E’ legittimo il provvedimento di diniego avente ad oggetto una richiesta di accesso civico c.d. generalizzato a "dati" particolari, di natura sanitaria, per il rilascio dei quali l’eventuale attività di elaborazione che l’amministrazione dovrebbe svolgere per rendere disponibili i dati e documenti richiesti, e costituita dall’oscuramento dei dati, cagionerebbe un onere particolarmente gravoso, che sottoporrebbe l’amministrazione medesima ad attività incompatibili con la funzionalità della sua organizzazione e con l’economicità e la tempestività dell’azione amministrativa dalla stessa posta in essere.

E’ quanto affermato, con sentenza n. 07105/2024, dal Tribunale Amministrativo Regionale per il Lazio (Sezione Terza Quater), con la quale è stato respinto il ricorso promosso dal Movimento per l’indipendenza e l’autonomia della Sicilia (M.I.A.S.) per ottenere l'annullamento del diniego opposto dall’AIFA all'accesso documentale ai sensi dell'art. 22 e ss. della l. n. 241 del 1990 e all'accesso civico, semplice e generalizzato ai sensi dell'art. 5, commi 1 e 2, del d.lgs. n. 33 del 2013, al fine di conoscere "l'estratto del registro (o elenco equivalente) in cui sono state annotate le segnalazioni di sospette reazioni avverse (aggiornato al 2/10/2023) afferenti le inoculazioni dei vaccini anti Covid-19/SARS-CoV-2 effettuate sul territorio della Regione Siciliana con oscuramento dei dati anagrafici menzionati, includente il numero di A.I.C., il numero di lotto, l'eventuale decesso e, laddove esistente, il giudizio di correlazione tra reazione avversa e inoculazione".

Tra gli altri motivi di diniego, per quanto concerne l’accesso civico c.d. generalizzato ex art. 5, comma 2, del d. lgs. n. 33 del 2013, l’amministrazione ha invocato i seguenti motivi:

• la richiesta ha natura “massiva”, in quanto tale inammissibile;
• “da un lato…l'accesso richiesto comporterebbe l'onere di estrapolare un estratto ed elaborare un elenco di dati e informazioni …attività cui l’AIFA non è tenuta ... dall'altro che i dati richiesti sono personali e comunque sensibili, e, pertanto, l'accesso generalizzato è escluso dall'art. 5-bis, comma 2, lett. a) del succitato D. Lgs. n. 33/2013”.

ACCESSO CIVICO C.D. GENERALIZZATO, PSEUDONIMIZZAZIONE E ANONIMIZZAZIONE

Sappiamo che l’accesso civico c.d. generalizzato può avere ad oggetto “dati”, oltre che documenti.

In tali casi, il Tar rileva che “l’eventuale attività di elaborazione, costituita dall’ oscuramento di dati personali che l’amministrazione dovrebbe svolgere per rendere disponibili i dati e documenti richiesti, impone un necessario bilanciamento tra il diritto alla trasparenza, da un lato e, dall’altro lato, l’esigenza di non pregiudicare, attraverso un improprio esercizio del diritto di accesso, il buon andamento dell’Amministrazione, imponendo alla stessa un onere particolarmente gravoso che la sottoporrebbe ad attività incompatibili con la funzionalità dei suoi plessi e con l’economicità e la tempestività della sua azione”.

Detto altrimenti, quando la richiesta di accesso non ha ad oggetto dati già elaborati in maniera anonima dalla PA, ad esempio per una finalità di condivisione o di riutilizzo, ma ha ad oggetto dati per i quali si richiede all’Amministrazione, con riferimento ai singoli e plurimi temi di accesso, un'attività di ricerca, estrapolazione, analisi e anonimizzazione al fine di eliminare il carattere personale del dato stesso, la richiesta stessa può essere rigettata sul presupposto che “appare del tutto logica e ragionevole e rispondente al dettato normativo la valutazione compiuta dalla stessa PA in ordine alla non accoglibilità dell’istanza per onerosità e dunque alla concreta incompatibilità con lo svolgimento dell’attività istituzionale dell’attività richiesta per consentire l’accesso”.

Al riguardo, secondo il Tar Lazio, la stessa presenza di dati tutelati da riservatezza, quali sono quelli in relativi alla salute, rende necessaria, ai fini di accogliere la richiesta di accesso:

• un’attività di acquisizione del consenso al trattamento;

ovvero

• un’attività di “pseudonimizzazione” (art. 4 par.1, n. 5 del Reg.(UE) 2016/679)

ovvero

• un’attività di anonimizzazione.

Non c’è dubbio che tali attività, per la loro articolazione e complessità, finiscono per rendere particolarmente oneroso l’accesso, non solo e non tanto per la massività dei documenti e dei dati richiesti, quanto, piuttosto, per l’appartenenza dei dati personali a “categorie particolari di dati”, quali sono i dati dell’art. 9 del Reg.(UE) 2016/679 che, di seguito, si riporta.

1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona. 2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi: a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell'Unione o degli Stati membri dispone che l'interessato non possa revocare il divieto di cui al paragrafo 1; b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato; c) il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso; d) il trattamento è effettuato, nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l'associazione o l'organismo a motivo delle sue finalità e che i dati personali non siano comunicati all'esterno senza il consenso dell'interessato; e) il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato; f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali; g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato; h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3; i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale; j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell'articolo 89, paragrafo 1, sulla base del diritto dell'Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l'essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato. 3. I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch'essa soggetta all'obbligo di segretezza conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti. 4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute.

