Parere del Garante n. 480 del 22/08/2025

Parere su istanza di accesso civico relativa a dati sui Ser.D. e sul disturbo da gioco d’azzardo

Il Garante si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, sulla richiesta di parere formulata dal Responsabile della prevenzione della corruzione e della trasparenza dell’Azienda USL di Modena in relazione a un provvedimento di diniego parziale di accesso civico generalizzato. L’istanza riguardava dati numerici, riferiti al 2024, sugli utenti in carico ai Ser.D. e sui pazienti con disturbo da gioco d’azzardo, anche con eventuali dipendenze associate, oltre a variabili quali età, genere, occupazione e livello di istruzione.

Quadro normativo di riferimento

Il parere si fonda sul GDPR, sul Codice privacy e sulla disciplina dell’accesso civico di cui al d.lgs. 33/2013. In particolare, sono richiamati:

• l’art. 4, par. 1, nn. 1 e 15, GDPR, per la nozione di dato personale e di dato relativo alla salute;
• gli artt. 5, par. 1, lett. c), 5, par. 2, e 24 GDPR, per il principio di minimizzazione e il principio di responsabilizzazione;
• l’art. 9 GDPR, relativo alle categorie particolari di dati personali;
• gli artt. 2-ter, comma 4, lett. b), e 2-septies, comma 8, del Codice privacy, nonché l’art. 7-bis, comma 6, del d.lgs. 33/2013, che sanciscono il divieto di diffusione dei dati idonei a rivelare lo stato di salute;
• l’art. 5-bis, comma 3, del d.lgs. 33/2013, che prevede le eccezioni assolute all’accesso civico. Sono inoltre richiamate le Linee guida ANAC n. 1309/2016, adottate d’intesa con il Garante, e la relativa intesa del Garante del 15 dicembre 2016.

Natura dei dati richiesti e rischio di identificazione

Il Garante osserva che l’attività dei Ser.D. riguarda la prevenzione, diagnosi, cura e riabilitazione delle dipendenze da sostanze e comportamentali e che i dati relativi agli utenti sono certamente dati sulla salute. Pur trattandosi, nel caso concreto, di dati numerici non direttamente identificativi, essi possono comunque diventare riferibili a persone fisiche se, per il livello di dettaglio e per il contesto territoriale ristretto, consentono l’identificazione anche indiretta o a posteriori.

Il parere insiste sul fatto che, ai fini del GDPR, la nozione di identificabilità è ampia e comprende anche l’uso di elementi che, combinati con informazioni ausiliarie, permettono di risalire all’interessato. Per questo motivo, l’analisi non può limitarsi alla mera assenza di nome e cognome, ma deve considerare la concreta possibilità di re-identificazione.

Accesso civico e divieto assoluto di ostensione dei dati sulla salute

Il Garante chiarisce che la valutazione proposta dal richiedente, centrata sulla presunta mancanza di un nesso di causalità tra accesso e pregiudizio, non è pertinente nel caso di specie. Quando l’istanza concerne dati relativi alla salute, infatti, non si applica il bilanciamento tipico dell’art. 5-bis, comma 2, ma opera l’esclusione assoluta di cui al comma 3 dello stesso articolo.

Di conseguenza, i dati idonei a rivelare lo stato di salute non possono essere diffusi tramite accesso civico generalizzato. L’amministrazione, in presenza di tali dati, è tenuta a rifiutare l’accesso senza dover dimostrare un pregiudizio concreto, poiché la limitazione discende direttamente da una norma primaria posta a tutela di interessi fondamentali.

Anonimizzazione, aggregazione e soglie di sicurezza

Il Garante richiama i principi europei in materia di anonimizzazione, precisando che i dati sono realmente anonimi solo quando non consentono più l’identificazione dell’interessato, neppure combinandoli con mezzi ragionevolmente disponibili. Vengono ricordate le principali tecniche di anonimizzazione e i rischi residui, tra cui:

• single-out, cioè l’isolamento di una persona nel gruppo;
• linkability, cioè il collegamento con altri dati riferibili alla stessa persona;
• inference, cioè la deduzione di nuove informazioni personali.

Quanto all’aggregazione, il parere evidenzia che la tecnica può ridurre il rischio di re-identificazione solo se le soglie sono proporzionate al campione e alle informazioni disponibili. È richiamato il criterio, desunto dalle regole deontologiche in materia statistica, secondo cui la frequenza minima delle combinazioni di modalità deve essere almeno pari a tre.

Nel caso esaminato, la richiesta dell’associazione comprendeva variabili molto dettagliate e riferite a un ambito territoriale limitato. Il Garante ritiene quindi plausibile che la combinazione dei dati, anche se aggregati, possa rendere identificabili gli interessati, soprattutto ove siano disponibili informazioni ausiliarie o banche dati ulteriori.

Valutazione concreta del caso e conferma del diniego parziale

L’Azienda USL aveva già comunicato alcuni dati, ma aveva negato quelli ulteriori ritenuti a rischio di re-identificazione, spiegando che per il gruppo relativo al DGA con eventuale altra dipendenza associata il numero era pari a 3. Il Garante considera questo elemento particolarmente significativo, poiché conferma la delicatezza del campione e la necessità di evitare combinazioni che possano far emergere singolarità.

Richiamando il principio di accountability, il Garante afferma che spetta al titolare del trattamento valutare in concreto se i dati possano essere comunicati in forma sufficientemente aggregata e anonima. Nel caso di specie, non emergono elementi per discostarsi dalla valutazione dell’Azienda sanitaria, che ha correttamente limitato l’ostensione per evitare un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà degli interessati.

Profili legati alla ricerca scientifica

Il richiedente aveva motivato l’istanza anche con l’esigenza di svolgere attività di ricerca su scala nazionale sulla natura ed estensione delle dipendenze, con attenzione ai casi associati al gioco d’azzardo. Il Garante precisa tuttavia che tale finalità non basta a legittimare l’accesso ai dati richiesti.

I trattamenti per ricerca scientifica devono infatti avvenire nel rispetto del GDPR, del Codice privacy e delle Regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica, nonché sulla base di un progetto di ricerca conforme agli standard metodologici del settore, con indicazione delle misure di sicurezza, degli eventuali responsabili e dell’impegno al rispetto della disciplina applicabile. Nel caso esaminato, tali presupposti non risultano documentati, sicché il richiamo alla ricerca non supera i limiti posti alla divulgazione dei dati sanitari.

Conclusioni

Il Garante esprime parere conforme ai termini del diniego parziale opposto dall’Azienda USL di Modena. Ribadisce che i dati relativi alla salute sono sottratti all’accesso civico generalizzato in via assoluta e che i soli dati numerici possono essere comunicati solo se effettivamente anonimizzati, senza possibilità di re-identificazione. Nel caso concreto, la granularità della richiesta e la consistenza del campione non consentono di escludere il rischio di identificazione, né la prospettata finalità di ricerca scientifica consente di derogare alla disciplina applicabile.