Ordinanza ingiunzione o revoca n. 523 del 14/07/2026

Diffusione online di dati TARI da parte del Comune di Rieti

Il provvedimento riguarda un’ordinanza ingiunzione adottata nei confronti del Comune di Rieti a seguito della pubblicazione sul sito istituzionale, sull’Albo Pretorio e nella sezione “Amministrazione trasparente”, di una determinazione corredata da allegati non destinati alla pubblicazione. Tra tali allegati figuravano un elenco di lavoratori della società affidataria del servizio e un ruolo TARI contenente dati relativi a circa 31.050 interessati.

Fatto e origine del procedimento

L’Autorità è stata informata mediante una segnalazione ai sensi dell’art. 144 del Codice, anche a seguito di notizie di stampa relative alla diffusione online dei dati di oltre 31.000 cittadini e imprese. Il Comune ha successivamente notificato la violazione al Garante ai sensi dell’art. 33 GDPR.

La pubblicazione è stata attribuita a un errore materiale verificatosi in assenza del dipendente normalmente incaricato. Il dirigente che aveva effettuato la pubblicazione non era a conoscenza del fatto che il software fosse configurato per pubblicare automaticamente gli allegati. La pubblicazione è stata rimossa quando l’operatore incaricato, al rientro in servizio, ha controllato gli atti pubblicati e ha rilevato l’anomalia.

Il Comune ha indicato 31 download, tutti effettuati da soggetti esterni, e 57 visualizzazioni complessive, di cui 44 da parte di soggetti esterni e 13 da parte di dipendenti comunali.

Trattamenti e dati coinvolti

La determinazione e gli allegati hanno reso accessibili a un numero indefinito di persone dati riferiti a:

• circa 31.050 utenti e contribuenti TARI, persone fisiche e giuridiche;
• dipendenti della società affidataria, con indicazione di nome e cognome;
• persone fisiche identificabili anche attraverso imprese individuali o società di persone.

Per gli utenti TARI sono stati diffusi, tra gli altri, nome, cognome, sesso, data e luogo di nascita, codice fiscale, residenza, dati catastali, indirizzo degli immobili, categoria e codice dell’utenza, nonché superficie degli immobili soggetti a tassazione.

Il Garante ha precisato che le persone giuridiche, in quanto tali, non rientrano nell’ambito della nozione di interessato prevista dal GDPR; tuttavia, imprese individuali, società di persone e altre realtà la cui denominazione consenta di identificare persone fisiche possono implicare il trattamento di dati personali.

Base giuridica e limiti della pubblicità amministrativa

Il Comune aveva richiamato l’art. 6, par. 1, lett. c), GDPR, la legge n. 69/2009 per l’Albo Pretorio e il d.lgs. n. 33/2013 per la sezione “Amministrazione trasparente”.

Il Garante ha chiarito che l’esistenza di un obbligo di pubblicità legale o trasparenza non determina alcun automatismo nella diffusione online di tutti i dati contenuti in un atto. Prima della pubblicazione, il titolare deve verificare:

• l’esistenza di una specifica disposizione che autorizzi la diffusione;
• quali dati siano effettivamente necessari per la finalità di pubblicità o trasparenza;
• la pertinenza, adeguatezza e non eccedenza delle informazioni pubblicate;
• le modalità, i tempi e il formato prescritti dalla disciplina applicabile.

Sono richiamate le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web”, adottate con provvedimento n. 243 del 15 maggio 2014, nonché il provvedimento n. 423 del 17 luglio 2025 e le FAQ ANAC sull’applicazione del d.lgs. n. 33/2013. In particolare, nella sezione “Amministrazione trasparente” devono essere pubblicate le informazioni puntualmente previste dalla normativa, non necessariamente gli atti amministrativi in versione integrale.

Il Garante ha anche escluso che la possibile reperibilità di singoli dati catastali tramite sistemi come la piattaforma SISTER renda lecita la loro diffusione massiva. L’accessibilità mediante ricerche selettive e riferite a singoli interessati è diversa dalla pubblicazione immediata e cumulativa di un grande insieme di dati.

