Parere del Garante n. 83 del 22/02/2024

Parere su istanza di accesso civico relativa ai dati dell’Anagrafe vaccinale della Regione Lombardia

Il Garante si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, sulla richiesta del Responsabile della prevenzione della corruzione e della trasparenza della Regione Lombardia relativa a un diniego parziale di accesso civico generalizzato. Il caso riguarda dati dell’Anagrafe vaccinale regionale riferiti a soggetti vaccinati anti Covid-19 e, in particolare, alla loro data di nascita, alle somministrazioni vaccinali e all’eventuale decesso.

Quadro normativo di riferimento

Il parere richiama il GDPR, il Codice privacy, il d.lgs. 33/2013 e le Linee guida ANAC in materia di accesso civico adottate d’intesa con il Garante. Viene ricordato che l’accesso civico generalizzato incontra limiti quando la sua ostensione determina un pregiudizio concreto alla protezione dei dati personali, ai sensi dell’art. 5-bis, comma 2, lett. a), del d.lgs. 33/2013.

Il Garante sottolinea inoltre che:

• i dati ottenuti tramite accesso civico diventano pubblici e possono essere conosciuti, fruiti, utilizzati e riutilizzati da chiunque, fermo il rispetto della normativa privacy;
• i trattamenti devono rispettare i principi di minimizzazione e limitazione della finalità di cui all’art. 5, par. 1, lett. b) e c), GDPR;
• per i dati delle persone decedute trova applicazione l’art. 2-terdecies del Codice privacy, che consente l’esercizio dei diritti GDPR da parte di soggetti legittimati, confermando la persistenza delle tutele privacy.

Regime dell’Anagrafe nazionale e regionale dei vaccini

Il Garante richiama il D.M. 17 settembre 2018 sull’Anagrafe nazionale vaccini, attuativo dell’art. 4-bis del d.l. 73/2017. L’anagrafe nazionale è alimentata dalle anagrafi regionali e contiene, tra l’altro, dati dei vaccinati, dosi somministrate, tempi di somministrazione, residenza e date di eventuale decesso.

Il regime di accesso ai dati è rigido: per il monitoraggio vaccinale e per le funzioni amministrative, gli uffici regionali e ministeriali competenti accedono ai dati solo in forma aggregata e anonima; in ogni caso, i dati contenuti nell’Anagrafe nazionale vaccini possono essere diffusi esclusivamente in forma anonima.

Valutazione del caso concreto

Il Garante evidenzia che il richiedente non chiede dati nominali, ma un insieme di dati individuali riferiti a singoli assistiti, privi di nome e cognome, combinando comunque informazioni molto granulari: data di nascita, date delle dosi di vaccino e data di eventuale decesso. Si tratta di dati particolarmente sensibili, anche perché l’insieme informativo può indirettamente rivelare condizioni di salute, esoneri o differimenti vaccinali e altre informazioni riconducibili a categorie particolari di dati personali.

L’Autorità ritiene centrale il rischio di re-identificazione, soprattutto perché il richiedente dichiara di voler incrociare i dati ricevuti con altre fonti già in suo possesso e con ulteriori banche dati o dati statistici. Il rischio è ancora maggiore nel contesto regionale, per il bacino territoriale più ristretto, e alla luce del fatto che lo stesso richiedente aveva già ottenuto dati a livello nazionale e aveva formulato richieste analoghe anche ad altre Regioni.

Dati aggregati, dati anonimi e rischio di re-identificazione

Il Garante chiarisce che i dati richiesti nell’istanza originaria non possono essere considerati dati aggregati. L’aggregazione, infatti, richiede una generalizzazione idonea a impedire l’individuazione del soggetto mediante raggruppamento con almeno k altre persone; a tal fine il valore minimo della soglia è pari a tre. Nel caso di specie, la semplice trasmissione di dati individuali, anche senza nome e cognome, non elimina il rischio di singolarità.

Neppure può parlarsi di anonimizzazione. Perché un dato sia anonimo occorre che l’identificazione sia irreversibilmente impedita, tenendo conto di tutti i mezzi ragionevolmente utilizzabili per re-identificare i soggetti. Il Garante richiama i criteri europei su single-out, linkability e inference, osservando che il materiale richiesto consente, in concreto, di ricondurre le informazioni a specifici individui attraverso il confronto con altre banche dati o conoscenze accessorie.

Diniego parziale e pregiudizio concreto alla protezione dei dati personali

Alla luce di tali elementi, l’Autorità condivide l’impostazione della Regione Lombardia e ritiene che l’ostensione dei dati in forma disaggregata possa determinare il pregiudizio concreto alla tutela dei dati personali di cui all’art. 5-bis, comma 2, lett. a), del d.lgs. 33/2013. La conoscenza delle informazioni richieste, su larga scala e in un contesto che può anche rivelare dati sulla salute o convinzioni personali, costituirebbe un’ingerenza ingiustificata e sproporzionata nei diritti e nelle libertà dei controinteressati.

Valutazione della richiesta di riesame e aggregazione proposta

In sede di riesame, il richiedente modifica parzialmente la domanda e chiede che i dati siano trasmessi tramite adeguata aggregazione e conseguente anonimizzazione, limitando la data di nascita al solo anno. Il Garante ritiene però che questa soluzione non sia sufficiente, poiché l’aggregazione non riguarda un solo elemento ma l’insieme dei valori che possono generare singolarità. Se restano in forma individuale la data di eventuale decesso e le date delle dosi vaccinali, la sola generalizzazione dell’anno di nascita non basta a neutralizzare il rischio di re-identificazione.

Il Garante osserva inoltre che la proposta di escludere le classi di età estreme, cioè i soggetti con più di 100 anni o con meno di 8 anni, non è di per sé idonea a mitigare in modo adeguato il rischio, anche perché nelle fasce estreme il numero di soggetti è ridotto e quindi più facilmente identificabile mediante incrocio con informazioni reperibili sul web.

Indicazioni operative per la Regione Lombardia

L’Autorità afferma che spetta alla Regione Lombardia, in qualità di titolare del trattamento, effettuare una valutazione concreta della natura identificativa dei dati richiesti e del rischio di re-identificazione, in base ai principi di accountability degli artt. 5, par. 2, e 24 GDPR. Solo ove la Regione individui forme di aggregazione realmente idonee a evitare ogni singolarità potrà procedere alla comunicazione dei dati.

Il Garante indica, a titolo esemplificativo, che potrebbero essere comunicati:

• dati aggregati per anno con riferimento alle date di nascita e alle date di decesso;
• dati aggregati per mese e anno con riferimento alle date di somministrazione della prima, seconda, terza e quarta dose.

Resta fermo che eventuali ulteriori operazioni sui database finalizzate a re-identificare gli interessati non sarebbero compatibili con la normativa di protezione dei dati personali.

Conclusione

Il Garante esprime parere favorevole alla richiesta del RPCT della Regione Lombardia, ma a condizione che, dopo una valutazione in concreto del rischio di identificazione e di re-identificazione, la Regione comunichi esclusivamente dati aggregati idonei a evitare casi di singolarità. Il parere conferma quindi un orientamento favorevole alla trasparenza solo entro limiti rigorosi di tutela dei dati personali.