In sintesi
Il Garante Privacy esprime un parere alla Scuola Superiore della Magistratura, rilevando la gestione inadeguata di una richiesta di accesso civico e la mancata osservanza delle procedure per la protezione dei dati personali. La Scuola aveva omesso vaste sezioni dei verbali e non aveva coinvolto i soggetti interessati, ricevendo un richiamo a migliorare la trasparenza e la cura nel bilanciare l'accesso con la tutela della privacy.
Cosa fare
- Controllate che le vostre procedure di risposta alle richieste di accesso civico prevedano sempre un passaggio per identificare e contattare le persone i cui dati potrebbero essere divulgati (i 'controinteressati').
- Rileggete le ultime risposte a istanze di accesso civico parzialmente negate o differite: assicuratevi che ogni omissione o rinvio sia spiegato con una motivazione specifica e non generica, indicando chiaramente il 'perché' la divulgazione di quei dati creerebbe un rischio concreto.
- Verificate se i vostri regolamenti interni prevedono la pubblicazione di documenti analoghi a quelli richiesti: se sì, consideratene la pubblicazione o una delibera esplicita che ne giustifichi la non pubblicazione.
Cosa evitare
- Non omettete dati o sezioni intere di documenti in modo esteso senza una spiegazione chiara e specifica sul perché quei dati personali non sono pertinenti o sono sproporzionati rispetto alla richiesta di accesso.
- Non date per scontato che le persone menzionate nei documenti non debbano essere informate della richiesta di accesso ai loro dati, specialmente se sono esterni o se la natura delle informazioni è sensibile.
- Non rifiutate o differite una richiesta di accesso civico per motivi di 'troppo lavoro' o 'troppi documenti' senza cercare un dialogo con il richiedente per circoscrivere la domanda.
Contesto
La Scuola Superiore della Magistratura (SSM) ha ricevuto un'istanza di accesso civico da 192 magistrati. L'istanza chiedeva l'accesso ai verbali del Comitato Direttivo relativi alle nomine del Segretario, del Vice Segretario e del Presidente della SSM, oltre ai verbali delle riunioni del Comitato direttivo da marzo 2024. La SSM ha riscontrato l'istanza accogliendola parzialmente, trasmettendo 5 verbali con ampie parti omesse e differendo l'accesso ai restanti verbali del periodo richiesto. I magistrati istanti hanno presentato una richiesta di riesame al RPCT della SSM, contestando le omissioni quasi totali e il differimento, sostenendo l'interesse pubblico alla massima trasparenza e la rilevanza delle dichiarazioni rese e delle votazioni per il controllo diffuso sull'azione amministrativa. Il RPCT ha chiesto il parere del Garante sulla questione, come previsto dalla normativa.
La decisione
Il Garante ha espresso parere alla Scuola Superiore della Magistratura, invitandola a rivalutare la richiesta di accesso civico. Il Garante ha rilevato che la SSM non ha coinvolto i soggetti controinteressati nel procedimento di accesso civico generalizzato, impedendo loro di presentare opposizioni motivate. Il Garante ha inoltre criticato la motivazione del diniego parziale, ritenendola eccessivamente sintetica e non supportata da argomentazioni idonee a giustificare le estese omissioni, non consentendo di comprendere il pregiudizio concreto alla protezione dei dati personali. Il Garante ha richiamato i principi di minimizzazione e limitazione della finalità del RGPD, suggerendo di tenere conto del ruolo pubblico dei soggetti coinvolti e del regolamento interno della SSM che prevede la pubblicità dei verbali. Riguardo al differimento per la quantità di documenti, il Garante non è entrato nel merito delle questioni organizzative ma ha suggerito l'avvio di un dialogo cooperativo per ridefinire l'oggetto della richiesta.
Articoli GDPR violati
| Articolo | Descrizione | Rilevanza |
|---|---|---|
|
5 par.1 lett.b GDPR |
I dati personali sono raccolti per finalità determinate, esplicite e legittime, e trattati in modo non incompatibile con tali finalità. | la ssm ha omesso ampie parti dei verbali senza una motivazione sufficiente che dimostrasse il rispetto della limitazione della finalità per i dati trattati nel contesto dell'accesso civico. |
|
5 par.1 lett.c GDPR |
I dati personali sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (minimizzazione dei dati). | le estese omissioni nei verbali non sono state sufficientemente giustificate in termini di minimizzazione, non spiegando perché intere sezioni discorsive fossero sproporzionate o non pertinenti alla finalità di trasparenza. |
|
5 par.5 Codice Privacy |
L'amministrazione, se individua soggetti controinteressati, deve darne comunicazione agli stessi per consentire la presentazione di opposizioni motivate alla richiesta di accesso civico. | la ssm non ha coinvolto alcun soggetto controinteressato nel procedimento di accesso civico, impedendo loro di esercitare il diritto di opposizione. |
|
5-bis par.2 lett.a Codice Privacy |
L'accesso civico è rifiutato se il diniego è necessario per evitare un pregiudizio concreto alla tutela della protezione dei dati personali. | la ssm ha applicato questo limite in modo generico e insufficientemente motivato, non dimostrando in modo specifico il pregiudizio concreto derivante dall'ostensione delle parti omesse. |
Misure imposte
Rivalutare la richiesta di accesso civico; Fornire una motivazione congrua e completa per l'eventuale diniego o differimento; Coinvolgere i soggetti controinteressati nel procedimento; Considerare il ruolo e la funzione pubblica dei soggetti coinvolti nella valutazione del pregiudizio; Dare conoscenza delle posizioni espresse, delle modalità di formazione della volontà collegiale e delle ragioni delle determinazioni assunte, salvo diversa deliberazione del Comitato Direttivo; Valutare la possibilità di avviare un dialogo cooperativo con gli istanti per ridefinire l'oggetto della richiesta; Fornire specifica motivazione per le parti dei verbali omesse perché eccedenti l'oggetto della richiesta.
Sanzione
[object Object]
Implicazioni pratiche
Questo parere evidenzia l'importanza per le pubbliche amministrazioni di gestire le richieste di accesso civico generalizzato con scrupolo, specialmente quando coinvolgono dati personali. Non è sufficiente applicare omissioni estese senza una motivazione chiara e dettagliata che dimostri un pregiudizio concreto alla protezione dei dati personali. Le amministrazioni devono attentamente bilanciare il diritto alla trasparenza con i diritti di protezione dei dati, coinvolgendo sempre i soggetti controinteressati. La mancata osservanza di queste procedure può portare a reclami e riesami, rallentando i processi amministrativi e potenzialmente compromettendo la fiducia dei cittadini.
Azioni da fare
- Implementare procedure chiare per l'individuazione e il coinvolgimento dei controinteressati nelle richieste di accesso civico generalizzato.
- Formare il personale coinvolto nella gestione delle istanze di accesso civico sulla necessità di fornire motivazioni specifiche e dettagliate per ogni diniego o differimento, soprattutto in relazione alla protezione dei dati personali.
- Rivedere le politiche interne e i regolamenti sulla pubblicità degli atti, assicurandosi che siano allineati con la normativa vigente e che prevedano meccanismi di valutazione caso per caso per l'applicazione di limiti all'accesso.
Errori da evitare
- Non omettere ampie parti di documenti senza una motivazione esplicita e concreta che giustifichi il pregiudizio alla protezione dei dati personali.
- Non dare per scontato il diniego o il differimento basandosi su motivazioni generiche o sul carico di lavoro, senza esplorare soluzioni alternative come il dialogo cooperativo con l'istante.
- Non trascurare l'obbligo di coinvolgere i soggetti controinteressati, in quanto il loro mancato interpello è una grave carenza procedurale.
Domande di self-assessment
- La nostra procedura di accesso civico generalizzato prevede il coinvolgimento esplicito dei soggetti controinteressati e in quali fasi?
- Le motivazioni dei nostri dinieghi o differimenti di accesso civico generalizzato sono sufficientemente dettagliate e specifiche, indicando il pregiudizio concreto alla protezione dei dati?
- Il nostro personale è formato per distinguere tra accesso civico semplice e generalizzato e per applicare correttamente i principi di minimizzazione e proporzionalità nella valutazione dei dati da rendere accessibili?
Riferimenti
Normativa nazionale: D.Lgs. 196/2003 · D.Lgs. 33/2013 · L. 241/1990 · D.Lgs. 26/2006
Note
Il provvedimento evidenzia la particolarità del caso in cui un regolamento interno prevedeva la pubblicazione dei verbali, ma tale prassi non è stata seguita senza una delibera formale di deroga. Questo ha generato un'aspettativa di confidenzialità non pienamente giustificata per i soggetti pubblici coinvolti, mentre ha reso ancora più necessaria una valutazione attenta per i soggetti terzi e per i dati particolari.