Parere del Garante n. 497 del 03/07/2026

Parere sull’accesso civico a dati sulle autorizzazioni NCC

Il Garante per la protezione dei dati personali si è pronunciato, ai sensi dell’art. 5, comma 7, del d.lgs. n. 33/2013, sulla richiesta del Responsabile della prevenzione della corruzione e della trasparenza del Comune di Buglio in Monte relativa al riesame di un diniego parziale di accesso civico generalizzato. L’istanza riguardava l’elenco completo delle autorizzazioni NCC attive e una serie di dati ulteriori relativi ai titolari delle autorizzazioni.

Contesto fattuale dell’istanza

Una società aveva chiesto, nell’ambito dell’accesso civico generalizzato, non solo il numero e la data delle autorizzazioni, ma anche dati identificativi e di contatto dei soggetti autorizzati: denominazione o nome e cognome, natura giuridica, sede legale e/o operativa, indirizzo PEC e ulteriori recapiti professionali. L’amministrazione comunale aveva rilasciato solo le informazioni minime su numero e data, negando l’accesso al resto e richiamando precedenti orientamenti del Garante. La società aveva quindi insistito con una domanda di riesame.

Quadro normativo richiamato

Il Garante richiama l’art. 5, comma 2, del d.lgs. n. 33/2013, che riconosce il diritto di accesso civico generalizzato nei limiti dell’art. 5-bis. In particolare, rilevano:

• l’art. 5-bis, comma 3, che esclude l’accesso quando esso è subordinato dalla disciplina vigente al rispetto di specifiche condizioni, modalità o limiti;
• l’art. 5-bis, comma 2, lett. a), che consente il rifiuto quando l’ostensione comporti un pregiudizio concreto alla protezione dei dati personali;
• gli artt. 5, par. 1, lett. b) e c), GDPR, sui principi di limitazione della finalità e minimizzazione.

Il parere ricorda inoltre che i dati e documenti ottenuti con accesso civico diventano pubblici e riutilizzabili da chiunque ai sensi dell’art. 3, comma 1, d.lgs. n. 33/2013, con conseguente necessità di una valutazione particolarmente rigorosa del pregiudizio per gli interessati.

La disciplina speciale del RENT

Il punto centrale del parere è la presenza di una disciplina speciale per le informazioni sulle autorizzazioni NCC. Il legislatore ha istituito presso il Ministero delle infrastrutture e dei trasporti il Registro Elettronico NCC Taxi (RENT), previsto dall’art. 10-bis, comma 3, del d.l. n. 135/2018, e successivamente regolato dal d.m. n. 203 del 2 luglio 2024.

Tale decreto disciplina:

• la tipologia dei dati contenuti nel registro, richiamata nell’allegato A;
• il regime di accessibilità di tali dati;
• le modalità di accesso e di funzionamento del registro.

Il Garante evidenzia che la disciplina ministeriale individua in modo tassativo i dati consultabili e i soggetti legittimati all’accesso. Per le autorizzazioni NCC risultano consultabili, tra gli altri, denominazione, ragione sociale, codice fiscale, partita IVA, legale rappresentante o titolare dell’impresa, sede legale dell’impresa con limitazioni per le ditte individuali, Comune rilasciante l’autorizzazione e ulteriori dati tecnici espressamente previsti.

Perché l’accesso civico è escluso

Secondo il Garante, la presenza di una disciplina speciale comporta l’applicazione dell’art. 5-bis, comma 3, d.lgs. n. 33/2013: l’accesso civico deve essere escluso quando l’ordinamento prevede condizioni o limiti specifici alla conoscibilità dei dati. In questa prospettiva, l’accesso civico non può essere usato per ampliare il perimetro di conoscibilità già definito dal d.m. n. 203/2024.

Il parere sottolinea che concedere l’istanza significherebbe duplicare, in favore di un soggetto privato, informazioni contenute in una banca dati nazionale pubblica, aggirando il regime legale di consultazione e le misure di sicurezza adottate dal Ministero ai sensi dell’art. 32 GDPR.

Dati ulteriori non previsti dalla disciplina speciale

Particolare rilievo viene attribuito al fatto che l’istanza chiedeva anche dati non contemplati dal decreto ministeriale, come:

• sede operativa;
• indirizzo PEC;
• recapiti telefonici;
• indirizzi email comunicati al Comune per il rilascio dell’autorizzazione.

Per il Garante, l’ostensione di queste informazioni determinerebbe un trattamento ulteriore non previsto dal legislatore, esponendo i soggetti interessati a possibili usi impropri e a riutilizzi incompatibili con le finalità originarie di raccolta, in contrasto con l’art. 6, par. 4, GDPR.

Valutazione del pregiudizio concreto alla protezione dei dati personali

Il Garante osserva che, nel caso concreto, non emergono elementi idonei a dimostrare che la conoscenza generalizzata dei dati richiesti sia strumentale alle finalità dell’accesso civico, cioè al controllo diffuso sull’azione amministrativa e alla partecipazione al dibattito pubblico. Al contrario, la divulgazione di informazioni così dettagliate su persone fisiche o ditte individuali comporterebbe una interferenza ingiustificata e sproporzionata nella loro sfera privata.

Viene richiamata anche la circostanza che la società istante abbia presentato richieste analoghe in modo sistematico ad altri enti locali, elemento che rafforza il rischio di una utilizzazione distorta dell’istituto dell’accesso civico rispetto alle sue finalità.

Dati non personali e limiti residui

Il parere precisa che i dati riferiti a persone giuridiche, società o associazioni non rientrano nella nozione di dato personale dell’art. 4, par. 1, n. 1, GDPR. Per tali informazioni, la valutazione resta affidata all’amministrazione con riguardo agli altri eventuali limiti all’accesso civico, inclusi quelli previsti per la tutela degli interessi economici e commerciali di cui all’art. 5-bis, comma 2, lett. c), d.lgs. n. 33/2013, profilo che il Garante non sindaca in questo parere.

Conclusione

Il parere è negativo rispetto all’ostensione dei dati personali richiesti nell’ambito dell’accesso civico generalizzato. Il Garante conferma il proprio orientamento già espresso in precedenti pareri su casi identici e ritiene che, per i dati coperti dalla disciplina speciale del RENT o comunque idonei a identificare persone fisiche o ditte individuali, l’accesso debba essere escluso o comunque limitato per evitare un pregiudizio concreto alla protezione dei dati personali.