Ordinanza ingiunzione o revoca n. 768 del 12/12/2024

Comune di Corte Franca: diffusione illecita online di dati di un ex dipendente e ritardo nella comunicazione del RPD

Il provvedimento riguarda il Comune di Corte Franca, destinatario di un reclamo per la pubblicazione sul proprio sito istituzionale di una delibera contenente dati personali di un lavoratore, nonché per la mancata/tardiva comunicazione all'Autorità dei dati di contatto del Responsabile della protezione dei dati. Il procedimento trae origine dall'attività istruttoria avviata dal Garante a seguito del reclamo e delle verifiche d'ufficio.

Fatti e origine del procedimento

Il reclamante ha lamentato che una delibera comunale era pubblicata online ed era facilmente rintracciabile tramite i motori di ricerca digitando nome e cognome. Nel documento erano presenti, oltre ai dati identificativi, informazioni relative alla qualifica, all'ufficio di appartenenza, alle ore lavorate, alla data dell'ultimo giorno lavorativo e alla presa d'atto delle dimissioni.

L'Ufficio ha accertato la pubblicazione e l'indicizzazione del documento e ha inoltre rilevato che non risultava agli atti la comunicazione dei dati di contatto del RPD prevista dall'art. 37, par. 7, GDPR. Con atto di avvio del procedimento, il Comune è stato contestato per la diffusione online illecita dei dati e per la violazione relativa al RPD.

Difese del Comune

Nella memoria difensiva il Comune ha sostenuto che la pubblicazione sarebbe derivata dal recupero dei dati da una precedente piattaforma di gestione della trasparenza, a seguito dell'attivazione di una nuova applicazione, e che si sarebbe trattato di un'errata procedura nell'ambito dell'Amministrazione trasparente. L'ente ha rappresentato di aver rimosso immediatamente l'atto dal portale della trasparenza, di aver avvisato la software house e il DPO, e di aver chiesto anche la rimozione dalla piattaforma DOCPLAYER.

Valutazioni sulla liceità della pubblicazione

Il Garante ha ricostruito il quadro normativo applicabile ai trattamenti effettuati da soggetti pubblici in ambito lavorativo, richiamando gli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b), 88 e 6, par. 2, GDPR, nonché l'art. 2-ter del Codice privacy, che consente la diffusione dei dati personali solo se prevista da una norma di legge o, nei casi previsti, di regolamento.

L'Autorità ha ribadito che la diffusione online costituisce un trattamento e richiede sempre un'idonea base giuridica, oltre al rispetto dei principi di cui all'art. 5 GDPR. In particolare, ha ricordato che già le linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori pubblici e le linee guida del 15 maggio 2014 su pubblicità e trasparenza sul web escludono la liceità della diffusione di dati personali riferiti al singolo lavoratore come quelli relativi a qualifica, ufficio di appartenenza, ore lavorate, ultimo giorno lavorativo e presa d'atto delle dimissioni.

Il Garante ha precisato che la mera collocazione del documento nella sezione "Amministrazione trasparente" non comporta alcun automatismo di pubblicazione, né deroga ai principi di protezione dei dati. Anche in presenza di obblighi di pubblicità, il Comune avrebbe dovuto valutare con attenzione quali informazioni rendere disponibili, verificando la sussistenza di una specifica base giuridica. In assenza di tale base, la pubblicazione della delibera è stata qualificata come diffusione illecita di dati personali.

Violazione relativa al RPD

Con riferimento al Responsabile della protezione dei dati, il Garante ha richiamato l'art. 37, par. 7, GDPR, secondo cui il titolare pubblica i dati di contatto del RPD e li comunica all'Autorità di controllo. È stato accertato che la comunicazione è avvenuta solo in data successiva a quella dovuta e che, fino a quel momento, il Comune aveva violato la norma.

L'Autorità ha tuttavia considerato tale violazione come minore, in ragione delle ridotte dimensioni dell'ente e dell'assenza di reclami o segnalazioni sul punto. Per questa condotta è stato ritenuto sufficiente l'ammonimento ex art. 58, par. 2, lett. b), GDPR.

Sanzione pecuniaria e criteri di quantificazione

Per la distinta condotta di diffusione illecita dei dati del reclamante, il Garante ha applicato la sanzione amministrativa pecuniaria di 6.000 euro, richiamando l'art. 83, parr. 1, 2, 3 e 5, GDPR. Nella quantificazione ha considerato:

• il coinvolgimento di un solo interessato, sebbene la pubblicazione sia rimasta online per un periodo molto lungo e fosse indicizzabile dai motori di ricerca;
• la natura colposa della condotta, riconducibile a un'errata procedura nell'ambito della trasparenza amministrativa;
• l'assenza di dati appartenenti a categorie particolari o relativi a condanne penali e reati;
• l'assenza di precedenti violazioni pertinenti;
• la buona cooperazione del Comune nel corso dell'istruttoria.

Il Garante ha ritenuto la violazione di gravità media e ha indicato la sanzione come effettiva, proporzionata e dissuasiva.

Esito finale e misure disposte

Il provvedimento conclude dichiarando l'illiceità del trattamento per violazione degli artt. 5 e 6 GDPR e dell'art. 2-ter del Codice, e ammonendo il Comune per la violazione dell'art. 37, par. 7, GDPR. È stato ordinato il pagamento della sanzione di 6.000 euro entro 30 giorni dalla notificazione, con possibilità di definizione agevolata nei termini previsti dall'art. 166, comma 8, Codice.

Il Garante ha inoltre disposto la pubblicazione dell'ordinanza ingiunzione sul proprio sito, la pubblicazione del provvedimento ai sensi dell'art. 154-bis, comma 3, Codice, e l'annotazione nel registro interno dell'Autorità. Non sono state adottate ulteriori misure correttive, poiché il documento era già stato rimosso dal sito istituzionale del Comune.