IL DIRITTO DI ACCESSO
E LA PROTEZIONE DEI
DATI PERSONALI
Legge 241/1990
D. Lgs. n. 196/2003
28 marzo 2007
Dott.ssa Luisa Sarri
Presupposti
o

Finalità: assicurare la trasparenza dell'attività
amministrativa e di favorirne lo svolgimento imparziale",
in attuazione dell’art. 97 della Costituzione, per il quale
la legge assicura "il buon andamento e l'imparzialità
dell'Amministrazione".
Risultato perseguito: diffusa conoscenza dei processi
decisionali, favorendo la partecipazione ed il controllo
degli amministrati sui comportamenti dei soggetti che
agiscono per l'Amministrazione, che sono, pertanto,
stimolati a comportarsi responsabilmente, con
attenzione, diligenza e correttezza e sulla base di
parametri di legalità, con il conseguente svolgimento di
una attività controllabile e, quindi, qualitativamente
migliore.
Natura giuridica
Il diritto di accesso si configura come un diritto soggettivo
perfetto che può essere esercitato da chiunque vi abbia
interesse (soggetto terzo rispetto al procedimento),
indipendentemente da ogni giudizio sull'ammissibilità o
fondatezza della domanda giudiziale eventualmente
proponibile sulla base dei documenti acquisiti mediante
l'accesso.
L’accertamento dell’esistenza del diritto in concreto è
demandato, in prima battuta, all'amministrazione e poi, in
caso di contestazione, al giudice.
(Cons.Stato Sez. VI, 26-04-2005, n. 1896)
Diritto di accesso – soggetti attivi

L. 241/1990
Interessati

D. Lgs. 267/2000
soggetti privati che abbiano
un interesse diretto,
concreto ed attuale
corrispondente ad una
situazione giuridicamente
tutelata e collegata al
documento.
“tutti gli atti
dell'amministrazione
comunale e provinciale sono
pubblici", ad eccezione di
quelli riservati per legge o
dichiarati tali da un atto del
sindaco o del presidente della
Particolare categoria:
provincia allo scopo di
amministratori pubblici;
tutelare la riservatezza delle
associazioni portatrici di
interessi collettivi/diffusi (Cons. persone, dei gruppi o delle
imprese
Stato Sez. VI, 10-02-2006, n.
555)
(art 22 L. n. 241/1990; art. 10 D. Lgs. n. 267/2000)
Diritto di accesso – soggetti passivi
Autorità competente a formare l’atto o che lo
detiene stabilmente e precisamente:
o
o
Soggetti di diritto pubblico
Soggetti di diritto privato limitatamente alla
loro attività di pubblico interesse ( pubbliche
amministrazioni, aziende autonome e speciali,
enti pubblici, gestori di pubblici servizi,
autorità di garanzia e vigilanza).
(artt. 22 e 23 L. n. 241/1990)
Esclusione - differimento
Accesso sempre garantito quando la conoscenza
del documento sia necessaria per curare o
difendere i propri interessi giuridici. Per i dati
idonei a rivelare stato di salute o vita sessuale nei
limiti di cui all’art. 60 D. Lgs. n. 196/2003. Non è
possibile negare l’accesso quando l’interesse può
essere adeguatamente tutelato con il differimento.
(TAR Sicilia Catania Sez. IV, 20-07-2006, n. 1194; Consiglio di
Stato , Quinta Sezione , 1999; Cons. Stato Sez. IV, 30-07-2002, n.
4078 )
Esclusione - differimento



Segreto di stato
Procedimenti
tributari
Procedimenti
selettivi
(informazioni
psicoattitudinali
relative a terzi)

Attività diretta
all’emanazione di
atti normativi,
amministrativi
generali, di
pianificazione e di
programmazione
Esclusione - differimento

a)
b)
c)
d)
e)
Altri casi individuati con regolamento:
atti e documenti che riguardino la vita privata o la
riservatezza di persone fisiche, giuridiche, gruppi,
imprese, associazioni, con particolare riferimento
agli interessi epistolare, socio-sanitario,
professionale, finanziario, industriale e commerciale
atti e documenti relativi a controversie legali
prospetto assenze dei dipendenti e cartellini
marcatempo
dati anagrafici, notizie personali, informazioni su
problemi di handicap, su situazioni finanziarie o in
genere di disagio sociale
atti del procedimento disciplinare, atti di valutazione
del personale (TAR Toscana Sez. II, 18-11-2005, n.
6458 sull’esercizio della professione di giornalista)
Segreto d’ufficio
Il segreto d’ufficio costituisce obbligo
di carattere generale, salvo l'esercizio
del diritto di accesso (art. 15 T.U.
impiegati civili dello stato n. 3/1957 e
art. 326 c.p.)
Soggetti da coinvolgere nel
procedimento

