[doc. web n. 10308319]

Parere su istanza di accesso civico - 30 settembre 2026

Registro dei provvedimenti
n. 711 del 30 settembre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27/4/2016, «relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)» (di seguito “RGPD”);

VISTO l’art. 154, comma 1, lett. g), del Codice in materia di protezione dei dati personali - d. lgs. 30/6/2003, n. 196 (di seguito “Codice”);

VISTO l’art. 5, comma 8, del d. lgs. n. 33 del 14/3/2013, recante «Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni»;

VISTA la Determinazione n. 1309 del 28/12/2016 dell’Autorità Nazionale Anticorruzione (ANAC), adottata d’intesa con il Garante, intitolata «Linee guida recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico di cui all’art. 5 co. 2 del d.lgs. 33/2013», in G.U. Serie Generale n. 7 del 10/1/2017 e in https://www.anticorruzione.it/-/determinazione-n.-1309-del-28/12/2016-rif.-1 (di seguito “Linee guida dell’ANAC in materia di accesso civico”);

VISTO il provvedimento del Garante n. 521 del 15/12/2016, contenente la citata «Intesa sullo schema delle Linee guida ANAC recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico», in www.gpdp.it, doc. web n. 5860807;

VISTA la richiesta di parere del Difensore civico della Regione Lazio, presentata ai sensi dell’art. 5, comma 8, del d. lgs. n. 33/2013;

CONSIDERATO che il predetto art. 5, comma 8, prevede che il Garante si pronunci entro il termine di dieci giorni dalla richiesta;

RITENUTO che il breve lasso di tempo per rendere il previsto parere non permette allo stato la convocazione in tempo utile del Collegio del Garante;

RITENUTO quindi che ricorrono i presupposti per l’applicazione dell’art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante, nella parte in cui è previsto che «Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il presidente può adottare i provvedimenti di competenza dell’organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno» (in www.gpdp.it, doc. web, n. 1098801);

Vista la documentazione in atti;

PREMESSO

Con nota in atti il Difensore civico della Regione Lazio ha chiesto al Garante il parere previsto dall’art. 5, comma 8, del d.lgs. n. 33/2013, nell’ambito del procedimento relativo a un ricorso su un provvedimento di diniego di un’istanza di accesso civico generalizzato presentata al Dipartimento di Epidemiologia dell’ASL Roma 1.

Dall’istruttoria è emerso che è stata presentata una richiesta di accesso civico alla predetta ASL da parte di un’Associazione di categoria, riguardante «l’incidenza delle patologie oncologiche» in nell’area di un Comune identificato in atti e, in particolare, «il dato della morbilità oncologica e il dato della mortalità oncologica» di una specifica «coorte» situata all’interno di alcune vie indicate nell’istanza, nel periodo 2010-2026.

Il predetto Dipartimento ha negato l’accesso «per ragioni di tutela della riservatezza dei dati personali», rappresentando che nel caso in esame il Titolare del trattamento è la «Regione Lazio – Direzione Regionale Salute e Integrazione Socio-Sanitaria, mentre il Dipartimento di Epidemiologia dell’ASL Roma 1 opera, ai sensi dell’art. 28 del GDPR, in qualità di Responsabile del trattamento», per cui «in forza dell'art. 28, par. 3, lett. a) del GDPR e delle relative convenzioni di servizio, [il] Dipartimento non dispone della possibilità di condivisione a terzi dei dati e dei documenti oggetto dell’istanza». 

Il Dipartimento ha anche aggiunto che «i dati epidemiologici, pur trattati in forma aggregata o pseudonimizzata per finalità statistiche e di ricerca, attengono alla sfera dei dati relativi alla salute (dati particolari ex art. 9 GDPR e art. 2- septies del D.Lgs. 196/2003 e s.m.i.) e la messa a disposizione di tali dati esporrebbe al rischio di re-identificazione indiretta degli interessati». 

Il richiedente l’accesso civico, ritenendo non corretto il provvedimento di diniego dell’amministrazione, ha presentato un ricorso al Difensore civico (art. 5, comma 8, del d. lgs. n. 33/2013), insistendo nelle proprie richieste.

OSSERVA

1. Introduzione 

Il caso sottoposto all’attenzione di questa Autorità presenta determinate peculiarità e riguarda una questione delicata. Ciò in quanto oggetto dell’accesso civico sono dati non direttamente identificativi dei soggetti interessati, ma esclusivamente dati numerici di tipo epidemiologico, riguardanti la morbilità e la mortalità oncologica, di una specifica e circoscritta area, indicata dal soggetto istante, nel periodo 2010-2026.

Nel quadro descritto, è necessario ricordare che per dato personale, come noto, non si intende solo il dato direttamente identificativo di una persona (es. nome e cognome), ma «qualsiasi informazione riguardante una persona fisica» anche solo «identificabile» (art. 4, par. 1, n. 1, RGPD). Secondo la disciplina europea di protezione dei dati, si considera identificabile la persona fisica che può essere identificata «direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (ibidem). 

Ciò posto, il problema non riguarda quindi l’ostensione di dati personali direttamente identificativi dei soggetti interessati affetti da patologie oncologiche, ma della comunicazione di specifici dati numerici a essi riferiti, sicuramente possibile nei limiti in cui non consenta l’identificabilità (anche a posteriori e da parte del soggetto istante o di soggetti terzi) dei soggetti interessati.

2. Esclusione dell’accesso civico generalizzato a dati relativi alla salute 

I dati relativi alla salute rientrano nelle «categorie particolari di dati personali», per i quali è previsto un divieto di trattamento dall’art. 9 del RGPD, a meno che non trovi applicazione uno dei casi descritti nelle lettere da a) a j) del comma 2 del medesimo articolo. Inoltre, data la delicatezza dei predetti dati, il regolamento europeo prevede che gli Stati membri possono accordare ulteriori garanzie e «mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di […] dati relativi alla salute» (ivi, comma 4).

In tale contesto normativo – anche a tutela dei singoli e nel «rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona» (art. 1, comma 1, del Codice) – il legislatore italiano ha mantenuto il “divieto di diffusione” dei “dati relativi alla salute”, ossia la norma che vieta la possibilità di darne «conoscenza […] a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione» (art. 2-septies, comma 8; art. 2-ter, comma 4, lett. b, del Codice). Il medesimo divieto è peraltro richiamato dalla disciplina statale in materia di trasparenza, nella parte in cui prevede che «Restano fermi i limiti […] alla diffusione dei dati idonei a rivelare lo stato di salute […]» (art. 7-bis, comma 6, d. lgs. n. 33/2013). 

L’attuazione delle disposizioni citate ha conseguenze anche sulla disciplina dell’accesso civico e sulle valutazioni che l’amministrazione deve effettuare, in via preliminare, nel momento in cui riceve un’istanza che ha a oggetto dati relativi alla salute. 

Come più volte evidenziato da questa Autorità, infatti, la richiesta di accesso civico generalizzato a dati relativi alla salute – presentata ai sensi dell’art. 5, comma 2, d. lgs. n. 33/2013 – poiché ha a oggetto dati personali per i quali è previsto un esplicito divieto di divulgazione dalla disciplina vigente (art. 2-septies, comma 8; del Codice; art. 7-bis, comma 6, del d. lgs. n. 33/2013), rientra in un caso in cui l’accesso civico generalizzato è “escluso” direttamente dal legislatore secondo la disposizione contenuta nell’art. 5-bis, comma 3, del d. lgs. n. 33/2013, ossia tramite «una norma di rango primario a tutela di interessi pubblici e privati fondamentali» (cfr. Linee guida dell’ANAC in materia di accesso civico, cit., par. 6). 

Pertanto, essendo un caso di «eccezione assoluta», l’amministrazione «è tenuta a rifiutare l’accesso» (ivi), senza necessità di effettuare ulteriori valutazioni di merito in ordine alla sussistenza di un eventuale pregiudizio “concreto” alla tutela degli interessi dei soggetti coinvolti (cfr., fra gli altri, i pareri contenuti nei provvedimenti del Garante in materia di accesso civico a dati sulla salute: n. 118 del 6/3/2025, in www.gpdp.it, doc. web n. 10120270, par. 2.b; n. 598 del 15/12/2023, doc. web n. 9976123; n. 358 del 31/10/2022, ivi, doc. web n. 9830919; n. 137 del 22/4/2022, ivi, doc. web n. 9774019; n. 157 del 23/4/2021, ivi, doc. web n. 9582723; n. 188 del 10/4/2017, ivi, doc. web n. 6383249; n. 206 del 27/4/2017, ivi, doc. web n. 6388689; n. 98 del 22/2/2018, ivi, doc. web n. 8165944; n. 226 del 16/4/2018, ivi, doc. web n. 8983848; n. 2 del 10/1/2019, ivi, doc. web n. 9084520). 

