Sentenza n. 2406/2026 - Consiglio Di Stato, Sezione 3

Esito

La controversia

Un giornalista aveva richiesto, ai sensi dell'art. 5, commi 1 e 2, del d.lgs. n. 33/2013, l'accesso al registro degli eventi critici verificatisi presso un CPR in Albania. La Prefettura aveva comunicato soltanto il numero e la tipologia degli eventi, senza ostendere il registro. Il successivo reclamo era stato respinto sul presupposto che, anche mediante l'oscuramento dei nominativi o la sostituzione con codici identificativi, i dati avrebbero mantenuto natura personale o pseudonima e avrebbero potuto consentire la re-identificazione dei migranti attraverso l'incrocio con ulteriori dati di contesto, con pregiudizio per la protezione dei dati personali e sensibili. Il TAR aveva accolto il ricorso, ritenendo possibile l'accesso parziale mediante oscuramento. Il Ministero ha appellato la sentenza deducendo violazione dell'art. 5-bis del d.lgs. n. 33/2013, dell'art. 4, par. 1, n. 1, del RGPD e erroneità della motivazione; ha inoltre sostenuto che la Prefettura non sarebbe stata tenuta a ostendere il registro, in quanto formato e gestito dall'ente gestore del CPR, e ha ribadito il rischio di re-identificazione. L'appellato ha chiesto la conferma della sentenza.

La decisione

Il Consiglio di Stato ha respinto l'appello e confermato integralmente la sentenza del TAR. In via preliminare ha affermato che l'obbligo di ostensione riguarda non solo i documenti formati dall'amministrazione richiesta, ma anche quelli da essa detenuti; la Prefettura deteneva il registro trasmesso dall'ente gestore ed esercitava su di esso funzioni di vigilanza e controllo. Nel merito, il Collegio ha ritenuto non dimostrato il pregiudizio concreto richiesto per limitare o negare l'accesso civico. Il rischio di re-identificazione era stato prospettato in termini meramente potenziali, senza indicare quali ulteriori registri, dati o informazioni avrebbero potuto essere incrociati con il registro per risalire all'identità degli interessati. L'Amministrazione non aveva quindi assolto l'onere di dimostrare l'effettiva esposizione degli aventi diritto a un rischio identificativo, né aveva giustificato l'esclusione dell'accesso parziale mediante oscuramento selettivo dei nominativi o dei codici identificativi. Le spese del grado sono state compensate per la peculiarità delle questioni trattate.

Norme richiamate

• art. 5, commi 1 e 2, d.lgs. 33/2013

  istanza di accesso civico

  La disposizione costituisce la base del diritto di accesso civico esercitato dal richiedente.

• art. 5-bis d.lgs. 33/2013

  pregiudizio “concreto” alla tutela della protezione dei dati personali

  Il diniego o la limitazione dell'accesso civico generalizzato per esigenze di protezione dei dati personali è legittimo solo quando l'Amministrazione dimostri un pregiudizio concreto, non meramente ipotetico o indimostrato.

• art. 4, par. 1, n. 1, RGPD

  Il richiamo alla nozione di dato personale e al rischio di re-identificazione non esonera l'Amministrazione dall'indicare elementi concreti e verificabili che rendano effettivo il rischio identificativo.

• art. 60 c.p.a.

  decisione in forma semplificata

  Ha consentito la definizione dell'appello in camera di consiglio con sentenza in forma semplificata, previo avviso alle parti.

Massime di principio

• L'obbligo di ostensione nell'accesso civico riguarda anche i documenti non formati dall'amministrazione destinataria della richiesta, purché siano da essa detenuti nell'esercizio delle proprie funzioni istituzionali, comprese quelle di vigilanza e controllo.
• Il diniego o la limitazione dell'accesso civico generalizzato per la tutela dei dati personali richiede la dimostrazione di un pregiudizio concreto; la mera prospettazione astratta del rischio di re-identificazione mediante incrocio con dati ulteriori non è sufficiente.
• Quando la tutela della riservatezza può essere realizzata mediante oscuramento selettivo dei nominativi o dei codici identificativi, l'amministrazione deve valutare e, ove possibile, consentire l'accesso parziale, non potendo escluderlo in via automatica.
• Per giustificare il rischio di re-identificazione, l'amministrazione deve indicare almeno elementi concreti e verificabili relativi ai dati, registri o informazioni ulteriori che, mediante incrocio, renderebbero identificabili gli interessati.

Come è indicizzato