Ordinanza ingiunzione o revoca n. 384 del 28/05/2026

Regione Autonoma della Sardegna: comunicazione illecita di dati di una ex dipendente e sanzione amministrativa

Il provvedimento trae origine da un reclamo presentato da una ex dipendente della Regione Autonoma della Sardegna, che lamentava la circolazione indebita di informazioni relative al proprio rapporto di lavoro. Il Garante ha distinto tra la trasmissione interna di una nota disciplinare, ritenuta lecita perché indirizzata a soggetti effettivamente legittimati, e l’invio a una diversa amministrazione di una nota di riscontro a un’istanza di accesso agli atti con allegata la scheda di valutazione della performance, ritenuto invece illecito.

Fatti e svolgimento del procedimento

La reclamante contestava, da un lato, che una nota relativa all’irrogazione di una sanzione disciplinare fosse stata trasmessa a uffici interni regionali che non avrebbero dovuto conoscerne il contenuto e, dall’altro, che la risposta a una sua istanza di accesso agli atti fosse stata inviata anche all’amministrazione presso cui aveva recentemente preso servizio, rendendo così conoscibile la documentazione relativa alla sua performance nel precedente impiego.

Nel corso dell’istruttoria, la Regione ha sostenuto che ciascuna Direzione generale rispondesse per la propria competenza, richiamando l’assetto organizzativo e i poteri delegati ai Direttori generali. Ha spiegato che la nota disciplinare era stata trasmessa ai soli uffici necessari per gli adempimenti conseguenti, mentre l’invio alla nuova amministrazione sarebbe stato effettuato per errore e al solo fine di avere certezza della ricezione da parte dell’interessata. La Regione ha inoltre richiamato presidi tecnici di riservatezza presenti nel sistema di gestione documentale.

Quadro normativo richiamato

Il Garante ha ribadito che, in ambito lavorativo, i dati personali devono essere accessibili solo ai soggetti che ne abbiano effettiva necessità in ragione delle mansioni e del ruolo ricoperto nell’organizzazione del titolare. A tal fine ha richiamato gli artt. 4, n. 10, 28, par. 3, lett. b), 29 e 32, par. 4, GDPR, nonché l’art. 2-quaterdecies del Codice privacy. Ha inoltre ricordato che la messa a disposizione dei dati a soggetti interni non autorizzati può integrare una comunicazione illecita, in assenza di idonea base giuridica ai sensi dell’art. 2-ter del Codice.

Sono state richiamate anche le linee guida del Garante del 14 giugno 2007 sul trattamento dei dati dei lavoratori nel pubblico impiego, in particolare l’indicazione secondo cui il datore di lavoro deve adottare cautele nelle trasmissioni di informazioni personali tra uffici e preferire forme di comunicazione individualizzata con il lavoratore.

Valutazione della nota disciplinare

In relazione alla trasmissione della nota disciplinare, l’Autorità ha ritenuto che i destinatari individuati dalla Regione fossero effettivamente autorizzati a trattare i dati, alla luce delle funzioni concretamente svolte e dell’assetto organizzativo vigente. La Direzione del personale e gli altri uffici coinvolti erano infatti chiamati a svolgere adempimenti connessi all’esecuzione della sanzione, al prelievo in busta paga, ai riflessi economici e previdenziali e alle attività di supporto al Direttore generale. Per questo profilo il Garante ha escluso la violazione.

Comunicazione illecita della scheda di valutazione della performance

Diversa è stata la valutazione sulla trasmissione della nota di riscontro all’istanza di accesso con allegata la scheda di valutazione della performance della reclamante. Il documento è stato inviato all’amministrazione presso cui l’interessata aveva appena iniziato a lavorare, senza che vi fossero specifici motivi per renderlo noto a quel soggetto. Il Garante ha quindi qualificato l’episodio come comunicazione di dati personali a un terzo non autorizzato.

L’Autorità ha ritenuto irrilevanti, ai fini dell’esclusione della responsabilità, alcuni elementi addotti dalla Regione: la dicitura 'riservato personale', l’esistenza di un sistema documentale con accessi limitati e il successivo contatto con l’amministrazione destinataria per cercare di contenere la circolazione del documento. Ha precisato che la disciplina privacy opera in un’ottica di prevenzione del rischio e che l’assenza di un danno concreto all’interessata non fa venir meno la violazione.

Violazioni accertate

Il Garante ha concluso che la Regione ha effettuato il trattamento in modo non conforme ai principi di liceità, correttezza e trasparenza e senza base giuridica, con violazione di:

• art. 5, par. 1, lett. a), GDPR;
• art. 6 GDPR;
• art. 2-ter del Codice privacy.

Ha ritenuto che la violazione derivasse da un’unica condotta o da trattamenti tra loro collegati.

Sanzione amministrativa e criteri di quantificazione

Ai fini della quantificazione della sanzione, il Garante ha applicato l’art. 83 GDPR, richiamando in particolare:

• il carattere colposo dell’errore, definito isolato;
• il fatto che la comunicazione abbia riguardato dati sul rendimento lavorativo e non categorie particolari di dati;
• il discreto grado di cooperazione del titolare nel corso dell’istruttoria;
• l’assenza di precedenti pertinenti;
• il basso livello di gravità della violazione.

Pur in presenza di una violazione astrattamente rientrante nell’art. 83, par. 5, GDPR, il Garante ha determinato la sanzione in euro 3.000,00, ritenendola effettiva, proporzionata e dissuasiva.

Misure ulteriori e pubblicazione

Non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta aveva ormai esaurito i propri effetti. Il Garante ha però disposto la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale dell’Autorità, oltre alla pubblicazione del provvedimento e all’annotazione delle violazioni nel registro interno.

Dispositivo

Con il dispositivo finale, il Garante:

• ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy;
• ha ordinato alla Regione Autonoma della Sardegna il pagamento di euro 3.000,00;
• ha ricordato la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni;
• ha previsto, in difetto di pagamento, l’ingiunzione alla corresponsione della somma dovuta entro 30 giorni dalla notifica;
• ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito dell’Autorità.

Avverso il provvedimento è stato indicato il ricorso all’autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.