Quanto riportato è rafforzato dalle Linee guida dell’Anac in materia di accesso civico nella parte relativa alle «Eccezioni assolute» all’accesso civico, dove è indicato che «Nella valutazione dell’istanza di accesso, l’amministrazione deve […] verificare che la richiesta non riguardi atti, documenti o informazioni sottratte alla possibilità di ostensione o ad accesso “condizionato” in quanto ricadenti in una delle fattispecie indicate nell’art. 5-bis co. 3» (par. 6). Nello specifico, nel par. 6.2., intitolato «Altri casi di segreto o di divieto di divulgazione», è precisato che «[…] alcuni divieti di divulgazione sono previsti dalla normativa vigente in materia di tutela della riservatezza con riferimento a: dati idonei a rivelare lo stato di salute, ossia a qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici (art. 22, comma 8, del Codice [oggi art. 2-septies, comma 8]; art. 7-bis, comma 6, d. lgs. n. 33/2013)».

3. Osservazioni sul concetto di dato anonimo e sul rischio di re-identificazione dei soggetti interessati 

Nel contesto descritto, è necessario quindi valutare se i dati numerici chiesti dal soggetto istante riguardanti malati oncologici, secondo le soglie di aggregazione da lui stesso decise, possono essere forniti in quanto effettivamente anonimi. 

La questione dell’accesso civico generalizzato a informazioni aggregate che possono rivelare anche dati sulla salute è stata esaminata più di una volta, sotto diversi profili, da questa Autorità in precedenti pareri di cui si riprendono le motivazioni (cfr. provvedimenti n. 480 del 22/8/2025, in www.gpdp.it, doc. web n. 10170285; n. 475 del 13/8/2025, ivi, doc. web n. 10169132; n. 558 del 12/9/2024, ivi, doc. web n. 10062415; n. 265 del 3/5/2024, ivi, doc. web n. 10061232; nonché pareri n. 82 del 22/2/2024, ivi, doc. web n. 9996647; n. 83 del 22/2/2024, ivi, doc. web n. 9999918; n. 469 del 12/10/2023, ivi, doc. web n. 9956589; n. 552 del 27/11/2023, ivi, doc. web n. 9967883).

3.a. Il dato anonimo

Come sancito dal RGPD, le informazioni anonime sono le «informazioni che non si riferiscono a una persona fisica identificata o identificabile o [i] dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato» (cons. n. 26).

Va ricordato, che – come evidenziato a livello europeo – per identificazione «non si intende solo la possibilità di recuperare il nome e/o l’indirizzo di una persona, ma anche la potenziale identificabilità mediante individuazione, correlabilità e deduzione» (Gruppo art. 29-WP29, “Opinion 05/2014 on Anonymisation techniques”, cit., par. 2.2.2.).

Anonimizzare un documento o un database significa effettuare un trattamento successivo di dati personali in modo tale che gli stessi non possano più essere attribuiti “a una persona specifica”.

L’anonimizzazione è il risultato del trattamento di dati personali volto a impedire “irreversibilmente” l’identificazione dei soggetti interessati (Gruppo art. 29-WP29, «Opinion 05/2014 on Anonymisation techniques», cit., par. 2.2., e passim). Nel mettere in atto tale procedimento, il titolare del trattamento deve tener conto di diversi elementi e prendere in considerazione tutti i mezzi che “possono ragionevolmente” essere utilizzati per l’identificazione dei soggetti interessati anche a posteriori (ivi, cfr. par. “sintesi”).

