Ordinanza ingiunzione o revoca n. 201 del 26/03/2026

Comune di XX – comunicazione illecita del certificato di malattia del segretario generale

Il Garante ha dichiarato illecito il trattamento effettuato da un Comune che, nell’ambito della richiesta di sostituzione del segretario generale assente per malattia, ha trasmesso alla Prefettura e al segretario generale destinato alla sostituzione la copia integrale del certificato telematico di malattia della reclamante. Il procedimento trae origine da reclamo dell’interessata.

Origine del reclamo e oggetto del trattamento

La reclamante, segretario generale in servizio presso il Comune, ha lamentato due profili:

• la trasmissione, con nota del Comune, della copia integrale del certificato telematico di malattia relativo a un determinato periodo, estratto dalla banca dati INPS, a soggetti che non avrebbero avuto titolo a conoscerlo;
• l’accesso alla nota e all’allegato da parte di personale del protocollo e dell’Ufficio di Segreteria ritenuto non autorizzato.

Esiti dell’istruttoria sull’accesso interno

Nel corso dell’istruttoria il Comune ha chiarito che la comunicazione era avvenuta in urgenza organizzativa e che l’allegazione del certificato era stata un errore materiale. Ha inoltre rappresentato che il dipendente addetto al protocollo e l’Ufficio di Segreteria erano abilitati al trattamento in ragione delle rispettive mansioni e delle scelte organizzative interne.

Il Garante ha condiviso tale impostazione limitatamente all’accesso interno, ritenendo che:

• i soggetti interni coinvolti fossero autorizzati al trattamento ai sensi delle regole organizzative del titolare;
• la mera conoscenza dei dati personali da parte di addetti al protocollo o alla segreteria non integri, di per sé, una violazione, quando necessaria per lo svolgimento delle funzioni attribuite.

Comunicazione esterna e natura dei dati trattati

Diversamente, l’Autorità ha ritenuto illecita la comunicazione esterna alla Prefettura e al segretario sostituto. Il Garante ha ribadito che l’informazione relativa all’assenza dal servizio per malattia costituisce dato personale relativo alla salute, anche in assenza di indicazione della diagnosi, richiamando il proprio orientamento consolidato, la giurisprudenza nazionale e quella della Corte di giustizia.

In questo quadro, il Garante ha osservato che la finalità amministrativa di richiedere la sostituzione del segretario comunale poteva essere perseguita in modo meno invasivo, indicando soltanto:

• l’assenza dal servizio;
• l’arco temporale dell’impedimento.

La trasmissione della copia integrale del certificato è stata quindi considerata eccedente e non necessaria rispetto alla finalità perseguita.

Violazioni accertate e base normativa

L’Autorità ha accertato che il trattamento è stato effettuato in assenza di un idoneo presupposto normativo e in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. Le norme richiamate sono:

• art. 5, par. 1, lett. a) e c), GDPR;
• artt. 6 e 9 GDPR;
• art. 2-ter del Codice privacy.

Il Garante ha ritenuto che la condotta consistesse in una comunicazione illecita di dati relativi alla salute, senza base giuridica idonea, a soggetti esterni all’ente.

Valutazione della gravità e criteri sanzionatori

Nel determinare la sanzione, il Garante ha considerato che la violazione derivava da un’unica condotta collegata. Ha inoltre applicato i criteri dell’art. 83, par. 2, GDPR, valorizzando:

• il carattere isolato dell’episodio;
• la natura colposa dell’errore materiale;
• l’assenza di indicazioni sulla diagnosi, pur trattandosi di dati sanitari;
• le iniziative adottate dal Comune per evitare il ripetersi di eventi analoghi;
• la cooperazione prestata con l’Autorità;
• l’assenza di precedenti pertinenti.

La violazione è stata qualificata di gravità media.

Sanzione, ordine di pagamento e pubblicazione

Il Garante ha applicato una sanzione amministrativa pecuniaria pari a euro 3.000,00 per la violazione degli artt. 5, par. 1, lett. a) e c), 6 e 9 GDPR e dell’art. 2-ter del Codice privacy.

È stato disposto:

• il pagamento della sanzione entro 30 giorni dalla notificazione del provvedimento;
• la possibilità di definire la controversia con pagamento in misura ridotta, pari alla metà della sanzione, entro 30 giorni;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno dell’Autorità.

Esito complessivo

Non sono state adottate ulteriori misure correttive ex art. 58, par. 2, GDPR, poiché la condotta aveva già esaurito i propri effetti. Il provvedimento si chiude dunque con accertamento dell’illiceità del trattamento, irrogazione della sanzione pecuniaria e ordinanza di pubblicazione.