Ordinanza ingiunzione o revoca n. 635 del 23/09/2026

Sanzione per la diffusione di dati relativi a un contenzioso di lavoro

Il provvedimento del 23 settembre 2026 riguarda l’Agenzia regionale dei Segretari degli Enti Locali della Valle d’Aosta e la pubblicazione nell’Albo pretorio online di deliberazioni contenenti dati personali di un’interessata, riferiti a una controversia di lavoro. Il procedimento è stato avviato a seguito di un reclamo per mancato adeguato riscontro all’esercizio dei diritti dell’interessata.

Reclamo e attività istruttoria

L’interessata aveva segnalato che sul sito istituzionale dell’Agenzia risultavano pubblicati, da anni, più atti relativi a iniziative giudiziarie e conciliative inerenti al proprio rapporto di lavoro, compreso un allegato a una deliberazione. Dopo aver ricevuto l’istanza di esercizio dei diritti, in particolare la richiesta di cancellazione, l’Agenzia ha rimosso gli atti, coinvolgendo anche il gestore del sito. Ha ammesso di non aver fornito entro i termini un riscontro scritto ai sensi dell’art. 12, par. 3, GDPR, dichiarando di aver contattato telefonicamente l’interessata e di aver successivamente inviato una risposta formale.

Nella memoria difensiva l’Agenzia ha qualificato la pubblicazione come connessa alle attività di pubblicità legale e trasparenza, precisando che la violazione aveva riguardato una sola persona e sostenendo che la controversia fosse già di dominio pubblico. Ha inoltre dichiarato di aver annotato l’accaduto nel registro delle violazioni dei dati personali e di aver adottato misure tecniche e organizzative, tra cui procedure di raccolta e minimizzazione dei dati, limitazioni degli accessi e formazione del personale.

Norme e principi applicabili

Il Garante ha richiamato gli artt. 6, par. 1, lett. c) ed e), 6, par. 2, 9, parr. 2, lett. b), e 4, e 88 GDPR, nonché l’art. 2-ter del Codice, in materia di trattamento da parte dei soggetti pubblici e di presupposti per la diffusione. Ha inoltre richiamato i principi di liceità, correttezza e trasparenza e di minimizzazione, previsti dall’art. 5, par. 1, lett. a) e c), GDPR, e gli obblighi di responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita, di cui agli artt. 5, par. 2, 24 e 25, par. 2, GDPR.

Illiceità della pubblicazione

Il Garante ha rilevato che le deliberazioni e il relativo allegato, pubblicati nell’Albo pretorio online fino alla loro rimozione, contenevano dati personali e informazioni particolarmente delicate riguardanti un contenzioso sul rapporto di lavoro dell’interessata. L’Agenzia non ha indicato una norma di legge o, nei casi previsti, di regolamento che autorizzasse la pubblicazione di tali informazioni.

La finalità generale di pubblicità legale e trasparenza dell’attività amministrativa non costituisce, da sola, una base giuridica per diffondere dati ulteriori rispetto a quelli individuati da una specifica disposizione. Il Garante ha anche osservato che gli atti erano stati collocati nell’Albo pretorio, anziché nella sezione “Amministrazione trasparente”, e che l’eventuale notorietà della vicenda sui media non autorizzava la diffusione online in assenza di un presupposto normativo. La presenza del nominativo e di dettagli relativi al rapporto di lavoro anche nell’oggetto degli atti non escludeva la rilevanza della diffusione.

Sono state richiamate le Linee guida del Garante del 15 maggio 2014, provvedimento n. 243, sulla pubblicazione sul web di atti e documenti amministrativi per finalità di pubblicità e trasparenza, nonché le Linee guida sul trattamento dei dati personali dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico. Il Garante ha inoltre ribadito che anche gli obblighi di pubblicazione nell’Albo pretorio, richiamati dall’art. 124 del d.lgs. n. 267/2000, devono essere applicati nel rispetto dei principi di protezione dei dati.

La condotta, pur ricondotta dall’Agenzia a un “puro errore tecnico” e non rilevata prima dell’istanza, ha costituito una diffusione senza idonea base giuridica, in violazione degli artt. 6 GDPR e 2-ter del Codice, nonché dei principi di cui all’art. 5 GDPR.

Esito e misure correttive

Il Garante ha confermato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR. Poiché l’Agenzia aveva rimosso gli atti e gli effetti della pubblicazione erano cessati, non ha ritenuto sussistenti i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione e criteri di quantificazione

La violazione unitaria o riferibile a trattamenti collegati è stata valutata ai sensi dell’art. 83, par. 3, GDPR; le violazioni degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice rientrano nel quadro sanzionatorio dell’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice. Il Garante ha determinato la sanzione considerando gli elementi dell’art. 83, par. 2, GDPR:

• la violazione riguardava una sola interessata e la diffusione online si era protratta fino alla rimozione; gli atti non erano indicizzati dai motori di ricerca;
• la condotta è stata ritenuta colposa, sulla base della spiegazione dell’Agenzia circa l’errore tecnico e la mancata consapevolezza della persistente pubblicazione;
• il livello di gravità è stato qualificato come medio, anche alla luce delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, del 24 maggio 2023, punto 60;
• sono state considerate a favore dell’Agenzia le misure tecniche e organizzative dichiarate, l’assenza di precedenti violazioni analoghe nel medesimo contesto e la buona cooperazione durante l’istruttoria.

La sanzione è stata fissata in 6.000 euro, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR. Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

Pagamento, pubblicazione e impugnazione

L’Agenzia può definire la controversia pagando, entro 30 giorni, un importo pari alla metà della sanzione, in applicazione dell’art. 166, comma 8, del Codice. In mancanza di tale definizione, deve versare 6.000 euro entro 30 giorni dalla notificazione del provvedimento; in caso di mancato pagamento sono previsti gli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981.

Oltre alla pubblicazione dell’ordinanza ingiunzione, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito e l’annotazione delle violazioni e delle misure nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR. È possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, termine elevato a 60 giorni per chi risiede all’estero, ai sensi degli artt. 78 GDPR e 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.