Ordinanza ingiunzione o revoca n. 383 del 28/05/2026

Comune di Sciacca - pubblicazione illecita di determina su dimissioni e indennità di preavviso

Il Garante per la protezione dei dati personali ha sanzionato il Comune di Sciacca per la diffusione sul sito istituzionale di una determina dirigenziale relativa alle dimissioni volontarie di un dipendente e alla quantificazione dell’indennità sostitutiva di preavviso. Il procedimento è stato avviato a seguito del reclamo dell’interessato e si è concluso con l’accertamento dell’illiceità del trattamento e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

L’interessato, che aveva prestato attività lavorativa presso il Comune, ha lamentato la pubblicazione online dell’atto contenente i propri dati personali. In sede istruttoria, il Comune ha rappresentato che la determina era stata pubblicata in ossequio a presunti obblighi di pubblicità previsti dalla normativa regionale siciliana e che la pubblicazione all’albo pretorio era durata 15 giorni, mentre quella in amministrazione trasparente sarebbe dovuta permanere per 5 anni.

L’Ufficio del Garante ha quindi avviato il procedimento notificando al Comune l’ipotesi di violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), GDPR e dell’art. 2-ter del Codice privacy, invitando il titolare a presentare difese. Il Comune ha depositato memoria difensiva, dichiarando tra l’altro che la determina era stata poi oscurata e che la pubblicazione era avvenuta tramite automatismi quotidiani, non con intento volontario di diffusione indebita.

Trattamento esaminato

Il trattamento scrutinato riguardava la diffusione online di una determina dirigenziale avente ad oggetto la presa d’atto delle dimissioni volontarie di un dipendente e la quantificazione dell’indennità sostitutiva di preavviso. Il Garante ha rilevato che il documento conteneva dati personali dell’interessato e che la sua pubblicazione sul sito istituzionale ne determinava la diffusione a una platea indeterminata di soggetti.

Il Collegio ha osservato che anche l’oggetto dell’atto, nel quale era nominativamente identificato il dipendente, costituiva parte integrante della determina e rendeva il soggetto direttamente riconoscibile. Pertanto, l’oscuramento della sola data e del luogo di nascita non era sufficiente a escludere la divulgazione dei dati personali.

Normativa applicabile e principi richiamati

Il provvedimento richiama la disciplina generale del GDPR e del Codice privacy, evidenziando che i trattamenti di dati personali in ambito pubblico devono trovare base nel diritto dell’Unione o dello Stato membro e perseguire una finalità di interesse pubblico proporzionata e necessaria. In particolare, sono richiamati:

• art. 4, par. 1, n. 1 GDPR, sulla nozione di dato personale;
• art. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, par. 1, lett. c) ed e), e par. 2 e 3, GDPR;
• art. 2-ter del Codice privacy;
• art. 88 GDPR, in relazione al trattamento dei dati dei lavoratori.

Il Garante ha ribadito che la pubblicazione online di atti amministrativi deve essere selettiva e proporzionata, e che le amministrazioni devono verificare caso per caso se sia possibile oscurare le informazioni non necessarie, in linea con le Linee guida del Garante del 15 maggio 2014 in materia di trattamento di dati personali contenuti in atti e documenti amministrativi per finalità di pubblicità e trasparenza sul web.

Valutazione sulla pubblicazione online e sugli obblighi di trasparenza

L’Autorità ha escluso che l’art. 18 L.R. 22/2008, richiamato dal Comune, potesse costituire base giuridica sufficiente per la pubblicazione della determina in questione, osservando che la disposizione invocata contiene solo un riferimento generale al rispetto della normativa privacy e non prevede specificamente la diffusione di atti relativi alle dimissioni di dipendenti e alla quantificazione dell’indennità di preavviso.

Il Garante ha altresì chiarito che gli obblighi di pubblicazione per finalità di trasparenza sono solo quelli espressamente previsti dal d.lgs. 33/2013 e che le pubbliche amministrazioni non possono diffondere dati personali ulteriori in assenza di una specifica previsione di legge o di regolamento. Di conseguenza, è stata esclusa l’applicabilità, nel caso concreto, dell’art. 8, comma 3, del d.lgs. 33/2013 come giustificazione della permanenza quinquennale del documento online.

Quanto all’albo pretorio online, il Garante ha ricordato che anche in presenza di un regime di pubblicità gli enti pubblici devono rispettare i limiti derivanti dalla normativa in materia di protezione dei dati personali, verificando prima di tutto la sussistenza di un’idonea base giuridica per la diffusione. Non opera, quindi, alcun automatismo tra obbligo di pubblicazione e pubblicazione integrale di dati personali.

Illiceità del trattamento accertata

Dall’istruttoria è emerso che la determina era stata pubblicata online dal XX fino ai primi mesi del XX, con successiva rimozione o oscuramento dei dati personali. Il Garante ha qualificato tale condotta come diffusione di dati personali in assenza di idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), GDPR e dell’art. 2-ter del Codice.

Il provvedimento richiama inoltre precedenti in cui il Garante aveva ritenuto illecita la pubblicazione di atti relativi alla gestione o cessazione del rapporto di lavoro quando contenenti dati non necessari, anche se presenti solo nell’oggetto dell’atto.

Sanzione e criteri di quantificazione

Poiché le violazioni derivano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, precisando che tutte le violazioni contestate ricadono nell’ambito dell’art. 83, par. 5. La sanzione massima astrattamente applicabile è stata quindi ricondotta fino a 20 milioni di euro.

Ai fini della quantificazione concreta, l’Autorità ha considerato:

• il coinvolgimento di un solo interessato e la durata limitata della pubblicazione;
• l’assenza di indicizzazione sui motori di ricerca;
• la buona fede del Comune, che aveva agito tramite automatismi ritenendo erroneamente di perseguire finalità di trasparenza;
• la collaborazione prestata nel corso dell’istruttoria;
• l’adozione di iniziative successive, tra cui attività formative con il coinvolgimento del DPO;
• la presenza di una precedente violazione delle medesime disposizioni, seppure in contesti diversi.

Sulla base di tali elementi, il Garante ha determinato la sanzione in euro 6.000, qualificandola come effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Esiti del provvedimento e adempimenti disposti

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Comune e ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 6.000. È stato inoltre ricordato che il contravventore può definire la controversia pagando, entro 30 giorni, la metà della sanzione comminata.

In aggiunta, l’Autorità ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul proprio sito internet, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il provvedimento non ha imposto misure correttive ulteriori, ritenendo esauriti gli effetti della condotta, poiché il Comune aveva già oscurato i dati personali dell’interessato dalla determina pubblicata.

Impugnazioni

Contro il provvedimento è stato indicato il rimedio giurisdizionale ordinario, proponibile ai sensi degli artt. 78 GDPR, 152 del Codice e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni per il ricorrente residente all’estero.