Ordinanza ingiunzione o revoca n. 552 del 23/07/2026

Sanzione al Comune di Terralba per accesso al PC e alla posta elettronica di un dipendente assente

Il provvedimento riguarda il reclamo presentato da un dipendente del Comune di Terralba, assente per malattia per diversi mesi, che aveva contestato la modifica della password e l'accesso dell'ente al proprio PC e all'account di posta elettronica istituzionale. Il Comune aveva giustificato l'iniziativa con la necessità di assicurare la continuità dell'azione amministrativa e di svolgere adempimenti urgenti in materia di stipendi, salario accessorio, buoni pasto, rapporti fiscali, previdenziali e assicurativi.

Fatto e procedimento

Il reclamante aveva riferito che, al rientro in servizio, il Comune aveva disposto l'accesso al computer dopo aver modificato le relative credenziali e che, nonostante le richieste formulate, non gli era stata immediatamente garantita la possibilità di accedere nuovamente al dispositivo.

Il Comune ha rappresentato che il dipendente era il referente di numerosi procedimenti contabili, fiscali e contributivi e che, durante l'assenza, non aveva fornito indicazioni operative né effettuato un passaggio di consegne. L'ente ha inoltre dichiarato di aver effettuato numerosi tentativi di contatto e di aver consultato il proprio Responsabile della protezione dei dati prima di procedere.

Con nota del 1° aprile 2026, l'Ufficio ha notificato al Comune l'avvio del procedimento ai sensi dell'art. 166, comma 5, del Codice, prospettando la violazione degli artt. 5, par. 1, lett. a), e par. 2, 6, 24, 25 e 88 GDPR e degli artt. 2-ter e 113 del Codice. Il Comune ha presentato memoria difensiva il 15 maggio 2026 senza chiedere di essere sentito.

Trattamenti esaminati

Il Comune ha modificato le credenziali di accesso al PC individuale del dipendente e al relativo account di posta elettronica, accedendo al contenuto delle e-mail considerate di natura istituzionale. Secondo quanto dichiarato dall'ente, l'accesso sarebbe stato limitato alle comunicazioni necessarie per la gestione giuridica, economica e previdenziale del personale e per la rendicontazione di un finanziamento.

Il Comune ha affermato di aver adottato, in occasione dell'accesso, alcune cautele: informazione del dipendente mediante ripetuti tentativi di contatto, verbalizzazione delle operazioni svolte dal CED, selezione delle sole e-mail ritenute istituzionali e istruzioni al personale tecnico per tutelare la riservatezza dei messaggi personali.

Il Garante ha tuttavia considerato tali cautele successive all'insorgere dell'emergenza e non sostitutive di un quadro organizzativo e procedurale previamente definito.

Quadro normativo e principi applicabili

Il Garante ha ricordato che il datore di lavoro può trattare i dati dei dipendenti, anche quando siano coinvolte categorie particolari di dati, se il trattamento è necessario per adempiere obblighi o compiti previsti dalla disciplina di settore o per l'esecuzione di un compito di interesse pubblico. Sono stati richiamati gli artt. 6, paragrafo 1, lettere c) ed e), paragrafi 2 e 3, 9, paragrafo 2, lettera b), e 88 GDPR, nonché l'art. 2-ter del Codice.

Tale potere deve essere esercitato nel rispetto delle norme nazionali che prevedono misure appropriate e specifiche a tutela della dignità, degli interessi legittimi e dei diritti fondamentali dei lavoratori. In particolare, l'art. 113 del Codice rinvia all'art. 8 della legge n. 300/1970 e all'art. 10 del d.lgs. n. 297/2003, che vietano la raccolta di dati non pertinenti rispetto all'attività lavorativa. Il rispetto di tali disposizioni costituisce una condizione di liceità del trattamento anche ai sensi dell'art. 88, paragrafo 2, GDPR.