Come indicato testualmente dalla disposizione, per tale particolare categoria di dati il trattamento, come la comunicazione a terzi (anche mediante accesso e accesso civico), è di regola vietato, salvo che non ricorrano le condizioni di cui ai paragrafi 2, 3 e 4 del richiamato art. 9.

Nel caso di specie, occorre che sussista lo specifico consenso dell’interessato, ai sensi della lett. a) della richiamata disposizione dell’art. 9, in ordine alle finalità del trattamento ed alla stessa cessione del dato a soggetti terzi, non trattandosi di trattamento necessario in base alle previsioni di cui alle lettere b) e seguenti del par. 2 (finalità di cui alle lettere da b) a j) del par. 2 dell’art. 9 del Reg. (UE) 2016/679).

Le condizioni legittimanti il trattamento di comunicazione a terzi non sono state ritenute sussistenti dal Tar nel caso di specie, tenuto conto anche della circostanza che occorrerebbe ricercare il consenso all’interno dei moduli che presumibilmente ciascun soggetto vaccinato ha compilato prima di sottoporsi al vaccino.

Va ulteriormente aggiunto che il Regolamento UE 2016/679 prevede espressamente (art. 5, par. b) che la comunicazione di dati a terzi e tutti gli altri trattamenti di dati:

• sono ammissibili solo se ciò non risulti incompatibile con le finalità per cui i dati sono stati raccolti.

Nel caso esaminato dal TAR, non risulta che la comunicazione di dati a terzi sia compatibile con le finalità per cui i dati sono stati raccolti.

In particolare, i dati non sono stati raccolti da AIFA “per finalità politiche e neppure di ricerca o culturali o sociali, né appare che tali finalità siano compatibili con quelle per le quali i dati personali sono stati inizialmente raccolti (considerando 50 del Regolamento UE 2016/679), né soprattutto che sussistano i presupposti per consentirne il trattamento in assenza del consenso dell’interessato per finalità di ricerca medica ai sensi degli artt. 110 e 110 bis del d.lgs. 30 giugno 2003 n. 196.Senza considerare che l’estrapolazione di dati, quali quelli in questione, completamente avulsa da altri dati come ad esempio la stessa età anagrafica di cui si chiede l’oscuramento, potrebbero rendere fallaci ed alterare le conclusioni di quelle finalità di ricerca che pure l’istante pone a fondamento della propria richiesta di accesso, minando la stessa legittimità di un trattamento eventualmente acconsentito da parte dell’interessato per tali finalità”.

Rivela inoltre il G.A., sotto altro e distinto profilo, che:

• l’anonimizzazione e la pseudonimizzazione perché possano ritenersi realmente tali da spogliare i dati del loro carattere “personale” (sul punto, per tutte, sia sufficiente rinviare a sentenza del TUE del 26 aprile 2023, Comitato di risoluzione unico (CRU), causa T-557/20) richiedono l’applicazione di tecniche gravose, come accade nel caso di specie, non fosse altro per l’elevato numero di persone cui si riferiscono e per la tipologia di alcuni dei dati richiesti. In proposito va rilevato che “l’annotazione relativa alle “segnalazioni di sospette reazioni avverse (aggiornato al 2/10/2023) afferenti le inoculazioni dei vaccini anti Covid-19/SARS-CoV-2” ed “il giudizio di correlazione tra reazione avversa e inoculazione”, afferiscono a dati e informazioni che potrebbero per la loro “singolarità” consentire comunque la re-identificazione, anche in presenza dell’oscuramento dei dati anagrafici, ad esempio mediante l’incrocio con dati in possesso del richiedente e nel caso di specie riferiti ad una delimitata area territoriale (la regione Sicilia). Pertanto l’oscuramento di questi ultimi, non sarebbe sufficiente ad escluderne il carattere di dati personali appartenenti peraltro a “categorie particolari” per i quali il trattamento è di regola escluso”.

In definitiva, va applicato:

- il principio indicato dalla Circolare FOIA n. 2/2017, secondo la quale “l’amministrazione è tenuta a consentire l’accesso generalizzato anche quando riguarda un numero cospicuo di documenti ed informazioni, a meno che la richiesta risulti manifestamente irragionevole, tale cioè da comportare un carico di lavoro in grado di interferire con il buon funzionamento dell’amministrazione…”;

- il principio chiarito dalla Giurisprudenza amministrativa (Cons. Stato, III, n. 1426 del 2021), secondo cui la ragionevolezza e l’accoglibilità della richiesta vanno valutate tenendo conto dei seguenti criteri:

- l’eventuale attività di elaborazione come, ad esempio, l’oscuramento di dati personali, che l’amministrazione dovrebbe svolgere per rendere disponibili i dati e documenti richiesti;

- le risorse interne che occorrerebbe impiegare per soddisfare la richiesta, da quantificare in rapporto al numero di ore di lavoro per unità di personale;

- la rilevanza dell’interesse conoscitivo che la richiesta mira a soddisfare.

Ne deriva conseguentemente - come indicato dalla pronuncia n. 10/2020 dell’Adunanza plenaria - la possibilità e la doverosità di respingere richieste di accesso civico “manifestamente onerose o sproporzionate e, cioè, tali da comportare un carico irragionevole di lavoro idoneo a interferire con il buon andamento della pubblica amministrazione; richieste massive uniche (v., sul punto, circolare FOIA n. 2/2017, 7, lett. d; Cons. St., sez. VI, 13 agosto 2019, n. 5702), contenenti un numero cospicuo di dati o di documenti, o richieste massive plurime, che pervengono in un arco temporale limitato e da parte dello stesso richiedente o da parte di più richiedenti ma comunque riconducibili ad uno stesso centro di interessi” (Cons. St. sez. III, 14 marzo 2023 n. 2686).