Parere del Garante n. 475 del 13/08/2025

Parere su istanza di accesso civico a dati sugli utenti Ser.D e DGA

Il Garante esprime parere, ai sensi dell’art. 5, comma 7, d.lgs. 33/2013, sulla richiesta dei Responsabili aziendali trasparenza e prevenzione della corruzione dell’Azienda USL Toscana nord ovest relativa a un provvedimento di diniego parziale di accesso civico generalizzato. L’istanza concerneva dati numerici 2024 sugli utenti in carico ai Ser.D e sui soggetti con disturbo da gioco d’azzardo, anche con ulteriori disaggregazioni per età, genere, occupazione e titolo di studio.

Inquadramento normativo

Il parere si fonda sul Regolamento (UE) 2016/679, in particolare sugli artt. 4, 5, 9, 24 e 89, sul Codice privacy, sugli artt. 2-ter, 2-septies, 5-bis e 7-bis del d.lgs. 33/2013, nonché sulle Linee guida ANAC n. 1309/2016, adottate d’intesa con il Garante. Il procedimento è trattato come urgente, ai sensi dell’art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione dell’Ufficio del Garante.

Natura dei dati richiesti

Il Garante osserva che l’attività dei Ser.D è finalizzata alla prevenzione, diagnosi, cura e riabilitazione delle dipendenze da sostanze e comportamentali, tra cui il gioco d’azzardo. I dati richiesti, pur non essendo direttamente identificativi, sono dati numerici riferiti a persone prese in carico per condizioni di salute e, quindi, possono comunque rivelare indirettamente dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR.

Accesso civico e divieto assoluto di diffusione dei dati sulla salute

L’Autorità chiarisce che, quando l’accesso civico generalizzato ha a oggetto dati relativi alla salute, opera l’esclusione assoluta prevista dall’art. 5-bis, comma 3, d.lgs. 33/2013, poiché tali dati sono soggetti a divieto di diffusione ai sensi del Codice privacy e dell’art. 7-bis, comma 6, d.lgs. 33/2013. In questi casi l’amministrazione non deve effettuare il test del pregiudizio concreto previsto per le eccezioni relative dell’art. 5-bis, comma 2, ma deve negare l’accesso.

Dati aggregati, anonimizzazione e rischio di re-identificazione

Il Garante approfondisce la distinzione tra dato anonimo e dato aggregato, richiamando il considerando 26 GDPR e i criteri europei sull’anonimizzazione. Sottolinea che un dato può dirsi davvero anonimo solo se non consente l’identificazione, neppure indiretta o a posteriori, attraverso mezzi ragionevolmente utilizzabili. Vengono richiamate le tecniche di anonimizzazione e i rischi di single-out, linkability e inference, nonché il criterio della soglia minima di aggregazione pari a tre. La combinazione delle variabili richieste dall’istante, unita al limitato ambito territoriale, rende concreto il rischio di re-identificazione.

Valutazione del caso concreto

Nel caso esaminato, l’Azienda aveva già fornito alcuni dati ma aveva negato quelli ulteriori ritenendo insufficiente la loro aggregazione a evitare l’identificazione degli utenti. Il Garante ritiene che, allo stato, non vi siano elementi per discostarsi da tale valutazione, che rientra nella responsabilità del titolare del trattamento ai sensi del principio di accountability. La possibilità di incrociare i dati con altre fonti, anche per effetto della natura pubblica dell’accesso civico, rafforza il rischio di individuazione degli interessati.

Finalità di ricerca scientifica o statistica

Quanto alla motivazione dell’istante, che invocava finalità di ricerca nazionale sulle dipendenze, il Garante precisa che i trattamenti per ricerca scientifica o statistica sono leciti solo se svolti nel rispetto del GDPR, del Codice e delle Regole deontologiche. Occorre un progetto di ricerca formalizzato, conforme agli standard metodologici, con misure di tutela e documentazione adeguata. Nel caso di specie, tali presupposti non risultano dimostrati, sicché la finalità dichiarata non consente di superare i limiti dell’accesso civico a dati sulla salute.

Conclusione

Il parere conferma, in sostanza, la correttezza del diniego parziale opposto dall’Azienda sanitaria per i dati ulteriori richiesti, in quanto la loro ostensione potrebbe consentire la re-identificazione di utenti portatori di dati relativi alla salute, sottratti all’accesso civico generalizzato.