Prescrizioni del Garante n. 361 del 23/06/2025

Comune di XX: pubblicazione online eccedente di dati di ex consigliere e tardiva comunicazione del DPO

Il Garante ha esaminato il reclamo di un ex consigliere comunale relativo alla permanenza online, nel sito istituzionale del Comune, di documenti contenenti dati personali dopo la cessazione dell’incarico. Nel corso dell’istruttoria è emersa anche una difformità tra il DPO indicato sul sito e quello comunicato all’Autorità.

Origine del reclamo e attività istruttoria

Il procedimento è stato aperto a seguito del reclamo dell’ex consigliere, il quale aveva già chiesto al Comune la cancellazione dei propri dati. Dalle verifiche sul sito istituzionale, nella sezione "Amministrazione trasparente"/"Organizzazione"/"Titolari di incarichi politici, di amministrazione, di direzione o di governo"/"Consiglio comunale", risultavano ancora accessibili:

• il curriculum vitae del reclamante;
• una dichiarazione di insussistenza di cause di inconferibilità e incompatibilità contenente dati personali ulteriori, tra cui nominativo, data e luogo di nascita, residenza, domicilio e sottoscrizione autografa.

Nel corso dell’istruttoria è stata inoltre verificata l’area "Informativa privacy" del sito, dove figurava un responsabile della protezione dei dati diverso da quello comunicato al Garante ai sensi dell’art. 37, par. 7, GDPR.

Posizione del Comune

Il Comune ha sostenuto che la pubblicazione fosse giustificata dagli obblighi di trasparenza previsti dall’art. 14 del d.lgs. 33/2013 e, nelle memorie difensive, ha richiamato l’art. 20 del d.lgs. 39/2013, affermando che le dichiarazioni di insussistenza di cause di inconferibilità/incompatibilità devono essere pubblicate sul sito dell’amministrazione che conferisce l’incarico. Ha inoltre dichiarato di aver rimosso il documento contestato e di aver successivamente comunicato la variazione dei dati del DPO, precisando che il ritardo era dipeso da un errore umano.

Valutazioni del Garante sulla base giuridica della diffusione

Il Garante ha ritenuto che l’art. 20 del d.lgs. 39/2013 non fosse applicabile al caso, poiché riguarda le dichiarazioni relative agli incarichi amministrativi, dirigenziali, di vertice e di direzione previsti dal decreto, e non i consiglieri comunali. La tesi del Comune non è stata quindi considerata idonea a fondare la diffusione online dei dati del reclamante.

L’Autorità ha richiamato anche l’interpretazione dell’ANAC, secondo cui il d.lgs. 39/2013 tutela l’indipendenza delle cariche amministrative e non può essere utilizzato per incidere su cariche politiche. Di conseguenza, la pubblicazione del documento non soddisfaceva i presupposti di liceità di cui all’art. 2-ter del Codice privacy.

Eccedenza dei dati e principio di minimizzazione

Oltre all’assenza di una base giuridica adeguata, il Garante ha ritenuto che i dati pubblicati fossero comunque eccedenti rispetto alla finalità di trasparenza amministrativa. In particolare, la presenza di:

• data e luogo di nascita;
• residenza e domicilio;
• firma autografa; è stata considerata contraria al principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR, in quanto non limitata a quanto necessario.

Mancata tempestiva comunicazione del DPO

È stata inoltre accertata la violazione dell’art. 37, par. 7, GDPR, poiché il Comune non aveva tempestivamente comunicato al Garante la variazione dei dati di contatto del Responsabile della protezione dei dati. L’ente ha poi sanato la situazione effettuando la corretta comunicazione, che risulta acquisita al protocollo del Garante.

Esito dell’istruttoria e qualificazione della violazione

Il Garante ha confermato che la condotta del Comune non era conforme alla disciplina in materia di protezione dei dati personali e ha contestato la violazione di:

• art. 2-ter, commi 1 e 3, Codice privacy;
• artt. 7-bis, comma 3, e 14, comma 1, d.lgs. 33/2013;
• art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR;
• art. 5, par. 1, lett. c), GDPR;
• art. 37, par. 7, GDPR.

Tuttavia, ha anche valorizzato una serie di elementi attenuanti: la dimensione molto ridotta del Comune, la collaborazione con l’Autorità, la rimozione dei dati dal sito, la regolarizzazione della comunicazione del DPO, la natura colposa della condotta, l’esiguo numero di interessati coinvolti, l’assenza di dati particolari o relativi a condanne penali, l’assenza di precedenti pertinenti e la possibilità di contattare comunque il DPO attraverso il sito.

Alla luce di tali elementi, la fattispecie è stata qualificata come "violazione minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR, applicando i criteri richiamati dalle linee guida del WP29 sulle sanzioni amministrative pecuniarie.

Provvedimento finale

In luogo della sanzione pecuniaria, il Garante ha ritenuto sufficiente ammonire il Comune ai sensi dell’art. 58, par. 2, lett. b), GDPR. È stata altresì disposta l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Tutela giurisdizionale

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, o entro sessanta giorni se il ricorrente risiede all’estero.