Esistono, al riguardo, diverse pratiche e tecniche di anonimizzazione (es.: la randomizzazione e la generalizzazione, l’aggiunta del rumore statistico, le permutazioni, la privacy differenziale, l’aggregazione, il k-anonimato, la l-diversità, la t-vicinanza, ecc.), che presentano gradi variabili di affidabilità, con differenti punti di forza e debolezza. Tali tecniche offrono garanzie di protezione della sfera privata efficaci soltanto se la loro applicazione viene progettata in maniera adeguata, con decisione caso per caso, utilizzando – se possibile – anche combinazione di tecniche diverse (ibidem). Ciò anche ricordando che un insieme di dati resi anonimi può comunque presentare rischi residui per le persone interessate (ibidem).

3.b. Il dato aggregato

L’aggregazione è una tecnica di anonimizzazione che è volta «a impedire l’individuazione di persone interessate mediante il loro raggruppamento con almeno k altre persone» (Gruppo art. 29-WP29, “Opinion 05/2014 on Anonymisation techniques, del 10/4/2014”, in https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdf, par. 3.2.1.).

Dal punto di vista tecnico, per effettuare la predetta operazione è necessario sottoporre «i valori degli attributi […] a una generalizzazione tale da attribuire a ciascuna persona il medesimo valore» (ibidem). 

Affinché la tecnica di aggregazione dei dati sia efficace al fine di ridurre il rischio di re-identificazione, è necessario rispettare le opportune soglie di aggregazione dei dati, che devono essere proporzionate al campione di riferimento e alle informazioni ivi contenute. Ciò in quanto, in linea generale, «la sola applicazione ex-ante di tecniche di aggregazione, non consente sempre di prevenire casi di singolarità all’interno di un campione» e «possono, infatti, verificarsi di frequente situazioni, variabili in ragione del contesto, nelle quali la disponibilità di una informazione ausiliaria da parte di un soggetto terzo (cd attaccante) può consentire la re-identificazione di un interessato presente in un campione sottoposto a preventive tecniche di aggregazione» (cfr. par. 7, provv. n. 87 del 19/5/2020, in www.gpdp.it, doc. web n. 9370217).

In tale contesto, si considerano dati aggregati, e quindi non identificativi, «le combinazioni di modalità alle quali è associata una frequenza non inferiore a una soglia prestabilita, ovvero un’intensità data dalla sintesi dei valori assunti da un numero di unità statistiche pari alla suddetta soglia» (art. 4, comma 1, lett. a, recante i «Criteri per la valutazione del rischio di identificazione», delle «Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101», provv. n. 514 del 19/12/2018, in www.gpdp.it, doc. web n. 9069677). 

Il «valore minimo attribuibile alla soglia è pari a tre» (ibidem).

3.c. Sul rischio di re-identificazione

Il rischio di re-identificazione dei soggetti interessati va accuratamente valutato tenendo conto di «tutti i mezzi, [...], di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilità di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l’insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l’identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici» (cfr. considerando n. 26 del RGPD e WP29 “Opinion 05/2014 on Anonymisation techniques”, cit.).

Un processo di anonimizzazione non può definirsi effettivamente tale qualora non risulti idoneo a impedire che chiunque utilizzi tali dati, in combinazione con i mezzi “ragionevolmente disponibili”, possa:

1. isolare una persona in un gruppo (single-out);

2. collegare un dato anonimizzato a dati riferibili a una persona presenti in un distinto insieme di dati (linkability);

3. dedurre nuove informazioni riferibili a una persona da un dato anonimizzato (inference).

4. Valutazioni sulla richiesta di accesso civico nel caso in esame

Allo stato degli atti, devono essere tenuti in adeguata considerazione il limitato ambito territoriale di riferimento e i criteri di classificazione dei soggetti interessati richiesti dal soggetto istante (morbilità, mortalità, periodo di tempo, ecc.). 

Tali elementi, devono essere prudentemente valutati, considerando quanto sopra evidenziato in merito alle condizioni al ricorrere delle quali l’aggregazione può essere ritenuta un’efficace tecnica di anonimizzazione (cfr. supra par. 3.b). In particolare, è necessario che le soglie di aggregazione dei dati siano proporzionate al campione di riferimento e alle informazioni ivi contenute, in maniera tale che le diverse combinazioni di modalità siano associate a una frequenza non inferiore a tre (ibidem) e in modo da poter evitare che, nel caso in esame, sia possibile isolare una determinata persona nel gruppo di riferimento (single-out) o collegare il dato a altri dati riferibili alla persona presenti in distinto insieme di dati (linkability). 

