Hai firmato? Non significa che la PA possa comunicare tutti i tuoi dati

Non è vero che può bastare una generica firma per autorizzare coloro che trattano i dati personali ad utilizzarli in modo non regolare.

E questa regola vale anche per la Pubblica Amministrazione, la quale non può, con una semplice X, comunicare dati personali non necessari e violare le norme privacy.

Una richiesta di accesso alla Pubblica Amministrazione può contenere diversi dati personali: nome, indirizzo, numero di telefono. 

Ma cosa succede se l’amministrazione, per informare un controinteressato, gli trasmette l’intera richiesta, compresi dati che non gli servono?

A questa domanda ha risposto il Garante per la protezione dei dati personali con il provvedimento n. 381 del 28 maggio 2026 con cui ha bacchettato l'Università di Bari.

a.- Il caso

Nella vicenda oggetto dell'intervento del Garante, un cittadino aveva presentato all'Università degli studi di Bari Aldo Moro una richiesta di accesso civico generalizzato.

Poiché nella procedura era coinvolto un controinteressato, l'Università avrebbe dovuto informarlo della richiesta ricevuta dal terzo. 

Il problema è che, invece di limitarsi alle informazioni necessarie, l'amministrazione universitaria ha inviato l'istanza integrale, nella quale comparivano anche l'indirizzo di residenza e il numero di cellulare del richiedente.

Secondo il cittadino, quei dati non avrebbero dovuto essere comunicati.

b.- La difesa dell'Università: “Il cittadino aveva autorizzato il trattamento”

L'Ateneo, chiamato a rispondere della condotta contestata, aveva sostenuto di aver agito correttamente perché, in fondo alla richiesta, il cittadino aveva scritto:

“autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta”.

A parere dell'Università, trattandosi di un'autorizzazione generica e senza limitazioni, questa avrebbe consentito anche la trasmissione integrale dell'istanza al controinteressato.

c.- Il Garante: non basta questa autorizzazione (troppo generica)

E il Garante per la tutela del dati personali ha risposto in senso negativo alla difesa addotta dall'Università di Bari, evidenziando che la mera sottoscrizione ad una generica dichiarazione non rende lecito ciò che è illecito. 

Il punto centrale del provvedimento è il principio di minimizzazione dei dati, previsto dall'art. 5, paragrafo 1, lettera c), del GDPR: "I dati personali sono: [...] adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»)".

I dati personali sono considerati adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità per cui vengono trattati e quindi occorre, al momento del valutare la liceità del consenso espresso, entro quale tipologia e finalità del trattamento è indirizzata la volontà espressa dal titolare.

Nel caso concreto, il controinteressato poteva avere diritto a conoscere l'identità del soggetto che aveva presentato la richiesta, ma non aveva alcuna necessità di conoscere il suo indirizzo di casa o il suo numero di cellulare.

Quei dati comunicati erano parzialmente corretti: si al nome del soggetto richiedente, no agli altri dati perché eccedenti rispetto alla finalità della comunicazione.

L'Università, secondo il Garante, avrebbe dovuto effettuare una valutazione preventiva e comunicare soltanto le informazioni effettivamente necessarie, eventualmente oscurando quelle non pertinenti.

E tale obbligo di valutazione rientra nell'area decisionale della Pubblica Amministrazione, la quale non può scaricare tale onere e responsabilità sul cittadino, giustificando che quest'ultimo aveva sottoscritto una formula generica di autorizzazione.

Spetta al titolare del trattamento, cioè alla Pubblica Amministrazione, verificare quali dati possano essere comunicati e quali debbano invece essere protetti, e tale protezione sussiste anche se il titolare dichiara di volervi rinunciare.

Nel caso di specie, peraltro, la generica clausola inserita in un modulo, anche se scritta in grassetto e sottolineata, però predisposto dalla stessa Università di Bari non può trasformarsi in un'autorizzazione indiscriminata alla diffusione dei dati personali.

Anche perché, a parere di chi scrive, la clausola predisposta dal soggetto che sottopone il modulo standardizzato alla firma della controparte, ove viene quest'ultimo dichiara “autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta” sembra più finalizzata a tutelare il predisponente che il soggetto che firma il modulo (ossia il titolare dei dati personali).

Il Garante ha dichiarato illecito il trattamento effettuato dall'Università, ravvisando la violazione dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati, ammonendo l'Ateneo, senza applicazione di una sanzione pecuniaria.

