Ordinanza ingiunzione o revoca n. 269 del 17/04/2026

Comune di Mazara del Vallo - diffusione illecita online dell’elenco dei beneficiari della Carta "Dedicata a te"

Il Garante per la protezione dei dati personali ha esaminato la pubblicazione, sul sito istituzionale del Comune di Mazara del Vallo, dell’elenco dei beneficiari della Carta "Dedicata a te". Il procedimento è scaturito da un reclamo dell’interessato e ha riguardato la diffusione online di dati personali, in particolare dell’intero codice fiscale dei beneficiari, nell’ambito di una misura di sostegno economico prevista da una disciplina speciale.

Origine del procedimento e accertamenti svolti

A seguito del reclamo ex art. 77 GDPR, l’Ufficio ha verificato che sul sito del Comune risultavano consultabili un avviso relativo alla carta e un documento PDF di 53 pagine con l’elenco dei beneficiari. I soggetti erano individuati mediante l’indicazione dell’intero codice fiscale. Il trattamento era connesso all’erogazione della Carta, misura di 500 euro destinata all’acquisto di beni di prima necessità, carburanti e servizi di trasporto per nuclei familiari a basso reddito.

L’Autorità ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la diffusione di dati personali in assenza di idonea base giuridica. Il Comune ha presentato memoria difensiva, sostenendo di avere operato in buona fede per adempiere agli obblighi di pubblicazione e comunicazione previsti dalla normativa di settore e per garantire l’attivazione tempestiva della misura. Ha inoltre riferito di aver rimosso gli allegati dal sito nella stessa giornata in cui aveva ricevuto la nota del Garante.

Quadro normativo della Carta e obbligo di pubblicazione

Il provvedimento ricostruisce il quadro normativo della misura, richiamando:

• l’art. 1, comma 450, della legge 29 dicembre 2022, n. 197;
• il decreto interministeriale 31 luglio 2025 n. 354883, che disciplina l’individuazione dei nuclei familiari beneficiari;
• l’art. 7, comma 4, del decreto, secondo cui gli elenchi dei beneficiari devono essere pubblicati sui siti internet dei Comuni "con modalità tali da garantire la riservatezza dei dati" per un periodo non inferiore a trenta giorni.

Il Garante richiama anche le indicazioni operative fornite dall’INPS e le FAQ aggiornate al 30 luglio 2024, che suggerivano modalità di pubblicazione rispettose della riservatezza, come l’utilizzo del numero di protocollo ISEE o di altre modalità analoghe.

Valutazione sulla liceità della diffusione

Secondo l’Autorità, la pubblicazione dell’intero codice fiscale non ha garantito l’anonimizzazione dei dati e ha reso i beneficiari identificabili, anche in ragione del contesto locale ristretto e della possibilità di incrociare le informazioni con altre fonti o con dati di contesto già disponibili a terzi. Il Garante richiama i principi del considerando 26 GDPR e le Linee guida del 15 maggio 2014 sulla pubblicità e trasparenza sul web da parte dei soggetti pubblici.

Il provvedimento sottolinea che:

• il codice fiscale consente di ricavare indirettamente elementi identificativi, come sesso, luogo e data di nascita;
• la mera sostituzione delle generalità con un identificativo non è sufficiente a rendere anonimi i dati;
• la pubblicazione online di informazioni relative a benefici economici può rivelare, anche indirettamente, condizioni di disagio economico-sociale.

Per queste ragioni, la pubblicazione è stata qualificata come "diffusione" di dati personali ai sensi dell’art. 2-ter, comma 4, lett. b), del Codice, effettuata in assenza di una base giuridica adeguata. Il Garante ha quindi ravvisato la violazione dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR, nonché degli artt. 2-ter, commi 1 e 3, del Codice.

Ragioni dell’illeceità e rilievi sulla tutela della riservatezza

L’Autorità ha chiarito che la previsione normativa che impone la pubblicazione degli elenchi non può essere letta come autorizzazione a una pubblicazione generalizzata e nominativa con modalità idonee a rendere identificabili gli interessati. La clausola che impone modalità tali da garantire la riservatezza impone infatti un bilanciamento tra trasparenza amministrativa e protezione dei dati personali.

Il Garante ha inoltre evidenziato che i beneficiari della Carta appartengono a nuclei familiari in stato di bisogno economico, con ISEE non superiore a 15.000 euro; la pubblicazione dell’elenco poteva dunque esporre informazioni idonee a rivelare una condizione di vulnerabilità economico-sociale, con possibile pregiudizio per la dignità degli interessati.

Esito del procedimento e assenza di ulteriori misure correttive

Il Garante ha rilevato che le dichiarazioni del Comune non erano sufficienti a giustificare l’archiviazione. Ha quindi confermato l’illiceità del trattamento, ma ha anche osservato che la condotta aveva già esaurito i propri effetti, poiché i documenti erano stati rimossi dal sito e non risultavano più accessibili agli URL indicati. Per questo motivo non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha irrogato al Comune una sanzione amministrativa pecuniaria pari a 6.000 euro. Nella quantificazione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, tra cui:

• la natura e gravità della violazione, con coinvolgimento di un numero considerevole di interessati;
• la durata limitata della diffusione;
• l’assenza di ulteriori reclami o segnalazioni e di danni comprovati;
• il carattere colposo della violazione, dovuto a un’erronea interpretazione normativa;
• l’assenza di dati appartenenti a categorie particolari o relativi a condanne penali e reati;
• la tempestiva rimozione dei documenti;
• la mancanza di precedenti pertinenti;
• la buona cooperazione con l’Autorità;
• le dimensioni medio-piccole dell’amministrazione comunale.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva, tenuto conto anche dei principi elaborati nelle Guidelines 04/2022 on the calculation of administrative fines under the GDPR.

Ordinanza ingiunzione, pubblicazione e rimedi

È stata adottata ordinanza ingiunzione con ordine al Comune di pagare la somma di 6.000 euro. Il provvedimento precisa che il contravventore può definire la controversia pagando, entro 30 giorni, un importo pari alla metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice.

Sono inoltre disposti:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito web dell’Autorità;
• l’annotazione nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.