Ordinanza ingiunzione o revoca n. 480 del 03/07/2026

Comune di Villaputzu – pubblicazione illecita di una determina sul recesso dal rapporto di lavoro

Il provvedimento riguarda la pubblicazione, sul sito istituzionale del Comune di Villaputzu, di una determina relativa al recesso dal rapporto lavorativo instaurato con una dipendente comunale. Il procedimento è stato avviato a seguito di reclamo dell’interessata ex art. 77 GDPR, che lamentava la diffusione di dati personali attraverso l’Albo Pretorio online e la sezione Amministrazione Trasparente.

Origine del procedimento e attività istruttoria

Nel reclamo la dipendente ha evidenziato che la determina pubblicata conteneva il numero di matricola e il motivo del recesso dal rapporto di lavoro. Il Comune ha risposto affermando di avere pubblicato l’atto in adempimento dell’art. 124, comma 2, del d.lgs. 267/2000 e, separatamente, ai fini di trasparenza ex d.lgs. 33/2013, sostenendo di aver reso il documento anonimo omettendo nome e cognome e indicando soltanto il numero di matricola.

L’ente ha inoltre dichiarato che la determina era stata pubblicata per 30 giorni complessivi, che il documento era stato rimosso dopo la segnalazione della reclamante e che erano state avviate verifiche interne e misure organizzative, tra cui revisione delle procedure, formazione del personale, coinvolgimento del DPO e aggiornamento del registro dei trattamenti.

Trattamento esaminato e quadro normativo

Il Garante ha inquadrato la vicenda nell’ambito del trattamento dei dati personali in materia di rapporto di lavoro. Ha richiamato il principio secondo cui il datore di lavoro può trattare dati dei dipendenti solo in presenza di una idonea base giuridica e nel rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione, nonché degli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Sono stati richiamati, in particolare, gli artt. 5, par. 1, lett. a) e c), 5, par. 2, 6, 24 e 25 GDPR, oltre agli artt. 2-ter e 166 del Codice privacy. L’Autorità ha ribadito che anche la diffusione online di atti soggetti a pubblicità non è automatica e deve comunque trovare un fondamento normativo specifico.

Valutazioni sulla identificabilità della reclamante

Pur non riportando il nome e cognome della dipendente, la determina consentiva comunque la sua identificazione tramite il numero di matricola associato ad altre informazioni presenti nel testo, in particolare al mancato superamento del periodo di prova dopo partecipazione e superamento di una procedura concorsuale. Il Garante ha osservato che l’uso di un numero identificativo non esclude di per sé l’identificabilità, soprattutto se collegato ad ulteriori elementi di contesto.

In considerazione delle ridotte dimensioni del Comune, la reclamante risultava facilmente identificabile sia all’interno sia all’esterno dell’ente. Di conseguenza, le informazioni contenute nella determina sono state qualificate come dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR.

Illiceità della diffusione online e assenza di base giuridica

L’Autorità ha ritenuto superflua anche l’indicazione del numero di matricola nel documento pubblicato, tenuto conto che lo stesso rinviava a un allegato contenente le generalità della reclamante, omesso per ragioni di riservatezza. Ha inoltre ricordato che già dal 2007 il Garante ha indicato che non è lecito diffondere online informazioni personali riferite a singoli lavoratori e che gli obblighi di pubblicazione per trasparenza non comportano un automatismo nella diffusione dei dati personali.

Nel caso concreto, il Comune non ha indicato una specifica norma di legge o di regolamento che imponesse la pubblicazione di atti contenenti informazioni sul recesso dal rapporto di lavoro per mancato superamento del periodo di prova. Pertanto, la pubblicazione della determina è stata qualificata come diffusione di dati personali priva di idonea base giuridica.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a) GDPR, per carenza di liceità, correttezza e trasparenza;
• art. 5, par. 1, lett. c) GDPR, per mancato rispetto del principio di minimizzazione;
• art. 6 GDPR, per assenza di una base giuridica idonea;
• art. 2-ter del Codice privacy, in materia di diffusione di dati personali da parte di soggetti pubblici.

L’Autorità ha escluso i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR, rilevando che la condotta aveva esaurito i propri effetti con la rimozione del documento dal sito.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni derivano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. Ha considerato che le violazioni più gravi ricadono nell’art. 83, par. 5, GDPR, con sanzione fino a 20 milioni di euro, ma ha valutato le circostanze concrete ai sensi dell’art. 83, par. 2.

In particolare, sono stati valorizzati:

• la pubblicazione riferita a una sola interessata;
• la durata limitata della pubblicazione, circa un mese;
• la natura colposa della condotta;
• la buona fede dichiarata dal Comune;
• le misure correttive e preventive intraprese;
• la piena cooperazione con l’Autorità;
• l’assenza di precedenti pertinenti.

Considerato il basso livello di gravità della violazione, il Garante ha determinato la sanzione in euro 2.000.

Dispositivo e adempimenti conseguenti

Il Garante ha quindi ordinato al Comune di Villaputzu di pagare la sanzione amministrativa pecuniaria di euro 2.000, precisando la possibilità di definizione agevolata mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante n. 1/2019.

Implicazioni operative

Il provvedimento ribadisce che le amministrazioni pubbliche non possono considerare gli obblighi di pubblicità e trasparenza come titolo autonomo e generalizzato per la diffusione online di dati personali dei dipendenti. Prima della pubblicazione occorre verificare:

• se esista una base normativa specifica;
• se i dati siano davvero necessari;
• se il documento renda comunque identificabile l’interessato tramite elementi indiretti;
• se possano essere adottate soluzioni meno invasive, in coerenza con il principio di minimizzazione e con la logica privacy by design e by default.