Quando una richiesta di accesso civico generalizzato riguarda documenti con dati personali, l’amministrazione deve valutare se l’ostensione comporti un pregiudizio concreto alla protezione di quei dati e se sia possibile soddisfare la richiesta in modo parziale. La parola «privacy» non basta a motivare un diniego; allo stesso modo, la finalità di trasparenza non rende automaticamente divulgabile ogni dettaglio su una persona.
Per l’ufficio che istruisce l’istanza, il risultato utile è una decisione motivata, accompagnata dalla versione effettivamente rilasciabile dei documenti. Questa guida organizza il lavoro intorno agli articoli 5 e 5-bis del decreto legislativo 33/2013 e al parere del Garante del 10 marzo 2025 sull’accesso civico. Il parere offre indicazioni concrete sul pregiudizio, sulla pubblicità dei dati ottenuti e sul rischio di identificazione indiretta.
Individuare il tipo di accesso prima del bilanciamento
Distinguere l’accesso civico semplice, legato a obblighi di pubblicazione, dall’accesso generalizzato a ulteriori dati e documenti detenuti dall’amministrazione. Separare anche l’accesso documentale previsto dalla legge 241/1990 e l’accesso dell’interessato ai propri dati ai sensi del GDPR. Lo stesso richiedente può avere interessi diversi, ma i presupposti e gli effetti dei percorsi non sono intercambiabili.
Un’istanza che chiede informazioni già soggette a un obbligo di pubblicazione richiede anzitutto la verifica di quell’obbligo e del suo perimetro. La guida sull’albo pretorio e l’oscuramento dei dati aiuta a distinguere pubblicazione legale, trasparenza e copie documentali. Non trasferire al procedimento di accesso le durate del sito, né presumere che un allegato pubblicato in passato sia per questo divulgabile integralmente oggi.
Se la richiesta è ambigua, l’ufficio deve favorirne la comprensione e individuare i documenti, senza imporre una qualificazione puramente formale che impedisca l’esercizio del diritto. Conservare nel fascicolo le interlocuzioni che hanno precisato oggetto, periodo e documentazione cercata.
Fare un inventario del contenuto effettivo
Leggere documenti e allegati, comprese tabelle, note, firme, nomi dei file e proprietà del documento. La descrizione del protocollo può sembrare neutra mentre un allegato contiene condizioni familiari, informazioni sanitarie o valutazioni del personale.
Per ciascun blocco annotare le persone coinvolte, la categoria dei dati, la relazione con l’attività pubblica e l’eventuale disciplina speciale. La definizione di dato personale e identificabilità è rilevante anche quando mancano nomi: mansione unica, piccolo ufficio, data e importo possono individuare il dipendente.
L’inventario non deve creare un secondo archivio incontrollato di copie integrali. Lavorare su un ambiente riservato, assegnare accessi all’istruttoria e conservare una sola versione di riferimento. Le bozze destinate all’oscuramento devono essere riconoscibili come tali, per evitare che l’ufficio invii per errore il file originario.
Valutare il pregiudizio nel contesto di una conoscibilità ampia
Il Garante ricorda che l’accesso generalizzato comporta un regime di conoscibilità più ampio rispetto all’accesso documentale collegato a un interesse qualificato. La valutazione non può quindi fondarsi soltanto sull’affidabilità dichiarata del richiedente o sulla sua promessa di usare il documento in modo riservato.
Descrivere il possibile effetto negativo, la sua concretezza e il rapporto con i dati richiesti. Sono elementi pertinenti la delicatezza delle informazioni, le aspettative ragionevoli di riservatezza, il contesto professionale o sociale, la possibilità di collegare più fonti e l’attualità delle conseguenze. Evitare una formula standard identica per tutti i documenti.
La limitazione delle finalità non impone un divieto assoluto di ogni successiva comunicazione, ma aiuta a considerare il contesto in cui i dati furono raccolti. Una valutazione interna destinata alla gestione del rapporto di lavoro non ha gli stessi effetti di un’informazione istituzionale già soggetta a pubblicità per legge.
Non confondere dati già pubblici e nuove correlazioni
Nel parere del marzo 2025, il Garante affronta informazioni su attività lavorative e incentivi di dipendenti. Il fatto che alcuni nominativi o ruoli fossero conoscibili attraverso altre fonti non rendeva automaticamente divulgabile ogni componente retributiva associata. Il punto operativo è verificare l’informazione aggiuntiva che nasce dalla combinazione, non soltanto la presenza isolata del nome in rete.
Per esempio, un elenco di incarichi pubblici e una tabella di importi possono essere apparentemente separati ma collegabili tramite un codice progetto unico. Eliminare i nomi dalla seconda tabella non risolve il problema se chiunque può ricostruire l’associazione usando la prima.
La valutazione delle categorie particolari di dati richiede attenzione ulteriore. Una causale di assenza, una descrizione di assistenza o un riferimento a un servizio può rivelare salute o altre informazioni protette senza usare una diagnosi esplicita. Verificare anche divieti e discipline specifiche, prima di applicare un bilanciamento generico.
Considerare l’accesso parziale in modo reale
L’accesso parziale deve essere una possibilità istruita, non una frase aggiunta alla fine del diniego. Individuare se il documento può conservare un’utilità informativa dopo la rimozione dei dati che generano il pregiudizio. La minimizzazione dei dati offre il criterio operativo per distinguere ciò che serve allo scopo di trasparenza dal dettaglio eccedente.
