Ordinanza ingiunzione o revoca n. 615 del 03/09/2026

Sanzione al Comune di Aprilia per la comunicazione di una segnalazione al datore di lavoro

Il provvedimento n. 615 del 3 settembre 2026 riguarda un reclamo relativo alla comunicazione, da parte del Comune di Aprilia, dei dati personali e della PEC di un dipendente all’Azienda speciale comunale presso cui lavorava. Il Garante ha accertato che la comunicazione è avvenuta senza un’adeguata base giuridica e in violazione dei principi di liceità, limitazione delle finalità e minimizzazione. Il procedimento ha riguardato esclusivamente il Comune, non i successivi trattamenti effettuati dall’Azienda.

Origine del procedimento e contesto istituzionale

Il reclamante aveva inviato al protocollo del Comune una PEC con cui chiedeva un incontro alla Commissione straordinaria, dichiarando di voler fornire informazioni dettagliate su una gestione gravemente critica dell’Azienda speciale e richiamando anche una propria situazione di mobbing. La comunicazione non conteneva allegati né fatti specificamente descritti e il reclamante si era dichiarato disponibile a fornire ulteriori chiarimenti o documenti.

Il Comune era stato sciolto con decreto del Presidente della Repubblica del 23 aprile 2025 ai sensi dell’art. 143 del d.lgs. 267/2000, con nomina di una Commissione straordinaria. Secondo il Comune, il trattamento si inseriva nella fase iniziale di ricognizione, verifica e ripristino della legalità amministrativa e gestionale dell’ente e delle società o aziende partecipate.

Trattamento esaminato

Senza acquisire direttamente dal reclamante ulteriori elementi sulla segnalazione, il Comune ha inoltrato la PEC all’Azienda speciale, comunicando l’identità dell’interessato e chiedendo al Collegio dei liquidatori una relazione sul dipendente e su quanto da lui rappresentato.

L’Azienda ha quindi avviato un procedimento disciplinare nei confronti del dipendente, concluso con il licenziamento per giusta causa, e ha trasmesso al Comune una relazione dettagliata sulle vicende lavorative dell’interessato, comprensiva di precedenti contestazioni e sanzioni disciplinari. Il Comune non ha poi svolto l’incontro richiesto né ulteriori approfondimenti con il reclamante.

Il Garante ha precisato che i trattamenti successivi dell’Azienda, compreso quello connesso al procedimento disciplinare e al licenziamento, non sono stati oggetto di valutazione, poiché il reclamo era stato presentato nei confronti del Comune e il reclamante disponeva di strumenti di tutela distinti nei confronti del datore di lavoro.

Base giuridica e norme applicabili

Per i soggetti pubblici, il trattamento deve fondarsi, secondo l’art. 6, par. 1, lett. c) o e), GDPR, sulla necessità di adempiere un obbligo legale oppure sull’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. L’art. 6, par. 2 e par. 3, lett. b), GDPR richiede inoltre che la base normativa nazionale specifichi, tra gli altri elementi, le condizioni di liceità, le categorie di dati, gli interessati, i destinatari, le finalità e le modalità del trattamento.

L’art. 2-ter del Codice stabilisce che, per i trattamenti fondati su un compito di interesse pubblico o sull’esercizio di pubblici poteri, la base giuridica deve essere costituita da una norma di legge o di regolamento oppure da un atto amministrativo generale. La comunicazione a un altro titolare per finalità ulteriori è ammessa soltanto nei casi previsti dalla legge o quando risulti necessaria secondo le condizioni stabilite dalla medesima disposizione.

Il Garante ha richiamato anche l’art. 2-decies del Codice, secondo cui la comunicazione e la conseguente acquisizione dei dati da parte di altro titolare, se effettuate senza adeguata base giuridica, costituiscono una violazione della disciplina privacy e non consentono l’utilizzo dei dati, salvo quanto previsto dall’art. 160-bis del Codice.

Inidoneità delle norme invocate dal Comune

Il Comune aveva richiamato, tra l’altro, l’art. 9 del d.lgs. 175/2016 e gli artt. 114, 143, 144, 145 e 147-quater del d.lgs. 267/2000, oltre al decreto di scioglimento dell’ente.

Il Garante ha ritenuto che tali disposizioni disciplinassero profili generali dei rapporti tra ente locale e società o aziende partecipate, dei controlli gestionali, dello scioglimento dell’ente e dei poteri della Commissione straordinaria, ma non prevedessero specificamente la comunicazione dei dati personali del reclamante all’Azienda per ottenere una relazione sul suo rapporto di lavoro.

In particolare, i poteri ispettivi riconducibili all’art. 145, comma 4, del d.lgs. 267/2000, anche in relazione all’art. 14, comma 3-bis, del decreto-legge n. 152/1991, convertito dalla legge n. 203/1991, riguardavano informazioni sull’espletamento di gare d’appalto e sull’esecuzione di contratti d’appalto. La richiesta del Comune non riguardava alcuna gara o contratto, ma era diretta a ottenere una relazione sul dipendente.

Il richiamo generale ai compiti istituzionali della Commissione straordinaria e alle funzioni di vigilanza sulle partecipate non è stato quindi considerato sufficiente a fondare la comunicazione dei dati a un soggetto terzo e titolare autonomo del trattamento.

Violazione dei principi di liceità, correttezza e trasparenza

Il Comune aveva inizialmente indicato in modo generico l’art. 6, par. 1, lett. e), GDPR, sostenendo che il trattamento fosse effettuato nell’ambito di compiti di interesse pubblico e dei poteri della Commissione straordinaria. Non aveva però individuato una specifica norma che autorizzasse la comunicazione dei dati e della PEC all’Azienda speciale.

