Ordinanza ingiunzione o revoca n. 398 del 14/09/2023

Comune di San Severo: diffusione online illecita dei dati retributivi di dipendenti comunali

Il provvedimento riguarda il Comune di San Severo e la pubblicazione sul sito istituzionale di determine di liquidazione del fondo incentivante contenenti i nominativi di circa 140 dipendenti, la loro posizione economica e gli importi percepiti per la produttività individuale. Il procedimento è stato avviato a seguito del reclamo di un dipendente ai sensi dell’art. 77 GDPR.

Origine del reclamo e fatti oggetto di istruttoria

Il reclamante ha segnalato che tre determine di liquidazione del fondo incentivante riportavano l’elenco dei dipendenti con dati identificativi e somme erogate in relazione alla performance individuale. Nel corso dell’istruttoria il Comune ha confermato la pubblicazione delle determine e ha riferito che la vicenda era dipesa da una non corretta interpretazione delle norme di settore e da un errore di configurazione del sito web, con riattivazione involontaria della sezione di archivio dell’albo pretorio.

Accertamenti e misure adottate dal Comune

Il Comune ha dichiarato di avere avviato un percorso di adeguamento al GDPR, con nomina del DPO, predisposizione di un modello organizzativo aggiornato, formazione del personale e adozione di istruzioni interne e di una direttiva generale sulla diffusione in rete dei dati personali. A seguito della contestazione, ha inoltre riferito di aver chiesto al fornitore del sito di eliminare la funzione di storico dell’albo pretorio, il link al vecchio sito e la consultabilità della sezione "Amministrazione trasparente" relativa ai provvedimenti, in attesa di correzioni tecniche.

Quadro normativo richiamato

Il Garante ha richiamato i principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c) GDPR, nonché le basi giuridiche per i trattamenti svolti da soggetti pubblici ai sensi degli artt. 6, par. 1, lett. c) ed e), 6, par. 2 e 3, 9, par. 2, lett. b) e g), 88 GDPR e dell’art. 2-ter Codice privacy. È stato evidenziato che la diffusione online, come qualsiasi operazione di trattamento, necessita di una base giuridica idonea e che il titolare deve adottare misure tecniche e organizzative adeguate ai sensi degli artt. 5, par. 2, 24 e 25 GDPR.

Valutazione sulla pubblicazione all’albo pretorio e in amministrazione trasparente

L’Autorità ha escluso che l’art. 124 TUEL potesse giustificare la pubblicazione nominativa delle determine relative al fondo incentivante, poiché tale disciplina riguarda la pubblicazione per 15 giorni di determinate deliberazioni e non legittima automaticamente la diffusione online di dati personali. È stato inoltre chiarito che anche in presenza di regimi di pubblicità settoriale possono essere diffusi solo i dati necessari, pertinenti e non eccedenti rispetto alla finalità di legge.

Quanto alla sezione "Amministrazione trasparente", il Garante ha osservato che l’art. 20 del d.lgs. 33/2013 prevede la pubblicazione dell’ammontare complessivo dei premi collegati alla performance e dei dati relativi alla distribuzione del trattamento accessorio in forma aggregata, non nominativa. Di conseguenza, non era applicabile il regime di conoscibilità quinquennale dell’art. 8, comma 3, del d.lgs. 33/2013 ai dati pubblicati dal Comune.

Violazione accertata

Il Garante ha ritenuto illecito il trattamento perché il Comune ha diffuso, tramite pubblicazione online, i dati personali di circa 140 dipendenti, tra cui il reclamante, relativi a nome, cognome, categoria/posizione economica e importo di produttività riconosciuto, in assenza di un’idonea base giuridica. La violazione è stata qualificata come contrastante con gli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e) GDPR e con l’art. 2-ter Codice privacy.

Sanzione e criteri di quantificazione

Ai fini della sanzione, il Garante ha considerato:

• la delicatezza dei dati diffusi, riferiti a vicende del rapporto di lavoro e agli esiti delle procedure valutative;
• il numero elevato degli interessati coinvolti;
• il mancato rispetto di indicazioni già da tempo fornite dall’Autorità con linee guida e precedenti provvedimenti;
• la circostanza che non fossero stati diffusi dati particolari o dati relativi a condanne penali e reati;
• l’errore interpretativo e la mancanza di precedenti specifici a carico del Comune.

Sulla base di tali elementi, la sanzione amministrativa pecuniaria è stata determinata in euro 10.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR.

Provvedimenti finali

Il Garante ha:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato dal Comune di San Severo;
• ordinato al Comune il pagamento della sanzione amministrativa pecuniaria di euro 10.000;
• ricordato la facoltà di definizione agevolata della controversia con pagamento di un importo pari alla metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, Codice privacy;
• disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, Codice privacy.

Implicazioni operative

Il provvedimento conferma che, per le pubbliche amministrazioni, la pubblicazione online di atti del personale deve essere verificata caso per caso, senza automatismi derivanti da trasparenza o albo pretorio. In materia di performance e incentivi, la pubblicazione deve limitarsi ai dati espressamente previsti dalla legge e, quando consentita, deve avvenire in forma aggregata o comunque con esclusione degli elementi nominativi non necessari.