Prescrizioni del Garante n. 71 del 12/02/2026

ASL Verbano Cusio Ossola: comunicazione illecita al creditore procedente di dati sul nuovo impiego del dipendente

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato nei confronti dell’Azienda Sanitaria Locale Verbano Cusio Ossola, relativo a una comunicazione effettuata nell’ambito di un pignoramento presso terzi per il recupero di tributi comunali. La ASL, nella dichiarazione ex art. 547 c.p.c., aveva indicato al creditore procedente che il reclamante, tramite mobilità, prestava servizio presso altra amministrazione, identificata quale nuovo datore di lavoro.

Origine del procedimento e fatti contestati

Il reclamo, proposto ai sensi dell’art. 77 GDPR, lamentava che l’informazione sul nuovo rapporto di lavoro fosse stata resa nota al creditore procedente senza una base giuridica idonea. L’ente, in istruttoria, ha spiegato di aver agito nel quadro della riscossione coattiva di tributi comunali, ritenendo la comunicazione coerente con il principio di leale collaborazione tra pubbliche amministrazioni e utile al soddisfacimento delle finalità esecutive.

Difese del titolare

La ASL ha sostenuto che la comunicazione era stata rivolta a un ente pubblico soggetto a segreto d’ufficio e corretta gestione dei dati, e che l’informazione sarebbe comunque stata acquisibile tramite le ordinarie procedure di accesso UNEP. Ha inoltre dichiarato di aver programmato un intervento formativo specifico sul rapporto tra privacy e trasparenza, al fine di prevenire futuri episodi analoghi.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha ricordato che, nel contesto lavorativo, i soggetti pubblici possono trattare i dati dei lavoratori quando ciò sia necessario per la gestione del rapporto di lavoro o per adempiere obblighi di legge, ai sensi degli artt. 6, par. 1, lett. c), e 88 GDPR, nonché quando il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico ex art. 6, parr. 1, lett. e), 2 e 3, GDPR. Tuttavia, la comunicazione di dati personali a terzi da parte di soggetti pubblici è ammessa solo nelle condizioni previste dall’art. 2-ter del Codice privacy.

Insufficienza dell’art. 547 c.p.c. e dei richiami alla cooperazione amministrativa

Il Garante ha osservato che l’art. 547 c.p.c. richiede al terzo pignorato di specificare soltanto di quali cose o somme sia debitore o in possesso e quando debba eseguire pagamento o consegna, oltre a indicare eventuali sequestri o cessioni già notificate o accettate. Non prevede, invece, un obbligo di comunicare al creditore procedente l’esistenza di ulteriori crediti pignorabili o informazioni sul nuovo datore di lavoro dell’esecutato. Neppure i generici principi di trasparenza e cooperazione tra pubbliche amministrazioni sono stati ritenuti sufficienti a fondare la comunicazione, in assenza di una specifica previsione normativa.

Violazione accertata

Secondo il Garante, l’ente ha quindi effettuato una comunicazione di dati personali a un soggetto terzo in assenza di idonea base giuridica, con conseguente violazione:

• dell’art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• dell’art. 6 GDPR, per mancanza di una base giuridica valida;
• dell’art. 2-ter del Codice privacy, per l’assenza di una specifica disposizione che autorizzasse la comunicazione.

Valutazione della gravità e misura adottata

Pur confermando l’illiceità del trattamento, il Garante ha considerato una serie di elementi attenuanti ai sensi dell’art. 83, par. 2, GDPR e del considerando 148:

• episodio isolato riferito a un solo interessato;
• dati non appartenenti a categorie particolari ex art. 9 GDPR;
• condotta colposa, determinata dall’erronea convinzione di agevolare il creditore;
• cooperazione piena con l’Autorità;
• assenza di precedenti violazioni analoghe;
• avvio di formazione interna sul tema.

Sulla base di tali elementi, la violazione è stata qualificata come "violazione minore" e il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR. Ha escluso l’adozione di ulteriori misure correttive, ritenendo che la condotta avesse ormai esaurito i suoi effetti.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla ASL Verbano Cusio Ossola;
• ammonito l’ente quale titolare del trattamento;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• rilevato i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

È stata inoltre richiamata la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni se il ricorrente risiede all’estero.