Ordinanza ingiunzione o revoca n. 287 del 06/07/2023

Comune di Aviano – diffusione illecita di dati dei dipendenti su premi di produttività e progressioni orizzontali

Il provvedimento riguarda la pubblicazione sull’albo pretorio online del Comune di Aviano di atti contenenti dati personali di dipendenti comunali relativi a compensi incentivanti la produttività e a progressioni economiche orizzontali. L’istruttoria è stata avviata a seguito di reclamo e si è conclusa con l’accertamento dell’illiceità del trattamento e l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e fatti contestati

Il reclamante ha segnalato la pubblicazione online di una determina avente ad oggetto l’attribuzione di compensi incentivanti la produttività individuale, con allegato un elenco nominativo di circa 70 dipendenti e i rispettivi compensi, nonché di un successivo atto relativo all’attribuzione di nuove progressioni economiche orizzontali, anch’esso recante nominativi e importi riferiti a circa 30 dipendenti.

Difese svolte dal Comune

Nel corso dell’istruttoria, il Comune ha sostenuto che gli atti fossero riconducibili, quanto alla loro formazione e contenuto, all’Unione Territoriale Intercomunale Livenza Cansiglio Cavallo, cui era stata affidata la gestione del personale. Ha richiamato il proprio regolamento sull’albo pretorio informatico e il software utilizzato per la pubblicazione, affermando di aver svolto una mera attività esecutiva. Ha inoltre dedotto che la pubblicazione era stata rimossa e che il funzionario dell’Unione non avrebbe correttamente applicato le istruzioni e le misure organizzative predisposte.

Quadro normativo richiamato

Il Garante ha richiamato i principi e le basi giuridiche del GDPR applicabili ai trattamenti in ambito pubblico, in particolare:

• art. 5, par. 1, lett. a) e c), GDPR, su liceità, correttezza, trasparenza e minimizzazione;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, lett. b), GDPR;
• art. 9, par. 2, lett. b) e g), GDPR, per i trattamenti eventualmente riferiti a dati particolari;
• art. 2-ter del Codice privacy, nel testo applicabile prima delle modifiche del d.l. n. 139/2021.

Ha ribadito che la diffusione di dati personali da parte di soggetti pubblici, compresa la pubblicazione su Internet, è ammessa solo se prevista da una specifica norma di legge o, nei casi consentiti, di regolamento. Ha richiamato inoltre le linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori nel pubblico impiego e la propria precedente giurisprudenza in materia di albo pretorio online.

Valutazione del Garante sulla legittimità della diffusione

L’Autorità ha ritenuto che l’affidamento della funzione di gestione del personale all’Unione non fosse sufficiente a escludere la responsabilità del Comune, anche perché i dati erano stati diffusi sul sito istituzionale del Comune e gli atti riguardavano dipendenti comunali. Ha sottolineato che la titolarità del trattamento per i dati dei propri dipendenti e collaboratori resta in capo all’ente datore di lavoro.

Sul piano della base giuridica, il Garante ha escluso che potesse applicarsi l’art. 21, comma 1, della l. n. 69/2009, richiamato dal Comune, osservando che tale disposizione riguardava i compensi di dirigenti e titolari di incarichi apicali ed era comunque superata dal d.lgs. n. 33/2013. Ha poi chiarito che l’art. 20 del d.lgs. n. 33/2013 impone la pubblicazione dei dati sui premi collegati alla performance solo in forma aggregata, non individuale.

Quanto alle progressioni economiche orizzontali, il Garante ha richiamato l’orientamento dell’ANAC secondo cui si tratta di procedure selettive interne meritocratiche, non assimilabili ai concorsi pubblici o alle progressioni verticali e quindi non soggette a un obbligo generalizzato di pubblicazione nominativa. Le disposizioni del CCDIT non sono state ritenute idonee, da sole, a costituire una base giuridica valida ai sensi dell’art. 6 GDPR e dell’art. 2-ter del Codice.

Esito: illiceità del trattamento

Il Garante ha concluso che:

• i dati relativi ai compensi di produttività di circa 70 dipendenti;
• i dati relativi alle progressioni economiche orizzontali di circa 30 dipendenti; sono stati diffusi online in assenza di idonea base giuridica, in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice privacy.

Ha inoltre rilevato che la pubblicazione era durata per quindici giorni consecutivi e che gli atti erano stati poi rimossi, escludendo però la possibilità di ulteriori misure correttive, considerato che gli effetti della condotta si erano già esauriti.

Sanzione amministrativa e criteri di quantificazione

In applicazione dell’art. 83, par. 5, GDPR, del richiamo operato dall’art. 166 del Codice e delle regole procedurali interne del Garante, è stata irrogata una sanzione amministrativa pecuniaria pari a euro 3.000.

Nella quantificazione sono stati considerati:

• la particolare delicatezza dei dati diffusi, relativi al rapporto di lavoro e a profili retributivi;
• il numero elevato di interessati coinvolti;
• il mancato rispetto di indicazioni già consolidate del Garante;
• le dimensioni ridotte del Comune;
• l’assenza di categorie particolari di dati;
• la breve durata della pubblicazione;
• l’assenza di indicizzazione su motori di ricerca generalisti;
• l’assenza di precedenti violazioni pertinenti.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Comune di Aviano;
• ordinato il pagamento della sanzione di euro 3.000;
• ricordato la possibilità di definizione agevolata della controversia con pagamento della metà della sanzione entro 30 giorni;
• ingiunto il pagamento integrale entro 30 giorni dalla notificazione in mancanza di definizione agevolata;
• disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice.

Implicazioni operative

Il provvedimento conferma che, nelle pubbliche amministrazioni, la pubblicazione all’albo pretorio online non può trasformarsi in una diffusione indiscriminata di dati personali. In particolare, dati retributivi individuali di dipendenti, premi e progressioni economiche possono essere oggetto di pubblicazione solo nei limiti strettamente previsti dalla legge e, quando consentito, in forma aggregata o comunque minimizzata. La sola previsione contenuta in un regolamento interno o in un contratto decentrato non basta a legittimare la diffusione se manca una base giuridica conforme al GDPR e al Codice privacy.