Ordinanza ingiunzione o revoca n. 2 del 16/01/2026

Comune di Cori – pubblicazione online degli elenchi dei beneficiari della carta "Dedicata a te" e sanzione pecuniaria

Il provvedimento riguarda il Comune di Cori, destinatario di un’ordinanza ingiunzione per la pubblicazione sul proprio sito istituzionale dell’elenco dei beneficiari della carta "Dedicata a te" 2023. L’Autorità ha ritenuto che la modalità prescelta abbia comportato una diffusione illecita di dati personali, in assenza di un’idonea base giuridica.

Contesto fattuale e origine dell’istruttoria

L’Autorità ha avviato accertamenti d’ufficio sui trattamenti collegati all’erogazione della carta "Dedicata a te", misura di sostegno per l’acquisto di beni alimentari destinata a soggetti a basso reddito. Nel caso esaminato, il Comune di Cori aveva pubblicato sul sito istituzionale un avviso pubblico e un documento PDF con la lista dei beneficiari, identificati tramite:

• prime 9 lettere del codice fiscale;
• prime 3 lettere del cognome;
• data di nascita.

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice, contestando la diffusione di dati personali in assenza di una base giuridica idonea.

Difese e osservazioni del Comune

Il Comune ha rappresentato che la procedura nazionale imponeva tempi molto stretti per la validazione degli elenchi e per l’erogazione del beneficio. Ha quindi sostenuto di aver ritenuto necessaria la pubblicazione online per raggiungere rapidamente i beneficiari e consentire il ritiro della carta.

L’ente ha aggiunto che:

• la comunicazione alternativa tramite raccomandata o messi comunali avrebbe comportato costi non previsti e tempi più lunghi;
• la parziale oscurazione adottata sarebbe stata, a suo avviso, sufficiente a limitare il rischio di identificazione;
• a seguito della notifica del Garante, ha immediatamente rimosso il documento;
• per l’anno successivo stava predisponendo modalità pseudonimizzate e ulteriori iniziative formative per il personale.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 4, par. 1, n. 1, GDPR, sulla nozione di dato personale;
• l’art. 6, par. 1, lett. c) ed e), GDPR, e l’art. 2-ter del Codice, per la liceità dei trattamenti da parte di soggetti pubblici;
• l’art. 2-ter, comma 4, lett. b), del Codice, che definisce la diffusione come comunicazione a soggetti indeterminati;
• l’art. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• le Linee guida del Garante del 15 maggio 2014 in materia di pubblicità e trasparenza sul web da parte dei soggetti pubblici.

È stato inoltre ricordato che la mera sostituzione del nome con iniziali o altre forme di parziale oscuramento non è sufficiente a rendere anonimi i dati quando restano elementi idonei all’identificazione, soprattutto in contesti territoriali ristretti.

Valutazioni del Garante sulla illiceità del trattamento

L’Autorità ha ritenuto accertato che il Comune abbia diffuso online dati personali dei beneficiari in assenza di una valida base giuridica. In particolare, ha osservato che:

• le informazioni pubblicate erano sufficienti, anche se indirettamente e in combinazione con altre fonti, a rendere identificabili gli interessati;
• il bacino territoriale comunale e il numero limitato dei beneficiari rendevano concreto il rischio di reidentificazione;
• la comunicazione prevista dalla disciplina della misura non autorizzava una pubblicazione generalizzata dei dati personali;
• la pubblicazione poteva far emergere indirettamente la condizione di disagio economico-sociale dei beneficiari, profilo che le Linee guida del 2014 invitano a evitare.

L’Autorità ha inoltre evidenziato che il successivo decreto ministeriale del 4 giugno 2024, relativo all’annualità successiva, ha previsto espressamente la pubblicazione degli elenchi sui siti dei Comuni "con modalità tali da garantire la riservatezza dei dati", poi specificate da INPS con indicazioni operative quali l’uso del numero di protocollo ISEE o altre modalità analoghe.

Violazioni accertate

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione di:

• art. 6, par. 1, lett. c) ed e), GDPR;
• art. 6, parr. 2 e 3, lett. b), GDPR;
• artt. 2-ter, commi 1 e 3, del Codice.

Sanzione e criteri di quantificazione

Ai fini dell’art. 83 GDPR, il Garante ha valutato:

• la limitata platea degli interessati;
• la durata circoscritta della diffusione;
• l’assenza di danni comprovati;
• il carattere colposo della violazione e la buona fede dell’ente;
• il fatto che non fossero coinvolti dati particolari ex art. 9 GDPR o dati relativi a condanne penali e reati;
• la tempestiva rimozione degli elenchi;
• l’assenza di precedenti pertinenti;
• la cooperazione dimostrata dal Comune;
• le dimensioni medio-piccole dell’amministrazione.

Ritenendo la gravità complessiva di livello medio, il Garante ha determinato la sanzione amministrativa pecuniaria in euro 2.000.

Misure ulteriori e pubblicazione del provvedimento

Poiché i dati erano già stati rimossi dal sito istituzionale e il trattamento aveva esaurito i suoi effetti, il Garante ha escluso l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

È stata invece disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito web dell’Autorità;
• l’annotazione nel registro interno.

Implicazioni operative

Il provvedimento conferma che, anche quando la pubblicazione online è finalizzata a comunicare l’assegnazione di un beneficio pubblico, il titolare deve evitare qualsiasi modalità che consenta l’identificazione, diretta o indiretta, dei beneficiari. Per le pubbliche amministrazioni, il caso ribadisce la necessità di utilizzare strumenti di pseudonimizzazione o identificativi neutri, come indicazioni tecniche di protocollo o codici non riconducibili immediatamente alla persona, in modo da conciliare pubblicità amministrativa e tutela dei dati personali.