Non è vero che può bastare una generica firma per autorizzare coloro che trattano i dati personali ad utilizzarli in modo non regolare.
E questa regola vale anche per la Pubblica Amministrazione, la quale non può, con una semplice X, comunicare dati personali non necessari e violare le norme privacy.
Una richiesta di accesso alla Pubblica Amministrazione può contenere diversi dati personali: nome, indirizzo, numero di telefono.
Ma cosa succede se l’amministrazione, per informare un controinteressato, gli trasmette l’intera richiesta, compresi dati che non gli servono?
A questa domanda ha risposto il Garante per la protezione dei dati personali con il provvedimento n. 381 del 28 maggio 2026 con cui ha bacchettato l'Università di Bari.
a.- Il caso
Nella vicenda oggetto dell'intervento del Garante, un cittadino aveva presentato all'Università degli studi di Bari Aldo Moro una richiesta di accesso civico generalizzato.
Poiché nella procedura era coinvolto un controinteressato, l'Università avrebbe dovuto informarlo della richiesta ricevuta dal terzo.
Il problema è che, invece di limitarsi alle informazioni necessarie, l'amministrazione universitaria ha inviato l'istanza integrale, nella quale comparivano anche l'indirizzo di residenza e il numero di cellulare del richiedente.
Secondo il cittadino, quei dati non avrebbero dovuto essere comunicati.
b.- La difesa dell'Università: “Il cittadino aveva autorizzato il trattamento”
L'Ateneo, chiamato a rispondere della condotta contestata, aveva sostenuto di aver agito correttamente perché, in fondo alla richiesta, il cittadino aveva scritto:
“autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta”.
A parere dell'Università, trattandosi di un'autorizzazione generica e senza limitazioni, questa avrebbe consentito anche la trasmissione integrale dell'istanza al controinteressato.
c.- Il Garante: non basta questa autorizzazione (troppo generica)
E il Garante per la tutela del dati personali ha risposto in senso negativo alla difesa addotta dall'Università di Bari, evidenziando che la mera sottoscrizione ad una generica dichiarazione non rende lecito ciò che è illecito.
Il punto centrale del provvedimento è il principio di minimizzazione dei dati, previsto dall'art. 5, paragrafo 1, lettera c), del GDPR: "I dati personali sono: [...] adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»)".
I dati personali sono considerati adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità per cui vengono trattati e quindi occorre, al momento del valutare la liceità del consenso espresso, entro quale tipologia e finalità del trattamento è indirizzata la volontà espressa dal titolare.
Nel caso concreto, il controinteressato poteva avere diritto a conoscere l'identità del soggetto che aveva presentato la richiesta, ma non aveva alcuna necessità di conoscere il suo indirizzo di casa o il suo numero di cellulare.
Quei dati comunicati erano parzialmente corretti: si al nome del soggetto richiedente, no agli altri dati perché eccedenti rispetto alla finalità della comunicazione.
L'Università, secondo il Garante, avrebbe dovuto effettuare una valutazione preventiva e comunicare soltanto le informazioni effettivamente necessarie, eventualmente oscurando quelle non pertinenti.
E tale obbligo di valutazione rientra nell'area decisionale della Pubblica Amministrazione, la quale non può scaricare tale onere e responsabilità sul cittadino, giustificando che quest'ultimo aveva sottoscritto una formula generica di autorizzazione.
Spetta al titolare del trattamento, cioè alla Pubblica Amministrazione, verificare quali dati possano essere comunicati e quali debbano invece essere protetti, e tale protezione sussiste anche se il titolare dichiara di volervi rinunciare.
Nel caso di specie, peraltro, la generica clausola inserita in un modulo, anche se scritta in grassetto e sottolineata, però predisposto dalla stessa Università di Bari non può trasformarsi in un'autorizzazione indiscriminata alla diffusione dei dati personali.
Anche perché, a parere di chi scrive, la clausola predisposta dal soggetto che sottopone il modulo standardizzato alla firma della controparte, ove viene quest'ultimo dichiara “autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta” sembra più finalizzata a tutelare il predisponente che il soggetto che firma il modulo (ossia il titolare dei dati personali).
Il Garante ha dichiarato illecito il trattamento effettuato dall'Università, ravvisando la violazione dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati, ammonendo l'Ateneo, senza applicazione di una sanzione pecuniaria.
Il Garante ha infatti considerato, tra gli altri elementi, che la vicenda riguardava un solo interessato, che l'Università aveva collaborato durante l'istruttoria, che non risultavano precedenti violazioni pertinenti e che l'Ateneo aveva già avviato una revisione delle proprie procedure interne.
Il provvedimento offre alcune indicazioni molto concrete che possiamo qui di seguito sottoporre al lettore.
Una firma generica non significa rinunciare alla privacy. Se un modulo contiene una formula del tipo “autorizzo il trattamento dei miei dati”, ciò non autorizza automaticamente l'amministrazione a comunicare qualsiasi informazione contenuta nell'istanza.
La Pubblica Amministrazione deve comunicare soltanto ciò che è necessario. Se un documento contiene dati personali eccedenti, questi devono essere esclusi dalla comunicazione o opportunamente oscurati.
Se i vostri dati vengono comunicati senza necessità, potete contestare il trattamento. È possibile chiedere all'amministrazione chiarimenti sulla finalità e sulla base giuridica della comunicazione e, se ritenete che vi sia stata una violazione della normativa, presentare un reclamo al Garante Privacy.
Di seguito, il provvedimento n. 381/2026.




