Parere del Garante n. 495 del 03/07/2026

Parere su istanza di accesso civico relativa alle autorizzazioni NCC del Comune di Poggiridenti

Il Garante per la protezione dei dati personali si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, sulla richiesta di riesame proposta dal Responsabile della prevenzione della corruzione e della trasparenza del Comune di Poggiridenti in relazione a un diniego parziale di accesso civico generalizzato. L’istanza riguarda l’ostensione dell’elenco delle autorizzazioni per il servizio di noleggio con conducente (NCC) attive, con numerose informazioni identificative e di contatto riferite ai titolari delle autorizzazioni.

Oggetto dell’istanza e svolgimento del procedimento

Una società privata ha chiesto al Comune l’elenco completo delle autorizzazioni NCC attualmente attive, con indicazione per ciascuna del numero identificativo, dello stato, della data di rilascio, della denominazione o del nome e cognome, della natura giuridica, della sede legale e/o operativa, dell’indirizzo PEC e di eventuali ulteriori recapiti professionali. L’istante ha chiesto, in subordine, l’ostensione parziale dei dati eventualmente oscurati per tutela della riservatezza, ai sensi dell’art. 5-bis, comma 4, del d.lgs. 33/2013. Il Comune ha fornito soltanto numero e data delle autorizzazioni, negando l’accesso agli ulteriori dati; la società ha quindi presentato richiesta di riesame.

Quadro normativo di riferimento

L’Autorità richiama l’art. 5, comma 2, del d.lgs. 33/2013, che riconosce a chiunque il diritto di accedere ai dati e documenti detenuti dalle pubbliche amministrazioni, nei limiti dell’art. 5-bis. In particolare, ai fini privacy, rileva l’art. 5-bis, comma 2, lett. a), che consente il rifiuto quando il diniego sia necessario per evitare un pregiudizio concreto alla protezione dei dati personali, e il comma 3, che esclude l’accesso quando la disciplina vigente subordina la conoscibilità a specifiche condizioni, modalità o limiti.

Il Garante richiama inoltre gli artt. 4 e 5 del GDPR, evidenziando i principi di limitazione della finalità e minimizzazione dei dati, oltre al fatto che i dati acquisiti tramite accesso civico diventano pubblici, liberamente conoscibili, fruibili, utilizzabili e riutilizzabili ai sensi dell’art. 3, comma 1, del d.lgs. 33/2013. Viene sottolineato che tale regime di pubblicità amplia il rischio di pregiudizio per gli interessati rispetto all’accesso documentale tradizionale.

Il regime speciale del RENT per le autorizzazioni NCC

Il parere valorizza il fatto che il legislatore ha istituito un registro informatico pubblico nazionale delle imprese titolari di licenza taxi e autorizzazione NCC, il RENT, presso il Ministero delle infrastrutture e dei trasporti, ai sensi dell’art. 10-bis, comma 3, del d.l. 135/2018. Il DM 2 luglio 2024, n. 203, ha disciplinato tipologia dei dati contenuti nel registro e relativo regime di accessibilità.

Secondo il Garante, tale disciplina speciale individua espressamente quali dati siano consultabili e da chi, e non può essere derogata attraverso il ricorso all’accesso civico generalizzato. Vengono richiamati precedenti pareri dell’Autorità che hanno già affermato il medesimo principio in fattispecie analoghe.

Valutazione dei dati richiesti e natura personale delle informazioni

L’Autorità osserva che non tutte le informazioni richieste hanno natura di dato personale. I dati riferiti a persone giuridiche, società, associazioni o altri enti non rientrano nella definizione di cui all’art. 4, par. 1, n. 1, GDPR. Tuttavia, nel caso delle imprese individuali o di altre situazioni in cui i dati consentano l’identificazione di una persona fisica, le informazioni richieste assumono natura personale e sono quindi soggette alla disciplina di protezione dei dati.

In particolare, il Garante richiama il fatto che l’ostensione di sede operativa, indirizzo PEC, recapiti telefonici o email comunicati al Comune ai fini del rilascio dell’autorizzazione può incidere su dati personali di persone fisiche, anche perché per le ditte individuali la sede può coincidere con domicilio o residenza.

Pregiudizio concreto alla protezione dei dati personali

Secondo il Garante, la conoscibilità generalizzata delle informazioni richieste non appare funzionale, nel caso concreto, alla finalità tipica dell’accesso civico generalizzato, cioè favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche, nonché la partecipazione al dibattito pubblico.

Al contrario, la diffusione a soggetti terzi estranei di dati come sede operativa, PEC e ulteriori recapiti determina un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà dei controinteressati, con possibile pregiudizio alla protezione dei dati personali ai sensi dell’art. 5-bis, comma 2, lett. a), del d.lgs. 33/2013 e in contrasto con gli artt. 5, par. 1, lett. b) e c), del GDPR.

Ulteriori profili di criticità: duplicazione del dato e usi impropri

Il parere segnala anche che l’ostensione richiesta avrebbe l’effetto di duplicare informazioni già inserite in una banca dati pubblica nazionale, consentendone la circolazione presso privati in assenza dei presupposti di liceità del trattamento previsti dall’art. 6, par. 1, del GDPR. Ciò potrebbe favorire riutilizzi o usi impropri dei dati, in particolare rispetto a informazioni che il legislatore non ha comunque previsto come liberamente conoscibili nel quadro del RENT.

Viene inoltre richiamato il precedente orientamento del Garante e la giurisprudenza CEDU sul diritto di accesso alle informazioni pubbliche, chiarendo che tale diritto non è generale e può sussistere solo in situazioni particolari e a condizioni specifiche.

Esito del parere

Il Garante esprime un parere nel senso della legittimità del diniego per la parte dell’istanza concernente i dati ulteriori rispetto a quelli già ostesi dal Comune, confermando che l’accesso civico alle informazioni richieste deve essere escluso quando la loro conoscibilità è già regolata da una disciplina speciale, come nel caso del RENT, oppure quando l’ostensione determinerebbe un pregiudizio concreto alla protezione dei dati personali.

Resta fermo che, per i dati non riferiti a persone fisiche ma a persone giuridiche o altri soggetti non rientranti nell’ambito dell’art. 4, par. 1, n. 1, GDPR, l’amministrazione dovrà comunque valutare eventuali ulteriori limiti all’accesso civico previsti dall’art. 5-bis, comma 2, lett. c), del d.lgs. 33/2013, relativi agli interessi economici e commerciali, profilo non sindacato dal Garante in questo parere.