Provare l’oscuramento su una copia e verificarne il risultato. Una barra nera sovrapposta al testo in un PDF non garantisce che il testo sottostante sia stato eliminato. Controllare copia e incolla, ricerca, livelli, commenti, revisioni, fogli nascosti e metadati. La prova va eseguita sul file definitivo che sarà trasmesso, non sulla sola anteprima visiva.
Valutare poi la reidentificazione. Se restano pochi record, date esatte e ruoli unici, un codice sostitutivo può essere una semplice pseudonimizzazione. Documentare quali elementi sono stati rimossi e perché la parte residua non consente ragionevolmente l’identificazione nel contesto considerato.
Un esempio ipotetico di scheda istruttoria
Un comune riceve una richiesta di documenti sui costi di un progetto formativo. Il fascicolo contiene contratto con il fornitore, calendario, spese complessive e un allegato con nominativi dei partecipanti e motivazioni individuali delle assenze. L’ufficio verifica prima gli obblighi di pubblicazione pertinenti e il regime dei documenti richiesti.
| Documento o campo | Analisi dell’esempio | Proposta da verificare |
|---|---|---|
| Contratto del servizio | Riguarda impiego di risorse pubbliche | Rilascio secondo la disciplina applicabile, con controllo dei dati accessori |
| Calendario e costo totale | Informazioni sull’attività svolta | Rilascio della parte pertinente |
| Recapiti privati dei partecipanti | Non spiegano la spesa | Oscuramento |
| Motivazioni sanitarie delle assenze | Informazioni delicate estranee al controllo economico richiesto | Esclusione dalla copia rilasciata e verifica dei divieti applicabili |
| Tabella individuale in piccolo ufficio | Identificazione possibile anche senza nome | Valutazione di ulteriore riduzione o diniego della parte non separabile |
Non è un esito prestabilito per tutte le richieste sulla formazione. Il responsabile deve verificare contenuto, normativa e contesto reali. La tabella rende però la motivazione controllabile: ogni restrizione è associata a un dato e a una ragione, mentre le parti utili vengono considerate autonomamente.
Gestire i controinteressati senza delegare loro la decisione
Individuare chi potrebbe subire un pregiudizio e applicare il procedimento di coinvolgimento previsto dalla disciplina. Le osservazioni del controinteressato sono elementi da valutare: il suo dissenso non costituisce automaticamente un veto e il suo silenzio non dimostra assenza di rischio.
Il parere del Garante richiama la possibilità di soddisfare l’esigenza informativa omettendo dati personali non necessari, con conseguenze anche sulla necessità del coinvolgimento nel caso concretamente esaminato. Non trasformare questa indicazione in una scorciatoia generale: l’ufficio deve avere effettivamente verificato che la versione rilasciata non esponga dati identificabili pregiudizievoli.
Nel fascicolo annotare destinatari delle comunicazioni, invii, riscontri, eventuali sospensioni dei termini e valutazione finale. Il DPO può fornire consulenza sulla protezione dei dati, ma la responsabilità del provvedimento resta all’organo competente secondo l’organizzazione dell’ente.
Scrivere una motivazione che si possa riesaminare
Il provvedimento deve chiarire oggetto, documenti reperiti, regime applicato, parti accolte, parti escluse e ragioni della scelta. Per il diniego o l’accoglimento parziale, spiegare perché una misura meno restrittiva non elimina il pregiudizio residuo. Non inserire nella motivazione pubblicabile proprio i dettagli personali che si intende proteggere.
L’accountability e l’organizzazione delle prove richiedono di conservare anche la versione originaria riservata, la versione rilasciata e il ragionamento che le collega. Se interviene un riesame, il RPCT deve poter ricostruire la decisione senza chiedere all’autore di ricordare oralmente quale allegato fosse stato inviato.
Controllare infine il canale di trasmissione, i destinatari e gli allegati effettivi. Un’istruttoria corretta può essere vanificata dall’invio della versione sbagliata. Una verifica a due persone per i fascicoli delicati è una misura organizzativa valutabile dall’ente, non un obbligo universale ricavato dal GDPR.
Tenere separati esito dell’accesso e pubblicazione sul sito
Il rilascio al richiedente non equivale a un ordine di pubblicare integralmente il fascicolo nella sezione del sito istituzionale. Ogni ulteriore pubblicazione deve avere il proprio fondamento e rispettare i limiti applicabili. Anche il registro degli accessi deve essere compilato evitando di rendere identificabili dati che la decisione ha escluso dall’ostensione.
Quando una decisione viene usata per formare altri uffici, preparare un caso depurato da dati reali e dettagli riconoscibili. Si conserva così il valore del ragionamento senza creare una nuova circolazione dei fascicoli. Il modello migliore è quello che rende esplicite le domande da risolvere e le prove da raccogliere, lasciando la valutazione legata ai documenti effettivamente richiesti.
Mettere i termini nello scadenzario dell’istruttoria
Le FAQ ANAC sull’accesso generalizzato ricordano il termine di trenta giorni per il provvedimento espresso e motivato e i dieci giorni concessi ai controinteressati per l’eventuale opposizione, con la sospensione prevista dal procedimento. Registrare il ricevimento delle comunicazioni: la sola data in cui l’ufficio prepara una lettera non dimostra quando il destinatario l’abbia ricevuta. Lo scadenzario deve distinguere la conclusione dell’istruttoria dall’effettiva trasmissione dei documenti, considerando anche le garanzie procedurali previste quando la richiesta viene accolta nonostante l’opposizione. Questa separazione evita di rendere inutile il rimedio del controinteressato attraverso un invio anticipato.