Ordinanza ingiunzione o revoca n. 28 del 26/01/2023

Comune di Misterbianco - diffusione illecita di dati personali in un atto su progressione economica orizzontale

Il provvedimento riguarda il Comune di Misterbianco, destinatario di un’ordinanza ingiunzione per la pubblicazione all’Albo pretorio di una determinazione relativa alla rideterminazione di una graduatoria per progressione economica orizzontale, con allegati contenenti dati personali di dipendenti. Il procedimento è stato avviato a seguito del reclamo di una dipendente che lamentava la diffusione di informazioni sul proprio rapporto di lavoro e su un contenzioso giudiziale.

Fatti e origine del reclamo

La reclamante contestava che la determinazione pubblicata riportasse, oltre al numero di matricola, informazioni idonee a renderla identificabile tramite gli allegati allegati al provvedimento. In particolare, il testo del provvedimento dava conto della perdita della posizione nella graduatoria, della restituzione di somme percepite e della loro trattenuta mensile in busta paga nel limite di un quinto dello stipendio. Gli allegati contenevano le graduatorie definitiva e rettificata con indicazioni nominative, data di nascita, data di assunzione e punteggio.

Difese del Comune

Il Comune ha sostenuto di aver pubblicato l’atto in adempimento di obblighi di pubblicità e trasparenza, richiamando l’art. 19 del d.lgs. 33/2013, l’art. 124 del d.lgs. 267/2000, l’art. 32 della l. 69/2009 e la normativa regionale siciliana sulla pubblicazione per estratto degli atti. Ha inoltre richiamato le linee guida del Garante del 2014 sulle forme di pubblicità di graduatorie e concorsi, affermando di avere adottato cautele di oscuramento e di temporaneità della pubblicazione.

Valutazioni sulla base giuridica e sulla natura della pubblicazione

Il Garante ha distinto la pubblicazione per finalità di trasparenza dalla pubblicità legale, rilevando che l’art. 19 del d.lgs. 33/2013 riguarda le graduatorie finali dei concorsi per il reclutamento e non le procedure interne di progressione economica orizzontale. Ha inoltre osservato che il Comune non aveva individuato una specifica norma di settore che autorizzasse la diffusione online degli esiti di tale procedura. Né l’art. 124 del TUEL, né la normativa regionale richiamata, né le linee guida del Garante potevano giustificare automaticamente la diffusione dei dati personali presenti nell’atto e nei suoi allegati.

Identificabilità degli interessati e illiceità della diffusione

L’Autorità ha ritenuto che l’oscuramento del nome nel corpo dell’atto non fosse sufficiente, perché la combinazione tra determinazione e allegati consentiva di identificare agevolmente gli interessati. La presenza della matricola, associata ad altri elementi identificativi e alle informazioni sulle posizioni nella graduatoria, rendeva possibile il collegamento immediato con i nominativi presenti nelle graduatorie allegate. Il trattamento è stato quindi qualificato come diffusione di dati personali in assenza di base giuridica, in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice privacy.

Sanzione, criteri di quantificazione e pubblicazione del provvedimento

Nel determinare la sanzione, il Garante ha considerato la delicatezza delle informazioni diffuse, il fatto che il Comune non si fosse conformato alle indicazioni già fornite in materia di pubblicazione online e l’esistenza di un precedente provvedimento nei confronti dello stesso ente. Ha invece valutato a favore del Comune la circostanza che non fossero coinvolte categorie particolari di dati e che la pubblicazione fosse durata poco tempo senza indicizzazione sui motori generalisti. La sanzione è stata fissata in euro 5.000, con facoltà di pagamento in misura ridotta nei termini di legge. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy.