Ordinanza ingiunzione o revoca n. 344 del 14/05/2026

Comune di Mirabella Imbaccari: diffusione illecita di dati personali in delibere online e irregolarità sul RPD

Il provvedimento riguarda il Comune di Mirabella Imbaccari, destinatario di un reclamo per la pubblicazione sul sito istituzionale di delibere di giunta e allegati contenenti dati personali di un interessato, nonché per la mancata corretta comunicazione dei dati del Responsabile della protezione dei dati. Il Garante ha ritenuto integrata una duplice violazione e ha adottato ordinanza-ingiunzione con sanzione pecuniaria e pubblicazione del provvedimento.

Origine del procedimento e verifiche dell'Ufficio

Il procedimento è scaturito da un reclamo presentato dall'interessato, che lamentava la diffusione online di documenti amministrativi recanti i propri dati personali. L'Ufficio ha verificato che, nelle sezioni "Accesso agli atti" e "Amministrazione trasparente" del sito del Comune, erano visualizzabili e scaricabili delibere di giunta e relativi allegati contenenti il nominativo dell'interessato, anche in forma di iniziali, e l'informazione relativa a un contenzioso per abuso edilizio nei confronti dell'ente.

È emerso inoltre che, tramite una ricerca per dati personali dell'interessato, era accessibile anche una seconda delibera di giunta avente a oggetto il conferimento dell'incarico per la difesa dell'ente in un ricorso promosso dalla stessa persona, con dati personali riportati in chiaro nell'oggetto e nel testo. Nel corso dell'istruttoria è stata accertata anche un'ulteriore irregolarità: i dati del RPD comunicati dal Comune al Garante non erano aggiornati, poiché il precedente incaricato aveva cessato il ruolo da tempo senza che fosse stata trasmessa la variazione.

Quadro normativo richiamato

Il Garante ha richiamato:

• l'art. 4, par. 1, n. 1, GDPR, sulla nozione di dato personale;
• l'art. 5, par. 1, lett. c), GDPR, sul principio di minimizzazione;
• l'art. 6, par. 1, lett. c) ed e), par. 2 e 3, lett. b), GDPR, sulla base giuridica del trattamento;
• l'art. 37, parr. 1, lett. a), e 7, GDPR, sugli obblighi di designazione e comunicazione del RPD;
• l'art. 124, comma 1, d.lgs. 267/2000, sulla pubblicazione delle deliberazioni comunali per quindici giorni all'albo pretorio;
• l'art. 2-ter, commi 1 e 3, del Codice privacy, sulla diffusione di dati personali da parte dei soggetti pubblici;
• le Linee guida del Garante in materia di trasparenza del 2014, che escludono automatismi nella diffusione online dei dati contenuti negli atti amministrativi.

Valutazione sulla pubblicazione dei documenti

Il Garante ha ritenuto che il Comune non potesse invocare l'art. 9, par. 2, lett. g), GDPR, richiamato nelle difese, poiché la fattispecie non riguardava categorie particolari di dati e, comunque, la norma non legittimava la diffusione online delle informazioni contestate. È stato ribadito che, anche quando la pubblicazione dell'atto è richiesta da una norma di settore, l'ente deve selezionare i dati da pubblicare e verificare se sia necessario oscurare informazioni identificative.

Con specifico riferimento alle delibere di giunta che autorizzano la costituzione in giudizio o la nomina del difensore, il Garante ha richiamato precedenti recenti secondo cui è sproporzionato diffondere su internet il nominativo delle parti in causa, essendo sufficiente indicare gli elementi essenziali della vicenda o il numero di ruolo generale della causa. Nel caso concreto, oltre al nominativo, erano stati diffusi anche ulteriori dati eccedenti, come l'esistenza del contenzioso nei confronti dell'ente.

Violazione relativa alla permanenza online oltre il termine legale

È stato accertato che i dati personali sono rimasti disponibili online oltre il termine di quindici giorni previsto per la pubblicazione all'albo pretorio. Secondo il Garante, in mancanza di un diverso parametro legislativo o regolamentare, tale permanenza integra una diffusione illecita, perché priva di idonea base giuridica. L'ente, se intende mantenere i documenti sul sito, deve oscurare i dati e le informazioni idonei a identificare, anche indirettamente, gli interessati.

Violazione sugli obblighi relativi al Responsabile della protezione dei dati

L'istruttoria ha anche evidenziato che il Comune non aveva provveduto tempestivamente alla nomina di un nuovo RPD dopo la cessazione del precedente incarico, né aveva comunicato correttamente al Garante la variazione dei dati di contatto tramite la procedura online dedicata. Il Comune ha ammesso la mancanza, giustificandola con difficoltà organizzative e contabili, e ha poi sanato la posizione con la nomina e la comunicazione aggiornata.

Difese del Comune e loro valutazione

Il Comune ha sostenuto che la pubblicazione era funzionale alla pubblicità legale e che l'atto giudiziario conteneva già i dati necessari all'identificazione dell'interessato; ha inoltre affermato di aver oscurato successivamente i documenti e di soffrire di una carenza di personale qualificato. In relazione al RPD, ha addotto problemi di contabilità e risorse. Il Garante ha preso atto delle difese, ma le ha ritenute insufficienti ai fini dell'archiviazione, non ricorrendo le ipotesi previste dall'art. 11 del Regolamento del Garante n. 1/2019.

Accertamento delle violazioni

Il Garante ha dichiarato l'illiceità del trattamento per due distinti profili:

• diffusione illecita dei dati personali dell'interessato contenuti in una delibera di giunta e nei relativi allegati, nonché in una seconda delibera, in violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), par. 2 e 3, lett. b), GDPR, dell'art. 2-ter, commi 1 e 3, del Codice e dell'art. 124, comma 1, TUEL;
• mancata nomina del nuovo RPD e omessa comunicazione dei dati di contatto al Garante, in violazione dell'art. 37, parr. 1, lett. a), e 7, GDPR.

Sanzione amministrativa pecuniaria

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell'art. 166 del Codice, il Garante ha irrogato due sanzioni distinte, considerando separatamente le condotte:

• euro 1.200,00 per la diffusione illecita dei dati personali;
• euro 600,00 per la violazione degli obblighi relativi al RPD.

Nella quantificazione sono stati considerati, tra l'altro:

• la natura colposa delle condotte;
• la durata pluriennale della permanenza online dei dati;
• il fatto che i dati non appartenevano a categorie particolari né riguardavano condanne penali o reati;
• le ridotte dimensioni del Comune;
• la collaborazione successiva dell'ente e la rimozione/oscuremento dei dati;
• l'assenza di precedenti violazioni pertinenti.

Misure accessorie e conclusione

Oltre alla sanzione pecuniaria complessiva di euro 1.800,00, il Garante ha disposto:

• la pubblicazione del provvedimento sul sito web dell'Autorità;
• l'annotazione nel registro interno delle violazioni e delle misure adottate.

È stato inoltre ricordato che il Comune potrà definire la controversia con il pagamento in misura ridotta, nei termini previsti dall'art. 166, comma 8, del Codice e dall'art. 10, comma 3, d.lgs. 150/2011 per la proposizione del ricorso. Il provvedimento è impugnabile dinanzi all'autorità giudiziaria ordinaria nei termini di legge.