Ordinanza ingiunzione o revoca n. 484 del 11/09/2025

Comune di Nichelino: diffusione illecita di dati su rapporto di lavoro e concorso pubblico, con mancato riscontro a istanza di rettifica

Il provvedimento riguarda il Comune di Nichelino, destinatario di un reclamo ex art. 77 GDPR presentato da un’ex dipendente, nonché di ulteriori verifiche svolte dall’Autorità su atti e graduatorie pubblicati online. Il Garante ha esaminato sia la pubblicazione di documenti relativi alla cessazione del rapporto di lavoro, sia la diffusione di graduatorie concorsuali con dati personali eccedenti, oltre al mancato riscontro a un’istanza di rettifica.

Origine del procedimento e sviluppi istruttori

La reclamante aveva chiesto la rettificazione e/o l’aggiornamento di dati contenuti in due determinazioni comunali, riferite alla risoluzione del rapporto di lavoro, lamentando che in rete fosse ancora presente la dicitura relativa al "mancato superamento del periodo di prova". L’istruttoria ha inoltre evidenziato la presenza online, sul sito istituzionale del Comune, di graduatorie intermedie e finali di una procedura concorsuale, con nominativi, votazioni ed ulteriori informazioni riferite ai candidati.

Il Comune ha sostenuto di aver agito in buona fede, di aver rimosso o rettificato parte degli atti su richiesta della lavoratrice e di aver poi adottato misure organizzative e formative. Ha inoltre richiamato, quale base giuridica della pubblicazione, l’art. 124 del d.lgs. 267/2000 e l’art. 23 del d.lgs. 33/2013 per gli atti sul rapporto di lavoro, e l’art. 19 del d.lgs. 33/2013 per le graduatorie concorsuali.

Diffusione dei dati relativi alla cessazione del rapporto di lavoro

Il Garante ha ritenuto illecito il trattamento relativo alla pubblicazione delle determinazioni concernenti la cessazione del rapporto di lavoro dell’interessata e del successivo provvedimento di rettifica. Le pubblicazioni contenevano dati personali e informazioni sulle cause della cessazione del rapporto, con identificabilità diretta o indiretta della lavoratrice.

L’Autorità ha evidenziato che non risultava una specifica previsione normativa idonea a legittimare la diffusione online di quei dati nell’Albo pretorio, e ha ribadito che la semplice esistenza di obblighi di pubblicità legale o trasparenza non consente alcun automatismo nella diffusione di dati personali. Il Comune avrebbe dovuto applicare i principi di minimizzazione e di responsabilizzazione, anche mediante anonimizzazione o selezione dei dati pubblicabili.

Pubblicazione delle graduatorie concorsuali

Il Garante ha accertato che il Comune aveva pubblicato, nella sezione "Amministrazione Trasparente", sia una graduatoria intermedia della prova scritta sia la graduatoria finale di merito, contenenti nominativi e votazioni di candidati ammessi e non ammessi alla prova orale, nonché di vincitori, idonei, non idonei e assenti. Tali dati sono rimasti online per un periodo significativo, nonostante successive rimozioni parziali e oscuramenti.

Secondo l’Autorità, la disciplina di settore consente la pubblicazione delle graduatorie finali nei limiti previsti dalla normativa e dei principi di protezione dei dati, ma non la diffusione online delle graduatorie intermedie accessibili indiscriminatamente né dei dati dei candidati non vincitori. Gli esiti intermedi devono essere resi disponibili ai soli partecipanti tramite aree riservate, mentre per la graduatoria finale la pubblicazione deve riguardare i vincitori e, nei casi previsti, gli idonei vincitori a seguito di scorrimento.

Mancato riscontro alla richiesta di rettifica

Con riguardo alla richiesta presentata dall’interessata, il Garante ha ritenuto che il Comune non avesse fornito un riscontro idoneo entro il termine di un mese previsto dall’art. 12, par. 3, GDPR. Anche a fronte di interlocuzioni con il legale della reclamante, l’Autorità ha rilevato che non è stato dato un riscontro completo alla richiesta di rettifica ex art. 16 GDPR, né sono state comunicate in modo corretto le iniziative adottate rispetto a tutte le determinazioni contestate.

Il provvedimento sottolinea che il titolare deve sempre rispondere in modo espresso all’interessato, anche quando ritenga di non poter accogliere la richiesta, informando dei motivi e dei rimedi esperibili.

Valutazioni del Garante su liceità, base giuridica e minimizzazione

Il Garante ha richiamato i principi degli artt. 5 e 6 GDPR, nonché l’art. 2-ter del Codice privacy, evidenziando che la diffusione di dati personali da parte di un soggetto pubblico è lecita solo in presenza di una base normativa specifica e nel rispetto della minimizzazione. Nel caso concreto, il Comune ha diffuso dati eccedenti rispetto alle finalità dichiarate, senza adeguata base giuridica per la pubblicazione integrale degli atti e delle graduatorie contestate.

L’Autorità ha ribadito inoltre i principi già affermati nelle linee guida del 2014 su pubblicità e trasparenza web e nelle linee guida sul trattamento dei dati dei lavoratori nel pubblico impiego, nonché nella più recente giurisprudenza e prassi applicativa richiamata nel provvedimento.

Sanzione, criteri di quantificazione e misure accessorie

Le violazioni sono state ritenute sanzionabili ai sensi dell’art. 83, par. 5, GDPR. Il Garante ha distinto due nuclei di condotta:

• la diffusione dei dati della reclamante, connessa al rapporto di lavoro, e il mancato riscontro all’istanza di rettifica, sanzionati con 10.000 euro;
• la diffusione delle graduatorie concorsuali con dati eccedenti, sanzionata con 8.000 euro.

Nella quantificazione sono stati valutati, tra l’altro, la natura e la durata delle violazioni, la portata limitata ma significativa della diffusione, la buona cooperazione del Comune, le misure adottate per attenuare il pregiudizio e l’assenza di precedenti pertinenti. È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione delle violazioni nel registro interno dell’Autorità.

Esito finale

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Comune di Nichelino per violazione degli artt. 5, 6, 12 e 16 GDPR e dell’art. 2-ter del Codice privacy, e ha ordinato il pagamento complessivo di 18.000 euro, con facoltà di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice.