IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito RGPD);

Visto l’art. 154, comma 1, lett. g), del Codice in materia di protezione dei dati personali - d. lgs. 30 giugno 2003, n. 196 (di seguito “Codice”);

Visto l’art. 5, comma 7, del d. lgs. n. 33 del 14 marzo 2013 recante «Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni»;

Vista la Determinazione n. 1309 del 28/12/2016 dell’Autorità Nazionale Anticorruzione-ANAC, adottata d’intesa con il Garante, intitolata «Linee guida recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico di cui all’art. 5 co. 2 del d.lgs. 33/2013», in G.U. Serie Generale n. 7 del 10/1/2017 e in http://www.anticorruzione.it/portal/public/classic/AttivitaAutorita/AttiDellAutorita/_Atto?ca=6666 (di seguito “Linee guida dell’ANAC in materia di accesso civico”);

Visto il provvedimento del Garante n. 521 del 15/12/2016, contenente la citata «Intesa sullo schema delle Linee guida ANAC recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico», in www.gpdp.it, doc. web n. 5860807;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Pasquale Stanzione;

PREMESSO

Con la nota in atti il Vice Segretario generale vicario della Provincia di Monza e della Brianza, in sostituzione del Responsabile della prevenzione della corruzione e della trasparenza (RPCT) della predetta Provincia ha chiesto al Garante il parere previsto dall’art. 5, comma 7, del d. lgs. n. 33/2013, nell’ambito del procedimento relativo a una richiesta di riesame su un provvedimento di diniego di un’istanza di accesso civico.

Dall’istruttoria risulta che è stata presentata una richiesta di accesso civico – ai sensi dell’art. 5 comma 2, del d. lgs. n. 33/2013 – avente a oggetto «l’elenco nominativo dei 61 candidati ammessi alla prova preselettiva individuati mediante ID Domanda, completo di nome, cognome e indirizzo ancorché del comune di provenienza e indirizzo di posta elettronica» relativi al «Concorso pubblico per l’assunzione a tempo pieno e indeterminato di un Dirigente Tecnico da assegnare al Settore Ambiente e Patrimonio».

L’amministrazione ha rifiutato l’accesso civico, rappresentando che lo stesso riguarderebbe «dati non soggetti alle ipotesi previste dall’accesso civico generalizzato ex D. lgs 33/2013» e, pertanto, «per la natura dei dati personali coinvolti e del regime di pubblicità delle informazioni, non [era] possibile accogliere l’istanza».

Il richiedente l’accesso civico ha presentato una richiesta di riesame del provvedimento di diniego al RPCT della Provincia (art. 5, comma 7, del d. lgs. n. 33/2013), ritenendolo non legittimo e insistendo nelle proprie richieste.

OSSERVA

Il caso sottoposto all’attenzione del Garante riguarda l’ostensione, tramite l’istituto dell’accesso civico, di dati e informazioni personali – di diversa natura e specie – riferiti ai 61 candidati ammessi alla prova preselettiva per il concorso pubblico a dirigente presso la Provincia, quali: nome, cognome, indirizzo e posta elettronica.

La normativa statale in materia di trasparenza prevede che, fermi restando gli altri obblighi di pubblicità legale, le pubbliche amministrazioni hanno l’obbligo di pubblicare – oltre ai bandi di concorso per il reclutamento, a qualsiasi titolo, di personale presso l’amministrazione, ai criteri di valutazione della Commissione e alle tracce delle prove – «le graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori» (art. 19, comma 1, del d. lgs. n. 33/2013).

Con particolare riferimento agli enti locali, la disciplina di settore prevede la pubblicazione della graduatoria dei vincitori nell’albo pretorio dell’ente (art. 15, commi 5, 6 e 6-bis, del d.P.R. n. 487 del 9/5/1994).

In relazione alla pubblicità degli esiti delle prove concorsuali e delle graduatorie finali di concorsi e selezioni pubbliche e di altri procedimenti che prevedono la formazione di graduatorie, questa Autorità fin dal 2014 ha evidenziato che sussistono «normative di settore che ne regolano tempi e forme di pubblicità (es. affissione presso la sede dell’ente pubblico, pubblicazione nel bollettino dell’amministrazione o, per gli enti locali, all’albo pretorio). Tale regime di conoscibilità, come già rilevato in passato dal Garante, assolve alla funzione di rendere pubbliche le decisioni adottate dalla commissione esaminatrice e/o dall’ente pubblico procedente, anche al fine di consentire agli interessati l’attivazione delle forme di tutela dei propri diritti e di controllo della legittimità delle procedure concorsuali o selettive. Anche a questo riguardo devono essere diffusi i soli dati pertinenti e non eccedenti riferiti agli interessati. Non possono quindi formare oggetto di pubblicazione dati concernenti i recapiti degli interessati ([quali fra l’altro] l’indirizzo di residenza o di posta elettronica […]» (cfr. parte seconda, part. 3.b. delle «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati», provv. n. 243 del 15/5/2014, in G.U. n. 134 del 12/6/2014 e in www.gpdp.it, doc. web n. 3134436; punto 6.1 delle «Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico», provv. n. 23 del 14/6/2007, in G.U. n. 161 del 13/7/2007 e in www.gpdp.it, doc. web n. 1417809).

In tale quadro, si rileva cha – a differenza dei soggetti risultanti vincitori – la normativa in materia di trasparenza non prevede obblighi di pubblicità dei dati personali riferiti ai singoli partecipanti al concorso pubblico. In diverse occasioni, il Garante è intervenuto su reclamo dei soggetti interessati, sanzionando gli enti locali che, al contrario, avevano diffuso anche i nomi di concorrenti non vincitori, non ammessi o che si sono ritirati dal concorso, in assenza di idonei presupposti normativi e, dunque, in violazione dell’art. 2-ter, commi 1 e 3, del Codice e dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del RGPD (vd., di recente, il provv. n. 154 del 3/9/2020, in www.gpdp.it, doc. web n. 9468523).

Ciò chiarito, si concorda con quanto evidenziato dal soggetto istante nella richiesta di riesame, laddove è evidenziato che in ogni caso «L’accesso civico generalizzato si delinea come […] autonomo ed indipendente da presupposti obblighi di pubblicazione e come espressione, invece, di una libertà che incontra, quali unici limiti, da una parte, il rispetto della tutela degli interessi pubblici e/o privati indicati all’art. 5 bis, commi 1 e 2, e dall’altra, il rispetto delle norme che prevedono specifiche esclusioni (art. 5 bis, comma 3)».

La disciplina di settore in materia di accesso civico contenuta nel d. lgs. n. 33/2013 prevede, infatti, che «Allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche e di promuovere la partecipazione al dibattito pubblico, chiunque ha diritto di accedere ai dati e ai documenti detenuti dalle pubbliche amministrazioni, ulteriori rispetto a quelli oggetto di pubblicazione ai sensi del presente decreto, nel rispetto dei limiti relativi alla tutela di interessi giuridicamente rilevanti secondo quanto previsto dall’articolo 5-bis» (art. 5, comma 2).

Fra i citati limiti all’accesso civico, si ricorda tuttavia che la medesima normativa sancisce che l’accesso è in ogni caso rifiutato, fra l’altro, «se il diniego è necessario per evitare un pregiudizio concreto alla tutela [della] protezione dei dati personali, in conformità con la disciplina legislativa in materia» (art. 5-bis, comma 2, lett. a). Per dato personale si intende «qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»)» e si considera “identificabile” «la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (art. 4, par. 1, n. 1, RGPD).

Nel caso sottoposto all’attenzione del Garante, si evidenzia in primo luogo che la Provincia, nel riscontrare l’istanza, ha negato l’accesso, limitandosi però a fornire al richiedente una risposta generica, sostenendo che i dati richiesti non erano «soggetti alle ipotesi previste dall’accesso civico generalizzato ex D. lgs 33/2013». Occorre, pertanto, evidenziare che motivazione contenuta nel provvedimento di diniego dell’accesso civico adottato dall’amministrazione non consente di comprendere – a causa della sua eccessiva sinteticità sul punto – le effettive ragioni per le quali l’ostensione dei dati personali dei soggetti partecipanti al concorso richiesti debba essere rifiutato o possa determinare un pregiudizio concreto alla protezione dei dati personali ai sensi dell’art. 5, comma 2, lett. a), del d. lgs. n. 33/2013 che possa giustificare il rigetto dell’istanza.

Tale condotta non appare conforme alle Linee guida dell’Anac in materia di accesso civico laddove è, invece, indicato che nella risposta alle istanze di accesso civico «l’amministrazione è tenuta a una congrua e completa, motivazione» e che la «motivazione serve all’amministrazione per definire progressivamente proprie linee di condotta ragionevoli e legittime, al cittadino per comprendere ampiezza e limiti dell’accesso generalizzato, al giudice per sindacare adeguatamente le decisioni dell’amministrazione» (parr. 4.2, 5.3; nonché «Allegato. Guida operativa all’accesso generalizzato», n. 13).

Quanto al merito e alla possibilità in generale di rendere ostensibili tramite l’istituto dell’accesso civico i dati e le informazioni personali dei partecipanti al concorso richiesti – quali nome, cognome, indirizzo, posta elettronica –, deve essere ricordato che i dati e i documenti che si ricevono a seguito di una istanza di accesso civico – a differenza dei documenti a cui si è avuto accesso ai sensi della l. n. 241 del 7/8/1990 – divengono «pubblici e chiunque ha diritto di conoscerli, di fruirne gratuitamente, e di utilizzarli e riutilizzarli ai sensi dell’articolo 7», sebbene il loro ulteriore trattamento vada in ogni caso effettuato nel rispetto dei limiti derivanti dalla normativa in materia di protezione dei dati personali (art. 3, comma 1, del d. lgs. n. 33/2013).

