conto di tutti i mezzi ragionevolmente utilizzabili per re-identificare i soggetti, anche a posteriori. Il Garante richiama in proposito le tecniche note a livello europeo, come generalizzazione, randomizzazione, aggiunta di rumore statistico, permutazioni, privacy differenziale, k-anonimato, l-diversità e t-vicinanza.

Il rischio di re-identificazione va valutato in concreto considerando anche costi, tempo e tecnologie disponibili, nonché la possibilità di single-out, linkability e inference. Nel caso di specie, l’Autorità ritiene che tale rischio sia effettivo e già dimostrato dalla precedente esperienza di fornitura dei dati, che aveva consentito a terzi di verificarne la corrispondenza con persone note.

Conclusioni del Garante

Alla luce del regime di pubblicità proprio dell’accesso civico, l’ostensione dei dati richiesti comporterebbe un pregiudizio concreto alla protezione dei dati personali ai sensi dell’art. 5-bis, comma 2, lett. a), d.lgs. 33/2013. Il Garante ritiene quindi corretto il rigetto dell’istanza operato dal Ministero della salute.

L’Autorità precisa che le esigenze conoscitive dell’istante devono poter essere soddisfatte solo nel rispetto della normativa privacy e senza fornire elementi che permettano l’identificazione diretta o indiretta, anche a posteriori, dei soggetti coinvolti, compresi i soggetti vaccinati deceduti. Restano in ogni caso incompatibili con la disciplina di protezione dei dati personali eventuali operazioni finalizzate a re-identificare gli interessati.