Controinteressati
soggetti, individuati o individuabili, che
dall’esercizio dell’accesso possono vedere
pregiudicato il loro diritto alla riservatezza.
Devono essere coinvolti nel procedimento
attivato dal richiedente l'accesso.
Hanno la possibilità di opporsi alla richiesta.
(art 22 L. n. 241/1990)
Modalità di esercizio
o
o
o
o
o
o
Richiesta motivata all’amministrazione
che ha formato il documento o che lo detiene
stabilmente.
Accesso informale e formale
Avviso ai controinteressati (entro 10 giorni
dal ricevimento opposizione motivata)
Consultazione/copiatura/estrazione di copia
(la p.a. non è tenuta ad elaborare i dati)
Regime fiscale
Entro 30 giorni risposta/decorsi inutilmente
30 giorni rigetto
(art. 25 L. n. 241/1990)
Forme di tutela


Ricorso al TAR entro 30 giorni dalla
decisione o dal diniego tacito
(giurisdizione esclusiva). Il TAR decide
entro 30 giorni dalla scadenza del termine
per il deposito del ricorso e può ordinare
l’esibizione del documento.
Richiesta di riesame al Difensore civico o
alla Commissione per l’accesso (anche in
questo caso successivamente ricorso al
TAR)
(art. 25 L. n. 241/1990)
Obbligo di pubblicazione
La p.a. deve pubblicare:
o direttive, programmi, istruzioni
o circolari
o atti in materia di organizzazione, funzioni,
obiettivi, procedimenti amministrativi
o atti interpretativi di norme giuridiche
Con la pubblicazione integrale l’accesso si
intende realizzato
(art. 26 L. n. 241/1990)
Privacy - definizioni

Dato personale
qualunque
informazione
relativa a persone
fisiche, giuridiche
identificati o
identificabili
Dati sensibili
dati personali idonei a
rivelare l’origine
razziale, etnica, le
convinzioni religiose,
politiche, etc,
l’adesione a partiti o
sindacati, etc, lo stato
di salute e la vita
sessuale (sono una
categoria specifica di
dati personali)

(artt. 4 e 17 D. Lgs. n. 196/2003)
Definizioni (segue)

Dati “intermedi”

dati, non sensibili, il cui
trattamento presenta rischi
per i diritti e le libertà
fondamentali o per la dignità
dell’interessato (il trattamento
è consentito soltanto
adottando le misure
preliminarmente stabilite dal
Garante). (provvedimento del
Garante del 27/10/2005: dati
biometrici e riprese video

presso istituti di credito)
Dati giudiziari
dati idonei a rivelare
provvedimenti in materia di
condanne penali,
procedimenti penali in
corso, la qualità di indagato
o imputato (sono una
categoria specifica di dati
personali)
Trattamento
qualunque operazione
concernente la raccolta, la
conservazione, l’utilizzo,
etc. di dati personali
Definizioni (segue)



Comunicazione
dare conoscenza di dati
personali a soggetti
determinati
Banca dati
qualsiasi complesso
organizzato di dati
personali

Diffusione
dare conoscenza di dati
personali a soggetti
indeterminati
Misure minime
complesso di misure
tecniche, informatiche,
organizzative, etc. che
garantiscono il livello
minimo di protezione
previsto dall’art. 31 del
D. Lgs. n. 196/2003.
Principi generali


Principio di necessità: i dati personali possono
essere utilizzati soltanto quando lo scopo finale
non può essere realizzato utilizzando dati
anonimi o che consentano di identificare
l’interessato solo in caso di necessità
Principio di correttezza e non eccedenza: i dati
personali devono essere esatti, aggiornati,
pertinenti, completi, non eccedenti rispetto allo
scopo e conservati solo per il tempo necessario
(artt. 3 e 11 D. Lgs. n. 196/2003)
Soggetti che effettuano il trattamento



Titolare del trattamento: il soggetto cui competono le
decisioni in materia di finalità e modalità del trattamento.
Responsabile del trattamento: il soggetto preposto dal
titolare al trattamento dei dati (ne ha la responsabilità in
via derivata). La nomina è facoltativa. Possono essere
nominati più responsabili. I compiti sono specificati per
iscritto. Concessionari di servizi pubblici.
Incaricati del trattamento: le persone fisiche autorizzate
dal titolare o dal responsabile a compiere operazioni
specifiche. La designazione deve essere scritta: tuttavia è
tale anche la documentata assegnazione ad un ufficio che
tratta dati personali.
(Art.4 e 28 – 30 D. Lgs. n. 196/2003)
Diritti dell’interessato
L’interessato ha diritto di conoscere l’esistenza del
trattamento, i propri dati, etc., ottenerne l’aggiornamento o la
cancellazione ed opporsi in tutto o in parte ad alcuni tipi di
trattamento (art. 7 d. Lgs n. 196/2003).
La richiesta può essere rivolta senza formalità al titolare ed al
responsabile, anche tramite un incaricato (con raccomandata,
telefax, posta elettronica ed anche oralmente). La richiesta
può essere rinnovata con intervallo non inferiore a 90 giorni.
I dati sono comunicati oralmente, offerti in visione, o inseriti
su supporti cartacei o informatici. E’ possibile soddisfare la
richiesta tramite esibizione o consegna di copia quando
l’estrazione risulta difficoltosa.
La comunicazione non riguarda dati relativi a terzi a meno che
la scomposizione renda incomprensibili i dati dell’interessato.
E’ ammesso un rimborso spese.
(artt. 7 – 10 D. Lgs. n. 196/2003)
Informativa
Può essere scritta o orale.
Deve contenere:
 le finalità e le modalità del trattamento
 l’indicazione della natura obbligatoria o facoltativa del
conferimento dei dati
 le conseguenze del rifiuto di fornirli
 l’indicazione dei soggetti cui i dati vengono comunicati
 l’eventuale diffusione
 l’indicazione dei diritti dell’interessato
 l’indicazione del titolare e del responsabile
 per i soggetti pubblici l’indicazione della normativa che
prevede i compiti in base alla quale è effettuato il
trattamento dei dati sensibili e giudiziari
(artt. 13 e 22 D. Lgs. n. 196/2003)
Regole specifiche per i soggetti
pubblici
o
Principio generale: il trattamento è consentito
soltanto per lo svolgimento di funzioni
istituzionali.
o
Ulteriore regola generale: i soggetti pubblici non
devono richiedere il consenso dell’interessato.
Per l’esercizio dei diritti dell’interessato e per
l’obbligo di informativa si applicano il titolo II e
l’art. 13 del D. Lgs. n. 196/2003.
(Art. 18 D. Lgs. n. 196/2003)
Dati personali “comuni”
Il trattamento è consentito anche in mancanza di una
norma di legge o di regolamento che lo preveda,
sempre che sia svolto per finalità istituzionali.
La comunicazione ad altri soggetti pubblici è ammessa
quando è prevista da una disposizione di legge o di
regolamento. In mancanza è consentita se è necessaria
per lo svolgimento di funzioni istituzionali e previa
comunicazione al Garante. La comunicazione a privati è
ammessa solo se prevista da legge o da regolamento.
La diffusione è ammessa solo se prevista da norma di
legge e di regolamento.
(art. 19 D. Lgs. n. 196/2003)
Dati sensibili e giudiziari
Il trattamento è consentito se:
1)
è autorizzato da una disposizione di legge specifica (che
indichi i dati trattabili, le operazioni eseguibili e le finalità
di rilevante interesse pubblico). Per i dati giudiziari è
possibile il trattamento anche se vi è un espressa
decisione in tal senso del Garante.
2)
è previsto da una disposizione di legge generica (che
indica soltanto le finalità). In questo caso i dati trattati e
le singole operazioni devono essere resi pubblici con
regolamento: in mancanza il trattamento è illegittimo.
(Osservazioni del Garante/schemi di regolamento ANCI).
(artt. 20 e 21 D. Lgs. n. 196/2003)
Dati sensibili e giudiziari
3)
Non è previsto da una espressa
disposizione di legge: il trattamento è
legittimo soltanto se, ad avviso del
Garante, rientra in attività di rilevante
interesse pubblico (la decisione del
Garante è pubblicata in G.U.). Questo
principio non si applica ai dati giudiziari.
Il trattamento in questo caso può iniziare
soltanto dopo la decisione del Garante.
La pubblicità del trattamento deve
avvenire anche in questo caso tramite
regolamento.
(artt. 20 e 21 D. Lgs. n. 196/2003)
Ulteriori principi per il trattamento dei
dati sensibili e giudiziari
Il trattamento è possibile soltanto se i dati sono
indispensabili per lo svolgimento delle finalità
istituzionali (se non è possibile utilizzare dati
anonimi o altri dati personali).
La verifica della indispensabilità deve essere svolta
periodicamente: i dati sensibili eccedenti, non
pertinenti etc. non possono essere utilizzati.
Particolare attenzione deve essere prestata ai dati
non raccolti presso l’interessato.
(art. 22 D. Lgs. n. 196/2003)
Ulteriori principi per il trattamento dei
dati sensibili e giudiziari
I dati gestiti con strumenti elettronici sono trattati
tramite cifratura, codici identificativi, etc., in modo tale
che anche i soggetti autorizzati possano identificare
l’interessato soltanto in caso di necessità.
I dati idonei a rivelare stato di salute e vita sessuale
sono conservati separatamente dagli altri e sono
sottoposti a cifratura o ad altri sistemi analoghi anche
se gestiti senza l’ausilio di strumenti elettronici.
I dati relativi alla salute non possono essere mai diffusi.
(art. 22 D. Lgs. n. 196/2003)
Misure minime di sicurezza
L’adozione delle misure minime
di sicurezza indicate nel Capo II
del D. Lgs. n. 196/2003 e nel
disciplinare tecnico allegato B
del Decreto è obbligatoria.
Trattamenti specifici in ambito
pubblico
Ecco le principali:
1.
Diritto di accesso: si applica la legge n. 241/1990.
Tuttavia, quando il trattamento concerne dati idonei a
rivelare stato di salute o vita sessuale è necessario
confrontare l’interesse che si intende tutelare tramite il
diritto di accesso e l’interesse protetto dalla normativa
sulla privacy. L’accesso è comunque consentito quando
serve per esercitare un diritto della personalità o una
libertà fondamentale (artt. 59 e 60 D. Lgs. n. 196/2003).
2.
Diritti politici e pubblicità dell’attività degli organi: non è
consentita la divulgazione di dati sensibili e giudiziari non
indispensabili. E’ comunque vietata la diffusione di dati
relativi alla salute (art. 61 D. Lgs. n. 196/2003).
Trattamenti specifici in ambito
pubblico (segue)
3.
Attività di controllo e ispettive: art. 67 D. Lgs. n. 196/2003.
4.
Benefici economici ed abilitazioni: la diffusione dei dati è
consentita solo nei casi in cui è indispensabile per garantire la
trasparenza (art. 68 D. Lgs. n. 196/2003).
5.
Finalità in ambito amministrativo e sociale: art. 73 D. Lgs. n.
196/2003.
6.
Stato civile, anagrafi e liste elettorali: art. 62 D. Lgs. n.
196/2003. Caso Laziomatica
7.
Particolari contrassegni: art. 74 D. Lgs. n. 196/2003.
8.
Rapporti di lavoro: art. 112 D. Lgs. n. 196/2003.
Tutela amministrativa
Forme di tutela per l’interessato:


Tutela amministrativa: 1) reclamo: deve essere
circostanziato; 2) segnalazione: nel caso in cui non sia
possibile presentare un reclamo circostanziato.
Tutela alternativa a quella giurisdizionale: ricorso al
Garante: è ammissibile soltanto dopo che l’interessato
ha inviato richiesta al titolare (ai sensi dell’art. 8 c. 1
del D. Lgs. n. 196/2003) e sono trascorsi 15 giorni
senza ricevere risposta oppure il titolare ha risposto
negativamente. La firma deve essere autenticata. Il
Garante invia il ricorso al titolare.
(artt. 141 – 151 D. Lgs. n. 196/2003)
Tutela amministrativa
Il titolare può aderire alla richiesta
dell’interessato.
Nel caso in cui non aderisca, se il Garante
ritiene fondato il ricorso, stabilisce un termine
entro il quale deve cessare il comportamento
illegittimo. La mancata pronuncia del Garante
entro 60 giorni, equivale a rigetto.
Tutela giurisdizionale
In alternativa al ricorso al Garante
l’interessato può presentare ricorso al
Tribunale Civile del luogo ove ha sede il
titolare.
Il ricorso può essere presentato entro 30
giorni anche contro le decisioni del Garante (o
contro il diniego tacito).
Il giudice, se accoglie la domanda contro un
soggetto pubblico, può disporre le misure
necessarie a rendere legittimo il trattamento
e disporre il risarcimento del danno.
(art. 152 D. Lgs. n. 196/2003)
Principali sanzioni


Sanzioni amministrative pecuniarie:violazione delle disposizioni in
materia di: a) informativa; b) mancata risposta a richieste di
informazione o di esibizione di documenti avanzate dal Garante
Sanzioni penali:
a) in particolare nei confronti di chiunque che, per trarre per sé o
per altri un vantaggio o per arrecare un danno, tratta dati in modo
difforme da quanto stabilito per i soggetti pubblici (artt. 18 – 22
D. Lgs. n. 196/2003)
b) nei confronti di chi ometta l’adozione delle misure minime di
sicurezza
c) invia dichiarazioni false al Garante o non osserva un suo
provvedimento.
In ogni caso di responsabilità penale la sentenza di condanna
deve essere pubblicata.
Il risarcimento del danno
Il danno conseguente al trattamento dei
dati personali deve essere risarcito, anche
se i danni sono non patrimoniali.
Spetta al titolare dimostrare di aver
adottato tutte le misure necessarie ad
evitare il danno e di aver agito nell’assoluto
rispetto del D. Lgs. n. 196/2003.
(art. 15 D. Lgs. n. 196/2003)