[doc. web n. 10280770]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 478 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi degli artt. 77 del Regolamento nei confronti del Comune di San Genesio e Uniti (di seguito, il “Comune”), XX, ex dipendente del Comune, ha lamentato una presunta violazione della normativa in materia di protezione dei dati personali, verificatasi in vigenza del rapporto di lavoro.

In particolare, è stato rappresentato che, nell’ambito di corrispondenza intercorsa con il Comune in relazione a una richiesta di nulla osta alla partecipazione a una procedura di mobilità volontaria presso altro Ente (di seguito, l’“Ente di Destinazione”), il Comune, per effetto dell’invio della nota prot. n. XX del XX, avrebbe reso edotto l’Ente di Destinazione di dati personali della reclamante appartenenti a categorie particolari, in quanto idonei a rivelare l’appartenenza sindacale, nonché delle generalità, dell’indirizzo di posta elettronica e del sindacato di appartenenza del rappresentante sindacale che si era rivolto al Comune nell’interesse della reclamante.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (v. nota prot. n. XX del XX), formulata ai sensi dell’art. 157 del Codice, il Comune, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“tra i due Enti […] intercorreva un rapporto convenzionale ex art. 92 del D.Lgs. 267/00 […] per l’utilizzo delle prestazioni lavorative della reclamante […]”;

“il Comune […era] ergo [già] autorizzato al trattamento dei suoi dati […] per adempimenti fiscali, previdenziali, retributivi, assicurativi ecc.”:

“non solo: divenendo […] unico titolare del rapporto di lavoro, a garanzia della continuità contrattuale, lo stesso [Ente Destinazione] ha richiesto ed ottenuto dal Comune […] la trasmissione del fascicolo personale della dipendente (con menzione di ferie residue, permessi, deleghe sindacali ed ogni altro dato utile alla prosecuzione del contratto di lavoro), nel rispetto della normativa in materia di sicurezza e protezione dei dati personali”;

“la finalità [della comunicazione dei dati] era quella di rendere edotto l’Ente [di Destinazione], in merito alle tempistiche riguardanti il rilascio del nulla osta definitivo al trasferimento per mobilità volontaria della [reclamante], a seguito di richieste avanzate dalla medesima nonché dalla sua sigla sindacale di riferimento circa la definizione delle procedure assunzionali, certamente di interesse per [l’Ente] di destinazione”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver lo stesso posto in essere un trattamento di dati personali, anche relativi all’appartenenza sindacale, non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter e 2-sexies del Codice. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Comune ha presentato una memoria difensiva, dichiarando, in particolare, che:

“l’Ente di Destinazione alla data della nota oggetto di reclamo […] intratteneva già un rapporto di lavoro [extra orario] con l’interessata […] ed era in attesa di ricevere il nulla osta definitivo al trasferimento […];”

esso, pertanto, era “nella ragionevole condizione di conoscere anche [dati personali] particolari (nella fattispecie, l’affiliazione sindacale) [… anche] in virtù del rapporto sinallagmatico che li legava, inducendo il Comune […] a ritenere, in buona fede, che anche [l’Ente di Destinazione] fosse già a conoscenza delle trattenute applicabili riconducibili alla delega sindacale […]”;

la sigla sindacale, nell’ambito delle precedenti interlocuzioni intercorse con il Comune, aveva “lascia[to] intendere un’avvenuta [pregressa] interlocuzione con [l’Ente di Destinazione], proprio in merito alle tempistiche del trasferimento”, avendo essa “rifer[ito], altresì, la necessità [dell’Ente di Destinazione] di implementare a breve il proprio organico […]”;

pertanto, il Comune “aveva reputato opportuno inserire tra i destinatari della lettera […] anche l’Ente di Destinazione, considerandolo già al corrente, non solo del contenuto delle doglianze ma anche della sigla sindacale di riferimento”;

inoltre, il Comune “ha agito nel ragionevole convincimento che l’Ente di Destinazione avesse già notizia del dato sindacale della reclamante, […] anche per il fatto che, intervenendo negli adempimenti retributivi, applicasse anch’esso le trattenute sindacali per il versamento della quota di iscrizione sul compenso aggiuntivo erogato […]”;

si trattava, in ogni caso, di “informazione legittimamente destinata a circolare, a breve, nel fascicolo personale […]”, essendosi dunque verificata “un’anticipazione non intenzionale e, quindi, caratterizzata da errore scusabile, poiché priva di effetti concreti, episodica e rimasta circoscritta a soggetti istituzionali qualificati e professionalmente coinvolti secondo le rispettive competenze”.

il titolare del trattamento è un “Ente di circa 4.000 abitanti dotato, pertanto, di risorse finanziarie e di personale limitate (totale: nn. 11 dipendenti, di cui nn. 3 con incarico di elevata qualificazione; il Segretario Comunale è in convenzione con altri 3 Comuni)”.

3. Esito dell’attività istruttoria.

Nella cornice del Regolamento e del Codice, il datore di lavoro può trattare i dati personali dei lavoratori (art. 4, n. 1, del Regolamento), anche relativi a categorie particolari, se il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento (v. artt. 6, par. 1, lett. c), e 2 e 3, e art. 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento (v. art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; artt. 2-ter e 2-sexies del Codice).

Il trattamento di dati personali appartenenti a categorie particolari, tra i quali sono ricompresi quelli relativi a “l'appartenenza sindacale […]” (art. 9, par. 1 del Regolamento), è, in generale, vietato, salvo che non ricorra una delle specifiche condizioni indicate dal par. 2 dell’art. 9 del Regolamento.

