Parere del Garante n. 82 del 22/02/2024

Parere su istanza di accesso civico relativa all’Anagrafe vaccinale della Regione Toscana

Il Garante si pronuncia, su richiesta del Responsabile della prevenzione della corruzione e della trasparenza della Regione Toscana, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, su un diniego di accesso civico generalizzato relativo a dati individuali contenuti nell’Anagrafe vaccinale regionale. Il parere è adottato nel quadro del GDPR, del Codice privacy e delle Linee guida ANAC in materia di accesso civico.

Oggetto dell’istanza e motivi del diniego regionale

L’istanza di accesso civico aveva ad oggetto dati riferiti ai soggetti vaccinati con prima dose nel periodo 27 dicembre 2020 - 26 dicembre 2021 e deceduti entro il 9 gennaio 2022, con richiesta di trasmissione in formato csv di informazioni puntuali per singolo assistito: data di nascita, eventuale data di decesso e date delle somministrazioni vaccinali. Il richiedente ha dichiarato di voler confrontare tali dati con quelli già in suo possesso e di utilizzarli per una valutazione scientifica e per il dibattito pubblico.

La Regione Toscana ha rigettato l’istanza richiamando l’art. 5-bis, comma 2, lett. a), d.lgs. 33/2013, ritenendo che l’ostensione avrebbe determinato un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà dei controinteressati. Ha inoltre osservato che i dati richiesti, pur privi di nome e cognome, non erano anonimizzati né aggregati, che il contesto territoriale regionale ristretto facilitava l’identificazione e che il rischio di re-identificazione risultava elevato, soprattutto se i dati fossero incrociati con altre fonti.

Quadro normativo di riferimento

Il Garante richiama l’art. 5, commi 2 e 7, e l’art. 5-bis del d.lgs. 33/2013, nonché le Linee guida ANAC n. 1309/2016, sottolineando la distinzione tra eccezioni assolute e relative all’accesso civico. In presenza di un’eccezione relativa, l’amministrazione deve svolgere una valutazione caso per caso sul possibile pregiudizio concreto alla protezione dei dati personali.

Il parere richiama anche i principi di limitazione della finalità e minimizzazione dei dati di cui all’art. 5, par. 1, lett. b) e c), GDPR, oltre al principio di responsabilizzazione di cui agli artt. 5, par. 2, e 24 GDPR. Viene inoltre ricordato che i dati ottenuti tramite accesso civico sono "pubblici" e fruibili da chiunque, con conseguente necessità di valutare in modo particolarmente rigoroso i rischi derivanti dalla loro diffusione.

Regime di accessibilità dell’Anagrafe vaccinale

Il Garante richiama il D.M. 17 settembre 2018, istitutivo dell’Anagrafe nazionale vaccini, che disciplina finalità, soggetti abilitati e modalità di accesso ai dati. In particolare, per il monitoraggio dei programmi vaccinali e la verifica delle coperture vaccinali, le unità organizzative competenti delle Regioni e delle Province autonome accedono ai dati solo in forma aggregata e anonima e limitatamente ai propri assistiti. Analogamente, anche alcune funzioni del Ministero della salute prevedono l’accesso esclusivamente in forma aggregata e anonima.

Il decreto stabilisce inoltre che i dati contenuti nell’Anagrafe nazionale vaccini possono essere diffusi esclusivamente in forma anonima. Questo regime settoriale di accesso e diffusione costituisce un elemento decisivo nella valutazione dell’istanza di accesso civico, perché conferma la delicatezza dei dati vaccinali e l’esigenza di protezione rafforzata.

Valutazione sulla richiesta originaria: dati non anonimi e rischio di re-identificazione

Il Garante ritiene che i dati richiesti nella versione originaria non siano né aggregati né anonimi. Anche in assenza di nome e cognome, le informazioni su data di nascita, dosi di vaccino e eventuale decesso possono rendere identificabili gli interessati, specie in presenza di banche dati ulteriori o informazioni ausiliarie già note al richiedente o a terzi.

