Trasparenza amministrativa e protezione dei dati: un finto conflitto
Il provvedimento dell’11 giugno adottato dal Garante per la protezione dei dati personali nei confronti della Città Metropolitana di Sassari a seguito di un data breach originato da una errata gestione dei profili di accesso al protocollo informatico dovrebbe essere letto ben oltre il dato, tutto sommato modesto, della sanzione economica di 12.000 euro.
Il caso nasce da una configurazione inadeguata del sistema documentale che ha consentito a soggetti non autorizzati di visualizzare documenti riservati contenenti anche informazioni relative a possibili profili disciplinari di un dirigente.
Il Garante ha accertato che il protocollo informatico era stato configurato in modo non coerente con i reali profili autorizzativi degli utenti, rendendo accessibili documenti che avrebbero dovuto essere consultabili soltanto da chi ne avesse effettiva necessità per ragioni di servizio.
Ciò che colpisce, tuttavia, è che l’Autorità si sia trovata ancora una volta nella necessità di ribadire principi che dovrebbero essere ormai patrimonio consolidato di ogni amministrazione pubblica: minimizzazione, integrità e riservatezza, accountability e privacy by design e by default.
Il Garante ha infatti ricordato che anche i sistemi di gestione documentale devono essere progettati e configurati in modo da garantire che i dati siano accessibili soltanto ai soggetti che ne hanno effettiva necessità e che, per impostazione predefinita, non siano resi conoscibili a una platea indeterminata di persone.
Il punto è proprio questo: il protocollo informatico rappresenta certamente uno strumento essenziale di trasparenza amministrativa, tracciabilità e garanzia dell’autenticità documentale.
Ma trasparenza non significa accesso indiscriminato.
Ma trasparenza non significa accesso indiscriminato.
Il fatto che un documento transiti attraverso il sistema di protocollo non implica che possa essere liberamente visualizzato da chiunque operi all’interno dell’amministrazione.
Anzi, proprio la natura di questi sistemi richiede una particolare attenzione alla gestione delle autorizzazioni e alla segregazione degli accessi.
La vicenda sassarese dimostra come la cultura della protezione dei dati continui troppo spesso a essere percepita come un adempimento formale anziché come un requisito strutturale dei processi amministrativi e dei sistemi informativi.
Eppure il GDPR, così come la normativa italiana ed europea che lo ha preceduto, insegna da anni che trasparenza amministrativa e tutela dei dati personali non sono valori in conflitto: devono convivere attraverso una corretta applicazione dei principi dell’articolo 5 del Regolamento, attraverso l’accountability e mediante l’adozione di adeguate misure tecniche e organizzative.
La vera lezione del caso Sassari è che la conformità normativa non può dipendere esclusivamente dalla diligenza degli operatori.
Deve essere incorporata nell’architettura stessa dei sistemi documentali.
Se un errore di profilazione consente a decine di utenti di accedere a documenti riservati, il problema non riguarda soltanto le persone, ma anche il modo in cui il sistema è stato progettato e configurato.
La vera lezione: la conformità nell’architettura dei sistemi
Occorre che i principi di data protection siano incorporati direttamente nei sistemi documentali e nei software di protocollo, attraverso automatismi, configurazioni sicure “by default” e modelli autorizzativi coerenti con l’organizzazione dell’ente.
La protezione dei dati deve diventare una caratteristica nativa dell’infrastruttura digitale della PA, non un correttivo successivo affidato al buon cuore di dirigenti più o meno attenti.
Se nel 2026 continuiamo a scoprire che dati disciplinari, particolari o comunque da ritenere riservati possono diventare accessibili per effetto semplicemente di configurazioni sbagliate, il problema non è il GDPR.
Finché la protezione dei dati resterà un tema da DPO anziché un requisito progettuale dei sistemi pubblici, continueremo a scambiare per incidenti quelli che in realtà sono difetti strutturali di governance digitale.
