Ammonimento n. 609 del 03/09/2026

Ammonimento al Comune di Desenzano del Garda per diffusione di una segnalazione lavorativa riservata

Il provvedimento riguarda il trattamento effettuato dal Comune di Desenzano del Garda nell'ambito della gestione di una segnalazione presentata da un dipendente in relazione a difficoltà personali e organizzative sorte nel contesto lavorativo. Il procedimento è stato avviato a seguito del reclamo dell'interessato del 10 aprile 2025, dopo che una copia della segnalazione era stata affissa presso una bacheca dei magazzini comunali.

Fatto e procedimento

Il 9 marzo 2025 il reclamante aveva inviato all'indirizzo PEC del Comune una segnalazione indirizzata all'attenzione di tre destinatari specificamente individuati. La segnalazione riguardava comportamenti ritenuti non corretti posti in essere da alcuni colleghi.

Per acquisire chiarimenti e consentire a uno dei colleghi coinvolti di formulare eventuali controdeduzioni, il Comune gli aveva mostrato e consegnato una copia della segnalazione. Il dipendente, senza autorizzazione, aveva successivamente affisso il documento in una bacheca situata presso i magazzini comunali, in una sede decentrata accessibile al personale operaio e, occasionalmente, a fornitori autorizzati.

Secondo le risultanze istruttorie, il documento era rimasto esposto per non più di cinque giorni lavorativi ed era stato rimosso dopo le rimostranze dell'interessato. Il 19 marzo 2025 il Segretario generale aveva richiamato verbalmente il dipendente, qualificando la condotta come scorretta e lesiva degli obblighi di riservatezza previsti dal codice disciplinare dell'ente e dal codice di comportamento.

Il Comune ha dichiarato che il dipendente svolgeva mansioni tecniche di coordinamento e sovrintendenza ai lavori di manutenzione e che la qualifica di preposto ai sensi dell'art. 2, comma 1, lett. e), del d.lgs. n. 81/2008 non comportava prerogative datoriali in materia di gestione del rapporto di lavoro, potere disciplinare o trattamento economico.

Imputazione del trattamento e ruolo del dipendente

Il Garante ha distinto tra la consegna della copia da parte del Comune e la successiva affissione del documento.

L'affissione è stata ritenuta frutto di un'iniziativa autonoma, estranea ed esorbitante rispetto alla volontà o all'interesse del Comune. Il dipendente non era gerarchicamente sovraordinato al reclamante e non esercitava nei suoi confronti poteri organizzativi, direttivi, di vigilanza o disciplinari riconducibili alle prerogative datoriali. Il ruolo di preposto rilevava esclusivamente ai fini della tutela della salute e sicurezza sul lavoro ai sensi del d.lgs. n. 81/2008.

La responsabilità del Comune è stata invece individuata nella decisione di mettere a disposizione del collega la copia integrale della segnalazione, creando le condizioni per la successiva circolazione del documento nel contesto lavorativo.

Quadro normativo applicabile

Il datore di lavoro pubblico può trattare i dati dei dipendenti, anche appartenenti a categorie particolari quando ricorrano i presupposti, sulla base di un'idonea condizione di liceità e quando il trattamento sia necessario per la gestione del rapporto di lavoro o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri.

Il Garante ha richiamato, in particolare, gli artt. 6, parr. 1, lett. c) ed e), 2 e 3, 9, par. 2, lett. b) e g), e 4, e 88 GDPR, nonché gli artt. 2-ter e 2-sexies del Codice. Nel caso concreto, tuttavia, la consegna della segnalazione nella sua forma integrale non risultava necessaria né assistita da un idoneo presupposto normativo.

Le amministrazioni devono adottare misure idonee a prevenire la conoscibilità ingiustificata dei dati dei lavoratori da parte di soggetti diversi dai destinatari o da persone legittimate a trattarli in ragione delle mansioni e delle scelte organizzative del titolare. Il Garante ha richiamato il punto 5.3 delle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, provvedimento del 14 giugno 2007.

Riservatezza della segnalazione e della posta elettronica

Il contenuto dei messaggi di posta elettronica è assistito da una legittima aspettativa di riservatezza, anche quando la casella utilizzata sia istituzionale. Tale tutela deriva anche dalle garanzie costituzionali riconducibili agli artt. 2 e 15 Cost.

Sono stati richiamati il paragrafo 2 del Documento di indirizzo sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati, adottato con provvedimento del 6 giugno 2024, n. 364, il paragrafo 5.2, lett. b), delle Linee guida del Garante per posta elettronica e Internet del 1° marzo 2007, n. 13, nonché i provvedimenti del 1° dicembre 2022, n. 409, e del 4 dicembre 2019, n. 216.

