Ordinanza ingiunzione o revoca n. 423 del 17/07/2025

Comune di Tocco da Casauria: diffusione illecita all’albo pretorio online di atti sul rapporto di lavoro del reclamante e sanzione pecuniaria

Il Garante ha esaminato il reclamo presentato dal reclamante nei confronti del Comune di Tocco da Casauria per la pubblicazione, sul sito istituzionale dell’ente, di atti relativi alla sospensione, revoca e cessazione del rapporto di lavoro/incarico del medesimo. Il procedimento ha riguardato la diffusione nella sezione "Albo pretorio" e, successivamente, nell’"Albo pretorio storico" di decreti sindacali e di una determina contenenti dati personali e informazioni attinenti alla vicenda lavorativa.

Origine del procedimento e svolgimento istruttorio

Il reclamo, proposto ai sensi dell’art. 77 GDPR, contestava la pubblicazione di due decreti sindacali e di una determina riguardanti il reclamante, con indicazione del nominativo, della qualifica e di elementi collegati alla cessazione del rapporto con il Comune. Dalla documentazione prodotta emergeva inoltre che la pubblicazione si era protratta oltre il termine di quindici giorni previsto dall’art. 124 del d.lgs. 267/2000.

Nel corso dell’istruttoria il Comune ha sostenuto di aver pubblicato solo i dati strettamente necessari, invocando il principio di minimizzazione e le esigenze di pubblicità legale e trasparenza amministrativa. Ha inoltre affermato che gli atti non erano indicizzabili dai motori di ricerca e che l’albo storico era stato soppresso. In udienza ha ribadito che la pubblicazione era avvenuta in buona fede e che il DPO, successivamente coinvolto, non aveva ravvisato criticità.

Norme applicate e quadro di riferimento

Il Garante ha richiamato la disciplina generale del GDPR e del Codice privacy, sottolineando che ogni trattamento deve essere conforme ai principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR, nonché sorretto da una base giuridica ai sensi dell’art. 6 GDPR e dell’art. 2-ter del Codice.

L’Autorità ha ribadito che la diffusione di dati personali da parte di soggetti pubblici è consentita solo in presenza di una specifica previsione normativa idonea a giustificarla e che non basta il generico richiamo alla pubblicità legale ex art. 124 TUEL, art. 32 l. 69/2009 o alla trasparenza amministrativa ex d.lgs. 33/2013. È stato richiamato anche il principio di accountability, con riferimento agli artt. 5, par. 2, 24 e 25 GDPR, nonché le linee guida del Garante in materia di pubblicità e trasparenza sul web.

Valutazione dell’illiceità della diffusione

Il Garante ha ritenuto illecito il trattamento perché il Comune ha diffuso informazioni riferite al rapporto di lavoro del reclamante senza un’idonea base normativa e in modo non conforme ai principi di minimizzazione e di liceità. In particolare:

• il decreto sindacale che riportava il nominativo dell’interessato e la revoca dell’incarico ha comportato una diffusione di dati personali direttamente identificativi;
• il decreto pubblicato solo con l’oggetto è stato comunque ritenuto idoneo a rendere indirettamente identificabile l’interessato, per effetto del rinvio a un altro atto integralmente pubblicato;
• la determina di presa d’atto delle dimissioni, già dal suo oggetto, conteneva il nominativo e riferimenti alla vicenda lavorativa;
• la permanenza online oltre i 15 giorni ha determinato un’ulteriore diffusione non supportata da base giuridica, anche tramite la sezione "Albo pretorio storico".

L’Autorità ha inoltre osservato che la natura delle informazioni diffuse poteva risultare potenzialmente afflittiva e idonea a ingenerare equivoci sulle cause di cessazione del rapporto di lavoro.

Irrilevanza delle difese del Comune

Non sono state ritenute decisive né l’argomentazione secondo cui gli atti riguardavano l’organizzazione dell’ente, né il richiamo alla successiva pubblicazione in "Amministrazione trasparente". Il Garante ha precisato che anche in tale sede occorre selezionare con attenzione i dati da pubblicare secondo la normativa di settore, senza automatismi e senza eccedere rispetto alle finalità perseguite.

Parimenti, è stata esclusa la configurabilità dell’errore scusabile: la buona fede invocata dal Comune non è stata considerata sufficiente, poiché l’ente avrebbe potuto e dovuto conformarsi alle indicazioni già fornite dal Garante in materia di pubblicazione online di dati personali.

Sanzione amministrativa pecuniaria

Poiché la violazione è derivata da un’unica condotta o da trattamenti tra loro collegati, il Garante ha applicato l’art. 83, par. 3, GDPR. Le violazioni degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice sono state ricondotte all’art. 83, par. 5, GDPR, con massimo edittale fino a 20 milioni di euro.

Nella quantificazione della sanzione, l’Autorità ha considerato:

• il coinvolgimento di un solo interessato;
• l’assenza di dati particolari ex art. 9 GDPR o di dati relativi a condanne penali o reati;
• la natura colposa della condotta;
• la parziale minimizzazione già adottata dal Comune;
• le misure attenuative dichiarate, tra cui la non indicizzazione degli atti e la soppressione dell’albo storico;
• l’assenza di precedenti pertinenti;
• il contesto organizzativo complesso.

All’esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 2.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo e conseguenze operative

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Comune di Tocco da Casauria per violazione degli artt. 5, par. 1, lett. a) e c), e 6 GDPR, nonché dell’art. 2-ter, commi 1 e 3, del Codice.

Ha quindi ordinato al Comune il pagamento della sanzione di euro 2.000, con possibilità di definizione agevolata mediante pagamento in misura ridotta ai sensi dell’art. 166, comma 8, del Codice entro 30 giorni. In caso di mancata definizione, il pagamento dovrà avvenire entro 30 giorni dalla notificazione del provvedimento.

Poiché gli atti non erano più consultabili online al momento della decisione, il Garante ha escluso ulteriori misure correttive ex art. 58, par. 2, GDPR per i trattamenti esaminati, ma ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito dell’Autorità e l’annotazione nel registro interno. È inoltre richiamata la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.