Il Garante ha infatti considerato, tra gli altri elementi, che la vicenda riguardava un solo interessato, che l'Università aveva collaborato durante l'istruttoria, che non risultavano precedenti violazioni pertinenti e che l'Ateneo aveva già avviato una revisione delle proprie procedure interne.

Il provvedimento offre alcune indicazioni molto concrete che possiamo qui di seguito sottoporre al lettore.

Una firma generica non significa rinunciare alla privacy. Se un modulo contiene una formula del tipo “autorizzo il trattamento dei miei dati”, ciò non autorizza automaticamente l'amministrazione a comunicare qualsiasi informazione contenuta nell'istanza.

La Pubblica Amministrazione deve comunicare soltanto ciò che è necessario. Se un documento contiene dati personali eccedenti, questi devono essere esclusi dalla comunicazione o opportunamente oscurati.

Se i vostri dati vengono comunicati senza necessità, potete contestare il trattamento. È possibile chiedere all'amministrazione chiarimenti sulla finalità e sulla base giuridica della comunicazione e, se ritenete che vi sia stata una violazione della normativa, presentare un reclamo al Garante Privacy.

Di seguito, il provvedimento n. 381/2026.

Il consumatore deve essere tutelato anche nel settore pubblico

In questo blog trattiamo i diritti dei consumatori nei rapporti di natura privatistica, analizzando i vari contesti ove il professionista è tenuto ad una tutela del contraente debole, sotto il profilo del prodotto/servizio venduto, dell'informativa pre contrattuale e contrattuale e della tutela posta vendita. 

Tale cura dei diritti dei consumatori riguarda anche i servizi pubblici, ossia le prestazioni offerte direttamente dalla pubblica amministrazione, dagli enti locali o, più di frequente, da aziende regolamentate e/o partecipate da enti pubblici. 

Si tratta di servizi fondamentali, ove l'ente pubblico ritiene necessario un proprio intervento volto ad assicurare che i diritti dei consumatori siano rispettati, e il prezzo offerto sia calmierato.

Ci siamo riferendo ai servizi che riguardano i settori quali sanità e giustizia, ma anche energia, acqua, trasporti, telecomunicazioni, ove la tutela dei consumatori deve trovare una "copertura statale" più marcata.

Occorre ricordare, infatti, che non è totalmente vero che nel caso di rapporti tra stato e privato cittadino, quest'ultimo non possa avvalersi delle tutele previste dalla normativa, in quanto anche per tali rapporti, seppur in modo più limitato, il contraente debole meriti una protezione prevista dalle norme nazionali ed europee.

Sotto questo profilo, occorre ricordare che nel tempo si sono susseguite normative che hanno introdotto ed affinato la salvaguardia dei consumatori nei servizi pubblici, come ad esempio la Direttiva 2011/83/UE, norma che tutela i diritti dei consumatori e che è applicabile anche ai servizi pubblici essenziali.

Si è soliti ricordare, sotto tale profilo, la Carta dei Diritti fondamentali dell'Unione Europea, laddove all'art. 38 prevede che: "Nelle politiche dell’Unione Ł garantito un livello elevato di protezione dei consumatori".

In ambito locale, il Codice del consumo (D.Lgs. 206/2005) disciplina i diritti dei consumatore che devono essere rispettati anche dagli enti pubblici, così come riportato nei regolamenti di autorità garanti come ARERA o AGCOM.

Multa - abbiamo il diritto di conoscere chi ci sanziona

La persona oggetto di sanzione amministrativa ha il diritto di conoscere il nominativo del sanzionatore.

Il principio è stato ribadito dal Consiglio di Stato, con il provvedimento che potete leggere di seguito, e trae origine da una vicenda abbastanza ordinaria, ovverosia l'irrogazione di una multa da parte di un controllore.  

Nel caso di specie, durante un tragitto locale di Trenitalia, uno dei viaggiatori era sprovvisto di valido titolo di viaggio  obliterato, tant'è che il controllore elevava la relativa sanzione amministrativa.

Il  viaggiatore proponeva reclamo avverso il verbale di accertamento, la quale veniva respinta, sicché il consumatore decideva di presentare istanza di accesso agli atti alla Direzione regionale Veneto di Trenitalia.

Tra i vari documenti oggetto di richiesta, il ricorrente chiedeva i  dati personali dell’agente accertatore, la qualifica del medesimo e il relativo tesserino di riconoscimento.

