Ordinanza ingiunzione o revoca n. 612 del 17/10/2024

Comune di Offanengo - diffusione illecita online di atti del rapporto di lavoro e dati sindacali

Il Garante ha esaminato il reclamo di un ex dipendente del Comune di Offanengo relativo alla pubblicazione, nell’Albo pretorio online del sito istituzionale, di diversi atti amministrativi concernenti la cessazione del rapporto di lavoro, la gestione di ferie e congedi, un incarico legale per la difesa in giudizio e una transazione economica. Nei documenti risultavano dati personali dell’interessato e, almeno indirettamente, informazioni idonee a rivelare l’adesione sindacale.

Origine del procedimento e contenuto del reclamo

L’interessato ha lamentato la pubblicazione di deliberazioni e determine contenenti corrispondenza tra ente e dipendente, indicazioni su ferie pregresse, ferie respinte o annullate, monetizzazione di parte delle ferie e riferimenti a dati sensibili. Ha inoltre segnalato la pubblicazione di una delibera di conferimento di incarico legale con nome e cognome e successivamente di altra documentazione che lo identificava tramite iniziali e rinvii agli atti già pubblicati.

Attività istruttoria e difese del Comune

In sede istruttoria il Comune ha ricostruito gli atti pubblicati, affermando che essi erano stati diffusi per dare esecutività alle delibere ai sensi dell’art. 124 TUEL e per esigenze di trasparenza amministrativa. L’ente ha richiamato il d.lgs. 33/2013, sostenendo che l’interessato ricoprisse una posizione organizzativa e che alcuni atti rientrassero negli obblighi di pubblicazione in materia di provvedimenti, accordi e vantaggi economici. Ha anche evidenziato di aver rimosso alcuni documenti su richiesta del reclamante e di aver operato in un contesto di emergenza epidemiologica.

Quadro normativo richiamato dal Garante

L’Autorità ha ricordato che i trattamenti effettuati da soggetti pubblici devono fondarsi su una base giuridica idonea e rispettare i principi del GDPR, in particolare liceità, correttezza, minimizzazione e limitazione della finalità. Per la diffusione di dati personali da parte di soggetti pubblici è necessaria una previsione espressa di legge o di regolamento, ai sensi dell’art. 2-ter del Codice privacy, nel testo vigente ratione temporis. Quanto ai dati particolari, il Garante ha richiamato l’art. 9 GDPR e le condizioni che consentono il trattamento per obblighi in materia di diritto del lavoro o per motivi di interesse pubblico rilevante.

Illiceità della diffusione online

Il Garante ha accertato che il Comune aveva pubblicato sul proprio sito istituzionale atti contenenti informazioni sulle vicende connesse alla cessazione del rapporto di lavoro del reclamante, tra cui:

• la delibera di accoglimento delle dimissioni volontarie;
• la delibera sul piano ferie con mantenimento in servizio;
• la determina di accoglimento delle dimissioni;
• la delibera di revoca del precedente atto sul piano ferie;
• la delibera di conferimento dell’incarico legale;
• la determina relativa alla somma oggetto di transazione.

L’Autorità ha osservato che l’uso delle sole iniziali non esclude necessariamente l’identificabilità dell’interessato, soprattutto in presenza di ulteriori elementi di contesto. Ha inoltre rilevato che il Comune non aveva dimostrato l’esistenza di una specifica norma che imponesse la pubblicazione di tali atti con i dati personali contenuti nei documenti.

Irrilevanza delle giustificazioni basate su trasparenza e pubblicità legale

Il Garante ha ritenuto non decisivo il richiamo al regime di pubblicità legale dell’albo pretorio e al d.lgs. 33/2013. Ha sottolineato che le norme sulla trasparenza non comportano un automatismo nella diffusione online di dati personali e che, se anche la pubblicazione fosse stata dovuta, il Comune avrebbe dovuto anonimizzare i dati personali eventualmente presenti, conformemente all’art. 7-bis, comma 3, del d.lgs. 33/2013. È stato inoltre precisato che la pubblicazione non poteva protrarsi oltre il termine legale di 15 giorni previsto per l’albo pretorio.

Dati relativi all’adesione sindacale

Particolarmente rilevante è stata la presenza, in uno degli atti, di un riferimento a una comunicazione proveniente da un rappresentante sindacale che, nel contesto descritto, poteva indurre a desumere l’adesione del reclamante a un’organizzazione sindacale. Il Garante ha richiamato le proprie linee guida sulla necessità di una selezione particolarmente accurata dei dati pubblicabili online quando vi siano informazioni idonee a rivelare l’appartenenza a sindacati o ad altre categorie particolari.

Provvedimenti correttivi e sanzionatori

Accertata la violazione degli artt. 5, 6 e 9 GDPR e dell’art. 2-ter del Codice privacy, il Garante ha dichiarato l’illiceità del trattamento. Con provvedimento correttivo ai sensi dell’art. 58, par. 2, lett. f), ha prescritto al Comune di conformarsi entro trenta giorni, limitando il trattamento e impedendo ulteriori diffusioni illecite dei dati contenuti negli atti ancora online, con obbligo di riscontro documentato all’Autorità.

Sanzione amministrativa pecuniaria

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, il Garante ha ordinato al Comune il pagamento di una sanzione amministrativa pecuniaria pari a 8.000 euro. Nel determinare l’importo ha considerato:

• la natura, gravità e durata della violazione, avvenuta sul sito istituzionale ma senza indicizzazione sui motori di ricerca;
• il fatto che la diffusione abbia riguardato un solo interessato;
• la convinzione errata del Comune di adempiere a un obbligo di legge;
• la presenza di dati riferibili, anche indirettamente, a categorie particolari;
• l’assenza di precedenti analoghi;
• la cooperazione con l’Autorità;
• il contesto organizzativo difficoltoso legato all’emergenza Covid.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva. Ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito, la pubblicazione del provvedimento e l’annotazione nel registro interno. Resta salva la facoltà di definizione agevolata nei termini di legge e la possibilità di proporre ricorso davanti all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, ovvero sessanta se il ricorrente risiede all’estero.