Prescrizioni del Garante n. 427 del 11/06/2026

Comune di Piacenza: comunicazione indebita di dati di due dipendenti in un verbale del Nucleo di Valutazione

Il provvedimento trae origine dal reclamo di una dipendente comunale che contestava la trasmissione, in versione integrale e senza oscuramenti, di un verbale relativo alla revisione della valutazione della performance, nel quale comparivano anche dati riferiti a un’altra lavoratrice. L’episodio è stato ricondotto a un errore materiale nella redazione e notificazione del documento.

Fatto e origine del reclamo

La reclamante, dipendente del Comune di Piacenza, ha segnalato che il verbale del Nucleo di Valutazione, riferito sia alla sua posizione sia a quella di un’altra collega, era stato notificato a entrambe in forma integrale. La mancata anonimizzazione delle parti non pertinenti avrebbe consentito a ciascuna lavoratrice di conoscere informazioni relative alla procedura di revisione della valutazione dell’altra.

Attività istruttoria e riscontri del Comune

In risposta alla richiesta di informazioni dell’Autorità ex art. 157 del Codice, il Comune ha ricostruito la vicenda nell’ambito della procedura di valutazione della performance 2024. Ha riferito che il Nucleo di Valutazione aveva esaminato la posizione di entrambe le dipendenti nella medesima seduta e che, per errore, era stato predisposto un unico verbale notificato individualmente senza oscuramento dei nominativi reciproci.

Nella memoria difensiva il Comune ha precisato che i dati resi conoscibili erano solo:

• nome e cognome delle dipendenti;
• circostanza dell’avvenuta presentazione della richiesta di revisione della valutazione.

Ha inoltre rappresentato che:

• l’evento era dovuto a un mero errore materiale e non a un’intenzione lesiva;
• la nota contenente il verbale non oscurato era stata annullata e cancellata;
• erano stati successivamente trasmessi verbali separati con dati reciprocamente oscurati;
• era stata inviata una comunicazione interna al Nucleo di Valutazione per richiedere, in futuro, verbali distinti in caso di più dipendenti coinvolti.

Quadro normativo richiamato

L’Autorità ha ricordato che, nel contesto lavorativo pubblico, il trattamento dei dati personali dei dipendenti è lecito solo se necessario per la gestione del rapporto di lavoro o per l’adempimento di obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri, nonché quando sia necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Sono stati richiamati, in particolare:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6, par. 1, lett. c) ed e), par. 2 e 3, GDPR;
• art. 9, par. 2, lett. b) e g), GDPR;
• artt. 2-ter e 2-sexies del Codice privacy.

Il Garante ha inoltre richiamato il principio secondo cui, per i soggetti pubblici, la comunicazione di dati personali a terzi è ammessa solo nei casi previsti dall’art. 2-ter del Codice.

Valutazioni del Garante sulla violazione

All’esito dell’istruttoria, il Garante ha accertato che il Nucleo di Valutazione aveva notificato alle due dipendenti un verbale contenente dati personali dell’altra interessata, senza previa oscurazione. Pur osservando che non erano stati comunicati i contenuti di merito della valutazione individuale, l’Autorità ha ritenuto che la divulgazione dei nominativi e della circostanza della revisione della valutazione fosse comunque una comunicazione di dati personali effettuata senza base giuridica.

L’Autorità ha sottolineato che le amministrazioni devono adottare misure idonee a prevenire la conoscibilità ingiustificata di dati personali da parte di soggetti diversi dal destinatario, richiamando le linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori in ambito pubblico. È stata quindi ravvisata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice.

Qualificazione come violazione minore

Pur confermando l’illiceità del trattamento, il Garante ha considerato circostanze attenuanti rilevanti ai fini sanzionatori:

• episodio isolato;
• coinvolgimento di sole due interessate;
• condotta colposa derivante da errore umano;
• assenza di dati particolari ex art. 9 GDPR;
• ragionevole già conoscenza, da parte delle dipendenti, dell’esistenza della procedura di revisione;
• assenza di precedenti violazioni pertinenti;
• buona cooperazione del Comune con l’Autorità;
• adozione di misure preventive successive.

In base a tali elementi, la vicenda è stata qualificata come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Provvedimento finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dal Comune di Piacenza;
• ammonito il Comune ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito internet dell’Autorità;
• ordinato l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante.

Non sono state adottate ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.

Impugnazioni

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, o entro sessanta giorni se il ricorrente risiede all’estero.