Trenitalia opponeva diniego, sollevando questioni di riservatezza e tutela del dipendente, contestate dal viaggiatore con il ricorso presentato al TAR Veneto.

Il giudice amministrativo di primo grado accoglieva l'istanza del consumatore, costringendo Trenitalia ad impugnare il provvedimento avanti al Consiglio di Stato.

Quest'ultimo, facendo proprie le ragioni proposte dal TAR Veneto, ha rigettato il ricorso di Trenitalia, ritenendo che le generalità dell’agente accertatore non rientrano tra i dati sensibili meritevoli di una maggiore tutela, legati alla professione svolta o per tutela della riservatezza.

Non  si tratta, in altri termini, di un dato sensibile tale da giustificare il rifiuto alla legittima richiesta del soggetto legittimato ad ottenerlo, né possono essere avanzate ragioni di sicurezza e tutela del controllore, nè tanto meno motivi di privacy.

Osservano i giudici che il  rischio di sicurezza dell'agente accertatore è ipotetico e non sufficiente ad escludere il diritto di accesso azionato dal cittadino “tale rischio è stato semplicemente ipotizzato e comunque rappresenta un’argomentazione difensiva che non consente di pervenire a diversa conclusione, tenuto conto che (…) in presenza dei necessari presupposti di legittimazione ed interesse, tutti i documenti amministrativi sono accessibili ad eccezione di quelli indicati all’art. 24, commi 1 e 2, 3, 5, e 6” (recanti i casi di esclusione del diritto di accesso) con la precisazione che, ai sensi del successivo comma 7 del medesimo disposto, “deve comunque essere garantito ai richiedenti l’accesso ai documenti amministrativi la cui conoscenza sia necessaria per curare e difendere i propri interessi giuridici”, mentre là dove si tratti di documenti contenenti dati sensibili e giudiziari “l’accesso è consentito nei limiti in cui sia strettamente indispensabile”.

In conclusione, il viaggiatore che viene sanzionato ha diritto di conoscere i dati personali della persona che ha elevato la multa, come stabilito dal Consiglio di Stato - sentenza n. 2530/2022 che trovate qui di seguito.

L'anagrafe digitale è realtà: ora si può ottenere un certificato on line

Finalmente anche la Pubblica Amministrazione si sta, poco alla volta, adeguando alla nuova realtà digitale, proponendo i propri servizi ai cittadini con la modalità on line.

A partire dallo scorso 15 novembre, infatti, il Ministero dell' Interno ha reso operativo il progetto dei certificati digitali, consentendo ai cittadini italiani di poter accedere all'Anagrafe Nazionale della Popolazione Residente (Anpr). 

Il nuovo servizio digitale (clicca qui) è fruibile anche da parte dei cittadini residenti all'estero, i quali possono ottenere in modo autonomo e gratuito una serie di certificati on line.

Con l'introduzione del servizio di anagrafe digitale si dovrebbero, nel prossimo futuro, ridurre tempi e code per l'accesso ai comuni da parte dei cittadini che devono chiedere determinati certificati, con un conseguente miglioramento del servizio pubblico. 

Non vi sono, però, solo dei vantaggi dall'introduzione di questa novità nella P.A. e quindi, vediamo quali sono gli aspetti positivi e negativi.

Buca sulla strada? Il prontuario dell'automobilista

La nostra Associazione ha ricevuto, di recente, numerose segnalazioni provenienti da tutta Italia da parte di automobilisti imbattutisi in dissesti stradali.  

Come è tristemente noto, cadere oppure subire un danno al proprio veicolo a causa di buche e, più in generale, di anomalie del manto stradale non è così raro. 

Vediamo, di seguito, il fatto ed alcune soluzioni utili per il consumatore. 

Bolzano: servizi eGov disponibili con il conto digitale

Fonte
Provincia di Bolzano
Comunicato 17/04/2015

"280mila proprietari, 580mila particelle: ecco i numeri del Catasto in Provincia di Bolzano, un servizio che da tempo si è "aperto" al digitale. Ogni mese, infatti, tramite il programma OpenKat, vengono elaborate circa 78mila richieste, mentre ogni anno vengono prodotti 44mila estratti catastali. Nel 2014, per quanto riguarda il catasto fabbricati, 4.500 estratti sono stati ottenuti tramite la Carta Servizi, ma da oggi le procedure saranno ancora più semplici e veloci, oltre ad essere gratuite. Per accedere ai servizi eGov del catasto, infatti, basterà utilizzare lo username e la password del conto digitale del cittadino