Prescrizioni del Garante n. 113 del 26/02/2026

Fondazione Centro sperimentale di cinematografia: pubblicazione online di una delibera di licenziamento con dati personali

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un ex dipendente della Fondazione Centro sperimentale di cinematografia relativo alla pubblicazione, nella sezione "Amministrazione trasparente" del sito istituzionale, di una delibera di licenziamento per giusta causa contenente i suoi dati personali. Il procedimento è stato avviato a seguito delle verifiche dell’Ufficio e si è concluso con la dichiarazione di illiceità del trattamento e con un ammonimento alla Fondazione.

Origine del procedimento e fatti accertati

Il reclamante ha lamentato che la Fondazione avesse diffuso online una delibera dell’organo di gestione recante il suo licenziamento e i relativi dati identificativi. L’istruttoria ha accertato che la delibera era stata effettivamente pubblicata sul sito istituzionale e che, successivamente, i dati personali del reclamante risultavano oscurati.

Difese del titolare del trattamento

La Fondazione ha sostenuto di essere soggetto pubblico o comunque organismo di diritto pubblico tenuto a obblighi di trasparenza e pubblicità dei propri atti. Ha affermato che la pubblicazione della delibera era necessaria per rendere conoscibile l’azione amministrativa, evitare la compromissione dell’intellegibilità dell’atto e informare l’utenza circa la cessazione del rapporto del dirigente, ritenuto strategico per la struttura e per i rapporti con soggetti esterni. Ha inoltre richiamato la circostanza che il reclamante avrebbe reso pubbliche alcune informazioni sul proprio licenziamento in un’intervista giornalistica.

Valutazione del Garante sulla liceità della diffusione

Il Garante ha ricordato che, per i soggetti pubblici, il trattamento dei dati personali nel contesto lavorativo è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico, con base nel diritto dell’Unione o dello Stato membro, ai sensi degli artt. 6, par. 1, lett. c) ed e), e 6, par. 3, GDPR, oltre che dell’art. 2-ter del Codice. In ogni caso devono essere rispettati i principi di cui all’art. 5 GDPR.

L’Autorità ha sottolineato che la diffusione di dati personali, inclusa la pubblicazione online, richiede sempre una specifica base giuridica e non può discendere automaticamente da un generico regime di pubblicità. Sono stati richiamati anche i principi espressi nelle linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, nonché le linee guida del 15 maggio 2014 su pubblicità e trasparenza sul web per soggetti pubblici.

Assenza di un obbligo normativo di pubblicazione

Secondo il Garante, il d.lgs. 33/2013 non prevede un obbligo specifico di pubblicare la delibera di licenziamento disciplinare di un dipendente con il nominativo in chiaro. Per questo motivo non può operare un automatismo tra trasparenza amministrativa e diffusione online di dati personali. La circostanza che il reclamante avesse divulgato informazioni sul proprio licenziamento non è stata ritenuta idonea a legittimare la pubblicazione da parte della Fondazione.

Violazioni riscontrate

La pubblicazione della delibera con i dati personali del reclamante in chiaro ha determinato una diffusione di dati personali in assenza di idoneo presupposto normativo e in violazione dei principi di:

• liceità, correttezza e trasparenza;
• minimizzazione dei dati.

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), GDPR e dell’art. 2-ter del Codice.

Valutazione della gravità e scelta dell’ammonimento

Pur avendo accertato l’illiceità, il Garante ha considerato diversi elementi attenuanti:

• la violazione ha riguardato un solo interessato;
• l’episodio è stato isolato;
• non sono coinvolte categorie particolari di dati;
• la Fondazione ha successivamente oscurato il nominativo;
• la violazione è stata ritenuta colposa e frutto di un errore di valutazione in buona fede;
• la Fondazione ha cooperato pienamente con l’Autorità;
• non risultano precedenti analoghi.

Alla luce di tali circostanze il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR. Il Garante ha quindi ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare sanzioni pecuniarie né ulteriori misure correttive, anche perché la condotta aveva già esaurito i suoi effetti.

Esito del provvedimento

L’Autorità ha disposto:

• la dichiarazione di illiceità del trattamento effettuato dalla Fondazione;
• l’ammonimento del titolare del trattamento;
• la pubblicazione del provvedimento sul sito del Garante.

È stato inoltre ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.