Il Provvedimento del Garante per la protezione dei dati personali del 28 maggio 2026, n. 381 ha offerto un chiarimento decisivo su un tema spesso frainteso nelle amministrazioni pubbliche: l’autorizzazione dell’interessato non può sanare un trattamento illecito, né può essere invocata come deroga ai principi fondamentali del GDPR.
Il caso: comunicazione integrale dell’istanza FOIA al controinteressato
Il reclamo nasce nell’ambito di un procedimento di accesso civico generalizzato, art. 5 c. 2 d.lgs. 33/2013 (decreto trasparenza), nel quale un Ateneo aveva trasmesso al controinteressato l’istanza in versione integrale, comprensiva di dati personali non necessari: indirizzo di residenza e numero di telefono cellulare dell’istante. L’amministrazione aveva giustificato la scelta richiamando una formula apposta in calce alla richiesta: «autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta».
Il Garante ha ritenuto tale interpretazione errata e fuorviante, contestando la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione (art. 5, par. 1, lett. a) e c) GDPR). Come riportato nel documento: «l’esplicita ed incondizionata autorizzazione al trattamento dei dati personali da parte del richiedente» non può esonerare il titolare dal necessario bilanciamento.
Perché l’autorizzazione è irrilevante
Il Garante ha ricordato che i trattamenti svolti da soggetti pubblici trovano la loro base giuridica nell’adempimento di un obbligo legale o nell’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. c) ed e) GDPR). La norma nazionale (art. 2-ter del Codice Privacy) conferma che comunicazioni e diffusioni di dati personali sono ammesse solo se previste da legge, regolamento o atti amministrativi generali.
Nel caso dell’accesso civico generalizzato, l’art. 5, co. 5, d.lgs. 33/2013 impone la comunicazione ai controinteressati, ma non autorizza la trasmissione di dati eccedenti. Il titolare deve quindi applicare il principio di minimizzazione e comunicare solo i dati necessari a identificare l’istante.
Accountability: il cuore della pronuncia
Il Garante ha affermato che l’autorizzazione dell’interessato non può avere natura derogatoria rispetto agli obblighi del titolare. Se fosse ammessa una deroga basata su formule generiche, verrebbe snaturato il principio cardine di accountability, che impone al titolare di valutare i rischi del trattamento, adottare misure adeguate e garantire la conformità normativa in ogni fase del procedimento.
Le misure correttive richieste
Il provvedimento ha tenuto conto delle iniziative dell’Ateneo, tra cui: criteri chiari per individuare i dati strettamente necessari; modalità standardizzate di oscuramento; coinvolgimento tempestivo del RPD; sensibilizzazione del personale.
Pur riconoscendo tali miglioramenti, il Garante ha comunque emesso un ammonimento, qualificando la violazione come minore ma reale.
Conclusione
Il messaggio del Garante è netto: nessuna formula di autorizzazione può legittimare un trattamento illecito o eccedente. Le amministrazioni devono fondare ogni operazione di trattamento su basi giuridiche solide, applicare il principio di minimizzazione e garantire un’organizzazione conforme e responsabile.
