Ordinanza ingiunzione o revoca n. 273 del 17/04/2026

Comune di Campo Calabro - diffusione illecita di dati di dipendenti in graduatoria per progressioni economiche orizzontali

Il provvedimento riguarda la pubblicazione sull’Albo pretorio online di una determinazione comunale e dei relativi allegati contenenti dati personali di dipendenti, relativi all’esito di una selezione per progressioni economiche all’interno delle aree. Il procedimento trae origine da un reclamo presentato da una lavoratrice che contestava la diffusione online di informazioni sulla propria performance e su quella di altri colleghi.

Origine del reclamo e attività istruttoria

La reclamante ha segnalato che il Comune aveva pubblicato la determinazione n. XX e gli allegati denominati Allegato A e Allegato B, dai quali risultavano posizione, nominativo e punteggio conseguito dai lavoratori interessati. Il Comune ha chiarito che l’atto era stato pubblicato per 15 giorni consecutivi all’Albo pretorio e, secondo quanto dichiarato, reso consultabile per ulteriori 5 anni.

A seguito dell’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, il Comune ha presentato una memoria difensiva, sostenendo di aver agito per adempiere agli obblighi di trasparenza amministrativa e richiamando, tra l’altro, l’art. 124 del d.lgs. 267/2000, l’art. 32 della l. 69/2009 e alcune disposizioni del d.lgs. 33/2013. Ha inoltre evidenziato che il bando della selezione prevedeva la pubblicazione all’Albo pretorio on line degli esiti e che i partecipanti avrebbero prestato consenso al trattamento. Successivamente, a seguito delle osservazioni del Garante, il Comune ha dichiarato di aver oscurato la determinazione e di voler adottare misure formative e organizzative interne.

Quadro normativo richiamato

Il Garante ha richiamato innanzitutto la nozione di dato personale di cui all’art. 4, par. 1, n. 1, GDPR e ha ribadito che il datore di lavoro pubblico può trattare dati dei dipendenti solo nei limiti in cui il trattamento sia necessario per la gestione del rapporto di lavoro o per adempiere a obblighi previsti da legge, normativa UE, regolamenti o contratti collettivi, oppure per l’esercizio di pubblici poteri, nel rispetto dell’art. 6 GDPR e dell’art. 2-ter del Codice.

Sono stati inoltre richiamati i principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5 GDPR, nonché le Linee guida del Garante del 15 maggio 2014 sul trattamento di dati personali in atti e documenti amministrativi pubblicati sul web. Tali linee guida impongono di selezionare i dati da pubblicare e di verificare caso per caso la necessità di oscurare informazioni non indispensabili.

Valutazione sulla diffusione online dei dati

Il Garante ha accertato che il Comune aveva pubblicato online, per 15 giorni, la determinazione con gli allegati contenenti i dati personali dei dipendenti e che tali dati erano rimasti disponibili sul sito istituzionale per un ulteriore periodo, come dichiarato dall’ente. La pubblicazione è stata considerata una diffusione di dati personali effettuata in assenza di idonea base giuridica.

L’Autorità ha escluso che l’art. 124 del d.lgs. 267/2000 o l’art. 32 della l. 69/2009 potessero giustificare la pubblicazione dell’atto, poiché la disciplina richiamata non prevedeva, nel caso concreto, la diffusione della determinazione relativa alle progressioni economiche orizzontali. È stato anche precisato che gli obblighi di pubblicità e trasparenza devono trovare un fondamento specifico nel d.lgs. 33/2013 e che, nel caso in esame, non esisteva una norma che imponesse di rendere pubblici gli esiti nominali della selezione interna.

Irrilevanza del consenso e limiti alla trasparenza

Il Comune aveva sostenuto che il riferimento del bando alla pubblicazione all’Albo pretorio online e la presentazione della candidatura implicassero il consenso degli interessati. Il Garante ha escluso tale argomento, ricordando che nel contesto pubblico la base giuridica del trattamento non può essere il consenso, a causa dello squilibrio tra titolare e interessato, ma deve discendere da una disposizione normativa.

L’Autorità ha inoltre osservato che le procedure per progressioni economiche orizzontali hanno natura meritocratica interna e non sono equiparabili ai concorsi pubblici per l’assunzione o alle progressioni verticali. Di conseguenza, non sono soggette agli obblighi di pubblicazione previsti per le selezioni esterne o per i passaggi a aree superiori.

Violazioni accertate

Il Garante ha concluso che la pubblicazione dei dati personali dei dipendenti ha integrato una violazione dei seguenti precetti:

• art. 5, par. 1, lett. a) e c), GDPR, per mancanza di liceità, correttezza, trasparenza e minimizzazione;
• art. 6 GDPR, per assenza di base giuridica;
• art. 2-ter del Codice privacy, per difetto di fondamento normativo del trattamento da parte di un soggetto pubblico.

L’Autorità ha anche sottolineato il carattere particolarmente invasivo della diffusione online, poiché i dati pubblicati possono essere indicizzati dai motori di ricerca, reperiti da chiunque e conservati in rete per tempi indefiniti.

Misure successive e insussistenza di correttivi

Poiché il Comune aveva già provveduto a oscurare la determinazione, il Garante ha rilevato che la condotta aveva esaurito i propri effetti e ha ritenuto che non ricorressero i presupposti per l’adozione di misure correttive ai sensi dell’art. 58, par. 2, GDPR. Tuttavia, ciò non ha impedito l’adozione dell’ordinanza ingiunzione e l’applicazione della sanzione pecuniaria.

Sanzione amministrativa pecuniaria

Trattandosi di un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. Le violazioni sono state ricondotte alla fascia sanzionatoria di cui all’art. 83, par. 5, GDPR, con importo teorico massimo fino a 20.000.000 euro.

Nel quantificare la sanzione, l’Autorità ha valutato:

• il numero degli interessati coinvolti, pari a undici, e la durata della diffusione fino all’oscuramento;
• la buona fede del Comune, che aveva agito nella convinzione di rispettare la disciplina sulla trasparenza;
• il fatto che siano stati diffusi solo dati comuni;
• le iniziative organizzative e formative intraprese dopo l’episodio;
• la piena collaborazione con l’Autorità;
• l’assenza di precedenti violazioni pertinenti.

Alla luce di tali elementi, la sanzione è stata determinata in euro 6.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo finale

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Comune;
• ordinato al Comune di Campo Calabro il pagamento della sanzione amministrativa pecuniaria di euro 6.000;
• ricordato la facoltà di definire la controversia mediante pagamento in misura pari alla metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione delle violazioni nel registro interno.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.