La comunicazione è stata pertanto ritenuta effettuata in assenza di un idoneo presupposto normativo, in violazione:

• dell’art. 5, par. 1, lett. a), GDPR, quanto ai principi di liceità, correttezza e trasparenza;
• dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR;
• dell’art. 2-ter del Codice.

Violazione della limitazione delle finalità

Il Comune ha dichiarato che la comunicazione era finalizzata a verificare l’attendibilità della segnalazione e a svolgere una corretta istruttoria. Tuttavia, il Garante non ha rilevato elementi sufficienti per dimostrare l’effettivo svolgimento di un’istruttoria coerente con tale finalità.

La richiesta rivolta all’Azienda consisteva in una relazione sul dipendente e sui contenuti della sua nota. Tale richiesta, indirizzata proprio al soggetto segnalato e datore di lavoro dell’interessato, non era idonea, già in astratto, a verificare la fondatezza delle generiche criticità rappresentate nella PEC. Il riscontro ricevuto si era infatti concentrato esclusivamente sulle vicende disciplinari e lavorative del dipendente, senza chiarire la gestione dell’Azienda oggetto della segnalazione.

Il Comune non aveva competenza sulla gestione del personale dell’Azienda e non avrebbe potuto adottare determinazioni sul rapporto di lavoro. La comunicazione ha quindi consentito un trattamento orientato verso una finalità diversa da quella dichiarata, in violazione dell’art. 5, par. 1, lett. b), GDPR.

Violazione della minimizzazione e rischio di ritorsioni

Sebbene il reclamante non avesse chiesto di mantenere riservata la propria identità né invocato formalmente strumenti di tutela del segnalante, il Garante ha ritenuto che il Comune dovesse comunque adottare cautele nella gestione delle informazioni preliminari.

La posizione del reclamante, che aveva chiesto l’intervento della Commissione straordinaria per portare all’attenzione possibili comportamenti illeciti del proprio datore di lavoro, rendeva prevedibile un rischio di effetti ritorsivi. Il Comune avrebbe dovuto considerare tale rischio prima di trasmettere la PEC e identificare l’interessato al soggetto segnalato.

Tra le alternative praticabili sono state indicate:

• l’acquisizione preliminare di chiarimenti e documenti direttamente dal reclamante;
• la richiesta all’Azienda di informazioni sui fatti segnalati senza rivelare l’identità dell’interessato;
• l’utilizzo di ulteriori strumenti previsti dall’ordinamento per verificare preliminarmente le circostanze rappresentate;
• l’adozione di cautele idonee a evitare l’esposizione del lavoratore a ritorsioni.

La trasmissione integrale della PEC e la richiesta di una relazione sul dipendente non sono state quindi considerate adeguate, pertinenti e limitate a quanto necessario, in violazione dell’art. 5, par. 1, lett. c), GDPR.

Esito dell’istruttoria e responsabilità del Comune

Le memorie difensive del Comune non hanno superato i rilievi formulati nell’atto di avvio del procedimento. Il Garante ha confermato l’illiceità del trattamento per violazione congiunta degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice.

La condotta è stata considerata unica, poiché le violazioni derivavano dalla medesima comunicazione o da trattamenti tra loro collegati. Di conseguenza, ai sensi dell’art. 83, par. 3, GDPR, l’importo complessivo non poteva superare il limite previsto per la violazione più grave.

Sanzione e criteri di quantificazione

La violazione è stata ricondotta all’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice. Il limite astratto della sanzione era quindi pari a 20 milioni di euro.

Il Garante ha applicato i criteri dell’art. 83, par. 2, GDPR, valutando in particolare:

• l’uso dei dati di un solo interessato, ma con un impatto significativo derivante dalla comunicazione al suo datore di lavoro;
• il carattere colposo della condotta, determinato dall’erronea convinzione dell’esistenza di una base giuridica;
• l’assenza di dati appartenenti alle categorie particolari di cui all’art. 9 GDPR o relativi a condanne penali e reati ai sensi dell’art. 10 GDPR;
• la gravità complessiva media, anche alla luce del punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative, adottate il 24 maggio 2023;
• le dimensioni medie del Comune;
• l’assenza di precedenti violazioni pertinenti;
• il particolare contesto della fase iniziale del mandato commissariale e della gestione di una segnalazione relativa a possibili criticità in un’azienda affidataria di servizi pubblici;
• la mancata adozione di misure idonee ad attenuare il danno, poiché il Comune non aveva svolto ulteriori verifiche prima di coinvolgere l’Azienda.

Sulla base della valutazione complessiva, la sanzione è stata determinata in 5.000 euro, ritenuti effettivi, proporzionati e dissuasivi ai sensi dell’art. 83, par. 1, GDPR.

Misure e disposizioni finali

Poiché la condotta aveva esaurito i propri effetti, il Garante non ha adottato ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

È stata tuttavia disposta:

• l’ingiunzione al Comune di pagare 5.000 euro;
• la facoltà di definire la controversia mediante pagamento della metà della sanzione, pari a 2.500 euro, entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• in mancanza, il pagamento dell’intero importo entro 30 giorni dalla notifica, con conseguenti atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981;
• la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice, dell’art. 154-bis, comma 3, del Codice e degli artt. 16 e 37 del Regolamento del Garante n. 1/2019;
• l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero, ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.