Il recente Provvedimento n. 381/2026 del Garante Privacy ha offerto un ulteriore contributo significativo alla corretta gestione del procedimento di accesso civico generalizzato, chiarendo quali dati possano essere comunicati agli eventuali controinteressati e quali invece debbano essere esclusi per garantire il rispetto della normativa sulla protezione dei dati personali.
Il quadro normativo: obbligatorio coinvolgere i controinteressati, se presenti, il come farlo deve seguire anche le regole del GDPR
L’art. 5, co. 5, d.lgs. 33/2013, stabilendo la procedura per la gestione dei controinteressati nelle istanze di accesso civico generalizzato (FOIA), impone alle amministrazioni di notiziare i controinteressati quando una richiesta FOIA riguarda dati personali o informazioni che li riguardano. La norma, tuttavia, non specifica quali dati dell’istante debbano essere comunicati, né autorizza la trasmissione integrale dell’istanza.
Il Garante ha confermato che la comunicazione è obbligatoria; le modalità della comunicazione devono in ogni caso rispettare i principi del GDPR, in particolare liceità, correttezza, trasparenza e minimizzazione.
Ne consegue che l’amministrazione deve sempre comunicare solo i dati necessari a identificare l’istante, evitando la trasmissione di informazioni eccedenti o non pertinenti.
Nel caso esaminato, l’ente pubblico coinvolto aveva trasmesso al controinteressato l’istanza FOIA in versione integrale, comprensiva di: indirizzo di residenza; numero di telefono cellulare; ulteriori dati personali non necessari.
La giustificazione addotta — una formula di autorizzazione generica apposta dall’istante — è stata giudicata irrilevante dal Garante. Come riportato nel documento: «l’esplicita ed incondizionata autorizzazione al trattamento dei dati personali da parte del richiedente» non può sostituire il dovere del titolare di effettuare un bilanciamento.
Il provvedimento ha evidenziato che la trasparenza non può essere perseguita a scapito della protezione dei dati personali. La comunicazione ai controinteressati deve essere proporzionata alla finalità; limitata ai dati necessari; standardizzata attraverso procedure interne chiare.
Il Garante ha comunque valorizzato le misure correttive adottate dall’Ateneo, tra cui: criteri per individuare i dati da comunicare; modelli di oscuramento; coinvolgimento del RPD; formazione del personale.
Responsabilità organizzativa e gestione corretta del FOIA
Il Provvedimento del Garante n. 381/2026 richiama con forza un principio essenziale per tutte le amministrazioni che gestiscono il FOIA: la trasparenza non è solo un obbligo di legge, ma un risultato che si ottiene attraverso un confronto tra assetti organizzativi adeguati, procedure chiare e personale formato.
Per questo motivo il Garante ha sottolineato che le formule di stile inserite dall’istante (come “autorizzo il trattamento dei miei dati personali”) e le dichiarazioni generiche che sembrano concedere un consenso ampio, non possono mai sostituire il lavoro che spetta all’ente: valutare quali dati siano davvero necessari, bilanciare gli interessi in gioco e applicare il principio di minimizzazione previsto dal GDPR.
In altre parole, l’amministrazione non può affidarsi a ciò che scrive il cittadino nella sua richiesta: deve sempre esercitare la propria responsabilità di titolare del trattamento, verificando che ogni comunicazione ai controinteressati sia proporzionata e conforme alla normativa.
Conclusione: un FOIA efficace richiede trasparenza non fine a sé stessa, ma in continuo confronto con altre norme, in primis la privacy
Il Provvedimento n. 381/2026 ha confermato che l’accesso civico generalizzato è uno strumento fondamentale per garantire controllo diffuso e partecipazione. Tuttavia, la sua applicazione richiede attenzione: la comunicazione ai controinteressati deve essere mirata, proporzionata e pienamente coerente con il GDPR.
Ciò significherà: evitare la trasmissione di dati personali non necessari; limitarsi alle informazioni utili a identificare l’istante; adottare procedure interne che riducano il rischio di errori; garantire un’applicazione del FOIA che sia davvero rispettosa dei diritti delle persone.
Solo così la trasparenza potrà essere capace di coniugare l’accesso alle informazioni con la tutela dei dati personali, nel pieno rispetto del principio di accountability che guida l’azione delle amministrazioni pubbliche.
