Parere del Garante n. 54 del 24/01/2024

Parere su accesso civico ai verbali e alle delibere del COCER Sezione Aeronautica

Il Garante per la protezione dei dati personali si pronuncia, ai sensi dell'art. 5, comma 7, del d.lgs. 33/2013, su una richiesta del Responsabile della prevenzione della corruzione e della trasparenza del Ministero della Difesa relativa al riesame di un diniego parziale a un'istanza di accesso civico generalizzato. La domanda riguarda tutti i verbali e tutte le delibere della Sezione Aeronautica del COCER dal 1° gennaio 2020 in avanti.

Quadro normativo di riferimento

Il parere si colloca nel sistema dell'accesso civico generalizzato di cui all'art. 5, commi 2 e 7, del d.lgs. 33/2013, coordinato con i limiti previsti dall'art. 5-bis dello stesso decreto, in particolare il limite connesso al pregiudizio concreto alla protezione dei dati personali. Il Garante richiama inoltre l'art. 154, comma 1, lett. g), del Codice privacy, il Regolamento (UE) 2016/679, gli artt. 4 e 5 del GDPR e le Linee guida ANAC in materia di accesso civico. Viene considerato anche il regime di settore del Testo unico dell'ordinamento militare (d.P.R. 90/2010).

Contesto dell'istanza e documenti richiesti

L'istanza di accesso civico generalizzato ha ad oggetto:

• tutti i verbali delle riunioni del COCER, Sezione Aeronautica, dal 2020;
• tutte le delibere adottate dalla medesima Sezione nello stesso periodo.

Dalla documentazione istruttoria emerge che, oltre alle delibere e ai verbali, sono presenti allegati quali lettere di trasmissione, comunicati stampa, ordini del giorno, statini dei delegati con orari di servizio e attività svolte, comunicazioni di assenza con i relativi motivi e fogli di presenza.

Regime di conoscibilità delle delibere del COCER

Il Garante evidenzia che il TUOM prevede una disciplina specifica e limitata per la conoscibilità delle sole deliberazioni del COCER e delle risposte dell'autorità militare, mediante affissione in bacheche riservate o consultazione da parte dei militari che ne facciano richiesta. In relazione a tali delibere, il Garante non ravvisa, in linea generale, elementi ostativi alla loro ostensione al richiedente, compresi i relativi atti di trasmissione e gli allegati di contesto indicati. Rimane però affidata all'amministrazione la verifica di eventuali ulteriori limiti di settore previsti dall'art. 5-bis, commi 1-3, del d.lgs. 33/2013, anche in relazione a profili di difesa e questioni militari.

Protezione dei dati personali e limiti all'ostensione

Per quanto riguarda statini, comunicazioni di assenza, fogli di presenza e verbali, il Garante ritiene che si tratti di documenti contenenti dati personali dei delegati, relativi a presenze, orari, permessi, attività e motivi di assenza. Tali informazioni, riferite a militari dipendenti e raccolte per finalità di servizio, sono considerate eccedenti rispetto all'istanza di accesso civico e la loro diffusione generalizzata può determinare un pregiudizio concreto alla tutela dei dati personali, ai sensi dell'art. 5-bis, comma 2, lett. a), del d.lgs. 33/2013. Il Garante richiama anche i principi di limitazione della finalità e di minimizzazione dei dati ex art. 5, par. 1, lett. b) e c), GDPR.

Ragioni dell'interferenza sproporzionata

Il parere sottolinea che la divulgazione di tali documenti potrebbe incidere ingiustificatamente sui diritti e sulle libertà dei militari interessati, anche perché i dati richiesti possono rivelare aspetti della loro attività consiliare e lavorativa non destinati a essere conosciuti da chiunque. Il Garante richiama inoltre le ragionevoli aspettative di confidenzialità dei delegati e la non prevedibilità, al momento della raccolta, delle conseguenze derivanti dalla conoscibilità universale dei dati tramite accesso civico.

Anonimizzazione: nozione e requisiti

Il Garante chiarisce che l'anonimizzazione non coincide con il semplice oscuramento del nome. Richiama il considerando 26 del GDPR e il parere WP29 sulle tecniche di anonimizzazione, secondo cui un dato è davvero anonimo solo se non consente più l'identificazione dell'interessato neppure per individuazione, correlabilità e deduzione. L'effettiva anonimizzazione deve prevenire il rischio di single-out, linkability e inference, tenendo conto di tutti i mezzi ragionevolmente utilizzabili da terzi per la re-identificazione.

Valutazione sulla tecnica di oscuramento adottata dal Ministero

Esaminando un campione dei documenti trasmessi, il Garante rileva che l'oscuramento dei nominativi e di alcune informazioni accessorie non è sufficiente a rendere i documenti realmente anonimi. Il numero ristretto dei delegati della Sezione Aeronautica del COCER, unito al contenuto dettagliato dei documenti, consente ancora di ricondurre i dati a singoli soggetti. Il rischio di re-identificazione è ritenuto concreto, ad esempio, per gli statini individuali, per alcune comunicazioni di assenza e per i verbali in cui compaiono ruoli e soggetti chiaramente identificabili per il contesto.

Conclusioni e indicazioni al titolare

Il parere è quindi favorevole all'ostensione delle delibere del COCER, ma non lo è per i documenti contenenti dati personali dei delegati se non adeguatamente anonimizzati. Il Ministero della Difesa, in applicazione del principio di responsabilizzazione di cui agli artt. 5, par. 2, e 24 GDPR, è invitato a rivedere la tecnica di oscuramento/anonimizzazione sull'intero set documentale e a verificare in concreto se sia possibile eliminare ogni informazione idonea, anche indirettamente, a ricondurre i dati al singolo delegato. Solo in tal caso l'accesso civico potrà essere accolto senza compromettere la riservatezza degli interessati.