Violazioni dei principi di liceità, minimizzazione, integrità e riservatezza

Il Comune ha violato gli artt. 5, par. 1, lett. a), c) e f), GDPR. La pubblicazione ha ecceduto quanto necessario rispetto alle finalità di pubblicità legale e trasparenza e ha consentito a soggetti non autorizzati di conoscere una quantità ingente di dati personali.

Il Garante ha rilevato che la categoria di utenza TARI poteva fornire informazioni altamente personali, anche in relazione al tenore di vita desumibile dal tipo di abitazione, come abitazione signorile, popolare o ultrapopolare. Tali informazioni, associate a dati identificativi, indirizzi e dati catastali, potevano accrescere i rischi per gli interessati, inclusi furti, frodi o discriminazioni.

Privacy by design e by default

Il software di gestione dell’Albo Pretorio era configurato per pubblicare automaticamente gli allegati. L’operatore doveva intervenire attivamente per rimuovere il flag “Pubblica”.

Secondo il Garante, una simile logica opt-out è incompatibile con l’art. 25 GDPR, perché rende accessibili a un numero indefinito di persone dati che non sono necessariamente necessari per la specifica finalità. La configurazione avrebbe dovuto adottare una logica opt-in, nella quale la pubblicazione dell’allegato richiedesse una scelta consapevole e attiva dell’operatore.

La configurazione automatica ha inoltre aumentato il rischio di diffusione accidentale in caso di errore umano o malfunzionamento, soprattutto considerando che gli allegati potevano contenere file di grandi dimensioni e informazioni estranee all’oggetto della pubblicazione.

Misure di sicurezza e controlli insufficienti

Il Comune aveva indicato formazione e sensibilizzazione del personale quali misure tecniche e organizzative esistenti al momento della violazione. Tuttavia, il Garante ha ritenuto tali misure non sufficienti a garantire un livello di sicurezza adeguato al rischio ai sensi degli artt. 25 e 32 GDPR.

L’art. 32 impone al titolare di adottare misure idonee a garantire, tra l’altro, la riservatezza e l’integrità dei sistemi e dei servizi di trattamento, nonché procedure per testare, verificare e valutare regolarmente l’efficacia delle misure adottate. La violazione ha dimostrato che il Comune non disponeva di controlli preventivi o di sistemi idonei a rilevare tempestivamente la pubblicazione di allegati non autorizzati.

L’errore è stato scoperto solo successivamente, mediante un controllo manuale effettuato dal dipendente incaricato al rientro in servizio. Il Garante ha richiamato il considerando 78 GDPR, le Linee guida EDPB 4/2019 sull’art. 25 e le Linee guida del Gruppo di lavoro art. 29, fatte proprie dall’EDPB, secondo cui la capacità di individuare, gestire e notificare tempestivamente una violazione costituisce un elemento essenziale della sicurezza del trattamento.

Accountability e responsabilità del Comune

Sono state accertate anche violazioni degli artt. 5, par. 2, e 24 GDPR. Il titolare deve essere in grado di dimostrare la conformità dei trattamenti e deve adottare misure tecniche e organizzative adeguate tenendo conto della natura, dell’ambito, del contesto, delle finalità e dei rischi del trattamento.

Il fatto che la piattaforma fosse gestita da una società designata quale responsabile del trattamento ai sensi dell’art. 28 GDPR non ha escluso la responsabilità del Comune. Il Garante ha ribadito che sul titolare grava una responsabilità generale per i trattamenti effettuati per suo conto, anche quando gli aspetti operativi o tecnologici siano affidati a un fornitore esterno.

Valutazione del rischio e comunicazione agli interessati

Il Comune ha inizialmente ritenuto non necessaria la comunicazione agli interessati prevista dall’art. 34 GDPR, poiché i dati pubblicati non appartenevano alle categorie particolari di cui all’art. 9 né riguardavano condanne penali e reati ai sensi dell’art. 10.

Il Garante ha ritenuto tale valutazione incompleta. L’assenza di dati appartenenti agli artt. 9 e 10 GDPR non esclude automaticamente un rischio elevato. La valutazione deve considerare tutte le circostanze concrete, tra cui:

• il numero molto elevato di interessati;
• la combinazione di dati identificativi, indirizzi, dati catastali e informazioni sulle abitazioni;
• la possibilità di desumere il tenore di vita o la condizione abitativa degli interessati;
• la libera accessibilità dei dati da parte di soggetti non autorizzati;
• la durata della pubblicazione e il numero di download e visualizzazioni;
• le possibili conseguenze, quali maggiore esposizione a furti, frodi o discriminazioni.