In ambito lavorativo, ciò implica che il trattamento di tali categorie di dati possa essere legittimamente posto in essere solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. b), del Regolamento; v. pure, art. 88, e cons. 51-53 del Regolamento; cfr., “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1, del d.lgs 10 agosto 2018, n. 101”, del 5 giugno 2019, n. 146, doc. web n. 9124510) nonché, in taluni casi, al ricorrere di “motivi di interesse pubblico rilevante” (art. 9, par. 2, lett. g) del Regolamento e art. 2-sexies, spec. lett. dd) del Codice). In particolare, “il datore di lavoro [può trattare] dati che rivelano […] l’appartenenza sindacale, o l’esercizio di funzioni pubbliche e incarichi politici, di attività o di incarichi sindacali esclusivamente ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali nonché per consentire l’esercizio dei diritti sindacali compreso il trattamento dei dati inerenti alle trattenute per il versamento delle quote di iscrizione ad associazioni od organizzazioni sindacali” (prescrizioni del 5 giugno 2019, cit., par. 1.4.2, lett. b)).

Nel caso oggetto di reclamo, il Comune, indirizzando la nota prot. n. XX del XX, oltre che alla reclamante e al proprio referente sindacale, anche all’indirizzo di protocollo dell’Ente di Destinazione, ancorché agendo nell’erronea convinzione che l’Ente di Destinazione fosse già a conoscenza delle informazioni trasmesse, ha posto in essere una comunicazione di dati personali della reclamante (estremi e contenuto della propria missiva indirizzata al Comune; indirizzo PEC personale), anche relativi all’appartenenza sindacale (iscrizione a una sigla sindacale), nonché dello stesso rappresentante sindacale (nome, cognome, appartenenza sindacale, indirizzo di posta elettronica personale, estremi e contenuto della nota inviata nell’interesse della reclamante), in assenza dei necessari presupposti di liceità.

Non è, infatti, sufficiente, al fine di poter escludere la responsabilità del titolare del trattamento, sia la circostanza che la reclamante svolgesse attività lavorativa a tempo determinato e parziale presso l’Ente di Destinazione, essendo ben distinti i rapporti di lavoro in essere con i due Enti, sia il fatto che fosse pendente la procedura di mobilità della stessa verso l’Ente di Destinazione, atteso che la reclamante, per il tramite del proprio referente sindacale, aveva scritto in maniera riservata esclusivamente al Comune - e non anche all’Ente di Destinazione - al fine di sollecitare il rilascio del richiesto nulla osta alla mobilità; pertanto, alla data in cui la comunicazione in questione è stata posta in essere, la procedura di mobilità non si era ancora perfezionata, dovendosi anche considerare la possibilità che l’interessata, prima di transitare nell’organico dell’altro Comune, avrebbe potuto in linea teorica decidere di cessare o modificare la propria affiliazione sindacale.

Alla luce delle considerazioni che precedono, deve concludersi che, inviando la nota in questione anche all’Ente di Destinazione, che non figurava tra i destinatari della nota di sollecito inviata dalla reclamante per il tramite del rappresentante sindacale, il Comune ha posto in essere un trattamento di dati personali, anche relativi all’appartenenza sindacale, non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter e 2-sexies del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

la violazione, che ha riguardato i dati personali di due soli interessati, ha natura episodica (cfr. art. 83, par. 2, lett. a), del Regolamento);

la violazione ha carattere colposo, avendo il Comune erroneamente assunto che l’Ente di Destinazione fosse già a conoscenza dei dati personali degli interessati (cfr. art. 83, par. 2, lett. b) e g), del Regolamento);

la violazione ha riguardato anche dati personali appartenenti a categorie particolari, in quanto idonei a rivelare l’appartenenza sindacale, nonostante le indicazioni da lungo tempo fornite dal Garante ai datori di lavoro pubblici in merito agli accorgimenti e alle cautele da adottare ove oggetto di trattamento siano tali delicate tipologie di dati (v., in particolare, le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, del 14 giugno 2007, in www.gpdp.it, doc. web n. doc. web n. 1417809, spec. par. 4. - “Dati sensibili e rapporti di lavoro”; cfr. art. 83, par. 2, lett. g), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un Comune di modeste dimensioni, dotato, pertanto, di limitate risorse organizzative ed economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

non risultano precedenti violazioni pertinenti commesse dal Comune (art. 83, par. 2, lett. e), del Regolamento);

il Comune ha offerto un buon livello di cooperazione con l’Autorità nel corso dell’istruttoria, avendo, altresì dichiarato di aver adottato iniziative (corsi di formazione per il personale) volte ad evitare il verificarsi di simili episodi in futuro (art. 83, par. 2, lett. f), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000 (duemila) per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter e 2-sexies del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che il trattamento, posto in essere in assenza di base giuridica, ha riguardato anche dati personali appartenenti a categorie particolari, in quanto idonei a rivelare l’appartenenza sindacale.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di San Genesio ed Uniti per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter e 2-sexies del Codice, nei termini di cui in motivazione;

ORDINA

al Comune di San Genesio ed Uniti, in persona del legale rappresentante pro-tempore, con sede legale in Via Riviera, 23 - 27010 San Genesio ed Uniti (PV), C.F. 00468360185, di pagare la somma di euro 2.000 (duemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000 (duemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

-    ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori