[doc. web n. 9774019]

Parere su istanza di accesso civico - 22 aprile 2022

Registro dei provvedimenti
n. 137 del 22 aprile 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27/4/2016, «relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)» (di seguito “RGPD”);

VISTO l’art. 154, comma 1, lett. g), del Codice in materia di protezione dei dati personali - d. lgs. 30/6/2003, n. 196 (di seguito “Codice”);

VISTO l’art. 5, del d. lgs. n. 33 del 14/3/2013, recante «Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni»;

VISTA la Determinazione n. 1309 del 28/12/2016 dell’Autorità Nazionale Anticorruzione-ANAC, adottata d’intesa con il Garante, intitolata «Linee guida recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico di cui all’art. 5 co. 2 del d.lgs. 33/2013», in G.U. serie generale n. 7 del 10/1/2017 e in http://www.anticorruzione.it/portal/public/classic/AttivitaAutorita/AttiDellAutorita/_Atto?ca=6666 (di seguito “Linee guida dell’ANAC in materia di accesso civico”);

VISTO il provvedimento del Garante n. 521 del 15/12/2016, contenente la citata «Intesa sullo schema delle Linee guida ANAC recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico», in www.gpdp.it, doc. web n. 5860807;

VISTA la richiesta di parere del Responsabile della prevenzione della corruzione e della trasparenza (RPCT) dell’Istituto nazionale previdenza sociale (INPS), presentata ai sensi dell’art. 5, comma 7, del d. lgs. n. 33/2013 recante «Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni»;

CONSIDERATO che il predetto art. 5, comma 7, prevede che il Garante si pronunci entro il termine di dieci giorni dalla richiesta;

RITENUTO che il breve lasso di tempo per rendere il previsto parere non permette allo stato la convocazione in tempo utile del Collegio del Garante;

RITENUTO quindi che ricorrono i presupposti per l’applicazione dell’art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante, nella parte in cui è previsto che «Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il presidente può adottare i provvedimenti di competenza dell’organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno» (in www.gpdp.it, doc. web, n. 1098801);

Vista la documentazione in atti;

PREMESSO

Con la nota in atti il Responsabile della prevenzione della corruzione e della trasparenza (RPCT) dell’Istituto nazionale previdenza sociale (INPS), per il tramite del Responsabile della protezione dei dati dell’INPS, ha chiesto al Garante il parere previsto dall’art. 5, comma 7, del d. lgs. n. 33/2013, nell’ambito del procedimento relativo a una richiesta di riesame su un provvedimento di diniego di un accesso civico.

Dall’istruttoria emerge che è stata presentata una richiesta di accesso civico da parte di un’Associazione identificata in atti – ai sensi dell’art. 5 comma 2, del d. lgs. n. 33/2013 – avente a oggetto la copia degli elenchi, in possesso dell’INPS, dei soggetti sottoposti a visita per il riconoscimento della cecità civile, con indicazione dei relativi nominativi e indirizzi.

L’amministrazione ha rifiutato l’accesso civico alla luce del limite derivante dalla tutela della protezione di dati personali – anche considerando che i dati richiesti, essendo relativi alla salute, rientrano fra le categorie particolari di dati di cui all’art. 9 del RGPD – e della disposizione contenuta nell’art. 11, comma 8, della legge n. 382 del 27/5/1970, che non comprende l’Associazione istante fra i soggetti a cui possono essere trasmessi gli elenchi domandati.

L’Associazione richiedente l’accesso civico ha, quindi, presentato una richiesta di riesame del provvedimento di diniego al RPCT dell’INPS (art. 5, comma 7, del d. lgs. n. 33/2013), ritenendo il rifiuto opposto non corretto e insistendo nelle proprie richieste. In particolare, ha chiesto all’INPS di rivedere la propria decisione e di accordare l’accesso in applicazione delle disposizioni contenute nell’art. 9, par. 2, lett. g), del RGPD, considerando che essa è un’Associazione che persegue interessi pubblici rilevanti e tutela diritti fondamentali garantiti dalla Costituzione.

L’Associazione istante ha ritenuto, inoltre, discriminate nei suoi confronti l’applicazione, da parte degli uffici dell’INPS preposti, del citato art. 11, comma 8, della l. n. 382/1970 (e della possibilità di comunicare i dati personali richiesti) a favore dei soli soggetti ivi indicati fra cui essa non è compresa.

OSSERVA

1. Il quadro normativo

Ai sensi della normativa di settore, «chiunque ha diritto di accedere ai dati e ai documenti detenuti dalle pubbliche amministrazioni, ulteriori rispetto a quelli oggetto di pubblicazione ai sensi del presente decreto, nel rispetto dei limiti relativi alla tutela di interessi giuridicamente rilevanti secondo quanto previsto dall’articolo 5-bis» (art. 5, comma 2, d. lgs. n. 33/2013).

In relazione ai profili di competenza di questa Autorità, si evidenzia, che il citato art. 5-bis prevede che l’accesso civico generalizzato è “escluso”, nei «casi di divieti di accesso o divulgazione previsti dalla legge» (art. 5-bis, comma 3) e che è “rifiutato”, fra l’altro, «se il diniego è necessario per evitare un pregiudizio concreto alla tutela [della] protezione dei dati personali, in conformità con la disciplina legislativa in materia» (comma 2, lett. a).

In tale quadro, si precisa che per dato personale si intende «qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»)» (art. 4, par. 1, n. 1, RGPD) e che il RGPD definisce i «dati relativi alla salute» come i «dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute» (art. 4, par. 1, n. 15; considerando n. 35).

I dati relativi alla salute rientrano nelle «categorie particolari di dati personali», per i quali è previsto un divieto di trattamento dall’art. 9 del RGPD, a meno che non trovi applicazione uno dei casi descritti nelle lettere da a) a j) del comma 2 del medesimo articolo.

Inoltre, data la delicatezza dei predetti dati, il regolamento europeo prevede che gli Stati membri possono accordare ulteriori garanzie e «mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di […] dati relativi alla salute» (ivi, comma 4).

In tale contesto normativo – anche a tutela dei singoli e nel «rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona» (art. 1, comma 1, del Codice) – il legislatore italiano ha mantenuto il “divieto di diffusione” dei “dati relativi alla salute”, ossia la norma che vieta la possibilità di darne «conoscenza […] a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione» (art. 2-septies, comma 8; art. 2-ter, comma 4, lett. b, del Codice). Il medesimo divieto è peraltro richiamato dalla disciplina statale in materia di trasparenza, nella parte in cui prevede che «Restano fermi i limiti […] alla diffusione dei dati idonei a rivelare lo stato di salute […]» (art. 7-bis, comma 6, d. lgs. n. 33/2013).

L’attuazione delle disposizioni citate ha conseguenze anche sulla disciplina dell’accesso civico e sulle valutazioni che l’amministrazione deve effettuare in via preliminare nel momento in cui riceve un’istanza che ha a oggetto dati relativi alla salute. Essa, infatti, deve in primo luogo, verificare la sussistenza di eventuali divieti divulgazione previsti dalla legge alla luce dei quali è tenuta a “escludere” l’accesso civico, senza necessità di effettuare ulteriori valutazioni ai sensi del ricordato art. 5-bis, comma 3, del d. lgs. n. 33/2013.

Quanto riportato è rafforzato dalle Linee guida dell’Anac in materia di accesso civico nella parte relativa alle «Eccezioni assolute» all’accesso civico, dove è indicato che «Nella valutazione dell’istanza di accesso, l’amministrazione deve […] verificare che la richiesta non riguardi atti, documenti o informazioni sottratte alla possibilità di ostensione o ad accesso “condizionato” in quanto ricadenti in una delle fattispecie indicate nell’art. 5-bis co. 3» (par. 6). Nello specifico, nel par. 6.2., intitolato «Altri casi di segreto o di divieto di divulgazione», è precisato che «[…] alcuni divieti di divulgazione sono previsti dalla normativa vigente in materia di tutela della riservatezza con riferimento a: dati idonei a rivelare lo stato di salute, ossia a qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici (art. 22, comma 8, del Codice [oggi art. 2-septies, comma 8]; art. 7-bis, comma 6, d. lgs. n. 33/2013)»

2. Il caso sottoposto all’attenzione del Garante

La questione sottoposta all’attenzione del Garante riguarda l’ostensione, tramite l’istituto dell’accesso civico generalizzato di nominativi e indirizzi contenuti in tutti gli elenchi detenuti dall’INPS riferiti a soggetti sottoposti a visita per il riconoscimento della cecità civile.

Tali dati e le informazioni personali riguardano soggetti identificati che hanno chiesto all’ente pubblico a ciò preposto il riconoscimento della cecità civile sottoponendosi ad apposita visita medica, e sono riferibili – come evidenziato anche dal RPCT dell’INPS nella richiesta di parere al Garante – a «qualificazioni sanitarie che determinano il riconoscimento dello status di soggetto invalido civile». Per tale motivo, i dati richiesti tramite l’accesso civico sono indubbiamente dati relativi alla salute, in quanto ricadenti nella definizione del regolamento europeo prima riportata (art. 4, par. 1, n. 15; considerando n. 35, RGPD). Ciò anche considerando che si tratta di informazioni «da cui si può desumere, anche indirettamente, lo stato di malattia, l’esistenza di una patologia oppure una condizione di invalidità, disabilità o handicap di una persona» (cfr., in proposito, Linee guida dell’ANAC, cit.; e i numerosi provvedimenti del Garante in materia quali, ex plurimis, n. 316 del 21/7/2016, doc. web n. 5440792; n. 290 del 6/7/2016, doc. web n. 5432325; n. 244 dell’1/6/2016, doc. web n. 5260571; n. 106 del 10/3/2016, doc. web n. 4916900; «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati», del 15/5/2014 n. 243, in G.U. n. 134 del 12/6/2014 e in www.gpdp.it, doc. web n. 3134436, parte prima, parr. 2 e 9.e. e parte seconda, par. 1).

Alla luce di tali considerazioni – conformemente ai precedenti orientamenti del Garante in materia di accesso civico a dati sulla salute (cfr. i pareri contenuti nei provvedimenti n. 157 del 23/4/2021, in www.gpdp.it, doc. web n. 9582723; n. 188 del 10/4/2017, ivi, doc. web n. 6383249; n. 206 del 27/4/2017, ivi, doc. web n. 6388689; n. 98 del 22/2/2018, ivi, doc. web n. 8165944; n. 226 del 16/4/2018, ivi, doc. web n. 8983848; n. 2 del 10/1/2019, ivi, doc. web n. 9084520) – si ritiene che, ai sensi della normativa vigente e delle indicazioni contenute nelle Linee guida dell’ANAC in materia di accesso civico, l’INPS abbia correttamente respinto l’accesso civico ai documenti richiesti.

La richiesta di accesso civico generalizzato sugli elenchi detenuti dall’INPS contenenti dati relativi alla salute dei soggetti interessati – presentata ai sensi dell’art. 5, comma 2, d. lgs. n. 33/2013 – ha a oggetto dati personali per i quali è previsto un esplicito divieto di divulgazione dalla disciplina vigente (art. 2-septies, comma 8; del Codice; art. 7-bis, comma 6, del d. lgs. n. 33/2013). Di conseguenza, l’accesso civico generalizzato è “escluso” direttamente dal legislatore secondo la disposizione contenuta nell’art. 5-bis, comma 3, del d. lgs. n. 33/2013, ossia tramite «una norma di rango primario a tutela di interessi pubblici e privati fondamentali» (cfr. Linee guida dell’ANAC in materia di accesso civico, cit., par. 6). Pertanto, trattandosi di un «eccezione assoluta», l’amministrazione «è tenuta a rifiutare l’accesso» (ivi), senza necessità di dover svolgere ulteriori valutazioni di merito in ordine alla sussistenza di un eventuale pregiudizio concreto agli interessi dei soggetti interessati.

A ciò si aggiunge che – in base a quanto previsto dall’art. 3, comma 1, del d. lgs. n. 33/2013 – «Tutti i documenti, le informazioni e i dati oggetto di accesso civico […] sono pubblici e chiunque ha diritto di conoscerli, di fruirne gratuitamente, e di utilizzarli e riutilizzarli ai sensi dell’articolo 7», sebbene il loro ulteriore trattamento vada effettuato nel rispetto dei limiti derivanti dalla normativa in materia di trattamento dei dati personali.

Questo regime di pubblicità non è in ogni caso compatibile con le ricordate garanzie, previste dalla normativa in materia di protezione dei dati personali, per il trattamento di dati personali relativi alla salute di soggetti sottoposti a visita per il riconoscimento della cecità civile. Tali dati – sui cui i soggetti interessati hanno ragionevoli aspettative di confidenzialità – non possono infatti assumere la qualifica di “dato pubblico”, conoscibile da chiunque, attraverso lo strumento dell’accesso civico generalizzato (art. 2-septies, comma 8, del Codice; cfr. al riguardo parere del Garante n. 188/2017, cit.). Bisogna tenere anche conto che l’INPS è tenuto al rispetto dei principi di «limitazione della finalità» e di «minimizzazione dei dati», in base ai quali i dati personali devono essere «raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità», nonché «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (art. 5, par. 1, lett. b e c, del RGPD).

Alla luce dell’insieme degli elementi che contribuiscono a formare il quadro normativo descritto, non è possibile applicare l’art. 9, par. 2, lett. g), del RGPD – come interpretato nella richiesta di riesame dal soggetto istante – per accordare l’accesso civico a dati relativi alla salute, in quanto la lettura fornita non è conforme alla disposizione ivi contenuta. Con il citato articolo, infatti, il regolamento europeo consente il trattamento di categorie particolari di dati personali quando è «necessario per motivi di interesse pubblico rilevante», ma a condizione che ciò avvenga «sulla base», ossia su “previsione”, «del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato». Tale requisito manca invece nel caso in esame e il trattamento richiesto – ossia l’ostensione di dati relativi alla salute tramite l’istituto dell’accesso civico generalizzato a cui consegue il particolare regime di pubblicità previsto dall’art. 3, comma 1, del d. lgs. n. 33/2013 – è anzi vietato dalla disciplina di settore (artt. 4, par. 1, n. 15; 9, par. 4, RGPD; 2-septies, comma 8, del Codice).

Nella richiesta di riesame, l’Associazione istante ha infine criticato l’interpretazione dell’INPS – ritenuta discriminante nei propri confronti – secondo la quale è possibile comunicare «l’elenco dei nominativi dei ciechi civili» soltanto al soggetto indicato nel citato art. 11, comma 8, della l. n. 382/1970.

Al riguardo, tuttavia, si ritengono condivisibili le osservazioni del RPCT dell’INPS contenute nella richiesta di parere al Garante – rispetto alle quali non sussistono, allo stato degli atti, elementi per potersene discostare – di seguito riportate:

- «specifiche disposizioni normative legittimano il trattamento da parte dell’Istituto dei dati personali contenuti negli elenchi dei soggetti sottoposti ad accertamento sanitario, individuando espressamente la tipologia delle informazioni, ovvero il nome, il cognome e l’indirizzo dei soggetti, e le associazioni destinatarie di tali informazioni tra cui non è contemplata l’[Associazione istante] (cfr. l’art. 6, comma 2, legge n. 381 del 1970, che detta la disciplina della trasmissione in favore dell’ENS; l’art. 11, comma 8, legge n. 382 del 1970, che detta la disciplina della trasmissione in favore dell’UIC; l’art. 8, comma 4, legge 118 del 1971, che detta la disciplina della trasmissione in favore dell’ANMIC e l’art. 24, ultimo comma dalla legge 24 novembre 2010, n. 183 che riconferma tali disposizioni prevedendo che: “rimangono fermi gli obblighi previsti dal secondo comma dell’articolo 6 della legge 26 maggio 1970, n. 381, dall’ottavo comma, dell’articolo 11 della legge 27 maggio 1970, n. 382, e dal quarto comma dell’articolo 8 della legge 30 marzo 1971, n. 118 […]”)».

- «La necessità della sussistenza di una norma legittimante della comunicazione effettuata dall’INPS dei dati personali contenuti nei citati elenchi comporta, evidentemente, l’impossibilità di considerare accoglibili gli argomenti addotti dall’istante a sostegno della propria tesi. In particolare si fa riferimento alla contestazione […] della mancata applicabilità da parte dell’Istituto della sopracitata disposizione normativa di cui all’art. 11 comma 8 della legge n. 382/1970 nei confronti dell’[Associazione istante] e della presunta disparità di trattamento tra [l’Associazione istante] e UCI in base al fatto che tali associazioni presentano la stessa natura giuridica di ente morale con personalità giuridica di diritto privato»;

- «Al riguardo, infatti, si evidenzia che il trattamento dei dati ed i possibili accessi sono regolati da specifiche disposizioni normative non suscettibili, per la natura degli interessi coinvolti, di essere interpretate né estensivamente né analogicamente».

TUTTO CIÒ PREMESSO IL GARANTE

esprime parere nei termini suesposti in merito alla richiesta del Responsabile della prevenzione della corruzione e della trasparenza dell’Istituto nazionale previdenza sociale (INPS), ai sensi dell’art. 5, comma 7, del d. lgs. n. 33/2013.

Roma, 22 aprile 2022

IL PRESIDENTE
Stanzione