Ordinanza ingiunzione o revoca n. 530 del 25/09/2025

Comune di Isola del Gran Sasso: diffusione online di delibere con dati personali e giudiziari di una dipendente

Il provvedimento riguarda il Comune di Isola del Gran Sasso e la pubblicazione sul sito istituzionale di due deliberazioni di Giunta contenenti dati personali della reclamante, tra cui riferimenti a un procedimento penale. Il procedimento è scaturito da reclamo dell'interessata ex art. 77 GDPR, che aveva chiesto anche la cancellazione/oscuramento dei dati.

Fatti e origine del procedimento

La reclamante, dipendente del Comune all'epoca dei fatti, ha lamentato che le delibere pubblicate all'Albo pretorio online riportassero informazioni personali non pertinenti e riferimenti a un procedimento penale a suo carico, con possibilità di identificazione indiretta come precedente responsabile dell'Area amministrativa e finanziaria. Dopo la richiesta di cancellazione, il RPD e il Segretario comunale avevano suggerito l'oscuramento dei dati, ma tale indicazione non è stata attuata e gli atti sono rimasti online per circa 15 giorni ciascuno.

Istruttoria e ricostruzione del Comune

Nel corso dell'istruttoria, il Comune ha spiegato che il sistema informatico prevedeva un flag di riservatezza da selezionare in fase di predisposizione dell'atto e un alert in fase di pubblicazione; tuttavia, nel caso concreto, il flag non era stato impostato dal proponente. L'addetto alle pubblicazioni, non ricevendo alcun alert, ha proceduto alla pubblicazione senza ulteriori verifiche. Il Comune ha inoltre rappresentato di aver avviato un procedimento disciplinare nei confronti dell'allora vice segretario comunale e di non aver rilevato tracce della delibera online nei motori di ricerca.

Valutazioni del Garante sulla diffusione dei dati

L'Autorità ha richiamato i principi di liceità, correttezza, trasparenza e minimizzazione di cui all'art. 5 GDPR, nonché le condizioni di liceità degli artt. 6 e 10 GDPR. Per i dati relativi a condanne penali e reati, il trattamento è ammesso solo sotto il controllo dell'autorità pubblica o se autorizzato dal diritto dell'Unione o nazionale con garanzie adeguate. Il Garante ha ribadito che la pubblicazione online di atti pubblici non comporta un automatismo nella diffusione di qualunque dato in essi contenuto e che la pubblica amministrazione deve verificare in concreto pertinenza e non eccedenza dei dati diffusi.

Responsabilità del titolare del trattamento

Pur essendo l'errore riconducibile a specifiche persone fisiche interne all'ente, il Garante ha affermato che, nel contesto lavorativo, il trattamento resta imputabile al titolare del trattamento nel suo complesso, cioè al Comune. È stato quindi ritenuto illecito il trattamento effettuato mediante diffusione online di dati personali e giudiziari senza adeguata base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 10 GDPR e degli artt. 2-ter e 2-octies del Codice privacy.

Mancato riscontro all'istanza di cancellazione

L'Autorità ha accertato anche la violazione degli artt. 12, parr. 3 e 4, e 17 GDPR per mancato riscontro alla richiesta di cancellazione avanzata dall'interessata. Il titolare avrebbe dovuto rispondere senza ingiustificato ritardo e comunque entro un mese, oppure informare dei motivi del diniego e dei mezzi di tutela, cosa che non è avvenuta.

Sanzione, criteri di quantificazione e misure accessorie

Il Garante ha ritenuto applicabile l'art. 83, par. 3, GDPR, trattandosi di un'unica condotta con violazioni collegate. La sanzione è stata determinata in euro 3.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell'art. 83, par. 1, GDPR. Nella quantificazione sono stati considerati: la diffusione riferita a un solo interessato; la limitata durata della pubblicazione; l'assenza di indicizzazione; la presenza di dati giudiziari; la natura colposa della violazione; le misure organizzative esistenti ma non attivate; l'assenza di precedenti; la cooperazione con l'Autorità; la complessità dei rapporti interni e la ridotta dimensione del Comune.

Esito finale

Il Garante ha dichiarato l'illiceità del trattamento, ha ordinato al Comune il pagamento della sanzione di euro 3.000 e ha disposto la pubblicazione dell'ordinanza ingiunzione sul sito istituzionale dell'Autorità, oltre all'annotazione nel registro interno. Non sono state adottate misure correttive ulteriori, poiché le delibere non risultavano più consultabili online al momento della decisione.