Parere del Garante n. 493 del 03/07/2026

Parere su istanza di accesso civico relativa alle autorizzazioni NCC del Comune di Teglio

Il Garante per la protezione dei dati personali si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, sul riesame di un diniego parziale opposto dal Comune di Teglio a un’istanza di accesso civico generalizzato presentata da una società privata. L’istanza riguarda l’elenco delle autorizzazioni per il servizio NCC attualmente attive, con una serie di dati ulteriori oltre al numero e alla data del titolo.

Oggetto dell’istanza e decisione dell’amministrazione

La società richiedente aveva domandato, per ciascuna autorizzazione NCC, il numero identificativo e lo stato del titolo, la data di rilascio, la denominazione o il nome del titolare, la natura giuridica, la sede legale e/o operativa, la PEC e ulteriori recapiti professionali comunicati al Comune. L’istanza era espressamente formulata anche in termini di ostensione parziale, con oscuramento dei dati eventualmente soggetti a limitazioni per ragioni di riservatezza. Il Comune ha fornito soltanto il numero e la data delle autorizzazioni, negando l’accesso agli ulteriori dati richiesti; il diniego è stato quindi contestato con richiesta di riesame al RPCT.

Quadro normativo richiamato

L’Autorità richiama l’art. 5, comma 2, del d.lgs. 33/2013, che riconosce l’accesso civico generalizzato ai dati e documenti detenuti dalle pubbliche amministrazioni, nel rispetto dei limiti dell’art. 5-bis. Vengono poi evidenziati due profili rilevanti:

• l’art. 5-bis, comma 2, lett. a), che consente il rifiuto quando il diniego è necessario per evitare un pregiudizio concreto alla protezione dei dati personali;
• l’art. 5-bis, comma 3, che esclude l’accesso nei casi in cui esso sia subordinato dalla disciplina vigente al rispetto di specifiche condizioni, modalità o limiti.

Sul versante privacy, il Garante richiama gli artt. 4 e 5 del GDPR, in particolare la definizione di dato personale e i principi di limitazione della finalità e di minimizzazione. Ricorda inoltre che, nell’accesso civico, i dati e documenti ostensibili diventano pubblici e liberamente riutilizzabili ai sensi dell’art. 3, comma 1, d.lgs. 33/2013, con conseguente esigenza di valutare con particolare attenzione il possibile pregiudizio per gli interessati.

Precedenti e continuità dell’orientamento

Il parere si colloca in una linea già tracciata dall’Autorità in precedenti casi identici, sia per l’oggetto della richiesta sia per il soggetto istante. Il Garante richiama espressamente i propri precedenti del 2026 relativi a analoghe istanze concernenti autorizzazioni NCC rilasciate da altri enti locali, affermando che non vi sono elementi di novità e che le osservazioni già espresse devono essere integralmente confermate.

Regime speciale di conoscibilità dei dati NCC

Il punto centrale del parere è l’esistenza di una disciplina speciale per i dati relativi alle autorizzazioni NCC. Il Garante ricorda che l’art. 8, comma 1, della l. 21/1992 attribuisce ai Comuni il rilascio delle autorizzazioni NCC, e che l’art. 10-bis, comma 3, del d.l. 135/2018 ha istituito il RENT, registro informatico pubblico nazionale delle imprese titolari di licenza taxi e di autorizzazione NCC.

Il d.m. 2 luglio 2024, n. 203, adottato in attuazione di tale disposizione, disciplina la tipologia dei dati contenuti nel registro e il relativo regime di accessibilità. In particolare, l’art. 4 del decreto individua i soggetti legittimati e i dati consultabili, in termini ristretti e predeterminati. Il Garante sottolinea che tale regime speciale non è derogabile dall’accesso civico generalizzato.

Esclusione dell’accesso civico ai sensi dell’art. 5-bis, comma 3

Secondo l’Autorità, la richiesta di accesso civico alle ulteriori informazioni sulle autorizzazioni NCC va esclusa ai sensi dell’art. 5-bis, comma 3, d.lgs. 33/2013, perché la disciplina del RENT e del d.m. 203/2024 subordina la conoscibilità dei dati a specifiche condizioni e limita i soggetti legittimati all’accesso.

Il parere evidenzia che l’ostensione tramite accesso civico determinerebbe una duplicazione, a favore di soggetti privati, delle informazioni presenti in una banca dati pubblica nazionale, in contrasto con il regime legale di accesso e con le misure di sicurezza adottate dal Ministero ai sensi dell’art. 32 del GDPR. Inoltre, la richiesta include dati che il legislatore non ha previsto come conoscibili nel RENT, come la sede operativa o i recapiti comunicati al Comune per il rilascio dell’autorizzazione.

Pregiudizio concreto alla protezione dei dati personali

Il Garante osserva che, con riferimento a persone fisiche e ditte individuali, la diffusione di dati quali sede operativa, PEC e ulteriori recapiti può costituire un trattamento eccedente e non necessario rispetto alle finalità dichiarate dalla società richiedente. Non risulta infatti dimostrato che la conoscenza generalizzata di tali informazioni sia strumentale a favorire il controllo diffuso sul perseguimento delle funzioni istituzionali o la partecipazione al dibattito pubblico, come richiesto dalla ratio dell’accesso civico generalizzato.

In assenza di tale collegamento funzionale, la conoscibilità indiscriminata produce un’interferenza ingiustificata e sproporzionata nei diritti e nelle libertà dei controinteressati, integrando il pregiudizio concreto alla protezione dei dati personali di cui all’art. 5-bis, comma 2, lett. a), d.lgs. 33/2013. Il Garante richiama anche il principio di minimizzazione e la necessità di considerare le ragionevoli aspettative di confidenzialità degli interessati.

Distinzione tra dati personali e dati di soggetti diversi da persone fisiche

L’Autorità precisa che le informazioni riferite a persone giuridiche, società, associazioni o altri soggetti non riconducibili a persone fisiche non rientrano nella nozione di dato personale dell’art. 4, par. 1, n. 1, GDPR. Per tali dati, la questione privacy non è dirimente; resta però ferma la valutazione dell’amministrazione su eventuali altri limiti all’accesso civico, in particolare quelli previsti per tutelare interessi economici e commerciali ai sensi dell’art. 5-bis, comma 2, lett. c), d.lgs. 33/2013.

Conclusioni

Il Garante esprime un parere sostanzialmente contrario all’ostensione dei dati richiesti nella parte in cui essi si riferiscono a persone fisiche o ditte individuali, ritenendo applicabile il limite di cui all’art. 5-bis, comma 3, e, comunque, il pregiudizio concreto alla protezione dei dati personali di cui all’art. 5-bis, comma 2, lett. a), del d.lgs. 33/2013. Resta ferma la necessità, per il Comune, di valutare separatamente le eventuali ulteriori ragioni ostative riferite a dati non personali.