Ordinanza ingiunzione o revoca n. 204 del 10/04/2025

Comune di Ponte nelle Alpi: diffusione illecita dei punteggi di performance dei dipendenti

Il Garante ha esaminato un reclamo presentato da alcuni dipendenti del Comune di Ponte nelle Alpi per la pubblicazione, sul sito istituzionale e all’albo pretorio, di deliberazioni relative alla performance contenenti i nominativi dei lavoratori e il punteggio individuale attribuito. Il procedimento si è concluso con l’accertamento dell’illiceità della diffusione e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e fatti contestati

I reclamanti hanno lamentato che il Comune avesse reso pubbliche le valutazioni individuali dei dipendenti ai fini dell’attribuzione dei premi per il raggiungimento degli obiettivi di performance. In fase istruttoria è emerso che erano state pubblicate deliberazioni della Giunta comunale relative alla relazione sulla performance per più annualità, con allegati elenchi recanti nome, cognome e punteggio di ciascun dipendente.

Attività istruttoria e difese dell’ente

Il Comune ha sostenuto che la pubblicazione fosse lecita in base:

• all’art. 124 del d.lgs. 267/2000, per la pubblicazione all’albo pretorio;
• all’art. 2-ter del Codice privacy, quale base giuridica della diffusione;
• al proprio regolamento interno sul sistema di misurazione e valutazione della performance;
• alla normativa sulla trasparenza del d.lgs. 33/2013.

L’ente ha inoltre affermato che la relazione sulla performance era pubblicata solo per 15 giorni e che, nella sezione "Amministrazione trasparente", i nominativi erano sostituiti da numeri progressivi, mentre i dati relativi alla distribuzione dei premi erano resi in forma aggregata.

Quadro normativo richiamato dal Garante

L’Autorità ha ricordato che i soggetti pubblici possono trattare dati personali nel contesto lavorativo solo quando il trattamento sia necessario per la gestione del rapporto di lavoro o per l’adempimento di obblighi previsti dalla legge o dal diritto dell’Unione o degli Stati membri, nel rispetto degli artt. 5, 6, 9 e 88 GDPR e dell’art. 2-ter del Codice.

Per la diffusione online dei dati personali, il Garante ha ribadito che è necessaria una specifica base normativa e che non sono ammessi automatismi tra pubblicità dell’atto e diffusione dei dati in esso contenuti. Il titolare deve inoltre rispettare i principi di liceità, minimizzazione, accountability e privacy by default.

Illiceità della pubblicazione all’albo pretorio

Secondo il Garante, l’art. 124 TUEL disciplina la pubblicazione delle deliberazioni per 15 giorni, ma non legittima automaticamente la diffusione online di qualunque dato personale contenuto negli atti. Nel caso concreto, le deliberazioni pubblicate riportavano dati personali dei dipendenti non necessari rispetto alla finalità di pubblicità dell’atto.

L’Autorità ha inoltre evidenziato che il regolamento comunale richiamato dall’ente non può fungere da base giuridica sufficiente per un trattamento diffusivo così incisivo, specie in una materia già oggetto di disciplina uniforme a livello nazionale.

Trasparenza amministrativa e forma aggregata dei dati

Quanto alla pubblicazione nella sezione "Amministrazione trasparente", il Garante ha chiarito che il d.lgs. 33/2013 impone, per la performance, la pubblicazione dei criteri e dei dati relativi alla distribuzione del trattamento accessorio in forma aggregata. La normativa non consente la pubblicazione nominativa dei punteggi dei singoli dipendenti.

Per questo motivo il richiamo all’art. 10, comma 8, lett. b), d.lgs. 33/2013 è stato ritenuto inconferente, e non è stato riconosciuto alcun titolo normativo idoneo a giustificare la diffusione dei dati personali dei lavoratori.

Valutazione finale e conseguenze sanzionatorie

Il Garante ha concluso che la pubblicazione delle deliberazioni ha determinato una diffusione illecita dei dati personali di circa 40 dipendenti, in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice. La condotta è stata considerata unitaria, con applicazione dell’art. 83, par. 3, GDPR.

Nella quantificazione della sanzione sono stati considerati:

• la gravità media della violazione;
• il numero degli interessati coinvolti;
• la durata limitata della pubblicazione, pari a 15 giorni;
• l’assenza di dati appartenenti a categorie particolari o relativi a reati;
• l’errore interpretativo del Comune;
• l’assenza di precedenti;
• la cooperazione prestata dall’ente;
• le ridotte dimensioni del Comune.

In ragione di tali elementi, la sanzione è stata fissata in euro 4.000.

Misure adottate e impugnazione

Poiché il Comune aveva già rimosso dal sito le deliberazioni contenenti i dati personali e nella sezione "Amministrazione trasparente" i nominativi risultavano sostituiti da numeri progressivi, il Garante ha escluso la necessità di ulteriori misure correttive.

È stata invece disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno previsto dal Regolamento n. 1/2019.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.