Sul punto, si ricorda che la tutela dei dati sulla salute, data la natura sensibile, necessita di una maggiore attenzione e impone un maggior grado di cautela, in particolare ove le informazioni possano indirettamente rendere un soggetto identificabile. 

Nel caso sottoposto all’attenzione di questa Autorità, il Dipartimento di Epidemiologia dell’ASL Roma 1 ha negato l’accesso rappresentando che «i dati epidemiologici, pur trattati in forma aggregata o pseudonimizzata per finalità statistiche e di ricerca, attengono alla sfera dei dati relativi alla salute (dati particolari ex art. 9 GDPR e art. 2- septies del D.Lgs. 196/2003 e s.m.i.) e la messa a disposizione di tali dati esporrebbe al rischio di re-identificazione indiretta degli interessati». 

Il medesimo Dipartimento ha anche aggiunto che nel caso in esame il Titolare del trattamento è la «Regione Lazio – Direzione Regionale Salute e Integrazione Socio-Sanitaria, mentre il Dipartimento di Epidemiologia dell’ASL Roma 1 opera, ai sensi dell’art. 28 del GDPR, in qualità di Responsabile del trattamento», per cui «in forza dell’art. 28, par. 3, lett. a) del GDPR e delle relative convenzioni di servizio, [il] Dipartimento non dispone della possibilità di condivisione a terzi dei dati e dei documenti oggetto dell’istanza». 

In tale contesto, allo stato degli atti, non emergono elementi che consentono a questa Autorità di potersi discostare dalle citate valutazioni effettuate dal predetto Dipartimento dell’ASL. 

Sotto tale profilo, non è possibile condividere l’osservazione contenuta nella richiesta di parere al Garante del Difensore civico regionale, laddove ha rappresentato che a proprio parere il «quartiere […] per il quale si sono chiesti i dati, non pare comparabile con microinsediamenti dove il dato statistico epidemiologico sarebbe immediatamente riconducibile ai pochi abitanti (ad es. si pensi [un] borgo antico […] con 1 solo residente)». 

Ciò in quanto l’analisi va fatta in concreto ed è il titolare del trattamento – in base al principio di accountability/«responsabilizzazione» – a dover valutare la natura identificativa dei dati anche considerando che è su di esso che ricade il rischio di re-identificazione dei soggetti interessati derivante dalla richiesta di ostensione dei dati richiesti con l’accesso civico prima descritti (art. 5, par. 2, e 24 del RGPD). In tale operazione va tenuto conto della possibilità per il soggetto istante (ma, dato il regime di pubblicità propria dell’accesso civico prevista dall’art. 3, comma 1, del d. lgs. n. 33/2013, anche per soggetti terzi) di incrociare e raffrontare i dati ottenuti con altre informazioni ausiliarie già conosciute o contenute in ulteriori banche dati.

L’eventuale re-identificazione dei soggetti interessati, porterebbe alla conoscenza di dati di natura delicata di pazienti oncologici, idonei a rivelare lo stato di salute (art. 9 del RGPD), per i quali l’accesso civico è comunque escluso (art. 5-bis, comma 3, del d. lgs. n. 33/2013), determinando, peraltro, un’interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati (art. 5, par. 1, lett. c, RGPD). 

Conformemente ai precedenti orientamenti di questa Autorità, si ricorda, in ogni caso, che le esigenze conoscitive alla base dell’accesso civico debbono poter essere raggiunte in conformità alla disciplina in materia di protezione dei dati personali. Spetta, in ogni caso, al titolare del trattamento valutare la possibilità di comunicare dati adeguati a evitare ogni singolarità o collegabilità a persone fisiche, secondo idonei criteri di aggregazione che possano consentire un’effettiva anonimizzazione dei dati.

TUTTO CIÒ PREMESSO IL GARANTE 

esprime parere nei termini suesposti in merito alla richiesta del Difensore civico della Regione Lazio, ai sensi dell’art. 5, comma 8, del d. lgs. n. 33/2013.

Roma, 30 settembre 2026

IL PRESIDENTE
Stanzione