[doc. web n. 10280790]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 480 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, XX ha lamentato la pubblicazione, all’Albo Pretorio online del sito istituzionale del Comune di Villaputzu (di seguito “Comune”) della determina n.XX del XX contenente propri dati personali “ovvero il numero di matricola e il motivo del recesso dal rapporto di lavoro” con il Comune.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità, il Comune ha dichiarato, con la nota del XX, in particolare, che:

- “la determinazione n. XX del XX ad oggetto “Recesso dal rapporto lavorativo instaurato con dipendente comunale” è stata pubblicata, sprovvista di allegati, nella sezione Albo Pretorio del sito istituzionale del Comune di Villaputzu in ottemperanza a quanto prescritto dall’art. 124, comma 2, del D.Lgs. n. 267/2000 che impone la pubblicazione per 15 giorni consecutivi di tutte le deliberazioni comunali, le quali comprendono anche le determinazioni dirigenziali secondo l’intento normativo di rendere pubblici tutti gli atti degli enti locali di esercizio del potere deliberativo, indipendentemente dalla natura collegiale o meno dell’organo emanante (C.d.S., sez. V, 15 marzo 2006, n. 1370)”;

- “altresì, la determinazione n. XX ha trovato pubblicazione nella sezione Amministrazione Trasparente – sottosezione Provvedimenti – in virtù del D.Lgs. n. 33/2013 che permette la pubblicazione di dati ulteriori rispetto a quelli obbligatori, purché tali dati vengano resi effettivamente anonimi e non consentano la possibilità di identificare gli interessati”;

- “la determinazione in questione ha trovato pubblicazione per complessivi 30 giorni e, segnatamente, nell’Albo Pretorio on line dal XX al XX e nella Sezione Trasparenza dal XX al XX”.
Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che il trattamento dei dati della reclamante nel caso di specie fosse stato effettuato in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati” e in assenza di un idoneo presupposto normativo in violazione degli artt. 5, par. 1, lett. a) e c), 6 del Regolamento e 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX il Comune ha presentato una memoria difensiva dichiarando, in particolare, che:

“la determina non conteneva il nominativo della reclamante, bensì esclusivamente il numero di matricola aziendale. L'Ente, in buona fede, aveva ritenuto che tale accorgimento fosse sufficiente a garantire l'anonimato del soggetto interessato, considerato che il numero di matricola è accessibile esclusivamente al dipendente assegnatario e ad un ristretto numero di dipendenti comunali (n. 4), di cui n. 2 addetti all’ ufficio personale e n. 2 dell’ufficio contabilità paghe, tenuti al segreto d'ufficio. Il numero di matricola aziendale non è peraltro riportato nel badge timbra-presenze in uso al personale”.

“la condotta oggetto di contestazione è stata posta in essere in assoluta buona fede, nell'erroneo convincimento di adempiere correttamente agli obblighi di pubblicità degli atti, amministrativi previsti dall'art. 124, comma 2, del D.Lgs. n. 267/2000 (TUEL) e dal D.Lgs. n.33/2013 in materia di trasparenza”;

“l’Ente aveva adottato specifiche cautele, omettendo il nome e il cognome dell'interessata e riportando unicamente il numero di matricola riportato soltanto nel cedolino presenze e nella busta paga del dipendente, nella convinzione che tale dato, di per sé non direttamente identificativo, fosse sufficiente nel caso concreto a garantire l'anonimizzazione. Tale valutazione, seppur erronea alla luce dei chiarimenti forniti da codesta Autorità, evidenzia l'assenza di qualsiasi intento doloso e la buona fede dell'amministrazione”;

“si evidenzia inoltre che Villaputzu è un comune di circa 4.400 abitanti e che il sito istituzionale registra un traffico molto limitato. Tali circostanze contribuiscono a circoscrivere significativamente la platea dei potenziali destinatari della diffusione”;

“immediatamente dopo la ricezione della segnalazione trasmessa [dalla reclamante] in data XX […], l'Ente ha provveduto a: - rimuovere definitivamente la determina n. XX da tutte le sezioni del sito istituzionale; - verificare l'assenza di copie cache o archiviate della determina su motori di ricerca; - effettuare una ricognizione di tutte le determine pubblicate per individuare eventuali analoghe situazioni”;

