Ordinanza ingiunzione o revoca n. 320 del 04/06/2025

Comune di Roccaforzata: diffusione online di atti amministrativi con dati personali e dati sulla salute

Il provvedimento riguarda il Comune di Roccaforzata, destinatario di un’ordinanza ingiunzione per avere pubblicato sul proprio sito istituzionale e all’Albo pretorio atti amministrativi contenenti dati personali del reclamante, anche relativi alla salute, nonché dati personali di altri dipendenti in occasione delle elezioni RSU. Il procedimento è stato avviato a seguito di reclamo ex art. 77 GDPR.

Origine del reclamo e documenti pubblicati

Il reclamante, ex dipendente comunale, ha segnalato la diffusione online di diversi atti amministrativi, tra cui:

• una delibera di Giunta e una determinazione con cui il Comune proponeva appello in un contenzioso già definito in primo grado;
• una delibera di Consiglio per il riconoscimento di un debito fuori bilancio conseguente a una sentenza del giudice del lavoro che aveva condannato il Comune al risarcimento danni per "mobbing";
• l’elenco completo dei dipendenti per le elezioni RSU, con indirizzi di residenza;
• una delibera di Giunta relativa alla concessione del congedo straordinario retribuito ex art. 42, comma 5, d.lgs. 151/2001.

Difese del Comune

Il Comune ha sostenuto di aver adottato cautele di pseudonimizzazione, sostituendo nome e cognome con iniziali oppure con un codice matricola, e ha richiamato quale base giuridica la disciplina sulla pubblicità degli atti amministrativi, in particolare l’art. 124 TUEL e l’art. 32, comma 1, della legge n. 69/2009. Per la lista RSU ha richiamato una circolare ARAN e ha osservato che non si tratterebbe di categorie particolari di dati. Ha inoltre dichiarato di aver rimosso dal sito tutti gli atti oggetto di reclamo.

Quadro normativo richiamato dal Garante

L’Autorità richiama i principi generali del GDPR e del Codice privacy applicabili ai soggetti pubblici nel contesto lavorativo:

• art. 5 GDPR, in particolare liceità, correttezza, minimizzazione e limitazione;
• art. 6, par. 1, lett. c) ed e), e parr. 2 e 3 GDPR;
• art. 9, par. 2, lett. b) e g), GDPR;
• art. 2-ter del Codice, sulla diffusione dei dati da parte di soggetti pubblici;
• art. 2-septies, comma 8, del Codice, sul divieto di diffusione dei dati relativi alla salute. Richiama inoltre le Linee guida del Garante del 15 maggio 2014 in materia di pubblicità e trasparenza sul web e le precedenti decisioni che ribadiscono che l’Albo pretorio online non consente una pubblicazione automatica e illimitata dei dati personali.

Valutazioni sulla diffusione dei dati personali

Secondo il Garante, l’utilizzo delle sole iniziali del nome e cognome non era sufficiente a impedire l’identificazione del reclamante, considerato il contesto lavorativo ristretto, le dimensioni del Comune e la peculiarità del nominativo. Il trattamento è stato ritenuto illecito perché il Comune ha diffuso atti e documenti senza una base giuridica adeguata e senza una corretta anonimizzazione.

Il Garante rileva anche che la pubblicazione all’Albo pretorio non può durare oltre il termine legale di 15 giorni e che, decorso tale termine, l’eventuale permanenza online dei dati costituisce diffusione priva di idoneo presupposto normativo. Il richiamo alla pubblicità degli atti non è stato quindi ritenuto sufficiente a giustificare la diffusione dei dati contenuti nei documenti.

Dati relativi alla salute

L’Autorità qualifica come dati sulla salute sia il riferimento al congedo straordinario ex art. 42, comma 5, d.lgs. 151/2001, sia l’indicazione della percentuale di invalidità riconosciuta al reclamante. Tali informazioni sono considerate idonee a rivelare lo stato di salute e, in quanto tali, non diffondibili. La pubblicazione di tali elementi integra quindi una violazione particolarmente rilevante della disciplina di settore.

Elenco RSU e indirizzi di residenza

Quanto alla lista dei dipendenti per le elezioni RSU, il Garante precisa che, in assenza di ulteriori elementi, il solo elenco non integra dati particolari. Tuttavia, la pubblicazione degli indirizzi di residenza dei dipendenti è stata considerata diffusione di dati comuni non necessaria e ultronea rispetto a quanto previsto dalla normativa di riferimento.

Esito del procedimento e sanzione

Il Garante conclude per l’illiceità del trattamento, ravvisando la violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-septies, comma 8, del Codice. Poiché le violazioni derivano da un’unica condotta, si applica l’art. 83, par. 3, GDPR. Tenendo conto della gravità media della violazione, delle dimensioni ridotte del Comune, della diffusione anche di dati sulla salute, dell’assenza di precedenti pertinenti e della cooperazione prestata, viene irrogata una sanzione amministrativa pecuniaria di euro 8.000.

Misure accessorie e rimedi

Il provvedimento dispone:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno dell’Autorità. Non vengono adottate ulteriori misure correttive, poiché il Comune ha dichiarato di aver rimosso dal sito tutti gli atti oggetto di reclamo. È inoltre ricordata la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge e la possibilità di ricorrere all’autorità giudiziaria ordinaria nei termini previsti.