Allegato 2 - Criteri per una valutazione d'impatto sulla protezione dei dati accettabile

.... omissis ....

0. i rischi per i diritti e le liberta' degli interessati sono gestiti (articolo 35, paragrafo 7 lettera c)):

   • sono individuati gli impatti potenziali per i diritti e le liberta' degli interessati in caso di eventi che includono l'accesso illegittimo, la modifica indesiderata e la scomparsa dei dati;... omissis ...

GARANTE e LINEE GUIDA ANAC in materia di accesso civico

- «Ai fini della valutazione del pregiudizio concreto, vanno prese in considerazione le conseguenze – anche legate alla sfera morale, relazionale e sociale – che potrebbero derivare all'interessato (o ad altre persone alle quali esso e' legato da un vincolo affettivo) dalla conoscibilita', da parte di chiunque, del dato o del documento richiesto, tenuto conto delle implicazioni derivanti dalla previsione di cui all'art. 3, comma 1, del d. lgs. n. 33/2013, in base alla quale i dati e i documenti forniti al richiedente tramite l'accesso generalizzato sono considerati come "pubblici", sebbene il loro ulteriore trattamento vada in ogni caso effettuato nel rispetto dei limiti derivanti dalla normativa in materia di protezione dei dati personali (art. 7 del d.lgs. n. 33/2013). Tali conseguenze potrebbero riguardare, ad esempio, future azioni da parte di terzi nei confronti dell'interessato, o situazioni che potrebbero determinare l'estromissione o la discriminazione dello stesso individuo, oppure altri svantaggi personali e/o sociali. In questo quadro, puo' essere valutata, ad esempio, l'eventualita' che l'interessato possa essere esposto a minacce, intimidazioni, ritorsioni o turbative al regolare svolgimento delle funzioni pubbliche o delle attivita' di pubblico interesse esercitate, che potrebbero derivare, a seconda delle particolari circostanze del caso, dalla conoscibilita' di determinati dati. Analogamente, vanno tenuti in debito conto i casi in cui la conoscibilita' di determinati dati personali da parte di chiunque possa favorire il verificarsi di eventuali furti di identita' o di creazione di identita' fittizie attraverso le quali esercitare attivita' fraudolente».

- «Nel valutare l'impatto nei riguardi dell'interessato, vanno tenute in debito conto anche le ragionevoli aspettative di quest'ultimo riguardo al trattamento dei propri dati personali al momento in cui questi sono stati raccolti, ad esempio nel caso in cui le predette conseguenze non erano prevedibili al momento della raccolta dei dati».

- «Per verificare l'impatto sfavorevole che potrebbe derivare all'interessato dalla conoscibilita' da parte di chiunque delle informazioni richieste, l'ente destinatario della richiesta di accesso generalizzato deve far riferimento a diversi parametri, tra i quali, anche la natura dei dati personali oggetto della richiesta di accesso o contenuti nei documenti ai quali di chiede di accedere, nonche' il ruolo ricoperto nella vita pubblica, la funzione pubblica esercitata o l'attivita' di pubblico interesse svolta dalla persona cui si riferiscono i predetti dati».

- «Va considerato altresi' che la sussistenza di un pregiudizio concreto alla protezione dei dati personali puo' verificarsi con piu' probabilita' per talune particolari informazioni – come ad esempio situazioni personali, familiari, professionali, patrimoniali – di persone fisiche destinatarie dell'attivita' amministrativa o intervenute a vario titolo nella stessa e che, quindi, non ricoprono necessariamente un ruolo nella vita pubblica o non esercitano funzioni pubbliche o attivita' di pubblico interesse. Cio' anche pensando, come gia' visto, alle ragionevoli aspettative di confidenzialita' degli interessati riguardo a talune informazioni in possesso dei soggetti destinatari delle istanze di accesso generalizzato o la non prevedibilita' delle conseguenze derivanti a questi ultimi dalla conoscibilita' da parte di chiunque di tali dati. Tale ragionevole aspettativa di confidenzialita' e' un elemento che va valutato in ordine a richieste di accesso generalizzato che possono coinvolgere dati personali riferiti a lavoratori o a altri soggetti impiegati a vario titolo presso l'ente destinatario della predetta istanza».

Fonte: Autorità Garante - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679