Ordinanza ingiunzione o revoca n. 133 del 13/03/2025

Comune di Roccaraso - diffusione illecita online di atti del rapporto di lavoro e mancato riscontro all'interessato

Il provvedimento riguarda il Comune di Roccaraso, destinatario di un reclamo presentato da un dipendente che contestava la pubblicazione sul sito istituzionale di atti amministrativi contenenti dati personali e riferimenti a vicende connesse al rapporto di lavoro. Il Garante ha esaminato sia la diffusione online dei dati, sia la mancata risposta a una richiesta di esercizio dei diritti.

Fatti e origine del procedimento

Il reclamante ha segnalato la presenza, nell'albo pretorio comunale, di deliberazioni e determinazioni recanti nome, cognome, dati anagrafici e riferimenti a vicende lavorative. Sono state indicate anche pubblicazioni in Amministrazione trasparente, con allegati contenenti ulteriori dati personali.

Nel corso dell'istruttoria il Comune ha riferito che la pubblicazione derivava da una prassi del sistema informatico gestito da Halley, che caricava automaticamente gli atti in due sezioni del portale. Dopo la segnalazione, il Comune ha aperto un ticket e il fornitore ha adeguato la piattaforma entro il giorno successivo.

Riscontro all'istanza dell'interessato

L'Autorità ha accertato che, nonostante l'attivazione interna per la cancellazione dei dati, il Comune non ha fornito all'interessato alcun riscontro formale alla richiesta presentata ai sensi degli artt. 15-22 GDPR. Il Garante ha quindi ravvisato la violazione dell'art. 12, par. 3, GDPR, ricordando che il titolare deve comunicare l'azione intrapresa senza ingiustificato ritardo e comunque entro un mese.

Diffusione illecita dei dati personali

Il Garante ha ritenuto che la pubblicazione online degli atti integrasse una diffusione di dati personali del dipendente in assenza di idonea base giuridica. Il Comune non ha dimostrato l'esistenza di una norma che imponesse la pubblicazione dei dati riferiti al contenzioso di lavoro nelle deliberazioni per il conferimento degli incarichi legali.

L'Autorità ha richiamato il principio per cui la diffusione da parte di soggetti pubblici è lecita solo se prevista da una norma di legge o, nei casi consentiti, da regolamento o atto amministrativo generale. Ha inoltre ribadito che la pubblicazione in albo pretorio e quella in amministrazione trasparente perseguono finalità diverse e non possono essere automatizzate senza verifica della specifica base normativa.

Riferimenti normativi e orientamenti richiamati

Il provvedimento richiama, tra gli altri:

• artt. 5, 6, 12, 15-22, 24, 25, 58 e 83 GDPR;
• art. 2-ter del Codice privacy;
• art. 124 del d.lgs. n. 267/2000 e art. 32, comma 1, l. n. 69/2009 sulla pubblicità legale;
• Linee guida del Garante del 15 maggio 2014 sulla trasparenza online e del 14 giugno 2007 sul trattamento dei dati dei lavoratori;
• precedente giurisprudenza amministrativa del Garante in materia di pubblicazione di dati di lavoratori coinvolti in contenziosi con l'ente.

Provvedimenti correttivi adottati

Pur avendo il Comune oscurato nome e cognome del reclamante, il Garante ha rilevato che l'interessato restava comunque identificabile tramite il numero di registro generale del procedimento e l'autorità giudiziaria di riferimento, specie in un contesto territoriale ristretto. Per questo, ai sensi dell'art. 58, par. 2, lett. f), GDPR, ha imposto una limitazione del trattamento, vietando ulteriori diffusioni di dati che consentano, anche indirettamente, l'identificazione del reclamante nelle delibere indicate o in altri atti analoghi.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha applicato una sanzione di euro 2.000,00 per le violazioni degli artt. 5, 6 e 12 GDPR e dell'art. 2-ter del Codice. Nella quantificazione ha considerato:

• la limitata gravità della violazione, anche perché i dati riguardavano il solo reclamante e non erano indicizzati dai motori di ricerca;
• la piccola dimensione del Comune;
• l'errore derivante dall'adozione di un sistema automatico di pubblicazione ritenuto, in buona fede, idoneo a soddisfare obblighi di legge;
• la diffusione di soli dati comuni;
• l'assenza di precedenti pertinenti;
• la cooperazione con l'Autorità e l'adozione di misure correttive e organizzative.

Il Garante ha richiamato anche l'art. 83, par. 3, GDPR, osservando che le violazioni erano frutto di un'unica condotta e che la sanzione rientrava nel massimo edittale previsto dall'art. 83, par. 5, GDPR.

Esito finale e adempimenti

Il Comune di Roccaraso è stato:

• destinatario dell'ingiunzione di pagamento di euro 2.000,00 entro 30 giorni dalla notifica;
• autorizzato, ai sensi dell'art. 166, comma 8, Codice, alla definizione agevolata con pagamento della metà della sanzione nei termini di legge;
• destinatario della pubblicazione dell'ordinanza ingiunzione sul sito del Garante;
• oggetto di annotazione della violazione nel registro interno dell'Autorità.

Avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.