Ordinanza ingiunzione o revoca n. 627 del 23/10/2025

Diffusione sui social di dati sulla positività al Covid-19 e immagini di minori vaccinati da parte del Sindaco di Calvi Risorta

Il provvedimento riguarda il Sindaco del Comune di Calvi Risorta, nei confronti del quale il Garante ha accertato la diffusione online, tramite profilo e pagina Facebook, di dati personali riferiti a cittadini risultati positivi al Covid-19 e di immagini con nomi di minori intenti alla vaccinazione anti-Covid. L’istruttoria è stata avviata a seguito di una segnalazione e si è conclusa con l’adozione di un’ordinanza ingiunzione e l’irrogazione di una sanzione amministrativa pecuniaria.

Origine della segnalazione e contenuti pubblicati

Dalla segnalazione sono emersi numerosi post pubblicati sul profilo Facebook del Sindaco, e per alcuni contenuti anche sulla pagina Facebook omonima, contenenti:

• nome e cognome di cittadini, con indicazione della loro positività al Covid-19, anche se minorenni;
• foto e nomi di 27 bambini minori di 12 anni ripresi durante la vaccinazione anti-COVID. L’Ufficio ha verificato che parte dei contenuti risultava ancora consultabile online anche dopo la rimozione dichiarata dal Sindaco.

Riscontri forniti nel corso dell’istruttoria

Il Sindaco ha sostenuto che le pubblicazioni fossero avvenute esclusivamente su richiesta degli interessati, per favorire l’allerta dei contatti stretti e la prevenzione del contagio, in una fase in cui il tracciamento istituzionale sarebbe stato incompleto. Quanto ai minori, ha affermato che le immagini erano state inviate o comunque autorizzate dai genitori, anche informalmente, con finalità di sensibilizzazione alla vaccinazione. Nel corso dell’audizione ha ribadito che la condotta era stata tenuta nella primissima fase emergenziale e che alcuni contenuti erano rimasti accessibili per un problema tecnico di collegamento tra profilo e pagina Facebook, poi successivamente rimossi.

Qualificazione del trattamento e natura istituzionale

Il Garante ha ritenuto che il trattamento non fosse riconducibile a un ambito privato o domestico, ma all’esercizio di funzioni istituzionali connesse al ruolo di Sindaco. Questo sia per le modalità di acquisizione dei dati, trasmessi dagli interessati per la pubblicazione sul profilo del Sindaco, sia per la finalità dichiarata di informazione della cittadinanza, contenimento dei contagi e sensibilizzazione alla vaccinazione. È stato inoltre chiarito che il Comune non risultava titolare o gestore del profilo social oggetto di pubblicazione, ma che il trattamento era comunque imputabile al Sindaco quale titolare del trattamento nell’esercizio della funzione pubblica.

Base giuridica e limiti alla diffusione

L’Autorità ha escluso che il consenso, la richiesta o l’autorizzazione degli interessati potessero costituire base giuridica sufficiente in un contesto di trattamento effettuato da un soggetto pubblico. Per i trattamenti connessi all’esercizio di pubblici poteri, il fondamento deve essere rinvenuto in una norma di legge o di regolamento, o in atti amministrativi generali, ai sensi degli artt. 6, par. 1, lett. c) ed e), e 6, par. 2, GDPR, nonché dell’art. 2-ter del Codice. Il Garante ha inoltre richiamato l’art. 2-sexies del Codice per i dati particolari trattati per motivi di interesse pubblico rilevante e ha ribadito il divieto di diffusione dei dati sulla salute ai sensi dell’art. 2-septies, comma 8, del Codice e dell’art. 9, par. 4, GDPR.

Valutazione sul contesto emergenziale

Pur riconoscendo la particolarità del contesto pandemico e le difficoltà dei flussi informativi nella fase iniziale dell’emergenza, il Garante ha osservato che la normativa emergenziale non ha mai autorizzato la diffusione indiscriminata di dati sanitari sui social network. Sono stati richiamati, tra gli altri, l’art. 17-bis del d.l. 18/2020 e l’ordinanza del Capo del Dipartimento della protezione civile n. 630/2020, evidenziando che anche in emergenza restano fermi i principi del GDPR e i divieti sulla diffusione di dati relativi alla salute.

Violazioni accertate

Il Garante ha quindi accertato la violazione:

• dell’art. 5, par. 1, lett. a), GDPR, per mancato rispetto dei principi di liceità, correttezza e trasparenza;
• dell’art. 6, par. 1, lett. c) ed e), GDPR, per assenza di idonea base giuridica;
• dell’art. 9 GDPR, per il trattamento di dati relativi alla salute;
• degli artt. 2-ter, commi 1 e 3, 2-sexies e 2-septies, comma 8, del Codice privacy.

Sanzione, criteri di quantificazione e misure accessorie

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la natura e gravità della violazione, anche per la diffusione su social pubblicamente accessibili;
• la presenza di dati riferiti a minori e di dati sulla salute;
• l’elemento soggettivo colposo, essendo il Sindaco mosso dall’erroneo convincimento della liceità del trattamento;
• la rimozione dei post come misura attenuante;
• il contesto emergenziale iniziale;
• la presenza di una precedente violazione pertinente.

La sanzione è stata determinata in euro 1.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, oltre alla pubblicazione del provvedimento e all’annotazione nel registro interno dell’Autorità.

Dispositivo e rimedi

Il Garante ha rilevato l’illiceità del trattamento effettuato dal Sindaco e ha ordinato il pagamento della sanzione di euro 1.000 entro trenta giorni dalla notifica, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini di legge. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.