Parere del Garante n. 576 del 23/07/2026

Accesso civico generalizzato ai dati delle autorizzazioni NCC del Comune di Fenegrò

Il Garante ha reso, ai sensi dell’art. 5, comma 7, del d.lgs. n. 33/2013, il parere richiesto dal Responsabile della prevenzione della corruzione e della trasparenza del Comune di Fenegrò nell’ambito del riesame di un diniego parziale opposto a una richiesta di accesso civico generalizzato. La richiesta proveniva da una società e riguardava l’elenco completo delle autorizzazioni NCC attive, con numero e stato dell’autorizzazione, data di rilascio, denominazione o nome del titolare, natura giuridica, sede, PEC e ulteriori recapiti professionali.

Oggetto della richiesta e provvedimento comunale

La società aveva dichiarato che l’accesso era finalizzato all’analisi dell’assetto autorizzativo vigente nel settore del trasporto pubblico non di linea. Il Comune aveva fornito i dati aggregati relativi al numero complessivo di licenze NCC rilasciabili e assegnate, nonché data, numero e stato di validità delle autorizzazioni, negando l’accesso agli ulteriori dati identificativi e di contatto. La società aveva quindi chiesto il riesame del provvedimento, insistendo sull’ostensione dei dati non oscurati ai sensi dell’art. 5-bis, comma 4, del d.lgs. n. 33/2013.

Quadro normativo sull’accesso civico e sui dati personali

L’art. 5, comma 2, del d.lgs. n. 33/2013 riconosce a chiunque il diritto di accedere a dati e documenti detenuti dalle pubbliche amministrazioni, ulteriori rispetto a quelli oggetto di pubblicazione obbligatoria, nel rispetto dei limiti di cui all’art. 5-bis. L’accesso è escluso, ai sensi dell’art. 5-bis, comma 3, quando la disciplina vigente lo subordina a specifiche condizioni, modalità o limiti. È invece rifiutato, tra l’altro, quando il diniego è necessario per evitare un pregiudizio concreto alla protezione dei dati personali, ai sensi dell’art. 5-bis, comma 2, lett. a).

Il Garante richiama la definizione di dato personale contenuta nell’art. 4, par. 1, n. 1, GDPR e precisa che le informazioni riferite esclusivamente a persone giuridiche, enti, associazioni, fondazioni, comitati o esercizi commerciali non rientrano, di regola, nell’ambito della disciplina in materia di protezione dei dati personali. Tuttavia, le informazioni relative a imprese e ditte individuali possono essere dati personali quando consentono di identificare una persona fisica, secondo il criterio affermato anche dalla Corte di giustizia dell’Unione europea nella sentenza del 9 novembre 2010, cause C-92/09 e C-93/09, Volker und Markus Schecke e Eifert.

Effetti della pubblicità propria dell’accesso civico

Il Garante sottolinea che i dati e documenti ottenuti mediante accesso civico diventano pubblici e possono essere conosciuti, utilizzati e riutilizzati da chiunque, ai sensi dell’art. 3, comma 1, e dell’art. 7 del d.lgs. n. 33/2013, pur restando soggetti alla normativa sulla protezione dei dati personali. La valutazione del possibile pregiudizio deve quindi considerare l’ampio regime di pubblicità e riutilizzabilità dell’accesso civico, nonché le ragionevoli aspettative di confidenzialità degli interessati.

Devono inoltre essere rispettati i principi di limitazione della finalità e minimizzazione dei dati previsti dall’art. 5, par. 1, lett. b) e c), GDPR. I dati devono essere raccolti per finalità determinate, esplicite e legittime e devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.

Disciplina speciale delle autorizzazioni NCC e del RENT

L’art. 8, comma 1, della legge n. 21 del 15 gennaio 1992 attribuisce ai Comuni il rilascio delle autorizzazioni per l’esercizio del servizio di noleggio con conducente. L’art. 10-bis, comma 3, del d.l. n. 135 del 14 dicembre 2018 ha istituito presso il Centro elaborazione dati del Ministero delle infrastrutture e dei trasporti il Registro Elettronico NCC Taxi, denominato RENT.

Il d.m. n. 203 del 2 luglio 2024 ha disciplinato la tipologia dei dati contenuti nel RENT e il relativo regime di accessibilità. Ai sensi dell’art. 4, comma 1, lett. c), del decreto, chiunque sia legittimato dalla legislazione vigente può consultare esclusivamente determinate categorie di dati dell’allegato A, tra cui, per le autorizzazioni NCC:

• denominazione, ragione sociale, codice fiscale, partita IVA e legale rappresentante o titolare dell’impresa;
• sede legale dell’impresa, esclusa la sede legale della ditta individuale;
• Comune che ha rilasciato l’autorizzazione;
• uso di immatricolazione dell’autovettura;
• numero dei posti, incluso il conducente;
• denominazione commerciale del veicolo;
• per i natanti, codice identificativo, autorità presso cui è tenuto il codice, tipologia, stazza lorda e numero massimo di persone trasportabili, incluso l’equipaggio.

Secondo il Garante, tale disciplina speciale definisce sia i dati eventualmente accessibili sia i soggetti legittimati e non può essere derogata o ampliata mediante l’accesso civico generalizzato. Il richiamo è anche all’art. 5-bis, comma 3, del d.lgs. n. 33/2013 e al paragrafo 6.3 delle Linee guida ANAC sull’accesso civico.

Esclusione dell’accesso per il regime speciale previsto dalla legge

L’accesso civico alle informazioni sulle autorizzazioni NCC deve essere escluso nella parte in cui l’istanza tende a ottenere dati oltre quelli resi conoscibili dal d.m. n. 203/2024. Il Garante qualifica questa situazione come ipotesi di esclusione assoluta: l’accesso è subordinato dalla disciplina vigente a specifiche condizioni, modalità e limiti e non è quindi necessario procedere a un ulteriore bilanciamento tra accesso e interessi tutelati.