Di conseguenza, è anche alla luce di tale amplificato regime di pubblicità dell’accesso civico che va valutata l’esistenza di un possibile pregiudizio concreto alla protezione dei dati personali dei soggetti controinteressati, in base al quale decidere se rifiutare o meno l’accesso ai documenti, o alle informazioni, richiesti.

Inoltre, è in ogni caso necessario rispettare i principi del RGPD di «limitazione della finalità» e di «minimizzazione dei dati», in base ai quali i dati personali devono essere «raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità», nonché «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (art. 5, par. 1, lett. b e c).

Alla luce del complesso di quanto descritto, si ritiene che – fermo restando la pubblicità delle graduatorie finali dei vincitori – un eventuale riconoscimento di un accesso civico agli ulteriori dati personali dei partecipanti al concorso richiesti – quali nome, cognome, indirizzo, posta elettronica – unito alla generale conoscenza e al particolare regime di pubblicità dei dati oggetto di accesso civico, può effettivamente arrecare ai soggetti interessati, a seconda delle ipotesi e del contesto in cui i dati e le informazioni fornite possono essere utilizzate da terzi, proprio quel pregiudizio concreto alla tutela della protezione dei dati personali previsto dall’art. 5-bis, comma 2, lett. a), del d. lgs. n. 33/2013.

Deve essere tenuta, altresì, in considerazione la circostanza che, nello specifico caso esaminato, i partecipanti al concorso dovevano possedere il requisito di essere già dipendenti della p.a. con posizione organizzativa, dirigenti anche nel settore privato o professionisti. In tale contesto, la generale conoscenza della partecipazione al concorso e la volontà di cambiare ruolo o amministrazione di appartenenza – pensando anche a possibili ripercussioni su occasioni di carriera o a eventuali impieghi futuri in contesti diversi – può determinare conseguenze sul piano relazionale e professionale. Una tale situazione produce un’interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati, non aderente alle ragionevoli aspettative di confidenzialità dei soggetti interessati, tenendo conto della non prevedibilità delle conseguenze derivanti a questi ultimi dalla conoscibilità da parte di chiunque dei dati richiesti (cfr. par. 8.1 delle Linee guida dell’ANAC in materia di accesso civico, cit.).

Quanto all’ostensione di dati di dettaglio richiesti riferiti ai partecipanti al concorso, quali indirizzo e posta elettronica, deve inoltre essere aggiunto che è necessario in ogni caso evitare di fornire dati personali eccedenti e sproporzionati che – considerando il regime di pubblicità dei dati ricevuti tramite l’accesso civico – potrebbero favorire il verificarsi di eventuali furti di identità o di creazione di identità fittizie attraverso le quali esercitare attività fraudolente. Nel caso in esame, il riconoscimento di un eventuale accesso civico sarebbe inoltre contrario ai principi del RGPD di «limitazione della finalità» e di «minimizzazione dei dati» – ai sensi dell’art. 5, par. 1, lett. b e c, del RGPD – in quanto non «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità» dell’accesso civico di «favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche e di promuovere la partecipazione al dibattito pubblico» (art. 5, par. 2, d. lgs. n. 33/2013).

Per tutti i motivi sopradescritti, ai sensi della normativa vigente e delle indicazioni contenute nelle Linee guida dell’ANAC in materia di accesso civico, conformemente ai precedenti orientamenti di questa Autorità in materia di accesso civico, si concorda con il diniego opposto dalla Provincia alla richiesta di accesso civico e, nel contempo, si invita in ogni caso la predetta amministrazione a riesaminare il provvedimento di riscontro dell’accesso, fornendo al soggetto istante una congrua e completa motivazione circa l’esistenza dei limiti di cui all’art. 5-bis, comma 2, lett. a), del d. lgs. n. 33/2013.

Resta, in ogni caso, salva la possibilità per l’istante di eventualmente accedere ai dati richiesti, laddove – utilizzando il diverso istituto dell’accesso ai documenti amministrativi ai sensi degli artt. 22 ss. della l. n. 241/1990 – dimostri di essere titolare di «un interesse diretto, concreto e attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento al quale è chiesto l’accesso».

TUTTO CIÒ PREMESSO IL GARANTE

esprime parere nei termini suesposti in merito alla richiesta del Vice Segretario generale vicario della Provincia di Monza e della Brianza, in sostituzione del Responsabile della prevenzione della corruzione e della trasparenza (RPCT) della predetta Provincia, ai sensi dell’art. 5, comma 7, del d. lgs. n. 33/2013.

Fonte: Garante per la Privacy

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9681122