Ordinanza ingiunzione o revoca n. 198 del 26/03/2026

Comune di Cassino – diffusione online illecita di dati personali in una delibera e nei relativi allegati

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato relativo alla pubblicazione sul sito istituzionale del Comune di Cassino di una delibera di giunta e di un allegato contenenti il suo nominativo e dati reddituali e patrimoniali. Il procedimento trae origine dalla mancata rimozione dei contenuti dopo una richiesta di cancellazione rivolta all’ente.

Origine del reclamo e dati diffusi online

Dalle verifiche istruttorie è emerso che, partendo dall’area "Amministrazione" del sito del Comune, era possibile accedere ai documenti contestati e scaricare:

• la delibera di giunta;
• un allegato contenente ulteriori informazioni sulla stima del bene e sui profili economici collegati.

Nella delibera risultava il nominativo del reclamante; nell’allegato erano presenti anche dati reddituali, tra cui il reddito imponibile di più annualità, il reddito presunto delle annualità successive e il valore dell’indennità di avviamento dovuta. Il reclamante aveva già chiesto al Comune la cancellazione dei dati reddituali, senza ricevere riscontro.

Difese del Comune

Nelle memorie difensive il Comune ha sostenuto che la pubblicazione fosse lecita perché:

• il reclamante avrebbe espresso consenso al trattamento in occasione del contratto con l’ente;
• i dati sarebbero stati necessari per la stima del bene e per una procedura a evidenza pubblica;
• la pubblicazione sarebbe stata imposta o comunque consentita dal d.lgs. 36/2023 e dal d.lgs. 33/2013;
• il principio di trasparenza dell’azione amministrativa avrebbe prevalso, trattandosi di dati ritenuti di interesse pubblico.

Il Comune ha inoltre affermato di aver pubblicato il solo nome e cognome del reclamante in ottica di minimizzazione e di aver successivamente oscurato i documenti contestati.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato la nozione di dato personale di cui all’art. 4, par. 1, n. 1, GDPR e il principio di minimizzazione dell’art. 5, par. 1, lett. c), GDPR, ricordando che i soggetti pubblici possono diffondere dati personali solo nel rispetto dell’art. 2-ter del Codice privacy, cioè quando la diffusione sia prevista da una norma di legge, di regolamento o da atti amministrativi generali.

È stato inoltre richiamato l’art. 124, comma 1, d.lgs. 267/2000, che prevede la pubblicazione delle deliberazioni all’albo pretorio per quindici giorni, nonché le Linee guida del Garante del 2014 in materia di pubblicità e trasparenza sul web. Secondo tali indicazioni, la presenza di un obbligo di pubblicazione non comporta alcun automatismo nella diffusione online di dati personali: occorre selezionare le informazioni e, se necessario, oscurare quelle identificative o eccedenti. Decorso il periodo di pubblicazione, i dati non possono restare online senza un diverso valido presupposto normativo.

Valutazione del Garante sulla liceità della diffusione

Il Garante ha ritenuto non condivisibili le giustificazioni del Comune. In particolare:

• il consenso non può normalmente costituire base giuridica idonea quando il titolare è un’autorità pubblica, per l’evidente squilibrio tra interessato e titolare;
• la base giuridica per il trattamento dei dati da parte della PA va ricercata nell’art. 6, par. 1, lett. c) ed e), GDPR, ma ciò non autorizza automaticamente la diffusione online;
• la pubblicazione di dati personali richiede una specifica previsione normativa, che nel caso concreto non è stata ravvisata nelle norme richiamate dal Comune;
• il principio di trasparenza non può giustificare, da solo, la pubblicazione di dati patrimoniali e reddituali del reclamante.

L’Autorità ha inoltre osservato che la finalità di trasparenza poteva essere raggiunta pubblicando la delibera senza l’allegato contenente i dati contestati, oppure mediante oscuramento dei dati reddituali e patrimoniali.

Violazioni accertate

Il Garante ha concluso che la condotta del Comune non era conforme alla disciplina in materia di protezione dei dati personali, perché la diffusione del nominativo e dei dati patrimoniali e reddituali del reclamante è avvenuta:

• in violazione del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR;
• in violazione dell’art. 124, comma 1, d.lgs. 267/2000;
• in violazione dell’art. 2-ter, commi 1 e 3, del Codice privacy;
• in violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR;
• con richiamo anche all’art. 7-bis, comma 3, d.lgs. 33/2013.

È stato rilevato, in particolare, che i dati erano rimasti online oltre il termine di quindici giorni previsto per la pubblicazione all’albo pretorio e in assenza di un idoneo presupposto normativo per la loro ulteriore diffusione.

Esito del procedimento e sanzione

Poiché il Comune aveva già rimosso i dati oggetto di contestazione, il Garante ha escluso l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. Ha però adottato un’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, richiamando l’art. 166 del Codice.

La sanzione è stata determinata in euro 2.500, tenendo conto di:

• natura dei dati diffusi, non appartenenti a categorie particolari né a dati relativi a condanne penali o reati;
• riferibilità a un solo interessato;
• permanenza online per più di un anno e mezzo;
• colpa dell’ente, che aveva ritenuto erroneamente di poter pubblicare i documenti;
• dimensioni del Comune;
• collaborazione successiva con l’Autorità;
• assenza di precedenti pertinenti.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo finale

Il Comune di Cassino è stato ingiunto a pagare euro 2.500 entro 30 giorni dalla notifica del provvedimento, con facoltà di definire la controversia mediante pagamento della metà della sanzione nei termini di legge. È stata inoltre disposta:

• la pubblicazione del provvedimento sul sito web del Garante;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini indicati dal Garante.