Parere del Garante n. 421 del 08/06/2026

Parere su accesso civico relativo alle autorizzazioni NCC del Comune di Castegnato

Il Garante per la protezione dei dati personali si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, sul riesame di un provvedimento comunale di accoglimento solo parziale di un’istanza di accesso civico generalizzato. L’istanza riguarda l’elenco completo delle autorizzazioni NCC attive rilasciate dal Comune di Castegnato e una serie di dati associati ai titolari, inclusi nominativi, sedi, PEC e altri recapiti.

Contesto del procedimento

La richiesta di accesso civico era stata presentata da una società privata e mirava ad acquisire informazioni utili all’analisi dell’assetto autorizzativo vigente nel settore del trasporto pubblico non di linea. Il Comune aveva trasmesso solo le informazioni non direttamente riconducibili a persone fisiche, ossia numero identificativo dell’autorizzazione, stato e data di rilascio, ritenendo che i dati ulteriori fossero riferibili a persone fisiche identificate o identificabili, in quanto tutte le autorizzazioni NCC attive risultavano intestate a ditte individuali. Il richiedente ha quindi chiesto il riesame, insistendo per l’ostensione integrale.

Quadro normativo di riferimento

Il Garante richiama l’art. 5, comma 2, del d.lgs. 33/2013, che riconosce l’accesso civico generalizzato ai dati e documenti detenuti dalle pubbliche amministrazioni, e l’art. 5-bis, che prevede limiti ed esclusioni a tutela di interessi giuridicamente rilevanti, tra cui la protezione dei dati personali. Vengono inoltre richiamati l’art. 154, comma 1, lett. g), del Codice privacy e gli artt. 4 e 5 del GDPR, in particolare:

• la definizione di dato personale come informazione relativa a persona fisica identificata o identificabile;
• i principi di minimizzazione e limitazione della finalità, che impongono che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento.

Il parere sottolinea anche che i dati ottenuti tramite accesso civico diventano pubblici e liberamente riutilizzabili ai sensi dell’art. 3, comma 1, del d.lgs. 33/2013, con un impatto più ampio rispetto all’accesso documentale ex l. 241/1990. Per questo la valutazione del pregiudizio ai diritti degli interessati deve essere particolarmente rigorosa.

Rilevanza dei dati delle ditte individuali

Il Garante ribadisce che le informazioni relative a imprese e ditte individuali possono integrare dati personali quando consentono l’identificazione di una persona fisica. Nel caso esaminato, i dati richiesti non si limitano a elementi già conoscibili in forma aggregata, ma comprendono nominativi, sedi, indirizzi PEC e ulteriori recapiti professionali, tutti elementi idonei a identificare o comunque a rendere contattabili i titolari persone fisiche.

Il regime speciale del RENT e i limiti all’accesso civico

Un passaggio centrale del parere riguarda il Registro Elettronico NCC Taxi (RENT), istituito dall’art. 10-bis, comma 3, del d.l. 135/2018 e disciplinato dal DM n. 203 del 2 luglio 2024. Il Garante evidenzia che il legislatore ha previsto uno speciale regime di conoscibilità dei dati del registro, definendo in modo puntuale:

• le tipologie di dati accessibili;
• i soggetti legittimati ad accedervi;
• le condizioni e modalità di consultazione.

In particolare, per il settore NCC sono accessibili solo alcune informazioni indicate nell’Allegato A del decreto, con esclusione di ulteriori dati non contemplati, come la sede legale nel caso di ditta individuale. Ne consegue che la disciplina settoriale costituisce un limite specifico all’accesso civico generalizzato, ai sensi dell’art. 5-bis, comma 3, del d.lgs. 33/2013, che esclude l’accesso quando esso sia subordinato dalla normativa vigente al rispetto di condizioni, modalità o limiti specifici.

Valutazione del pregiudizio concreto alla protezione dei dati personali

Il Garante osserva che un’eventuale ostensione integrale delle informazioni richieste altererebbe il regime di conoscibilità previsto per il RENT e potrebbe consentire la duplicazione, da parte di soggetti privati, di informazioni contenute in una banca dati nazionale pubblica. Ciò comporterebbe anche un rischio di trattamento ulteriore non compatibile con le finalità originarie, in assenza di un idoneo presupposto di liceità ai sensi dell’art. 6, par. 1, del GDPR.

Il parere evidenzia inoltre che i dati richiesti includono elementi non contemplati tra quelli conoscibili secondo il decreto ministeriale, come:

• la sede operativa, che per le ditte individuali può coincidere con domicilio o residenza;
• l’indirizzo PEC;
• eventuali ulteriori recapiti telefonici o e-mail comunicati al Comune.

Tali dati, secondo il Garante, sarebbero esposti a possibili usi impropri e a riutilizzi incompatibili con le finalità per le quali erano stati originariamente raccolti, in contrasto anche con l’art. 6, par. 4, del GDPR.

Finalità dell’accesso civico e sproporzione della richiesta

Il Garante richiama anche le Linee guida ANAC in materia di accesso civico, secondo cui l’accesso generalizzato è finalizzato a favorire forme diffuse di controllo sull’operato delle amministrazioni e a promuovere la partecipazione al dibattito pubblico. Tuttavia, nel caso esaminato, non emergono elementi che consentano di ritenere che la conoscenza generalizzata dei dati richiesti sia effettivamente strumentale a tale finalità.

Al contrario, la diffusione di dati personali di dettaglio relativi a ditte individuali, in un contesto di accesso civico che li rende pubblici a chiunque, determinerebbe un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà dei soggetti interessati. Inoltre, i controinteressati non risultano coinvolti nel procedimento di accesso civico e non avrebbero quindi la possibilità di esercitare una eventuale opposizione motivata.

Conclusione

Il Garante esprime un parere sostanzialmente contrario all’ostensione dei dati richiesti nella loro interezza. L’accesso civico generalizzato deve essere escluso per effetto del regime speciale di accessibilità previsto per il RENT e, in ogni caso, per il concreto pregiudizio alla protezione dei dati personali dei titolari delle autorizzazioni NCC, alla luce dei principi di minimizzazione, pertinenza e proporzionalità.