Il comunicato stampa successivamente pubblicato dal Comune e rilanciato da testate locali non è stato ritenuto equivalente alla comunicazione richiesta dall’art. 34 GDPR. Esso non indicava in modo adeguato la natura della violazione, le categorie di interessati e le tipologie di dati coinvolti; inoltre, riportava l’inesatta affermazione secondo cui i dati relativi alle persone giuridiche sarebbero estranei alla disciplina della privacy, senza chiarire il possibile coinvolgimento di persone fisiche attraverso imprese individuali o società di persone.

Il comunicato lasciava inoltre intendere che la decisione sulla comunicazione dovesse essere rimessa al Garante, anziché essere assunta autonomamente dal titolare nell’ambito del principio di responsabilizzazione. Il titolo, riferito a una “risposta” a un consigliere e alla presunta assenza di lentezza o reticenza, non era immediatamente riconducibile a una violazione dei dati personali e il contenuto era reperibile solo attraverso una ricerca nella sezione dei comunicati stampa.

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), 12, par. 1, e 34 GDPR e le Linee guida EDPB 9/2022, adottate il 28 marzo 2023, secondo cui la comunicazione deve consentire agli interessati di comprendere la natura della violazione e deve essere effettuata, in linea di principio, direttamente, salvo che ciò richieda sforzi sproporzionati. Anche in tale ipotesi, la comunicazione pubblica deve avere efficacia analoga.

Esito e qualificazione delle violazioni

Il Garante ha confermato l’illiceità del trattamento per violazione degli artt. 5, parr. 1, lett. a), c) e f), e 2, 12, par. 1, 24, 25, 32 e 34 GDPR.

Poiché la condotta è stata considerata unitaria e riferita alla medesima violazione, è stato applicato l’art. 83, par. 3, GDPR. L’importo complessivo non poteva quindi superare il massimale previsto per la violazione più grave. Essendo coinvolti gli artt. 5 e 12 GDPR, il quadro sanzionatorio applicabile è stato individuato nell’art. 83, par. 5, GDPR, con limite massimo di 20 milioni di euro, come richiamato dall’art. 166, comma 2, del Codice.

Non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta aveva esaurito i propri effetti.

Sanzione e criteri di quantificazione

Il Garante ha applicato una sanzione amministrativa pecuniaria di 6.000 euro, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Nella quantificazione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, tra cui:

• l’elevato numero di interessati, superiore a 31.000;
• la natura dei dati diffusi e il possibile elevato rischio per i diritti e le libertà degli interessati;
• la durata limitata della pubblicazione, indicata come circa 11 giorni e collocata nel periodo estivo;
• il carattere colposo della violazione;
• l’assenza di dati rientranti nelle categorie particolari di cui all’art. 9 GDPR;
• la valutazione della violazione come di gravità media, secondo le Linee guida EDPB 04/2022 sul calcolo delle sanzioni;
• le modeste dimensioni del Comune;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione con l’Autorità e le misure adottate successivamente.

Tra le misure successive, il Comune ha modificato la procedura di pubblicazione, disattivando la pubblicazione automatica degli allegati e introducendo una scelta attiva dell’operatore. Il fornitore ha inoltre rilasciato una nuova procedura che richiede il caricamento consapevole degli allegati, con successiva informazione e sensibilizzazione dei dipendenti.

Dispositivo, pagamento e impugnazione

Il Garante ha ordinato al Comune di Rieti il pagamento di 6.000 euro. Ai sensi dell’art. 166, comma 8, del Codice, il Comune può definire la controversia pagando, entro 30 giorni, la metà della sanzione, cioè 3.000 euro. In mancanza, la somma di 6.000 euro deve essere pagata entro 30 giorni dalla notifica del provvedimento, con possibile riscossione coattiva ai sensi dell’art. 27 della legge n. 689/1981.

È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, nonché la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del medesimo Regolamento.

Contro il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.