Ordinanza ingiunzione o revoca n. 162 del 12/03/2026

Comune di Sutri: diffusione online di atti relativi alla mobilità del personale contenenti dati personali e dati sulla salute

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato nei confronti del Comune di Sutri, relativo alla pubblicazione sul sito istituzionale, nell’Albo pretorio online e nella sezione "Amministrazione trasparente", di atti amministrativi concernenti la sua mobilità lavorativa. Alcuni documenti contenevano anche riferimenti idonei a rivelare informazioni sullo stato di salute.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato a seguito di reclamo. L’Autorità ha chiesto informazioni al Comune, che ha confermato la pubblicazione degli atti per finalità di pubblicità legale e trasparenza, precisando che i documenti erano stati rimossi integralmente dopo la richiesta del Garante.

Il Comune ha inoltre rappresentato:

• la pubblicazione all’Albo pretorio online per 15 giorni;
• la pubblicazione anche nella sottosezione "Provvedimenti amministrativi" di Amministrazione trasparente;
• l’assenza di indicizzazione nei motori di ricerca;
• l’intenzione di rivedere i contenuti pubblicati e di implementare sistemi di oscuramento automatico dei dati non necessari.

Trattamenti esaminati

Il Garante ha accertato la pubblicazione dei seguenti atti:

• determina n. XX del XX;
• delibera di Giunta Comunale n. XX del XX;
• delibera di Giunta Comunale n. XX del XX;
• delibera di Giunta Comunale n. XX del XX.

Secondo l’Autorità, tali documenti sono stati diffusi online fino alla data di ricezione della richiesta di informazioni, e contenevano dati personali del reclamante; in alcune parti, contenevano anche elementi idonei a rivelare dati relativi alla salute.

Norme applicabili richiamate dal Garante

Il provvedimento richiama il quadro generale del GDPR e del Codice privacy per i trattamenti effettuati da soggetti pubblici. In particolare, il Garante ha ricordato che il trattamento è lecito solo se necessario:

• per adempiere un obbligo legale, ai sensi dell’art. 6, par. 1, lett. c), GDPR;
• oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. e), GDPR e dell’art. 2-ter del Codice.

È stato inoltre richiamato il principio per cui i trattamenti devono fondarsi su una norma di legge o di regolamento che persegua un obiettivo di interesse pubblico e sia proporzionata al fine. Per i dati relativi alla salute, il Garante ha ribadito il divieto di diffusione previsto dall’art. 2-septies, comma 8, del Codice e dall’art. 9 GDPR.

Valutazione della pubblicazione all’Albo pretorio e in Amministrazione trasparente

Il Comune aveva sostenuto che la pubblicazione fosse giustificata dall’art. 124 del d.lgs. 267/2000, quale pubblicità legale dei provvedimenti amministrativi. Il Garante ha però osservato che tale disciplina non prevede, nel caso concreto, la pubblicazione di atti relativi alla mobilità del personale, tanto meno se connessi a una procedura selettiva riservata a lavoratori appartenenti alle categorie protette ai sensi della legge n. 68/1999.

L’Autorità ha inoltre chiarito che:

• la presenza di un regime di pubblicità non comporta automatismi nella diffusione online dei dati personali;
• il titolare deve sempre verificare la base giuridica della diffusione;
• anche quando la pubblicazione sia dovuta, occorre limitare i dati al minimo necessario e oscurare le informazioni eccedenti.

Con specifico riguardo alla trasparenza amministrativa, il Garante ha ricordato che gli obblighi di pubblicazione online sono soltanto quelli espressamente previsti dal d.lgs. 33/2013. Nel caso di specie, il Comune non ha indicato una norma che imponesse la pubblicazione integrale degli atti contenenti riferimenti alla mobilità volontaria del dipendente.

Dati sulla salute e riferimenti alla legge n. 68/1999

Uno dei passaggi centrali del provvedimento riguarda il fatto che il richiamo alla legge n. 68/1999, relativa al collocamento e al diritto al lavoro delle persone con disabilità, è stato considerato idoneo a rivelare informazioni sullo stato di salute dell’interessato.

Il Garante ha richiamato la propria giurisprudenza secondo cui anche riferimenti normativi associati a benefici o tutele per persone con disabilità possono, in concreto, rendere desumibili dati sulla salute. Poiché tali dati non possono essere diffusi, la pubblicazione online è stata ritenuta illecita anche sotto questo profilo.

Violazioni accertate

L’Autorità ha concluso che la pubblicazione online degli atti ha comportato una diffusione di dati personali, compresi dati sulla salute, in assenza di idonea base giuridica e in violazione di:

• art. 5, par. 1, lett. a) e c), GDPR, per mancato rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, par. 1, lett. c) ed e), GDPR, per assenza di una base giuridica adeguata;
• art. 2-ter del Codice, sul fondamento normativo dei trattamenti da parte di soggetti pubblici;
• art. 2-septies, comma 8, del Codice, per la diffusione di dati relativi alla salute.

Sanzione e criteri di quantificazione

Poiché la violazione derivava da un’unica condotta o da trattamenti strettamente collegati, il Garante ha richiamato l’art. 83, par. 3, GDPR. La violazione è stata ricondotta all’art. 83, par. 5, GDPR, con un tetto massimo teorico fino a 20 milioni di euro.

Nella quantificazione della sanzione, l’Autorità ha valutato:

• la circostanza che il trattamento riguardava un solo interessato;
• la durata della pubblicazione degli atti;
• la buona fede dichiarata dal Comune;
• la presenza di dati idonei a rivelare lo stato di salute;
• le misure adottate nel corso dell’istruttoria;
• la collaborazione prestata dall’ente;
• l’assenza di precedenti pertinenti.

Alla luce di tali elementi, il Garante ha determinato la sanzione in euro 2.000.

Esito finale e adempimenti disposti

Il Garante ha dichiarato l’illiceità del trattamento e ha ordinato al Comune di Sutri il pagamento della sanzione amministrativa pecuniaria di euro 2.000, con possibilità di definizione agevolata mediante pagamento della metà dell’importo entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice;
• la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• l’annotazione delle violazioni nel registro interno.

Il Garante non ha adottato ulteriori misure correttive, ritenendo che la condotta avesse già esaurito i propri effetti per effetto della rimozione dei documenti dal sito.