Prescrizioni del Garante n. 419 del 15/12/2022

Comune di Selegas: ammonimento per comunicazione indebita di indirizzi PEC di candidati in una procedura concorsuale

Il provvedimento riguarda il Comune di Selegas, destinatario di due reclami ex art. 77 GDPR presentati da partecipanti a una procedura concorsuale. Il procedimento trae origine da un invio di PEC cumulativa che ha reso visibili, tra i destinatari, gli indirizzi di posta elettronica certificata di altri candidati.

Origine dei reclami e oggetto delle contestazioni

Le reclamanti avevano chiesto un cambio turno con riferimento a una prova preselettiva. Il Comune avrebbe risposto con una PEC inviata a più candidati senza usare la copia conoscenza nascosta, consentendo a ciascun destinatario di visualizzare gli indirizzi PEC degli altri. Le reclamanti avevano inoltre lamentato la mancata indicazione dei dati di contatto del RPD sul sito web istituzionale.

Attività istruttoria e difese del Comune

Nella fase istruttoria il Comune ha spiegato che l’invio scorretto era dovuto a un mero errore materiale della dipendente incaricata, determinato da stanchezza e sovraccarico di lavoro nel contesto pandemico, in un ente con risorse umane molto limitate. Ha sostenuto che si era trattato di una comunicazione e non di una diffusione, che erano stati coinvolti solo dati comuni e che non risultavano conseguenze negative per gli interessati. Quanto al RPD, ha affermato che i suoi dati di contatto erano già pubblicati nella sezione privacy del sito istituzionale e nelle informative dell’ente.

Valutazioni giuridiche del Garante

Il Garante ha richiamato gli artt. 6, par. 1, lett. c) ed e), e 6, par. 2, GDPR, nonché l’art. 2-ter del Codice privacy nel testo applicabile al tempo dei fatti, ribadendo che le comunicazioni di dati personali da parte di soggetti pubblici sono ammesse solo se previste da una norma di legge o, nei casi previsti, di regolamento. Ha inoltre richiamato i principi di liceità, correttezza e trasparenza e di minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR.

Violazione accertata sulla PEC

L’Autorità ha accertato che, in data non specificata, una dipendente del Comune ha inviato una PEC a nove candidati della procedura concorsuale, rendendo visibili gli indirizzi PEC degli altri destinatari e rendendo nota la circostanza che gli interessati avevano chiesto un cambio turno per la prova preselettiva. Tale invio è stato qualificato come comunicazione illecita di dati personali, in assenza di base giuridica e in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Archiviazione della contestazione sul RPD

Per quanto riguarda i dati di contatto del RPD, il Garante ha rilevato che la pubblicazione sulla sezione privacy del sito, accessibile dalla homepage, era coerente con il documento di indirizzo del 29 aprile 2021 in materia di designazione, posizione e compiti del RPD negli enti pubblici. Poiché i recapiti erano già disponibili prima dello svolgimento del concorso, questa parte della contestazione è stata archiviata.

Graduazione della risposta sanzionatoria

Nel valutare la reazione da adottare, il Garante ha considerato che:

• l’episodio era isolato e frutto di errore umano;
• la dipendente aveva seguito corsi di formazione;
• non erano coinvolte categorie particolari di dati ex art. 9 GDPR né dati anagrafici;
• l’ente era di piccole dimensioni e con risorse limitate;
• i fatti si collocavano nel contesto dell’emergenza epidemiologica da SARS-CoV-2;
• non risultavano precedenti violazioni o provvedimenti rilevanti.

Alla luce di tali elementi, la vicenda è stata qualificata come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni, ritenendo sufficiente un ammonimento.

Decisione finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dal Comune di Selegas;
• ammonito il Comune ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• ritenuto sussistenti i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Non sono state applicate sanzioni pecuniarie e non sono state adottate ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.