La segnalazione era stata inviata a destinatari espressamente individuati, in un contesto lavorativo nel quale l'interessato chiedeva tutela e assistenza. Egli poteva quindi ragionevolmente confidare che il documento, almeno nella sua forma integrale, non fosse messo a disposizione dei colleghi verso i quali aveva rappresentato difficoltà personali e organizzative.

Violazione dei principi di protezione dei dati

Il Garante ha ritenuto violati i principi di cui all'art. 5, par. 1, lett. a), b) e c), GDPR:

• liceità, correttezza e trasparenza, perché la comunicazione della segnalazione al collega non risultava giustificata da un idoneo presupposto normativo;
• limitazione della finalità, perché la segnalazione, raccolta per una specifica interlocuzione con i destinatari indicati dal reclamante, è stata utilizzata per una finalità ulteriore senza adeguata valutazione del contesto, delle conseguenze e delle garanzie;
• minimizzazione dei dati, perché per consentire al collega di esaminare le questioni organizzative e formulare osservazioni non era necessario consegnare la copia integrale del documento, contenente anche commenti di natura strettamente personale e una particolare modalità di esposizione dei fatti.

Il Garante ha inoltre richiamato l'art. 6, par. 4, GDPR e il considerando 50, sottolineando che, nella valutazione della compatibilità di un ulteriore trattamento, devono essere considerati il contesto della raccolta, la relazione tra interessato e titolare, le possibili conseguenze per l'interessato e l'esistenza di garanzie adeguate.

Modalità di trattamento ritenute corrette

Secondo il Garante, il Comune avrebbe dovuto condividere con il collega soltanto le questioni di natura organizzativa effettivamente rilevanti, previamente ricondotte a una formulazione sintetica ed essenziale.

L'obiettivo di acquisire chiarimenti e consentire eventuali controdeduzioni avrebbe potuto essere raggiunto senza consegnare la copia cartacea integrale della segnalazione. Tale soluzione avrebbe ridotto il rischio di ulteriore divulgazione e avrebbe rispettato maggiormente i diritti e le libertà del reclamante.

Misure adottate dal Comune

Nella memoria difensiva del 17 giugno 2026 il Comune ha qualificato la condotta come colposa, riferendola alla convinzione di poter risolvere la vicenda in modo bonario sulla base di rapporti lavorativi consolidati. L'ente ha inoltre dichiarato che non si erano verificati precedenti episodi analoghi.

Il Comune ha riferito di aver adottato o programmato misure preventive, tra cui:

• una circolare interna rivolta a dipendenti e collaboratori, con richiamo al codice di comportamento e al regolamento per l'utilizzo degli strumenti informatici e di internet, con particolare riguardo alla posta elettronica e agli strumenti analoghi;
• corsi di formazione in materia di privacy, programmati per settembre 2026, con particolare attenzione al trattamento dei dati personali nella pubblica amministrazione.

Tali iniziative non hanno consentito l'archiviazione del procedimento, ma sono state considerate nella valutazione della gravità della violazione.

Valutazione della gravità e qualificazione come violazione minore

Il Garante ha confermato l'illiceità del trattamento, rilevando tuttavia le circostanze attenuanti previste dall'art. 83, par. 2, GDPR e dal considerando 148. In particolare, ha considerato:

• il carattere isolato dell'episodio;
• il contesto di tensioni e difficoltà organizzative nei rapporti tra colleghi;
• l'assenza di dati appartenenti alle categorie particolari di cui all'art. 9 GDPR;
• la natura colposa della condotta e la buona fede del Comune al momento della consegna;
• le iniziative adottate per prevenire violazioni analoghe;
• la piena cooperazione prestata dal Comune durante l'istruttoria;
• l'assenza di precedenti violazioni pertinenti della stessa natura.

Alla luce di tali elementi, la condotta è stata qualificata come "violazione minore" ai sensi del considerando 148 e dell'art. 83, par. 2, GDPR, nonché delle Linee guida del Gruppo di lavoro Articolo 29 del 3 ottobre 2017, WP 253, fatte proprie dal Comitato europeo per la protezione dei dati con Endorsement 1/2018 del 25 maggio 2018.

Decisione e misure adottate

Il Garante ha:

• dichiarato, ai sensi dell'art. 57, par. 1, lett. f), GDPR, l'illiceità del trattamento effettuato dal Comune;
• accertato la violazione degli artt. 5, par. 1, lett. a), b) e c), e 6 GDPR e dell'art. 2-ter del Codice;
• ammonito il Comune ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• escluso l'adozione di ulteriori misure correttive, poiché la condotta aveva ormai esaurito i propri effetti;
• disposto la pubblicazione del provvedimento sul sito internet dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019.

Non è stata applicata alcuna sanzione amministrativa pecuniaria. L'ammonimento è stato ritenuto sufficiente in ragione dell'entità concreta e della limitata lesività della violazione.

Impugnazione

Avverso il provvedimento è possibile proporre ricorso dinanzi all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all'estero.