Prescrizioni del Garante n. 381 del 28/05/2026

Università degli studi di Bari Aldo Moro: ammonimento per comunicazione eccedente nell’accesso civico generalizzato

Il Garante ha esaminato un reclamo relativo alla trasmissione, da parte dell’Università degli studi di Bari Aldo Moro, dell’integrale istanza di accesso civico generalizzato al soggetto controinteressato, comprensiva di dati personali non necessari del richiedente. Il procedimento è stato avviato per la possibile violazione dei principi di liceità, correttezza, trasparenza e minimizzazione del GDPR.

Fatti e svolgimento del procedimento

Il reclamante ha lamentato che, a seguito della propria istanza di accesso civico generalizzato, l’Università aveva inviato al controinteressato una copia completa dell’istanza contenente anche l’indirizzo di residenza e il numero di telefono cellulare. L’Autorità ha quindi contestato al titolare del trattamento la possibile violazione dell’art. 5, par. 1, lett. a) e c), del GDPR, invitandolo a presentare difese o documenti.

L’Università ha sostenuto che il richiedente, in calce all’istanza, aveva autorizzato il trattamento dei dati personali per le finalità connesse alla richiesta, e che ciò consentisse l’ostensione integrale al controinteressato. In sede difensiva ha inoltre prodotto materiali predisposti dal proprio RPD e una nota interna con cui avviava una revisione del regolamento di ateneo per integrare il principio di minimizzazione nelle comunicazioni ai controinteressati.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 4, n. 1, GDPR, sul concetto di dato personale;
• l’art. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• l’art. 6, par. 1, lett. c) ed e), par. 2 e 3, GDPR, sulla base giuridica nel settore pubblico;
• l’art. 2-ter del Codice privacy, che richiede una norma di legge, regolamento o atto amministrativo generale quale base giuridica per il trattamento e per la comunicazione/diffusione;
• l’art. 5, comma 5, del d.lgs. 33/2013, che prevede la comunicazione ai controinteressati nei procedimenti di accesso civico generalizzato.

Valutazione del Garante sulla comunicazione dei dati

L’Autorità ha affermato che, nell’ambito dell’accesso civico generalizzato, il controinteressato può conoscere l’identità dell’istante perché parte del procedimento, ma ciò non legittima la comunicazione di dati ulteriori che non siano strettamente necessari alla finalità procedimentale.

Nel caso concreto, il numero di telefono e l’indirizzo di residenza del reclamante sono stati ritenuti eccedenti e non necessari. Il Garante ha quindi concluso che il titolare ha trattato i dati personali in modo non conforme ai principi di liceità, correttezza, trasparenza e minimizzazione.

È stato inoltre precisato che l’autorizzazione al trattamento apposta dall’istante non esonera la pubblica amministrazione dal compiere la necessaria valutazione di stretta indispensabilità dei dati comunicati nel procedimento di accesso.

Esito, qualificazione della violazione e misura adottata

Il Garante ha dichiarato illecita la condotta dell’Università ai sensi dell’art. 57, par. 1, lett. f), del GDPR e ha ritenuto integrata la violazione dell’art. 5, par. 1, lett. a) e c).

Ai fini della risposta sanzionatoria e correttiva, l’Autorità ha valorizzato:

• il fatto che il trattamento abbia riguardato un solo interessato;
• l’erronea convinzione del titolare circa la legittimità della comunicazione integrale;
• l’avvio di una procedura interna di revisione e sensibilizzazione del personale;
• la piena collaborazione prestata all’Autorità;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti rilevanti.

Sulla base di tali elementi, la violazione è stata qualificata come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida del WP29 sulle sanzioni amministrative pecuniarie. Il Garante ha quindi ritenuto sufficiente l’ammonimento ex art. 58, par. 2, lett. b), GDPR, senza applicare sanzioni pecuniarie e senza adottare ulteriori misure correttive, poiché la condotta aveva già esaurito i suoi effetti.

Dispositivo e adempimenti finali

Il provvedimento dispone:

• la pubblicazione sul sito web del Garante;
• l’annotazione nel registro interno dell’Autorità.

È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro i termini di legge.