Privacy, l’eliminazione di nomi e cognomi non basta a rendere anonimi i dati sanitari

Il Garante per la protezione dei dati personali - con il provvedimento n. 710/2026 - ha chiarito che un’impresa che ha ideato e finanziato un sistema per “anonimizzare” i dati sanitari dei pazienti, e che ne trae vantaggio, è titolare del trattamento fin dalla raccolta e non può presentarsi come semplice destinatario di dati già anonimi. Finché i dati permettono di seguire nel tempo la storia clinica di ciascun paziente e di isolarlo dagli altri, restano dati personali, anche se privi di nome e cognome.

L’anonimizzazione è essa stessa un trattamento e richiede una base giuridica e un’informativa ai pazienti. La recente apertura dei giudici europei sul carattere relativo dell’anonimato non salva chi ha deciso scopi e mezzi dell’operazione: conta il ruolo concreto, non quello dichiarato nei contratti. Chi governa il flusso dei dati di salute ne risponde per intero, anche se ha affidato la tecnica ad altri, e la sanzione è molto elevata. Vale l’anonimato relativo solo per chi non abbia avuto alcun ruolo.

Una società attiva nell’analisi dei dati sanitari raccoglieva, tramite un programma installato nei gestionali di circa ottocento medici di famiglia, le informazioni cliniche di oltre un milione di pazienti: diagnosi, prescrizioni, esami e visite.

Ogni paziente era riconosciuto da un codice casuale che lo seguiva nel tempo, mentre i dati identificativi diretti venivano eliminati e la data di nascita ridotta al mese.

Il database serviva a studi commissionati da aziende farmaceutiche. I medici ricevevano gratuitamente il software e i pazienti non davano alcun consenso, perché i dati si ritenevano anonimi.
Durante un’ispezione si scopriva che nei campi a testo libero i medici avevano inserito nomi, codici fiscali, indirizzi e notizie sulla salute di oltre tremila persone, finiti nel database e comunicati a una società scientifica. L’impresa, notificava la violazione e si difendeva sostenendo di essere un mero partner tecnologico e finanziario, senza alcun accesso all’identità dei pazienti.

La decisione è innovativa perché affronta di petto un’idea diffusa nel mondo dei dati sanitari: se tolgo nome e cognome e metto un codice casuale, il dato diventa anonimo e le regole sulla privacy non si applicano più. Il Garante risponde che non è così.

Un dato pseudonimizzato resta un dato personale, e anche un dato privo di identificativi diretti lo è se la persona può essere riconosciuta con mezzi ragionevolmente disponibili. Qui ogni paziente aveva un codice che lo accompagnava per anni, e il database riportava sesso, età, famiglia, professione, diagnosi, sintomi, allergie, farmaci, vaccini ed esami.

Una storia clinica così ricca, osserva l’Autorità, è di per sé distintiva: permette di isolare una persona, collegarla ad altre informazioni e dedurne di nuove. Rendere inintelligibile il codice non elimina l’unicità, e il raggruppamento per fasce di età o di località non basta se il resto del profilo continua a identificare.

Il secondo punto, e forse il più rilevante, riguarda l’uso della recente giurisprudenza europea.

L’impresa sosteneva che l’anonimato va valutato con i mezzi di cui chi riceve i dati dispone davvero, e che essa non aveva alcuna chiave per risalire ai pazienti.

Il Garante riconosce che la prospettiva è relativa: lo stesso insieme di dati può essere personale per chi ha informazioni aggiuntive e anonimo per chi non le ha. Ma quella logica vale per un semplice destinatario, non per chi ha deciso scopo e strumenti dell’operazione. Chi ha voluto il programma, ha dato le istruzioni all’azienda informatica, ha pagato il software e ha costruito il database non riceve dati già anonimi: partecipa alla loro trasformazione. Il ruolo si valuta sui fatti, e non lo cambiano né le clausole né le etichette che le parti si danno.

Ne discendono conseguenze a cascata. L’anonimizzazione è un trattamento e richiede una base giuridica; per i dati sulla salute serve un fondamento specifico, come il consenso esplicito dei pazienti, che mancava. Il contratto con i medici non basta, perché i pazienti non ne sono parte: i loro dati ne sono solo l’oggetto. Mancava un’informativa adeguata, e quella affidata ai medici era incompleta. I medici, privi di ogni potere sullo scopo e sui mezzi, andavano nominati responsabili del trattamento, cosa mai avvenuta.

Interessante è anche il metodo. I ruoli nella privacy sono funzionali: contano il perché e il come del trattamento, cioè chi decide lo scopo e chi sceglie gli strumenti. Se un’impresa si qualifica titolare in tutti i contratti, offre il software, ne controlla le istruzioni e usa i dati per la propria attività, non può poi sostenere di essere un mero finanziatore. Per lo stesso motivo il medico, che resta titolare dei dati dei propri assistiti per le cure, non risponde dell’anonimizzazione: l’operazione serve solo all’impresa e si svolge nel suo interesse. Ne esce una regola netta: chi trae vantaggio dal trattamento non può scaricarne la responsabilità su chi lo esegue di fatto.

Pesano anche gli obblighi di organizzazione. L’Autorità per la riservatezza censura l’assenza di una politica di cancellazione dei dati più vecchi, la mancata valutazione d’impatto, obbligatoria per dati sanitari su larga scala di persone vulnerabili, e la fiducia passiva in valutazioni generiche sul rischio di reidentificazione.

Colpisce il rilievo sui campi liberi: era prevedibile che i medici vi scrivessero informazioni cliniche, e un controllo automatico bastava ad accorgersene. Chi tratta grandi quantità di dati sanitari deve verificare e documentare l’efficacia delle misure, non limitarsi a dichiararla.

La sanzione è di sette milioni di euro, calcolata sul fatturato dell’intero gruppo, con pubblicazione del provvedimento. Il Garante indica anche come proseguire: devono essere i medici, e non l’impresa, a decidere come pseudonimizzare, con codifiche casuali; i gruppi di pazienti indistinguibili devono contare almeno dieci persone; le variabili che l’impresa può osservare vanno generalizzate, elaborate in modo distribuito o eliminate.