Dati epidemiologici anonimi, privacy a rischio se l’aggregazione consente reidentificazione

Il Garante per la protezione dei dati personali - con il parere n. 711/2026 - ha chiarito che la pubblicazione di dati epidemiologici aggregati non è lecita per il solo fatto che non contenga nomi, indirizzi o altri identificativi diretti.

Anche un insieme di numeri può rivelare la malattia di persone determinate quando l’area osservata è ristretta, il periodo è circoscritto e i dati possono essere incrociati con informazioni già disponibili. Il criterio decisivo è dunque la concreta possibilità di re-identificazione, non l’apparente anonimato della tabella. Se l’accesso civico riguarda informazioni sulla salute e la loro diffusione può consentire di isolare una persona, collegarla ad altri archivi o dedurre nuovi elementi sul suo stato clinico, l’amministrazione deve negarlo. Non basta applicare una soglia statistica in astratto: la soglia deve essere proporzionata al campione e alla ricchezza delle informazioni richieste. Il criterio è concreto e tutela la trasparenza, la persona e la salute.

Un’associazione aveva chiesto a una struttura sanitaria regionale informazioni sulla morbilità e sulla mortalità oncologica riferite a una zona molto circoscritta, individuata attraverso alcune vie, e a un arco temporale pluriennale.
L’amministrazione aveva negato l’ostensione, spiegando che i dati, pur numerici e aggregati, riguardavano la salute e potevano esporre gli interessati a una re-identificazione indiretta.

Aveva inoltre precisato di operare come responsabile del trattamento, senza poter decidere autonomamente la comunicazione a terzi.

Il richiedente ha contestato il diniego davanti al difensore civico regionale, sostenendo che il quartiere non fosse assimilabile a un piccolo insediamento nel quale pochi residenti rendono immediatamente riconoscibile il dato. La verifica deve restare concreta, prudente e documentata. La cautela protegge il paziente e rende più solida la decisione dell’amministrazione. Il dato deve essere letto nel contesto e negli incroci possibili per tutti.

Il parere affronta un problema destinato a diventare sempre più frequente: quando la trasparenza chiede numeri e la privacy vede le persone. La richiesta non riguardava cartelle cliniche, nominativi o certificati individuali. Domandava soltanto conteggi relativi a patologie oncologiche in una porzione delimitata del territorio e lungo un periodo definito. Proprio questa apparente neutralità rende la decisione significativa.

Il Garante avverte che la protezione dei dati non può fermarsi alla superficie del documento. Un dato è davvero anonimo solo quando, dopo la sua comunicazione, nessuno possa ragionevolmente risalire a una persona, direttamente o attraverso combinazioni di informazioni.

La conseguenza è un cambio di prospettiva. Non si deve domandare soltanto che cosa contenga la tabella, ma che cosa possa ricavare chi la riceve. Un numero riferito a un’intera Regione può essere innocuo; lo stesso numero riferito a poche strade può diventare rivelatore. La sua capacità informativa cresce se si conoscono il periodo, l’età presumibile dei residenti, la distribuzione degli edifici, precedenti comunicazioni pubbliche o altre caratteristiche del gruppo. Anche l’assenza di un nome non impedisce, quindi, che il dato descriva una persona identificabile. La privacy viene valutata rispetto al contesto di utilizzo, non in laboratorio.

Il criterio indicato dal Garante comprende tre rischi distinti. Il primo consiste nella possibilità di isolare un soggetto all’interno del gruppo, perché la combinazione dei dati rende singolare una posizione.

Il secondo consiste nel collegare il dato apparentemente anonimo a informazioni riferibili alla stessa persona presenti in un diverso archivio.

Il terzo consiste nel dedurre, dal dato e dalle informazioni disponibili, una nuova circostanza sulla persona, per esempio l’esistenza o l’evoluzione di una patologia.

Sono modalità diverse, ma producono lo stesso risultato: trasformano un’informazione statistica in una conoscenza individuale. È qui che il provvedimento supera l’idea semplicistica secondo cui l’aggregazione basterebbe sempre a rendere innocuo il dato. Raggruppare le informazioni riduce il rischio, ma non lo elimina automaticamente. Una soglia numerica minima può costituire un punto di partenza, non una garanzia universale. La soglia deve essere rapportata alla grandezza del campione, alla precisione delle categorie, alla delimitazione geografica e temporale e alle informazioni che un soggetto esterno può già possedere. Più il gruppo è piccolo e più sono dettagliate le variabili, maggiore deve essere la cautela. La stessa tecnica può essere adeguata in un caso e insufficiente in un altro. Il Garante valorizza così il principio di responsabilizzazione.

La pubblica amministrazione non può limitarsi a dichiarare che i dati sono stati aggregati, né trasferire sull’interessato il compito di dimostrare che qualcuno potrebbe riconoscere i pazienti. Il titolare deve svolgere prima della comunicazione una valutazione concreta, documentata e aggiornata. Deve considerare i mezzi ragionevolmente utilizzabili per l’identificazione, i costi e i tempi dell’operazione, le tecnologie disponibili e gli sviluppi prevedibili. Deve inoltre tenere conto del regime di pubblicità proprio dell’accesso civico: l’informazione non resta necessariamente nelle mani del richiedente, ma può essere conosciuta e riutilizzata da una platea indeterminata. Questa dimensione pubblica rende più severo il controllo. Non è sufficiente che il richiedente dichiari uno scopo meritevole o che l’informazione abbia un evidente interesse collettivo.

La trasparenza non autorizza la diffusione di dati sanitari quando il risultato concreto sia l’esposizione, anche indiretta, di persone malate. La trasparenza deve rendere conoscibili i fenomeni, non riconoscibili le persone. La cautela protegge il paziente e rende più solida la decisione dell’amministrazione. Il controllo concreto evita che la trasparenza diventi esposizione della persona malata.