Parere del Garante n. 548 del 23/07/2026

Parere sull’accesso civico ai dati delle autorizzazioni NCC

Il Garante si è pronunciato, ai sensi dell’art. 5, comma 7, del d.lgs. n. 33/2013, sulla richiesta del Responsabile della prevenzione della corruzione e della trasparenza del Comune di Cosio Valtellino, nell’ambito del riesame di un diniego parziale di accesso civico generalizzato. Il parere conferma l’orientamento già espresso in precedenti provvedimenti su una fattispecie identica.

Oggetto del quesito

Una società privata aveva richiesto l’elenco completo delle autorizzazioni NCC attive rilasciate dal Comune, con riferimento, per ciascun titolo, al numero identificativo e allo stato dell’autorizzazione, alla data di rilascio, alla denominazione o al nome e cognome del titolare, alla natura giuridica, alla sede legale o operativa, all’indirizzo PEC e agli ulteriori recapiti professionali comunicati all’amministrazione.

La società aveva dichiarato che la richiesta era finalizzata all’analisi dell’assetto autorizzativo vigente nel settore del trasporto pubblico non di linea e aveva chiesto, in subordine, l’ostensione parziale dei dati non soggetti a limitazione ai sensi dell’art. 5-bis, comma 4, del d.lgs. n. 33/2013. Il Comune aveva invece fornito soltanto i dati aggregati relativi al numero massimo di licenze NCC rilasciabili e al numero di autorizzazioni effettivamente assegnate.

Quadro normativo sull’accesso civico generalizzato

L’art. 5, comma 2, del d.lgs. n. 33/2013 riconosce a chiunque il diritto di accedere a dati e documenti detenuti dalle pubbliche amministrazioni, ulteriori rispetto a quelli oggetto di pubblicazione obbligatoria, nel rispetto dei limiti posti dall’art. 5-bis.

L’art. 5-bis distingue, per quanto rileva, tra:

• l’esclusione dell’accesso nei casi in cui la disciplina vigente lo subordini al rispetto di specifiche condizioni, modalità o limiti, ai sensi del comma 3;
• il rifiuto dell’accesso quando ciò sia necessario per evitare un pregiudizio concreto alla protezione dei dati personali, ai sensi del comma 2, lett. a).

Il Garante richiama inoltre l’art. 3, comma 1, del d.lgs. n. 33/2013, secondo cui i dati e i documenti ottenuti tramite accesso civico diventano pubblici e possono essere conosciuti, utilizzati e riutilizzati da chiunque, nel rispetto della disciplina sulla protezione dei dati personali. Questo regime di pubblicità generalizzata impone una valutazione particolarmente rigorosa degli effetti dell’ostensione.

Nozione di dato personale e applicazione a imprese e ditte individuali

Ai sensi dell’art. 4, par. 1, n. 1, RGPD, è dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile. Non rientrano, in linea generale, nell’ambito del RGPD le informazioni riferite a persone giuridiche, enti, associazioni, fondazioni, comitati o esercizi commerciali.

Il Garante precisa tuttavia che le informazioni relative a imprese e ditte individuali possono costituire dati personali quando consentono di identificare una persona fisica, richiamando la sentenza della Corte di giustizia dell’Unione europea del 9 novembre 2010, cause riunite C-92/09 e C-93/09, Volker und Markus Schecke e Eifert.

Nel caso concreto, la sede operativa di una ditta individuale potrebbe coincidere con il domicilio o la residenza del titolare. Anche PEC, telefono, e-mail e altri recapiti comunicati al Comune possono quindi incidere direttamente sulla sfera privata di persone fisiche.

Principi RGPD rilevanti

La valutazione sull’ostensione deve rispettare i principi di limitazione della finalità e minimizzazione dei dati previsti dall’art. 5, par. 1, lett. b) e c), RGPD. I dati devono essere raccolti per finalità determinate, esplicite e legittime e devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento.

Il Garante richiama anche le ragionevoli aspettative di confidenzialità degli interessati e la necessità di considerare la non prevedibilità delle conseguenze derivanti dalla conoscibilità dei dati da parte di chiunque, secondo il par. 8.1 delle Linee guida ANAC sull’accesso civico.

Disciplina speciale del RENT

La legge n. 21 del 15 gennaio 1992, all’art. 8, comma 1, stabilisce che la licenza taxi e l’autorizzazione NCC sono rilasciate dalle amministrazioni comunali.

Per i relativi dati, l’art. 10-bis, comma 3, del d.l. n. 135 del 14 dicembre 2018 ha istituito presso il Centro elaborazione dati del Ministero delle infrastrutture e dei trasporti il Registro Elettronico NCC Taxi, denominato RENT. Il d.m. n. 203 del 2 luglio 2024 ha disciplinato la tipologia dei dati contenuti nel registro, indicata nell’allegato A, e il relativo regime di accessibilità all’art. 4.

Il decreto ministeriale individua i soggetti autorizzati alla consultazione e stabilisce che chiunque sia legittimato ai sensi della legislazione vigente può consultare esclusivamente determinati dati dell’allegato A, tra cui, per le autorizzazioni NCC:

• denominazione, ragione sociale, codice fiscale, partita IVA e legale rappresentante o titolare dell’impresa;
• sede legale dell’impresa, con esclusione della sede legale delle ditte individuali;
• Comune che ha rilasciato l’autorizzazione;
• uso di immatricolazione dell’autovettura, numero dei posti incluso il conducente e denominazione commerciale del veicolo;
• per i natanti, codice identificativo, autorità presso cui il codice è tenuto, tipologia, stazza lorda e numero massimo di persone trasportabili incluso l’equipaggio.

