Accesso civico e protezione dati: il Garante Privacy impone il rigido principio di minimizzazione

Il recente provvedimento emesso dal Garante per la protezione dei dati personali ha tracciato un confine netto tra il diritto alla trasparenza amministrativa e la tutela della riservatezza individuale. L'Autorità ha ufficialmente dichiarato illecito il comportamento di un ateneo universitario che, nell'adempiere a una richiesta di accesso civico generalizzato, aveva provveduto a trasmettere a un soggetto controinteressato l'istanza integrale presentata dal richiedente, senza operare alcuna selezione o oscuramento dei dati sensibili.

L'analisi del caso evidenzia una criticità operativa frequente nelle Pubbliche Amministrazioni: la tendenza a fornire la documentazione "così com'è", sottovalutando il dovere di filtraggio preventivo. In particolare, l'ateneo aveva incluso nella comunicazione dati non necessari alla finalità del procedimento, come l'indirizzo di residenza e il numero di cellulare del richiedente. Sebbene l'istituzione avesse il dovere di informare il controinteressato sull'identità di chi aveva presentato la domanda, l'Autorità ha ribadito che tale obbligo non può tradursi in una cessione indiscriminata di informazioni private.

Il provvedimento, datato 28 maggio 2026 (Registro dei provvedimenti n. 2), ha qualificato la condotta come una violazione minore, disponendo un ammonimento formale. Tuttavia, il segnale inviato dalle autorità è chiaro: la Pubblica Amministrazione deve agire come garante della privacy, applicando rigorosamente il principio di minimizzazione dei dati previsto dal Regolamento UE 2016/679 (GDPR) e dal Codice Privacy (D.Lgs. n. 196/2003). Non è più sufficiente la semplice presenza di una clausola di autorizzazione al trattamento dati nell'istanza del cittadino per esonerare l'ente dal dovere di valutazione caso per caso.

Il quadro normativo e il bilanciamento tra trasparenza e riservatezza

La gestione delle richieste di accesso civico si muove su un delicato equilibrio tra diverse norme fondamentali. Il D.Lgs. n. 33/2013, all'art. 5 comma 7, disciplina il diritto di accesso e gli obblighi di trasparenza, ma deve essere letto in combinazione con le Linee Guida ANAC (Determinazione n. 1309 del 28/12/2016). Queste linee forniscono indicazioni operative precise sulle esclusioni e sui limiti, sottolineando che i documenti resi pubblici godono di un amplificato regime di pubblicità, il che rende ancora più stringente l'obbligo di redazione (oscuramento) dei dati sensibili prima della trasmissione.

Un punto cruciale emerso dall'istruttoria riguarda la natura della "autorizzazione" fornita dai cittadini. Il Garante ha chiarito che una formula generica di consenso non costituisce una licenza di trattamento illimitata. Spetta esclusivamente alla Pubblica Amministrazione valutare autonomamente quali informazioni siano realmente necessarie per la finalità della comunicazione e quali debbano essere rimosse per proteggere la sfera privata dei soggetti coinvolti. Questo approccio richiede una consapevolezza giuridica elevata da parte dei responsabili della trasparenza e dei dirigenti scolastici.

Il precedente dell'ateneo coinvolto, che ha avviato una revisione interna delle procedure proprio a seguito dell'ammonimento, conferma la necessità di una procedura standardizzata. Le amministrazioni non possono limitarsi a una valutazione soggettiva, ma devono adottare protocolli di data scrubbing (pulizia dei dati) che garantiscano la coerenza delle risposte fornite a tutti i richiedenti, evitando disparità di trattamento e rischi di contenzioso.

Le responsabilità operative per le Pubbliche Amministrazioni

Per il personale amministrativo, i dirigenti scolastici e i responsabili della prevenzione della corruzione (RPCT), il provvedimento del Garante si traduce in un cambiamento procedurale immediato. Ogni richiesta di accesso civico deve essere sottoposta a un filtro di verifica che distingua tra l'identità del richiedente (comunicabile) e i suoi dati di contatto privati (da oscurare). La responsabilità della valutazione della pertinenza dei dati ricade interamente sull'ente pubblico; pertanto, l'omissione di un oscuramento non può essere giustificata dalla complessità della richiesta o dalla mole di lavoro.

In particolare, è necessario prestare attenzione ai seguenti aspetti tecnici:

• Identificazione vs. Dati: È legittimo comunicare nome e cognome, ma devono essere rimossi indirizzi, numeri di telefono, email personali e altri identificativi non strettamente necessari alla gestione del procedimento.
• Valutazione della necessità: L'amministrazione deve chiedersi se il dato trasmesso sia indispensabile per il controinteressato per esercitare i propri diritti o per la tutela della trasparenza.
• Procedura di oscuramento: È fondamentale adottare tecniche di redazione (fisica o digitale) che non alterino il contenuto del documento ma ne rendano illeggibili le parti non pertinenti.
• Monitoraggio delle recidive: Sebbene la violazione attuale sia stata considerata minore poiché gli effetti erano già esauriti, la mancata revisione delle procedure interne potrebbe portare a sanzioni più severe in caso di nuovi episodi.

È importante notare che il Garante continua a monitorare attivamente le condotte delle PA. Altri pareri recenti confermano la tendenza dell'Autorità a intervenire su richieste di accesso che coinvolgono dati sensibili, procedimenti giudiziari o informazioni riservate, ribadendo che la trasparenza non può mai sacrificare la sicurezza dei dati personali.

Cosa cambia concretamente per dirigenti e personale scolastico

Per chi lavora quotidianamente nelle scuole e negli atenei, il provvedimento impone una revisione sistematica dei flussi di lavoro relativi alla trasparenza. Non è più ammessa la trasmissione "integrale" di istanze o documenti che contengano dati di contatto dei cittadini. Ogni ufficio deve implementare una procedura di data scrubbing che avvenga prima dell'invio della posta elettronica o della consegna della documentazione cartacea.

In pratica, il personale amministrativo deve:

1. Ricevere la richiesta di accesso civico e identificarne l'oggetto.
2. Identificare i controinteressati e preparare la comunicazione di avviso.
3. Effettuare la "pulizia" del documento: prima di inviare l'istanza al controinteressato, occorre oscurare fisicamente o digitalmente i dati non necessari (es. il numero di telefono del richiedente).
4. Verificare la pertinenza: assicurarsi che il dato trasmesso sia effettivamente utile al controinteressato per la tutela dei propri diritti, evitando di fornire informazioni eccessive che potrebbero generare ulteriori rischi di privacy.

Questa nuova consapevolezza operativa mira a prevenire che la scuola o l'università diventino involontariamente responsabili di data breach dovuti a negligenze procedurali. La trasparenza è un dovere, ma la protezione dei dati è un diritto fondamentale che l'amministrazione deve presidiare con rigore tecnico e giuridico.

Sebbene il provvedimento specifico non indichi il nome dell'ateneo coinvolto, esso funge da precedente autorevole per tutte le istituzioni scolastiche. È consigliabile che i dirigenti scolastici integrino nei propri regolamenti interni linee guida specifiche sulla gestione degli accessi civici, citando esplicitamente il principio di minimizzazione e le procedure di oscuramento validate dal Garante.

Per approfondire le linee guida ufficiali, è possibile consultare i documenti pubblicati sul sito ufficiale del Garante per la protezione dei dati personali o le determinazioni della ANAC in materia di accesso civico.