Ordinanza ingiunzione o revoca n. 729 del 27/11/2024

Comune di Motta Sant'Anastasia - diffusione illecita di graduatorie per progressioni economiche orizzontali

Il provvedimento riguarda il Comune di Motta Sant'Anastasia e la pubblicazione sul sito istituzionale di determinazioni e allegati relativi a una procedura interna di progressioni economiche orizzontali del personale. Il Garante ha esaminato la vicenda a seguito del reclamo di un dipendente, contestando la diffusione online dei dati personali di circa un centinaio di partecipanti alla selezione.

Origine del reclamo e fatto contestato

Il reclamante ha rappresentato che, dopo l’approvazione del bando di selezione per le progressioni economiche, il Comune ha pubblicato due determinazioni con i relativi allegati contenenti:

• le generalità dei dipendenti partecipanti;
• il voto attribuito a ciascuno;
• la graduatoria definitiva della progressione orizzontale.

Secondo il reclamante, la pubblicazione ha reso accessibili online dati personali non necessari e idonei a diffondere informazioni riferite ai singoli dipendenti.

Attività istruttoria e difese dell’ente

Nel corso dell’istruttoria il Comune ha sostenuto che la pubblicazione fosse giustificata da più fonti:

• l’art. 19 del d.lgs. 33/2013;
• le norme sull’albo pretorio e sulla pubblicità legale, in particolare l’art. 124 del d.lgs. 267/2000 e l’art. 32 della l. 69/2009;
• il regolamento comunale per la progressione economica all’interno della categoria;
• il bando di selezione, che prevedeva contraddittorio e impugnazioni entro cinque giorni;
• il consenso degli interessati, richiamato nel bando e nell’informativa.

Il Comune ha inoltre affermato che la pubblicazione era stata limitata ai dati strettamente necessari, senza ulteriori informazioni sensibili, ed era rimasta online solo per 15 giorni.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato i principi e le basi giuridiche del trattamento nel settore pubblico, evidenziando che i dati dei lavoratori di soggetti pubblici possono essere trattati quando ciò sia necessario per:

• la gestione del rapporto di lavoro;
• l’adempimento di obblighi di legge;
• l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Quanto alla diffusione online, il Garante ha ribadito che essa è consentita solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento, ai sensi dell’art. 2-ter del Codice privacy nel testo applicabile ratione temporis. Restano inoltre fermi i principi dell’art. 5 GDPR, compresi liceità, minimizzazione e accountability.

Inconferenza dell’art. 19 d.lgs. 33/2013 e delle regole sulla trasparenza

Il Garante ha ritenuto non pertinente il richiamo all’art. 19 del d.lgs. 33/2013, poiché tale disposizione riguarda i bandi di concorso per il reclutamento di personale e le relative graduatorie finali, non le procedure interne di progressione economica orizzontale già riservate ai dipendenti in servizio.

L’Autorità ha richiamato anche gli orientamenti dell’ANAC, secondo cui le progressioni orizzontali sono escluse dall’ambito oggettivo dell’art. 19, mentre le progressioni verticali seguono un regime diverso perché assimilabili al reclutamento.

È stato inoltre osservato che la determinazione non era stata pubblicata nella sezione "Amministrazione trasparente", circostanza che confermava che la diffusione non era stata eseguita per finalità di trasparenza ex d.lgs. 33/2013.

Inconferenza dell’albo pretorio e della pubblicità legale

Anche il richiamo alle norme sull’albo pretorio è stato ritenuto non decisivo. Il Garante ha precisato che la pubblicazione all’albo pretorio o nei siti istituzionali non consente automaticamente la diffusione di dati personali e non deroga ai principi di protezione dei dati.

Le norme citate dal Comune regolano la pubblicità legale di atti amministrativi, ma non impongono la pubblicazione di graduatorie relative a progressioni economiche orizzontali. In ogni caso, anche gli atti pubblicati per pubblicità legale devono rispettare una base giuridica idonea e i principi di cui agli artt. 5, 24 e 25 GDPR.

Irrilevanza delle linee guida del Garante e degli atti interni

Il Comune aveva richiamato il punto 3.b. delle Linee guida del Garante in materia di pubblicità e trasparenza online, sostenendo che esso consentisse la pubblicazione delle graduatorie finali.

Il Garante ha chiarito che quel passaggio riguarda gli esiti di concorsi e selezioni pubbliche e altri procedimenti che, in presenza di speciali disposizioni di settore, prevedono graduatorie da pubblicare. Nel caso esaminato, però, mancava una norma settoriale idonea a legittimare la diffusione delle graduatorie delle progressioni economiche orizzontali.

Anche il regolamento comunale e il bando sono stati ritenuti insufficienti a costituire una base giuridica valida ai sensi dell’art. 2-ter Codice privacy, non potendo un atto interno dell’ente derogare a una disciplina uniforme di livello nazionale.

Inidoneità del consenso richiamato dal bando

Il Garante ha escluso che il consenso degli interessati potesse costituire base giuridica della pubblicazione. Nel contesto del rapporto di lavoro con un soggetto pubblico, infatti, il trattamento trova fondamento nella disciplina di settore e non nel consenso, anche per la fisiologica asimmetria tra titolare e interessato.

Accertamento della violazione

L’Autorità ha quindi accertato che il Comune ha diffuso online, per un periodo di 15 giorni, le determinazioni e i relativi allegati contenenti i dati personali del reclamante e di circa un centinaio di dipendenti, in assenza di un idoneo presupposto normativo.

La condotta è stata qualificata come violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter Codice privacy.

Valutazione sulla sanzione

Il Garante ha precisato che le violazioni derivano da un’unica condotta e che, ai sensi dell’art. 83, par. 3, GDPR, la sanzione complessiva non può superare quella prevista per la violazione più grave. Nel caso concreto, la violazione rientra tra quelle sanzionate dall’art. 83, par. 5, GDPR.

Ai fini della quantificazione, sono stati valorizzati:

• il numero degli interessati coinvolti, pari a circa un centinaio;
• la durata limitata della pubblicazione;
• l’assenza di dati appartenenti a categorie particolari o relativi a condanne penali e reati;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione del Comune con l’Autorità.

Il livello di gravità è stato considerato medio e la sanzione è stata determinata in euro 10.000, ritenuta effettiva, proporzionata e dissuasiva.

Provvedimenti finali

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato al Comune di pagare euro 10.000 a titolo di sanzione amministrativa pecuniaria;
• ingiunto il pagamento entro 30 giorni dalla notificazione, salvo la facoltà di definizione agevolata ai sensi dell’art. 166, comma 8, Codice privacy;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione delle violazioni nel registro interno.

Poiché la condotta aveva già esaurito i propri effetti con la rimozione dei documenti dal sito istituzionale, non sono state adottate ulteriori misure correttive ex art. 58, par. 2, GDPR.

Impugnazioni

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.