Il titolare deve inoltre rispettare i principi di liceità, correttezza e trasparenza di cui all'art. 5, paragrafo 1, lettera a), GDPR, nonché dimostrare la conformità dei trattamenti alla normativa, in applicazione dell'art. 5, paragrafo 2. Gli artt. 24 e 25 impongono l'adozione di misure tecniche e organizzative adeguate e l'integrazione delle garanzie di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Riservatezza della posta elettronica e strumenti di lavoro

Il Garante ha ribadito che la corrispondenza elettronica è assistita da garanzie di segretezza, tutelate anche dagli artt. 2 e 15 della Costituzione. Anche nel rapporto di lavoro il dipendente conserva una legittima aspettativa di riservatezza sulle comunicazioni elettroniche.

Analoghe garanzie riguardano i contenuti presenti sui dispositivi elettronici e nella mailbox individuale, che possono includere informazioni relative alla sfera personale o familiare e quindi non pertinenti all'attività lavorativa. Sono stati richiamati, per i profili sovranazionali, l'art. 8, paragrafo 2, della Convenzione europea dei diritti dell'uomo, l'art. 7 della Carta dei diritti fondamentali dell'Unione europea e il considerando 1 GDPR.

Mancanza di procedure preventive e violazione della privacy by design

Secondo il Garante, dagli atti non risultava l'adozione preventiva di procedure interne o atti organizzativi che informassero in modo generale il personale della possibilità di accedere al PC o alla posta elettronica individuale in caso di assenza improvvisa o prolungata, al ricorrere di condizioni predeterminate e con specifiche garanzie.

La mancata regolamentazione preventiva può generare nel lavoratore e nei terzi un ragionevole affidamento sulla riservatezza delle comunicazioni e dei contenuti presenti sugli strumenti assegnati. L'accesso effettuato dal Comune è stato quindi ritenuto fondato su misure estemporanee e non predeterminate, incompatibili con i principi di responsabilizzazione, protezione dei dati fin dalla progettazione e per impostazione predefinita.

Il Garante ha sottolineato che una procedura preventiva avrebbe dovuto individuare almeno:

• i presupposti che consentono l'accesso eccezionale;
• i soggetti autorizzati a disporlo e a effettuarlo;
• le modalità operative e i limiti dell'accesso;
• le garanzie per escludere i contenuti personali o non pertinenti;
• gli obblighi di verbalizzazione e informazione del lavoratore;
• le modalità di ripristino dell'accesso del dipendente.

Indicazioni organizzative richiamate dal Garante

Il provvedimento richiama le Linee guida del Garante per posta elettronica e Internet del 1° marzo 2007, n. 13, oltre al Documento di indirizzo sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati, adottato con provvedimento n. 364 del 6 giugno 2024.

Le Linee guida indicano, tra l'altro, la possibilità di prevedere:

• la designazione preventiva di un lavoratore fiduciario incaricato di gestire, in caso di assenza, le comunicazioni rilevanti per l'attività lavorativa;
• la redazione di un verbale delle operazioni e l'informazione del dipendente alla prima occasione utile;
• funzionalità automatiche di risposta alle e-mail, con indicazione dei contatti alternativi;
• indirizzi di posta elettronica condivisi tra più lavoratori, affiancati agli account individuali;
• sistemi di gestione documentale centralizzata, come cartelle condivise o piattaforme istituzionali;
• una distribuzione delle funzioni essenziali tra più dipendenti, evitando la concentrazione delle informazioni in capo a un unico soggetto.

Tali indicazioni sono state richiamate come strumenti orientativi per conciliare continuità dell'attività amministrativa e tutela della riservatezza, senza legittimare automaticamente ogni accesso alla casella individuale.

Valutazione delle cartelle condivise

Il Comune ha sostenuto di disporre da tempo di una struttura gerarchica di cartelle condivise, accessibile agli utenti autenticati appartenenti agli uffici competenti, e che i dipendenti dell'Ufficio del Personale avessero accesso paritetico ai documenti condivisi.

Il Garante ha ritenuto tale circostanza non decisiva. Dagli atti non risultava infatti che il Comune avesse concretamente utilizzato le cartelle condivise per conseguire gli obiettivi perseguiti attraverso l'accesso al PC e alla mailbox individuale. Inoltre, non era stato comprovato che il personale, compreso il reclamante, avesse ricevuto istruzioni adeguate sull'obbligo di alimentare tali cartelle né che l'ente avesse verificato l'effettivo rispetto delle misure organizzative e di sicurezza.