Secondo il Garante, il legislatore ha così previsto uno speciale regime di conoscibilità, definendo dati accessibili, soggetti legittimati e modalità di consultazione. Tale disciplina non è derogabile attraverso l’accesso civico generalizzato, come già affermato nei precedenti provvedimenti richiamati e nel par. 6.3 delle Linee guida ANAC.

Esclusione dell’accesso ai sensi dell’art. 5-bis, comma 3

Poiché il d.m. n. 203/2024 subordina l’accesso ai dati delle autorizzazioni NCC a specifiche condizioni, modalità e limiti, il Garante ritiene applicabile l’esclusione prevista dall’art. 5-bis, comma 3, del d.lgs. n. 33/2013.

Ne consegue che l’amministrazione deve escludere l’accesso civico generalizzato alle informazioni richieste nella misura in cui esse riguardino dati soggetti al regime speciale del RENT. La disciplina sull’accesso civico non può essere utilizzata per ottenere, direttamente dai Comuni, un insieme di informazioni più ampio o accessibile a condizioni diverse da quelle previste dal decreto ministeriale.

Duplicazione della banca dati e riutilizzo dei dati

Il Garante considera significativa la circostanza che la società richiedente abbia presentato sistematicamente richieste analoghe a diversi enti locali. L’ostensione cumulativa dei dati comunali potrebbe, di fatto, duplicare informazioni contenute in una banca dati nazionale pubblica e aggirare il regime di accessibilità e le misure di sicurezza predisposte dal Ministero ai sensi dell’art. 32 RGPD.

Il rischio non riguarda soltanto la riproduzione dei dati già consultabili nel RENT, ma anche il loro arricchimento con informazioni che il d.m. n. 203/2024 non contempla tra quelle accessibili, come la sede legale delle ditte individuali, gli indirizzi PEC e i recapiti telefonici o di posta elettronica comunicati al Comune per il rilascio dell’autorizzazione.

Un simile trattamento potrebbe favorire usi impropri e ulteriori riutilizzi dei dati personali per finalità non compatibili con quelle originarie, in contrasto con l’art. 6, par. 4, RGPD, oltre che con i principi di cui all’art. 5, par. 1, lett. b) e c), RGPD. Il Garante richiama anche l’art. 6, par. 1, RGPD, sottolineando l’assenza, nel caso prospettato, del consenso o di altro presupposto di liceità idoneo a giustificare la duplicazione e il trattamento da parte di soggetti privati.

Interesse pubblico e proporzionalità della richiesta

L’accesso civico generalizzato è strumentale, ai sensi dell’art. 5, comma 2, del d.lgs. n. 33/2013, a favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali, sull’utilizzo delle risorse pubbliche e a promuovere la partecipazione al dibattito pubblico.

Il Garante richiama la giurisprudenza della Corte europea dei diritti dell’uomo secondo cui l’art. 10 CEDU non attribuisce in via generale un diritto di accesso alle informazioni detenute dalle autorità pubbliche. Tale diritto può essere ricondotto alla libertà di espressione soltanto in situazioni particolari, quando l’accesso sia strumentale alla ricezione e diffusione di informazioni su questioni di interesse pubblico, secondo i criteri elaborati nel caso Magyar Helsinki Bizottság c. Ungheria dell’8 novembre 2016, paragrafi 156 e 160-163.

Nel caso esaminato, dagli atti non emergono elementi sufficientemente chiari per ritenere che la conoscenza generalizzata di sedi operative, PEC, telefoni ed e-mail sia necessaria al controllo diffuso sull’attività comunale o alla partecipazione al dibattito pubblico. Al contrario, la pubblicità erga omnes propria dell’accesso civico potrebbe determinare un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà degli interessati.

Per i dati personali, tale conclusione integra anche un possibile pregiudizio concreto alla protezione dei dati personali ai sensi dell’art. 5-bis, comma 2, lett. a), del d.lgs. n. 33/2013.

Dati riferiti a persone giuridiche e ulteriori limiti

Il Garante precisa che le informazioni non riferite a persone fisiche o ditte individuali, ma a persone giuridiche, società o associazioni, non sono dati personali ai sensi dell’art. 4, par. 1, n. 1, RGPD.

Resta tuttavia ferma la competenza dell’amministrazione a valutare l’eventuale applicazione di altri limiti all’accesso civico previsti dall’art. 5-bis, comma 2, lett. c), del d.lgs. n. 33/2013, a tutela degli interessi economici e commerciali, della proprietà intellettuale, del diritto d’autore e dei segreti commerciali. Tali valutazioni non sono sindacabili dal Garante nell’ambito del parere previsto dall’art. 5, comma 7, del decreto trasparenza.

Conclusioni

Il Garante ha espresso parere nei termini esposti, confermando la legittimità dell’impostazione del Comune. L’accesso civico generalizzato ai dati dettagliati sulle autorizzazioni NCC deve essere escluso, ai sensi dell’art. 5-bis, comma 3, del d.lgs. n. 33/2013, in ragione del regime speciale previsto dall’art. 10-bis, comma 3, del d.l. n. 135/2018 e dal d.m. n. 203/2024.

Per i dati eventualmente riferiti a persone fisiche o ditte individuali operano inoltre le garanzie dell’art. 5-bis, comma 2, lett. a), del d.lgs. n. 33/2013, nonché i principi di minimizzazione, limitazione della finalità, liceità e sicurezza stabiliti dal RGPD. Per le informazioni riferite a persone giuridiche rimane necessaria la verifica degli ulteriori limiti previsti dall’art. 5-bis, comma 2, lett. c), del d.lgs. n. 33/2013.