Accesso civico e tutela dei dati personali: un equilibrio da ricercare nel contesto
Con il provvedimento n. 352 del 12 giugno 2025, l’Autorità Garante per la protezione dei dati personali interviene nuovamente sul tema dell’accesso civico generalizzato ai dati personali, affrontando un caso che mette in evidenza la necessità di bilanciare correttamente la trasparenza amministrativa con la tutela della riservatezza.
La vicenda trae origine da una richiesta di accesso civico ai sensi dell’art. 5, comma 2, del d.lgs. 33/2013, presentata da un giornalista nei confronti di un Ateneo, volta a ottenere copia del certificato di laurea di un soggetto identificato, con l’intento di verificarne la corrispondenza rispetto al titolo presentato nell’ambito di un concorso. La richiesta si inserisce in un contesto già oggetto di attenzione mediatica e oggetto di segnalazioni all’autorità giudiziaria, con indagini in corso da parte della Procura della Repubblica.
L’Università ha rigettato l’istanza richiamando le limitazioni previste dall’art. 5-bis del decreto trasparenza, in particolare in relazione alla possibile compromissione di indagini e alla tutela della protezione dei dati personali.
Il giornalista ha quindi attivato il riesame, chiedendo l’intervento del Responsabile della prevenzione della corruzione e della trasparenza (RPCT) che, a sua volta, ha richiesto il parere del Garante.
L’Autorità, pur ribadendo i consolidati principi in materia di accesso civico e protezione dei dati personali - (che aveva già chiarito in provvedimenti quali il n. 278 del 9 maggio 2018 (doc. web n. 9099910), il n. 18 del 18 gennaio 2018 (doc. web n. 7688820), il n. 37 del 4 febbraio 2022 (doc. web n. 9746944), nonché in recenti pronunciamenti come il n. 31 del 23 gennaio 2025 (doc. web n. 10110495) - ha evidenziato alcuni elementi peculiari della fattispecie. In particolare, la circostanza che alcune delle informazioni oggetto della richiesta risultano già rese pubbliche dal soggetto controinteressato, attraverso dichiarazioni spontanee rilasciate alla stampa.
Il provvedimento 352 richiama i principi di minimizzazione e limitazione della finalità sanciti dal RGPD (art. 5), secondo cui i dati devono essere trattati in modo proporzionato e coerente rispetto alle finalità perseguite, tenendo conto anche delle ragionevoli aspettative di confidenzialità dell’interessato. Tuttavia, nel caso specifico, la diffusione pubblica già avvenuta da parte dello stesso soggetto e la rilevanza pubblica della vicenda rendono meno evidente il pregiudizio concreto alla protezione dei dati personali.
È significativo che il Garante non si esprima in senso prescrittivo, ma offra un parere che lascia margine all’autonoma valutazione dell’Ateneo, pur chiarendo che — alla luce degli elementi disponibili — non emergono motivi sufficienti per ritenere sussistente il limite della tutela della riservatezza (art. 5-bis, comma 2, lett. a).
Resta invece impregiudicata la possibilità per l’Università di fondare il diniego su altri limiti, come quelli legati a esigenze istruttorie o al corretto svolgimento di indagini, che non rientrano nella competenza valutativa dell’Autorità Garante.
Il provvedimento rappresenta un ulteriore contributo alla costruzione di un sistema coerente in cui trasparenza e protezione dei dati non si pongano in opposizione, ma siano oggetto di una valutazione contestuale, fondata su criteri oggettivi e sull’analisi del caso concreto.
In tale prospettiva, la pubblica amministrazione è chiamata a un esercizio di responsabilità, in cui la libertà di accesso deve essere ponderata alla luce delle conseguenze concrete che l’ostensione può determinare. La trasparenza, per essere effettiva, non può trasformarsi in esposizione indiscriminata dei dati personali: al contrario, deve poggiare su una valutazione di contesto, coerente con i principi di accountability e proporzionalità propri della disciplina in materia di protezione dei dati.