Il parere conferma precedenti provvedimenti del Garante, tra cui il n. 374 del 25 maggio 2026 e i successivi pareri richiamati nel provvedimento, relativi a richieste analoghe aventi il medesimo oggetto e provenienti dalla stessa società.

Rischi di duplicazione, riutilizzo e trattamento ulteriore

Dagli atti risultava che la società richiedente aveva presentato sistematicamente istanze analoghe a più enti locali. Il Garante considera tale circostanza sintomatica del rischio che l’accesso civico venga utilizzato per duplicare, presso un soggetto privato, informazioni già raccolte in una banca dati nazionale pubblica, alterando il regime di conoscibilità stabilito per il RENT.

Secondo il Garante, l’ostensione richiesta potrebbe inoltre arricchire tali informazioni con dati che il legislatore non ha previsto come conoscibili ai sensi dell’art. 4, comma 1, lett. c), del d.m. n. 203/2024, come la sede legale delle ditte individuali, gli indirizzi PEC e i recapiti telefonici o di posta elettronica comunicati al Comune per il rilascio dell’autorizzazione.

Questa forma di raccolta sistematica potrebbe comportare:

• duplicazione di informazioni contenute in una banca dati nazionale;
• elusione delle condizioni di accesso e delle misure di sicurezza adottate dal Ministero ai sensi dell’art. 32 GDPR;
• usi impropri e riutilizzi da parte di soggetti terzi;
• trattamenti ulteriori per finalità incompatibili con quelle originarie, in contrasto con l’art. 6, par. 4, GDPR;
• assenza di una base giuridica idonea ai sensi dell’art. 6, par. 1, GDPR, in relazione ai trattamenti ulteriori prospettati.

Pregiudizio concreto per i dati personali

Anche al di là dell’esclusione derivante dal regime speciale del RENT, il Garante ravvisa profili di possibile pregiudizio concreto per la protezione dei dati personali. In particolare, la sede operativa di una ditta individuale potrebbe coincidere con il domicilio o la residenza del titolare. Analogamente, PEC, telefono ed e-mail comunicati all’amministrazione per il rilascio dell’autorizzazione possono consentire l’identificazione e il contatto diretto della persona fisica.

La conoscenza generalizzata di tali informazioni non risulta chiaramente strumentale agli obiettivi dell’accesso civico generalizzato, ossia favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali, sull’utilizzo delle risorse pubbliche e promuovere la partecipazione al dibattito pubblico. La diffusione a soggetti terzi estranei, considerato il particolare regime di pubblicità dell’accesso civico, potrebbe pertanto determinare un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà degli interessati, in contrasto con i principi di cui all’art. 5, par. 1, lett. b) e c), GDPR.

Il Garante richiama inoltre le Linee guida ANAC, secondo cui, quando la richiesta riguarda dati personali non necessari agli scopi dell’accesso generalizzato o informazioni di dettaglio sproporzionate, eccedenti o non pertinenti, l’amministrazione dovrebbe adottare le modalità meno pregiudizievoli per i diritti degli interessati.

Rilevanza dell’interesse pubblico e della libertà di espressione

Il provvedimento richiama l’art. 10 CEDU e la giurisprudenza della Corte europea dei diritti dell’uomo, secondo cui tale disposizione non riconosce in via generale un diritto di accesso alle informazioni detenute dalle autorità pubbliche. Un simile diritto può essere ricondotto alla libertà di ricevere e diffondere informazioni soltanto in situazioni particolari, quando le informazioni riguardano questioni di interesse pubblico e l’accesso è strumentale all’esercizio della libertà di espressione, come affermato nel caso Magyar Helsinki Bizottság c. Ungheria dell’8 novembre 2016.

Nel caso esaminato, la finalità dichiarata di analizzare l’assetto autorizzativo del settore non è stata ritenuta sufficiente a giustificare la conoscenza generalizzata di dati personali di dettaglio, quali sedi operative e recapiti, in assenza di elementi che dimostrassero una concreta strumentalità rispetto al controllo diffuso sull’attività amministrativa o al dibattito pubblico.

Dati riferiti a persone giuridiche e ulteriori limiti

Il Garante precisa che le informazioni riferite non a persone fisiche o ditte individuali, ma a società, associazioni o altre persone giuridiche, non sono dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR. Per tali informazioni non opera il limite posto a tutela della protezione dei dati personali dall’art. 5-bis, comma 2, lett. a), del d.lgs. n. 33/2013.

Resta tuttavia ferma la competenza dell’amministrazione a valutare eventuali ulteriori limiti all’accesso previsti dall’art. 5-bis, comma 2, lett. c), del d.lgs. n. 33/2013, relativo agli interessi economici e commerciali di persone fisiche o giuridiche, inclusi proprietà intellettuale, diritto d’autore e segreti commerciali. Tali profili non sono stati sindacati dal Garante nel presente procedimento.

Conclusioni del Garante

Il Garante ha espresso parere nei termini sopra indicati sulla richiesta del RPCT del Comune di Fenegrò. In sintesi, l’accesso civico generalizzato ai dati sulle autorizzazioni NCC deve essere escluso nella parte in cui elude o amplia il regime speciale di accessibilità del RENT previsto dal d.m. n. 203/2024. Per i dati personali ulteriori, quali sede operativa, PEC e recapiti, sussiste inoltre un possibile pregiudizio concreto ai sensi dell’art. 5-bis, comma 2, lett. a), del d.lgs. n. 33/2013, alla luce dei principi di limitazione della finalità, minimizzazione, sicurezza e compatibilità del trattamento previsti dal GDPR.