L’istituto dell’accesso civico generalizzato, previsto dall’art. 5, comma 2, del d.lgs. 33/2013, è stato concepito per favorire forme diffuse di controllo sull’operato delle pubbliche amministrazioni. Tuttavia, questo strumento incontra limiti quando l’ostensione di documenti potrebbe comportare un pregiudizio concreto alla protezione dei dati personali.

Il parere del Garante del 10 luglio 2025 affronta un caso significativo:

• una richiesta di accesso civico su una Segnalazione Certificata di Inizio Attività (S.C.I.A.) e sull’ordinanza di sospensione dei lavori, presentata nell’ambito di un procedimento edilizio.

Il caso esaminato

Un’amministrazione comunale ha ricevuto un’istanza di accesso civico generalizzato relativa:

• alla documentazione riguardante il deposito della S.C.I.A. presentata da una società e
• alla notifica di sospensione dei lavori.

Ciò nell’ambito di un procedimento riguardante il permesso di costruire in deroga per lo smontaggio di un immobile e ricostruzione di un edificio tutelato dal regolamento urbanistico edilizio.

L’amministrazione ha negato integralmente l’accesso, richiamando i limiti dell’art. 5, comma 2, lett. a) e c), del d.lgs. 33/2013 (protezione dei dati personali e tutela di interessi economici e commerciali).

L’istante ha quindi chiesto un riesame al RPCT, che ha a sua volta trasmesso la questione al Garante per acquisirne il parere ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013.

In particolare, il Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune ha chiesto al Garante il parere ai sensi dell’art. 5, comma 7, del d. lgs. n. 33/2013, nell’ambito del procedimento relativo a una richiesta di riesame su un provvedimento di diniego di un accesso civico.

Il RPCT ha trasmesso un estratto riguardante i documenti oggetto di accesso civico, comprendente il modulo di deposito della S.C.I.A. presentato dalla società (priva degli allegati comprensivi di relazioni tecniche e asseverazioni, documenti di riconoscimento, versamento dei diritti di segreteria, elaborati grafici, documentazione fotografica, ecc.) e l’ordinanza di sospensione dei lavori.

I richiami normativi

Il parere del Garante si inserisce nel quadro normativo di seguito indicato:

• d.lgs. 33/2013: disciplina l’accesso civico e i limiti (artt. 5 e 5-bis);
  
• GDPR, art. 4 e 5: definizione di dato personale, principio di minimizzazione;
  
• Linee guida ANAC-Garante 2016: chiariscono i limiti e raccomandano l’oscuramento come strumento di equilibrio;
  
• giurisprudenza e precedenti del Garante (provv. nn. 235/2025, 80/2025, 241/2024): costante richiamo alla soluzione dell’accesso parziale.

Le valutazioni del Garante

Il Garante ha evidenziato alcuni punti fondamentali:

• i dati delle persone giuridiche non rientrano nella tutela della privacy (art. 4 GDPR): la società titolare del permesso non può invocare la protezione dei dati personali per impedire l’accesso in quanto ai sensi dell’art. 4, par. 1, n. 1, del RGPD sono sottratte dall’ambito di applicazione della disciplina in materia di protezione dei dati personali le persone giuridiche, gli enti e le associazioni, con la conseguenza che per i dati riferiti alla società titolare del permesso di costruire non è possibile richiamare il limite di cui al citato art. 5-bis, comma 2, lett. a), del d. lgs. n. 33/2013 riguardante la protezione dei dati personali per rifiutare l’accesso civico.
• tuttavia, la documentazione ricevuta ai fini dell’istruttoria (SCIA e ordinanza di sospensione dei lavori) include anche dati personali di persone fisiche, quali rappresentanti legali e tecnici incaricati (ad esempio nominativo, professione, data di nascita, codice fiscale, residenza, recapiti telefonici, indirizzi e-mail, p.e.c. e firma autografa);
• si tratta - come si legge testualmente nel parere - di dati e informazioni personali – peraltro in taluni casi attinenti all’esistenza di un rapporto professionale tra i soggetti coinvolti e la società che ha chiesto il permesso di costruire – che non sempre si desidera portare a conoscenza di soggetti terzi e la cui generale accessibilità, anche considerando il particolare regime di pubblicità dei dati e delle informazioni ricevuti tramite l’istituto dell’accesso civico (cfr. art. 3, comma 1, d. lgs. n. 33/2013), può determinare un’interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati (che, peraltro, nel caso di specie, non risultano essere stati coinvolti nel procedimento relativo all’accesso civico), in violazione del principio di minimizzazione dei dati (art. 5, par. 1, lett. c, del RGPD), con possibili ripercussioni negative sul piano sociale, relazionale e professionale.
• il principio di minimizzazione (art. 5, par. 1, lett. c, GDPR) impone che siano trattati solo i dati necessari e proporzionati rispetto alla finalità di trasparenza.
  

La conclusione del Garante, sulla base delle premesse sopra indicate, è che il Comune non avrebbe dovuto negare in blocco l’accesso, ma valutare la possibilità di un accesso parziale con oscuramento dei dati personali dei soggetti terzi (art. 5-bis, comma 4, d.lgs. 33/2013).

Le amministrazioni devono adottare un approccio graduale e bilanciato.

Alcune regole pratiche da seguire sono:

• valutare la natura dei dati: distinguere tra persone giuridiche (non tutelate dal GDPR) e persone fisiche (tutelate);
• applicare l’oscuramento selettivo: garantire accesso alle informazioni generali (es. oggetto della SCIA, provvedimenti adottati), ma rimuovere dati identificativi di terzi;
  coinvolgere i controinteressati: se identificabili, devono essere messi in condizione di opporsi (art. 5, comma 5, d.lgs. 33/2013);
• motivare sempre le decisioni: un diniego totale deve essere giustificato in modo puntuale, dimostrando il “pregiudizio concreto” alla privacy;
  preferire l’accesso documentale ex artt. 22 ss. l. 241/1990 quando il richiedente ha un interesse qualificato: in quel caso l’amministrazione può valutare diversamente l’ostensione.
  

Conclusioni

Il caso in esame evidenzia che:

• l’accesso civico non può essere negato in blocco solo per la presenza di dati personali;
• occorre valutare con precisione quali dati possono essere resi accessibili e quali devono essere oscurati;
• trasparenza e protezione dei dati non sono valori opposti, ma devono essere bilanciati caso per caso;
• l’accesso parziale è la soluzione più coerente con la normativa, permettendo di garantire controllo diffuso sull’attività amministrativa senza sacrificare diritti fondamentali delle persone.