Ordinanza ingiunzione o revoca n. 426 del 11/06/2026

Città Metropolitana di Sassari: errata configurazione del protocollo informatico e accesso non autorizzato a dati disciplinari

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti della Città Metropolitana di Sassari, subentrata alla Provincia di Sassari, a seguito di una notifica di violazione di dati personali e di un successivo reclamo presentato da una dirigente dell’Ente. Il caso riguarda la scorretta configurazione del sistema di protocollo informatico/documentale, che ha reso accessibili a utenti non autorizzati documenti contenenti dati personali, anche particolarmente delicati.

Fatto e origine del procedimento

Il procedimento trae origine dalla notifica di data breach effettuata il 1° aprile 2025, in cui l’Ente ha rappresentato di aver appreso il 26 marzo 2025 di un possibile accesso non autorizzato, dovuto a cause organizzative, al gestionale di protocollo e documentale residente su server dell’Amministrazione. Il sistema consentiva a circa 30 utenti con privilegi informatici di visualizzare il registro di protocollo e gli allegati alle singole registrazioni.

La violazione è stata riferita a una comunicazione riservata concernente una richiesta di avvio di eventuale procedimento disciplinare nei confronti di un dirigente. La notifica indicava un periodo di accadimento tra il 25 e il 29 marzo 2025 e la possibile lesione della reputazione dell’interessato. In seguito, la Città Metropolitana ha comunicato di aver dato disposizioni al DPO per limitare i privilegi di accesso e riorganizzare le utenze in base agli incarichi.

Parallelamente, una dirigente dell’Ente ha presentato reclamo ai sensi dell’art. 77 GDPR, lamentando che la nota riservata fosse stata protocollata senza i necessari requisiti di riservatezza e che alcuni operatori avessero potuto visionarla e scaricarla.

Istruttoria dell’Autorità

A seguito delle richieste di informazioni formulate ai sensi dell’art. 157 del Codice privacy, l’Ente ha chiarito che la nota oggetto di segnalazione era stata protocollata con piena visibilità del file allegato e risultava consultabile da tutti gli operatori con profilo di autorizzazione di livello 9. Il RPD, in data 28 marzo 2025, aveva impartito disposizioni organizzative e tecniche per eliminare la visibilità indiscriminata dei protocolli riservati, chiedendo che, salvo figure apicali, responsabili dei sistemi o addetti alla protocollazione, le utenze fossero abilitate al livello 5.

Successivamente, il settore interessato aveva richiesto la modifica dei privilegi di accesso e l’Ente aveva adottato disposizioni di servizio per adeguare i profili di autorizzazione. In sede di integrazione istruttoria, la Città Metropolitana ha anche dichiarato di non poter ricostruire con precisione gli specifici soggetti che avevano acceduto al documento, a causa dell’indisponibilità dei backup dei file di log.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha richiamato il quadro normativo applicabile ai trattamenti effettuati da un ente pubblico in ambito lavorativo, evidenziando che il trattamento dei dati dei dipendenti è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Per i dati appartenenti a categorie particolari, il trattamento è consentito solo nei casi previsti dall’art. 9 GDPR e dalla normativa nazionale di attuazione; per i dati relativi a condanne penali e reati valgono le condizioni di cui all’art. 10 GDPR e all’art. 2-octies del Codice.

Il Garante ha sottolineato che la comunicazione di dati personali da parte di soggetti pubblici è ammessa solo alle condizioni di cui all’art. 2-ter del Codice e che, in ogni caso, il titolare deve rispettare i principi di liceità, correttezza, trasparenza, minimizzazione, integrità e riservatezza, nonché il principio di responsabilizzazione e quello di protezione dei dati fin dalla progettazione e per impostazione predefinita (artt. 5 e 25 GDPR).

Violazione accertata: accessibilità indebita tramite protocollo informatico

All’esito dell’istruttoria, il Garante ha accertato che la Città Metropolitana aveva configurato in modo non corretto il proprio protocollo informatico, rendendo accessibili documenti contenenti dati personali a soggetti non autorizzati in ragione del ruolo e delle mansioni svolte. Per la nota specificamente oggetto del reclamo, risultava che il documento fosse visualizzabile da 29 persone fisiche operanti nell’Ente; per 7 di esse era stato erroneamente attribuito un profilo riservato agli operatori dell’ufficio protocollo.

Secondo l’Autorità, fino al 29 marzo 2025 l’Ente non aveva configurato il protocollo in modo coerente con l’effettivo profilo di autorizzazione degli utenti interni. Tale mancata selezione degli accessi ha determinato la conoscibilità di dati da parte di soggetti terzi, cioè non autorizzati al trattamento, con particolare riguardo a dati personali connessi a un’ipotesi disciplinare e, dunque, potenzialmente idonei a incidere sulla reputazione della persona interessata.

Norme violate e rilievi sui dati trattati

Il Garante ha ritenuto che la condotta integrasse la violazione di:

• art. 5, par. 1, lett. a), c) e f), e par. 2, GDPR;
• art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR;
• artt. 9 e 10 GDPR;
• art. 25 GDPR;
• artt. 2-ter, 2-sexies e 2-octies del Codice privacy.

Il provvedimento evidenzia che, nel contesto della gestione del rapporto di lavoro nella pubblica amministrazione, i dati dei dipendenti non possono di regola essere messi a conoscenza di soggetti estranei allo specifico rapporto, salvo che ciò sia necessario per le funzioni attribuite ai singoli incaricati/autorizzati. Il Garante richiama inoltre precedenti casi in materia di gestione documentale e protocolli informatici, nei quali era stata già ravvisata l’illiceità della conoscibilità di dati di dipendenti da parte di colleghi per effetto di una scorretta configurazione dei sistemi.

Conclusioni istruttorie e assenza di ulteriori misure correttive

L’Autorità ha ritenuto che le dichiarazioni difensive dell’Ente, pur considerate, non fossero sufficienti a superare i rilievi e non consentissero l’archiviazione del procedimento. È stato osservato che la violazione era cessata perché la Città Metropolitana aveva proceduto all’azzeramento dei profili e alla successiva riconfigurazione del sistema; per tale ragione il Garante ha escluso l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, individuando la violazione più grave tra quelle contestate e riferendosi al massimo edittale dell’art. 83, par. 5, GDPR, richiamato anche dall’art. 166, comma 2, del Codice.

Nella quantificazione della sanzione sono stati considerati, in particolare:

• la precedente attività di indirizzo del Garante in materia di trattamento dei dati nel rapporto di lavoro;
• l’ampiezza dell’impatto della scorretta configurazione sul protocollo dell’Ente nel suo complesso;
• la natura delicata dei dati coinvolti, inclusi dati relativi a una segnalazione potenzialmente disciplinare;
• il carattere colposo della violazione, dovuto a un errore di configurazione;
• la presenza di dati appartenenti a categorie particolari e di dati relativi a reati;
• la cooperazione dell’Ente nel corso dell’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• il contesto di transizione organizzativa e informatica dalla Provincia alla Città Metropolitana.

Tenuto conto di tali elementi, il Garante ha fissato la sanzione amministrativa pecuniaria in euro 12.000, ritenendola effettiva, proporzionata e dissuasiva.

Dispositivo e pubblicazione

Il Garante ha dichiarato l’illiceità del trattamento e ha ordinato alla Città Metropolitana di Sassari il pagamento della sanzione di euro 12.000. È stato inoltre ricordato che il destinatario può definire la controversia pagando entro 30 giorni la metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice.

Il provvedimento dispone inoltre:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.