Prescrizioni del Garante n. 703 del 27/11/2025

Comune di Pogliano Milanese - comunicazione a terzi di informazioni su una dipendente in comando

Il provvedimento riguarda un reclamo presentato da una dipendente del Comune di Pogliano Milanese, all’epoca in comando presso la Prefettura, in relazione all’invio da parte del Comune del riscontro a un suo sollecito di pagamento anche alla PEC della Prefettura. L’Autorità ha esaminato se tale comunicazione, contenente il riferimento a una segnalazione ad ANAC sull’operato della lavoratrice, fosse assistita da un idoneo presupposto di liceità.

Origine del reclamo e fatti contestati

La reclamante aveva inviato al Comune una nota di sollecito per il pagamento di incentivi relativi ad alcune prestazioni rese. Il Comune, nel rispondere, ha trasmesso la comunicazione non solo all’interessata ma anche alla Prefettura presso cui la stessa prestava servizio in comando, menzionando che era stata attivata una verifica presso ANAC sul suo operato, ritenuto dal Segretario comunale, quale responsabile anticorruzione, passibile di rilievi.

Secondo la reclamante, tale comunicazione l’avrebbe esposta alla necessità di giustificarsi verso l’amministrazione di destinazione circa presunte responsabilità a suo carico.

Attività istruttoria e difese del Comune

Nel corso dell’istruttoria, il Comune ha sostenuto che:

• la nota di sollecito era stata intestata con riferimento esplicito alla Prefettura e con recapiti di servizio, senza indicazione di recapiti privati;
• il contenuto della nota e l’uso di espressioni considerate imperative avrebbero indotto gli uffici a ritenere corretto inviare il riscontro alla PEC della Prefettura;
• la comunicazione non formulava giudizi sull’operato della dipendente, ma si limitava a indicare la necessità di approfondimenti tecnici e la conseguente interlocuzione con ANAC;
• la Prefettura sarebbe stata da considerare soggetto legittimato a conoscere tali informazioni, anche in ragione del rapporto di comando.

Il Garante ha avviato il procedimento contestando la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR e dell’art. 2-ter del Codice privacy.

Valutazioni del Garante sulla base giuridica e sulla comunicazione dei dati

L’Autorità ha ricordato che, nel settore pubblico e nel contesto lavorativo, il trattamento dei dati personali dei dipendenti è lecito solo se necessario per la gestione del rapporto di lavoro o per adempiere a specifici obblighi di legge, ovvero se necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Il Garante ha richiamato inoltre il principio, consolidato nelle linee guida e nella propria giurisprudenza, secondo cui le amministrazioni devono adottare forme di comunicazione individualizzata per evitare la conoscibilità ingiustificata dei dati da parte di terzi. Anche nel caso del lavoratore in comando, i dati non possono essere comunicati a soggetti diversi da quelli legittimati a conoscerli per specifiche funzioni o responsabilità.

Nel caso concreto, non è emerso alcun elemento che dimostrasse la legittimazione della Prefettura a conoscere la specifica informazione relativa alla segnalazione ad ANAC e alla vicenda interna tra il Comune e la dipendente. Il Garante ha ritenuto non sufficiente, per giustificare la comunicazione, il fatto che la reclamante avesse menzionato la Prefettura nel proprio sollecito: mancava infatti un idoneo presupposto giuridico per inoltrare il riscontro anche a un indirizzo diverso da quello utilizzato dall’interessata.

Violazioni accertate

Il trattamento è stato ritenuto non conforme ai principi di:

• liceità;
• correttezza;
• trasparenza.

È stata quindi dichiarata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Valutazione della gravità e qualificazione come violazione minore

Pur confermando l’illiceità del trattamento, il Garante ha valorizzato diversi elementi attenuanti ai fini della concreta risposta sanzionatoria:

• la nota non conteneva un esplicito giudizio di disvalore sulla reclamante né dettagli ulteriori sulla condotta contestata;
• le informazioni trasmesse non rientravano nelle categorie particolari di dati di cui all’art. 9 GDPR;
• l’episodio era isolato;
• l’oggetto del sollecito, con riferimento in maiuscolo alla Prefettura, aveva indotto in errore il Comune;
• il Comune aveva già adottato e trasmesso al personale una circolare interna di sensibilizzazione sul corretto invio di comunicazioni contenenti dati personali;
• il titolare aveva cooperato pienamente con l’Autorità;
• non risultavano precedenti violazioni analoghe o precedenti provvedimenti correttivi nei confronti del Comune.

Alla luce di tali elementi, la violazione è stata qualificata come "minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR.

Provvedimenti adottati

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dal Comune di Pogliano Milanese;
• ammonito il Comune ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità.

Non sono state ritenute necessarie ulteriori misure correttive, poiché la condotta aveva ormai esaurito i propri effetti.

Implicazioni operative

Il provvedimento ribadisce che, nelle amministrazioni pubbliche, la gestione della corrispondenza del personale deve essere rigorosamente limitata ai destinatari legittimati, evitando la trasmissione a terzi o ad altre amministrazioni di informazioni che possano rivelare aspetti controversi o procedimenti in corso, salvo un chiaro fondamento normativo o funzionale. Per i datori di lavoro pubblici, l’episodio evidenzia l’importanza di:

• verificare il reale destinatario di comunicazioni contenenti dati personali;
• adottare canali individualizzati;
• formare il personale sul corretto trattamento delle informazioni relative ai dipendenti;
• documentare eventuali misure organizzative preventive, utili anche in sede istruttoria.