L’accesso nel GDPR: confronto con le altre forme di accesso

Cos’è l’accesso art. 15 del GDPR

Il diritto ad essere informati e l’accesso alle informazioni sono espressione del principio di trasparenza che pervade l’intero GDPR. Il Titolare, prima di avviare qualsiasi operazione di trattamento sui nostri dati personali ha l’obbligo di fornire al soggetto interessato tutte le informazioni relative al trattamento, necessarie per renderlo consapevole di chi tratta i suoi dati, delle finalità, della liceità, degli ulteriori destinatari, della durata, della presenza di un RPD, dell’esistenza di un processo decisionale automatizzato, dei propri diritti compreso quello di avere accesso ai dati e di potersi rivolgere ad una autorità di controllo. Elementi tutti che ritroviamo elencati alle Sezioni 1 e 2 del Capo III del GDPR dedicati ai “Diritti dell’interessato” laddove si fissa anche in 30 giorni il termine entro il quale il titolare deve fornire risposta alle istanze dei soggetti interessati, salvo motivati casi di particolare complessità.

Le informazioni devono essere facilmente accessibili, concise, di facile comprensione, rese con un linguaggio semplice e chiaro e il titolare deve facilitare l’esercizio dei diritti.

Mettiamo a confronto questo istituto con le altre tipologie di accesso già presenti nel nostro ordinamento, alla ricerca di punti di contatto e sinergie, diverse modalità e finalità.

Cosa dicono le norme

L’accesso documentale: disciplinato dall’art. 22 della legge 7 agosto 1990, n. 241 e s.m.i.[1], consente a chiunque abbia un interesse diretto, concreto e attuale, collegato a una situazione giuridicamente tutelata, di prendere visione di documenti amministrativi o di ottenerne copia. 

L’interesse deve essere collegato al documento specifico richiesto e la richiesta deve essere motivata. 

Il responsabile del procedimento, quindi, per decidere in merito alla richiesta, dovrà compiere una valutazione oggettiva sulla base della situazione di fatto volta a rilevare:

1. l’interesse:
   1. diretto: una connessione evidente tra l’istante e il documento;
   1. concreto: una concreta esigenza di tutela (non astratta né meramente ipotetica);
   1. attuale: il documento abbia riflessi attuali sulla posizione giuridicamente tutelata.
2. la corrispondenza: la connessione con una situazione giuridica che l’ordinamento protegge.

In caso di esito positivo potrà accordare all’istante l’accesso totale anche a quei documenti che dovessero contenere informazioni personali sempre nel rispetto del principio di minimizzazione previsto dal GDPR.

In una situazione di conflitto il diritto di accesso[2] prevale solo “se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi, è di rango almeno pari ai diritti dell’interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale”. In caso di dubbi sulla natura dei dati personali presenti nei documenti, è sempre, almeno opportuno, coinvolgere nel procedimento il RPD.

L’accesso civico: viene introdotto nel nostro ordinamento dall’articolo 5, comma 1 del d.lgs. 14 marzo 2013, n. 33, il Decreto Trasparenza con l’obiettivo di promuovere la partecipazione dei cittadini, favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’uso delle risorse pubbliche, e prevenire la corruzione.

Imperniato sugli obblighi di pubblicazione posti a carico della PA e sulla conseguente legittimazione di ogni cittadino a richiederne l’adempimento, non richiede alcun requisito di qualificazione da parte del richiedente né di motivazione.

L’accesso civico “generalizzato” è previsto al comma 2 dell’art.5 d.lgs 33/2013 (come modificato dal d.lgs. n. 97/2016) con lo specifico scopo “di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche e di promuovere la partecipazione al dibattito pubblico». Garantisce il diritto di chiunque di accedere a dati e documenti detenuti dalle pubbliche amministrazioni, al di là degli obblighi di pubblicazione, senza motivazione alcuna. Richiede una valutazione spesso complessa da parte degli uffici chiamati, di volta in volta, ad operare un bilanciamento tra l’interesse pubblico alla disclosure generalizzata e la tutela di alcune posizioni considerate meritevoli dal nostro ordinamento.

La presenza di controinteressati, che hanno diritto di intervenire nel procedimento, la possibilità di consentire un accesso parziale e, anche in questo caso, il confronto con il RPD rappresentano la strada per consentire all’amministrazione di adottare una decisione sempre adeguatamente motivata, consapevole e rispettosa dei diritti. Soprattutto in conformità alle finalità della base giuridica.

Un caso pratico

A seguito di un’istanza di accesso civico generalizzato un’Università ha inviato al soggetto controinteressato, l’integrale istanza del reclamante, comprensiva di tutti i dati personali, quali il numero di telefono cellulare e l’indirizzo di residenza dello stesso.