Ne deriva che la mera esistenza astratta di un sistema condiviso non è stata considerata sufficiente: il titolare deve dimostrarne l'effettiva implementazione, l'utilizzo operativo e il presidio organizzativo.

Violazioni accertate

Il trattamento è stato dichiarato illecito per violazione delle seguenti disposizioni:

• art. 5, paragrafo 1, lettera a), GDPR, per violazione dei principi di liceità, correttezza e trasparenza;
• art. 5, paragrafo 2, GDPR, per mancata dimostrazione della conformità del trattamento;
• art. 6 GDPR, per assenza di un idoneo presupposto di liceità riferito all'accesso alla posta e agli strumenti individuali;
• art. 24 GDPR, per inadeguatezza delle misure tecniche e organizzative e dell'accountability;
• art. 25 GDPR, per mancata protezione dei dati fin dalla progettazione e per impostazione predefinita;
• art. 88 GDPR, relativo ai trattamenti nel contesto lavorativo;
• art. 2-ter del Codice, in relazione alla base giuridica dei trattamenti necessari per compiti di interesse pubblico;
• art. 113 del Codice, in relazione al divieto di raccolta di dati non pertinenti all'attività lavorativa.

Il Garante ha precisato che non risultava comprovato il trattamento di dati appartenenti alle categorie particolari di cui all'art. 9 GDPR, pur potendo i contenuti del dispositivo e della mailbox comprendere informazioni relative alla sfera privata del lavoratore.

Sanzione e criteri di quantificazione

Poiché le violazioni derivavano da un'unica condotta o da trattamenti tra loro collegati, è stato applicato l'art. 83, paragrafo 3, GDPR. L'importo complessivo non poteva quindi superare quello previsto per la violazione più grave, soggetta al regime dell'art. 83, paragrafo 5, GDPR, richiamato dall'art. 166, comma 2, del Codice, con limite massimo di 20 milioni di euro.

Il Garante ha valutato i criteri dell'art. 83, paragrafo 2, GDPR e ha qualificato come alto il livello di gravità della violazione, richiamando anche il punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, adottate il 24 maggio 2023.

Sono stati considerati, in particolare:

• la natura straordinaria del contesto e l'accesso non autorizzato al PC e alla mailbox, sebbene finalizzato ad adempimenti amministrativi urgenti;
• il carattere colposo della violazione, anche in ragione dell'urgenza e dei numerosi tentativi di contatto effettuati dal Comune;
• l'oggetto del trattamento, costituito dai contenuti presenti sul dispositivo e nella casella individuale;
• le dimensioni modeste dell'ente e le risorse economiche e umane limitate;
• l'esistenza di alcune misure astrattamente idonee, non utilizzate concretamente;
• gli accorgimenti adottati dopo la consultazione del RPD e a seguito dell'emergenza;
• il buon grado di cooperazione prestato durante l'istruttoria;
• l'assenza di precedenti violazioni pertinenti.

La sanzione è stata determinata in euro 8.000, ritenuti un importo effettivo, proporzionato e dissuasivo ai sensi dell'art. 83, paragrafo 1, GDPR.

Misure correttive e pubblicazione

Il Garante ha ritenuto non necessario adottare ulteriori misure correttive ai sensi dell'art. 58, paragrafo 2, GDPR, poiché la condotta aveva esaurito i propri effetti e il Comune aveva dichiarato di aver già adottato misure astrattamente idonee a prevenire violazioni analoghe.

Sono state invece disposte:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019;
• l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità ai sensi dell'art. 17 del Regolamento n. 1/2019.

Pagamento e impugnazione

Il Comune deve pagare 8.000 euro. Ai sensi dell'art. 166, comma 8, del Codice, può definire la controversia pagando entro 30 giorni un importo pari alla metà della sanzione, cioè 4.000 euro.

In caso di mancato pagamento in misura ridotta, l'importo di 8.000 euro deve essere versato entro 30 giorni dalla notificazione del provvedimento, con possibile attivazione degli atti esecutivi ai sensi dell'art. 27 della legge n. 689/1981.

Il provvedimento è impugnabile dinanzi all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero, ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.