Prescrizioni del Garante n. 37 del 29/01/2026

Comune di Mirabella Eclano: diffusione online indebita di dati personali in atti amministrativi e riscontro tardivo a istanza ex artt. 15 ss. GDPR

Il provvedimento riguarda il Comune di Mirabella Eclano, destinatario di un reclamo per la pubblicazione sul sito istituzionale di dati personali contenuti in una delibera di giunta e nel relativo verbale di conciliazione, nonché per il ritardo nel riscontro a una richiesta di esercizio dei diritti dell’interessato. L’Autorità conclude per l’illiceità della condotta, ma applica un ammonimento invece della sanzione pecuniaria.

Origine del reclamo e fatti accertati

Il procedimento origina da un reclamo presentato dall’interessato, che aveva chiesto al Comune la limitazione del trattamento dei propri dati personali, lamentando che i suoi dati anagrafici fossero pubblicati in chiaro sia nella deliberazione della Giunta comunale sia nel verbale di conciliazione allegato, entrambi resi disponibili online. La documentazione agli atti mostra che la delibera aveva ad oggetto un giudizio innanzi al Tribunale e l’approvazione del verbale di conciliazione, con diffusione di dati identificativi dell’interessato, tra cui nominativo e codice fiscale, oltre a informazioni sul contenzioso e sugli importi riconosciuti dall’ente.

Successivamente, il reclamante ha prodotto ulteriore documentazione dalla quale risultava che il Comune aveva poi oscurato le generalità dell’interessato dalla delibera e rimosso il verbale allegato. Il reclamante ha però contestato la permanenza online dei dati per un periodo ritenuto eccessivo e la tardività della rimozione.

Quadro normativo richiamato

Il Garante richiama anzitutto la nozione di dato personale ex art. 4, par. 1, n. 1, GDPR, nonché la disciplina applicabile ai soggetti pubblici in materia di diffusione dei dati, consentita solo nei casi previsti dall’art. 2-ter del Codice privacy e nel rispetto dei principi di cui all’art. 5 GDPR.

Sono richiamati in particolare:

• il principio di limitazione della finalità, art. 5, par. 1, lett. b), GDPR;
• il principio di minimizzazione dei dati, art. 5, par. 1, lett. c), GDPR;
• l’obbligo di protezione dei dati fin dalla progettazione e per impostazione predefinita, art. 25, parr. 1 e 2, GDPR;
• il principio di responsabilizzazione, artt. 5, par. 2, e 24, GDPR;
• il diritto alla limitazione del trattamento e il diritto di opposizione, artt. 18 e 21 GDPR;
• l’obbligo di fornire riscontro alle richieste dell’interessato entro un mese, art. 12, parr. 1, 3 e 4, GDPR.

Sono inoltre citate le Linee guida del Garante del 15 maggio 2014 sulla pubblicità e trasparenza online degli atti amministrativi e alcuni precedenti dell’Autorità, dai quali emerge che, per la pubblicazione di delibere concernenti procedimenti giudiziari, è normalmente sproporzionata la diffusione del nominativo della parte in causa, essendo sufficienti gli elementi essenziali della vicenda o il numero di ruolo generale.

Valutazioni difensive del Comune

Il Comune ha ammesso che la delibera è stata pubblicata all’albo pretorio online e poi trasferita, per automatismo del gestionale, nella sezione "Amministrazione Trasparente". Ha riferito di avere coinvolto il DPO e di avere poi oscurato i dati dell’interessato e rimosso l’allegato con il verbale di conciliazione.

L’ente ha qualificato l’accaduto come episodico e non intenzionale, attribuendolo a un’erronea interpretazione della disciplina di settore e alla scarsità di personale preposto alla pubblicazione degli atti. Ha inoltre dichiarato di aver adottato misure correttive interne, tra cui la revisione delle procedure di pubblicazione e il rafforzamento dei controlli pre-pubblicazione.

Esito dell’istruttoria e violazioni rilevate

All’esito dell’istruttoria, il Garante conferma che il Comune ha diffuso dati personali senza adottare misure tecniche e organizzative adeguate e in modo non conforme ai principi di minimizzazione e limitazione della finalità. La pubblicazione online dei dati nell’ambito dell’amministrazione trasparente è stata ritenuta eccedente rispetto alle finalità di pubblicità e trasparenza perseguite.

Inoltre, il Comune ha fornito riscontro all’istanza dell’interessato soltanto oltre il termine di 30 giorni previsto dall’art. 12 GDPR, integrando una violazione degli obblighi di tempestiva risposta. Il Garante evidenzia che l’istruttoria e il successivo oscuramento non eliminano la violazione già consumata.

Valutazione sulla gravità e scelta dell’ammissibile risposta sanzionatoria

Pur confermando l’illiceità della condotta, l’Autorità valorizza una serie di elementi attenuanti:

• il Comune è un ente di medie dimensioni, con personale limitato;
• i dati diffusi non appartenevano a categorie particolari né riguardavano condanne penali o reati;
• la violazione è stata considerata di natura colposa e non intenzionale;
• la condotta è cessata prima dell’apertura dell’istruttoria, dopo interlocuzioni con il DPO;
• non risultano precedenti violazioni pertinenti;
• il Comune ha dichiarato l’adozione di misure correttive e di un rafforzamento dei controlli.

Per tali ragioni il Garante qualifica il caso come "violazione minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR e ritiene sufficiente l’ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Dispositivo

Il Garante:

• ammonisce il Comune di Mirabella Eclano per la violazione degli artt. 5, par. 1, lett. b) e c), 12, parr. 1, 3 e 4, e 25, parr. 1 e 2, GDPR;
• dispone l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.