Nel corso dell’attività istruttoria, a sua difesa, l’università ha rappresentato che, a suo avviso, non è configurabile alcuna violazione nel merito in quanto:

• l’istanza riportava la dicitura “autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta” senza indicare alcuna limitazione e
• la normativa nazionale dispone l’obbligo di informare della richiesta di accesso i controinteressati; obbligo presente anche nel Regolamento dell’Università.

Il Garante[3], sulla base degli elementi acquisiti nel corso dell’istruttoria, ha disposto l’avvio del procedimento sul presupposto che il trattamento violi i principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati” di cui agli artt. 5, par. 1, lett. a) e c) del Regolamento.

Certamente sulla base di quanto dispone l’art. 5, c.5 del d.lgs. 14 marzo 2013 n. 33 “l’amministrazione cui è indirizzata la richiesta di accesso, se individua soggetti controinteressati, ai sensi dell’articolo 5-bis, comma 2, è tenuta a dare comunicazione agli stessi” ma il Garante rileva come siano stati forniti dati personali, presenti nell’istanza, ma del tutto eccedenti e non necessari rispetto alla finalità del trattamento, almeno in quella fase procedimentale. Ciò determina una aperta violazione dei principi di cui all’art. 5 del GDPR.

Non viene ritenuta esimente, nella valutazione della condotta del titolare, la presenza della dicitura “autorizzo il trattamento dei miei dati personali per le finalità connesse alla richiesta” in quanto, nel caso in esame, è rimessa esclusivamente alla PA la ponderazione dei diversi interessi coinvolti evitando di comunicare dati eccedenti le specifiche finalità.

La Checklist: 3 cose da fare (o non fare) subito

Dallo stesso provvedimento del Garante emergono indicazioni sul corretto comportamento:

• occorre strutturare l’attività di risposta compresa la possibilità, per i casi più delicati di prevedere un team;
• spetta alla Pubblica Amministrazione, in linea generale, nella gestione delle istanze di accesso, un’adeguata ponderazione tra il diritto di accesso e gli altri diritti, fermo restando la stretta necessità di comunicare ai richiedenti l’accesso e ai controinteressati dati eccedenti dei soggetti coinvolti;
• le istanze non vanno trascurate: occorre rispondere sempre nel termine di 30 giorni anche solo per segnalare la presa in carico dell’istanza e motivare il ritardo nella risposta.

Due domande che tutti si fanno

Caso a) “È possibile accedere alle informazioni o chiedere l’elaborazione di dati in possesso di una PA”

La risposta è no. Le informazioni in possesso di una pubblica amministrazione che non abbiano forma di documento amministrativo non sono accessibili. Inoltre, non è possibile chiedere all’amministrazione di elaborare dati in suo possesso, in quanto essa non è tenuta a svolgere tale attività al fine di soddisfare le richieste di accesso.

Caso b) “Sono accessibili tutti i documenti amministrativi”

La risposta è no. Il diritto di accesso è escluso per i documenti coperti da segreto di Stato e nei casi di segreto o di divieto di divulgazione espressamente previsti dalla legge; nei procedimenti tributari; nei confronti dell’attività della pubblica amministrazione diretta all’emanazione di atti normativi, amministrativi generali, di pianificazione e di programmazione; nei procedimenti selettivi, nei confronti dei documenti amministrativi contenenti informazioni di carattere psicoattitudinale relativi a terzi. Inoltre, le singole pubbliche amministrazioni individuano le categorie di documenti da esse formati o comunque rientranti nella loro disponibilità sottratti all’accesso. Anche il Governo può prevedere casi di sottrazione all’accesso di documenti amministrativi. Non sono, comunque, ammissibili istanze di accesso preordinate ad un controllo generalizzato dell’operato delle pubbliche amministrazioni.

La Rubrica “Appunti di privacy: pillole di formazione” – a cura di Patrizia Cardillo, Esperta di Protezione dati personali, in collaborazione con FPA – offre spunti pratici per chi lavora nella PA e si trova ogni giorno a gestire dati e informazioni, dovendo padroneggiare strumenti e normative in costante aggiornamento. Come dice il titolo stesso, si tratta di “pillole di formazione”: uno strumento agile e veloce, con risposte dirette a problemi reali e indicazioni pratiche. Se sei interessato a questi temi segui i nostri canali e scrivici per maggiori informazioni.

[1] Da ultimo modificata con il DL 19/2/29, n.19 convertito, con modificazioni, dalla L. 20 aprile 2026, n. 50.

[2] Cfr.: Art. 60 aggiornato del decreto legislativo 30 giugno 2003, n. 196-Codice in materia di protezione dei dati personali.

[3] Cfr.: Garante, Provvedimento del 28 maggio 2026, n.381