Il parere evidenzia che, in un contesto regionale ristretto, il rischio di re-identificazione è accentuato. L’ostensione potrebbe inoltre rivelare indirettamente informazioni sulla salute o altre categorie particolari di dati personali, ad esempio quando il numero di dosi somministrate o l’eventuale mancato completamento del ciclo vaccinale possa essere sintomo di esonero o differimento connessi a condizioni di salute.

Richiamando anche precedenti casi analoghi, il Garante conclude che la Regione ha correttamente respinto la richiesta originaria, poiché la divulgazione determinerebbe un pregiudizio concreto alla protezione dei dati personali ai sensi dell’art. 5-bis, comma 2, lett. a), d.lgs. 33/2013.

Distinzione tra dati aggregati e dati anonimi

Il Garante chiarisce che l’aggregazione è una tecnica di anonimizzazione volta a impedire l’individuazione di singole persone mediante il raggruppamento con almeno k altre persone. Per essere efficace, l’aggregazione deve evitare casi di singolarità e rispettare soglie adeguate al campione e alle informazioni trattate; nelle regole deontologiche richiamate viene indicata una soglia minima pari a tre.

I dati originariamente richiesti, essendo individuali e disaggregati, non possono essere qualificati come dati aggregati. Né possono essere considerati anonimi, poiché l’anonimizzazione richiede un trattamento irreversibile idoneo a impedire, anche con mezzi ragionevolmente disponibili, l’identificazione, l’isolamento, la correlabilità o la deduzione di nuove informazioni riferibili agli interessati.

Il Garante richiama le tecniche di anonimizzazione elaborate a livello europeo, come generalizzazione, randomizzazione, aggregazione e altri metodi, sottolineando che l’efficacia va verificata caso per caso e che un dataset può presentare ancora rischi residui anche dopo l’anonimizzazione.

Valutazione della richiesta in riesame: aggregazione insufficiente

Nel riesame il richiedente ha modificato parzialmente la domanda, chiedendo di ottenere i dati tramite "adeguata aggregazione e conseguente anonimizzazione", proponendo di indicare solo l’anno di nascita e di escludere alcune fasce di età estreme. Il Garante osserva però che una tale modifica non è sufficiente, perché l’aggregazione non può riguardare un solo attributo se gli altri restano individuali e idonei a determinare singolarità.

Secondo l’Autorità, limitarsi a generalizzare l’anno di nascita non elimina il rischio di re-identificazione se restano in chiaro le date di decesso e le diverse date di somministrazione delle dosi. In un contesto territoriale ristretto, queste informazioni possono comunque consentire di isolare un individuo o di collegare i dati a informazioni già disponibili nel database nazionale in possesso del richiedente. Anche l’espunzione delle categorie di soggetti con più di 100 anni o con meno di 8 anni non è ritenuta sufficiente.

Indicazioni operative per la Regione Toscana

Il Garante afferma che spetta alla Regione Toscana, quale titolare del trattamento, la valutazione concreta della natura identificativa dei dati e del rischio di re-identificazione, secondo il principio di accountability. Il parere suggerisce che l’ente possa eventualmente comunicare dati realmente aggregati, ad esempio:

• dati aggregati per anno sia per le date di nascita sia per le date di decesso;
• dati aggregati per mese e anno per le date di somministrazione della prima, seconda, terza e quarta dose.

Resta fermo che eventuali successive operazioni finalizzate a re-identificare gli interessati non sarebbero compatibili con la normativa privacy.

Conclusione del parere

Il Garante esprime parere favorevole alla richiesta del RPCT della Regione Toscana, ma a condizione che, dopo una concreta valutazione del rischio di re-identificazione ai sensi degli artt. 5, par. 2, e 24 GDPR, la Regione comunichi soltanto dati aggregati idonei a evitare casi di singolarità. Il parere è quindi favorevole con condizioni: l’accesso civico può essere consentito solo in forma adeguatamente aggregata e anonimizzata, non nella forma individuale o disaggregata inizialmente richiesta.