Ordinanza ingiunzione o revoca n. 202 del 26/03/2026

Comune di XX: pubblicazione illecita all’albo pretorio online di dati personali e dati sulla salute di una dipendente

Il Garante ha esaminato un reclamo proposto da una dipendente del Comune, nella quale si contestava la pubblicazione, nell’albo pretorio online e poi nell’albo pretorio storico, di una delibera di giunta e di una determinazione contenenti dati personali riferibili alla sua persona, inclusi elementi particolarmente delicati e dati relativi alla salute. Il procedimento si è concluso con l’accertamento dell’illiceità del trattamento e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

La reclamante, in servizio presso il Comune quale segretario generale, ha lamentato la diffusione di atti che riportavano riferimenti idonei a identificarla, nonostante l’uso delle sole iniziali. Nella delibera erano presenti richiami allo stato di gravidanza e maternità, alla fruizione del congedo parentale e, nella determinazione, all’assenza per malattia. Il Garante, accedendo ai link segnalati, ha riscontrato la pubblicazione degli atti nell’albo pretorio storico del sito istituzionale.

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione dei principi di liceità, correttezza e trasparenza e di minimizzazione, nonché degli artt. 6, 9 GDPR, 2-ter e 2-septies, comma 8, del Codice. Il Comune ha svolto difese, sostenendo che si trattasse di un errore organizzativo e tecnico nella fase di pubblicazione digitale di atti comunque leciti e che la base giuridica fosse quella dell’interesse pubblico e della pubblicità legale. Ha inoltre riferito di aver rimosso e oscurato i dati, disabilitato la consultabilità dell’albo pretorio storico oltre i termini di legge e avviato misure organizzative e formative.

Qualificazione dei dati personali e dei dati relativi alla salute

Il Garante ha rilevato che la reclamante era comunque identificabile, sia pure mediante iniziali, per il contesto istituzionale, il ruolo di segretario generale e l’indicazione del genere. Le informazioni presenti negli atti sono state qualificate come dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR.

Quanto all’indicazione dell’assenza per malattia, l’Autorità ha ribadito che rientra nella nozione di dato relativo alla salute anche l’informazione sull’assenza dal servizio per malattia, pure in assenza di diagnosi esplicita. Ha richiamato la propria precedente prassi, il consolidato orientamento della Corte di giustizia e la giurisprudenza nazionale, osservando che i dati relativi alla salute non possono in nessun caso essere diffusi, ai sensi dell’art. 2-septies, comma 8, del Codice e dell’art. 9, par. 4, GDPR.

Violazioni accertate e limiti della pubblicità legale

Il Garante ha chiarito che la mera esistenza di un obbligo di pubblicità legale non consente la diffusione automatica online di qualsiasi dato contenuto in atti amministrativi. Anche le pubblicazioni all’albo pretorio online devono rispettare i principi di protezione dei dati personali e richiedono un’idonea base giuridica per la diffusione.

Nel caso di specie, il Comune non aveva individuato una norma che imponesse la pubblicazione di atti contenenti informazioni riferite a vicende del rapporto di lavoro di singoli dipendenti, tanto meno con dati particolari e dati sanitari. Inoltre, la pubblicazione si era protratta oltre il termine di 15 giorni previsto dalla disciplina sulla pubblicità legale. Il Garante ha quindi concluso che la diffusione era avvenuta in assenza di idonea base giuridica e in violazione degli artt. 5, par. 1, lett. a) e c), 6 e 9 GDPR, nonché degli artt. 2-ter e 2-septies, comma 8, del Codice.

Esito del procedimento e sanzione

L’Autorità ha ritenuto che le giustificazioni del Comune non fossero sufficienti a determinare l’archiviazione e ha accertato l’illiceità del trattamento. Ha escluso l’adozione di ulteriori misure correttive ex art. 58, par. 2, GDPR, osservando che la condotta aveva ormai esaurito i suoi effetti per effetto della rimozione e dell’oscuramento dei dati dal sito istituzionale.

Ai fini sanzionatori, il Garante ha applicato l’art. 83, par. 3, GDPR, ricondotto la violazione alla fascia di cui all’art. 83, par. 5, GDPR, e considerato i criteri dell’art. 83, par. 2: durata della pubblicazione, natura colposa della condotta, tipologia dei dati trattati, iniziative correttive del titolare, cooperazione con l’Autorità e assenza di precedenti specifici. In ragione di tali elementi, ha determinato la sanzione in euro 5.000,00.

Dispositivo e adempimenti conseguenti

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Comune;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 5.000,00;
• ricordato la facoltà di definizione agevolata mediante pagamento di metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto il pagamento integrale entro 30 giorni dalla notificazione, in difetto di definizione della controversia;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno previsto dal Regolamento del Garante n. 1/2019.

È stata infine indicata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011.