Ordinanza ingiunzione o revoca n. 478 del 03/07/2026

Comune di San Genesio e Uniti - comunicazione illecita di dati personali e sindacali in una procedura di mobilità

Il Garante ha esaminato il reclamo di un’ex dipendente del Comune di San Genesio e Uniti relativo alla trasmissione, da parte dell’ente, di una nota inviata anche all’ente di destinazione nell’ambito di una procedura di mobilità volontaria. La comunicazione ha reso conoscibili dati personali della lavoratrice e del suo rappresentante sindacale, inclusi elementi idonei a rivelare l’appartenenza sindacale.

Origine del procedimento e istruttoria

Il procedimento è stato avviato a seguito di reclamo ai sensi dell’art. 77 GDPR. In sede istruttoria, l’Autorità ha richiesto informazioni al Comune ai sensi dell’art. 157 del Codice privacy e ha notificato l’avvio del procedimento per l’adozione di provvedimenti ai sensi dell’art. 58, par. 2, GDPR, contestando un trattamento non conforme ai principi di liceità, correttezza e trasparenza e privo di base giuridica, in violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-sexies del Codice.

Il Comune ha difeso la propria condotta sostenendo che:

• tra i due enti fosse in corso un rapporto convenzionale ex art. 92 d.lgs. 267/2000 per l’utilizzo delle prestazioni lavorative della reclamante;
• l’ente di destinazione fosse già a conoscenza, o comunque ragionevolmente in condizione di conoscere, anche i dati relativi all’affiliazione sindacale;
• l’invio fosse stato effettuato in buona fede, come anticipazione non intenzionale e circoscritta a soggetti istituzionali qualificati;
• l’ente avesse dimensioni ridotte e risorse limitate.

Quadro normativo richiamato

L’Autorità ha richiamato il principio per cui il datore di lavoro può trattare dati personali dei lavoratori, anche appartenenti a categorie particolari, solo in presenza di una base giuridica adeguata. In particolare, ha richiamato:

• l’art. 6, par. 1, lett. c) ed e), GDPR;
• l’art. 9, parr. 2, lett. b) e g), GDPR;
• gli artt. 2-ter e 2-sexies del Codice privacy;
• l’art. 88 GDPR;
• le prescrizioni del 5 giugno 2019 sul trattamento di categorie particolari di dati in ambito lavorativo pubblico.

È stato ricordato che i dati relativi all’appartenenza sindacale rientrano tra le categorie particolari di dati e che, in ambito lavorativo, possono essere trattati solo nei limiti strettamente necessari, ad esempio per l’esercizio dei diritti sindacali o per la gestione delle trattenute sindacali, secondo le condizioni previste dal diritto dell’Unione o nazionale.

Valutazione della condotta del Comune

Secondo il Garante, il Comune, inviando la nota anche all’ente di destinazione, ha comunicato dati personali della reclamante e del rappresentante sindacale senza che ricorressero i necessari presupposti di liceità. La comunicazione riguardava non solo gli estremi e il contenuto della nota sindacale, ma anche l’indirizzo PEC personale e dati idonei a rivelare l’appartenenza sindacale.

L’Autorità ha escluso che potessero giustificare il trattamento:

• la sola esistenza di un rapporto di lavoro a tempo determinato e parziale con l’ente di destinazione;
• la pendenza della procedura di mobilità;
• la presunta conoscenza pregressa dei dati da parte dell’ente di destinazione.

È stato evidenziato che, al momento della comunicazione, la mobilità non era ancora perfezionata e che la reclamante aveva rivolto una richiesta riservata solo al Comune. Inoltre, l’interessata avrebbe potuto anche mutare o cessare la propria affiliazione sindacale prima del trasferimento. Ne è derivata la conclusione che il trattamento fosse in violazione del principio di liceità, correttezza e trasparenza e privo di base giuridica.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a), GDPR;
• art. 6 GDPR;
• art. 9 GDPR;
• artt. 2-ter e 2-sexies del Codice privacy.

Ha inoltre ritenuto che le violazioni derivassero da un’unica condotta e che, perciò, trovasse applicazione l’art. 83, par. 3, GDPR.

Quantificazione della sanzione

Ai fini della determinazione della sanzione, il Garante ha valutato gli elementi di cui all’art. 83, par. 2, GDPR, considerando in particolare:

• la natura episodica della violazione, che ha riguardato due soli interessati;
• il carattere colposo della condotta, dovuta all’erroneo convincimento che l’ente di destinazione conoscesse già i dati;
• il coinvolgimento di dati appartenenti a categorie particolari, in particolare dati idonei a rivelare l’appartenenza sindacale;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione prestata dal Comune nel corso dell’istruttoria;
• le iniziative dichiarate dall’ente, tra cui corsi di formazione per il personale;
• le ridotte dimensioni organizzative ed economiche del Comune.

Ritenendo il livello di gravità medio, il Garante ha determinato la sanzione amministrativa pecuniaria in euro 2.000, reputandola effettiva, proporzionata e dissuasiva.

Provvedimenti finali e adempimenti

Il Garante:

• ha dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento;
• ha ordinato al Comune il pagamento di euro 2.000;
• ha ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ha ingiunto il pagamento entro 30 giorni dalla notificazione, in mancanza di definizione della controversia;
• ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• ha disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ha disposto l’annotazione nel registro interno dell’Autorità.

Non sono state adottate ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.