“a seguito della vicenda in esame, l'Ente ha adottato e sta adottando le seguenti misure:- revisione delle procedure interne per la pubblicazione degli atti amministrativi nell’ albo pretorio on line senza alcun dato personale mentre nel sito istituzionali risulta possibile la sola visualizzazione del numero, data e oggetto delle determinazioni dirigenziali e delle deliberazioni degli organi di governo una volta spirato il termine di affissione all’albo pretorio telematico; - programmazione di corsi di formazione per il personale addetto alla pubblicazione degli atti, con particolare ai rapporti tra trasparenza e privacy; - coinvolgimento sistematico del Responsabile della Protezione dei Dati (DPO) nella revisione degli atti da pubblicare che contengano riferimenti a persone fisiche; - aggiornamento del Registro dei trattamenti con specifica indicazione dei trattamenti connessi alla pubblicazione di atti sull'Albo Pretorio e in Amministrazione Trasparente”.

3. Esito dell’attività istruttoria.

Con specifico riferimento al trattamento dei dati personali nell’ambito del rapporto di lavoro, il datore di lavoro può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), al ricorrere di un’idonea base giuridica, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore nonché quando il trattamento è “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, parr. 1, lett. c) ed e), 2 e 3; 9, par. 2, lett. b), e 4; 88 del Regolamento; 2-ter del Codice).

Il datore di lavoro, quale titolare del trattamento, è tenuto in ogni caso a rispettare i principi in materia di protezione dei dati, fra i quali, in particolare, quelli di “liceità, correttezza e trasparenza” e “minimizzazione dei dati”, per cui i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”, nonché i principi di “protezione dei dati fin dalla progettazione” e “protezione dei dati per impostazione predefinita” (artt. 5, par. 1, lett. a) e c), e 25 del Regolamento).

All’esito dell’attività istruttoria è emerso che il Comune ha pubblicato dal XX al XX nell’Albo Pretorio online e dal XX al XX nella Sezione Amministrazione Trasparente del sito web istituzionale del Comune, la determina n. XX del XX avente ad oggetto “Recesso dal rapporto lavorativo instaurato con dipendente comunale” contenente il numero di matricola riferito alla reclamante.”

Preliminarmente si osserva che, sebbene la predetta determina non menzioni espressamente il nome e il cognome della reclamante, quest’ultima era in ogni caso identificabile attraverso il numero di matricola associato ad altre informazioni di contesto rinvenibili nella determina stessa quale il non superamento del periodo di prova a seguito di partecipazione e superamento di una procedura concorsuale. Si evidenzia che l’utilizzo di un numero identificativo, come nel caso di specie, può non essere sufficiente a evitare l’identificabilità degli interessati, specie quando ad esso siano associate altre informazioni di contesto ovvero ulteriori elementi identificativi. Pertanto, considerate le piccole dimensioni del Comune, la reclamante risultava essere facilmente identificabile, sia all’interno che all’esterno dell’Ente, dovendosi considerare le informazioni contenute nella predetta determina relative all’interessata come “dati personali” ai sensi dell’art. 4, par. 1, n. 1, del Regolamento.

Risulta inoltre superflua l’indicazione del numero di matricola all’interno del documento oggetto di pubblicazione tenuto conto che nel documento stesso si fa rinvio a un allegato contenente le generalità della reclamante e di cui, “per ragioni di riservatezza”, veniva omessa la pubblicazione.

Al riguardo, nel confermare che il quadro normativo in materia di protezione dei dati personali richiede per qualsiasi operazione di trattamento (art.4, punto 2 del Regolamento) tra cui la diffusione (art. 2-ter comma 4 lett. b) del Codice) la necessità di disporre di un’idonea base giuridica, si ricorda che il Garante ha fornito fin dal 2007 indicazioni in ordine ai presupposti (e al ricorrere di questi, delle specifiche modalità) per la lecita pubblicazione di atti e documenti che contengono dati personali dei dipendenti precisando, in particolare, che non è lecito diffondere informazioni personali riferite a singoli lavoratori. Il Garante, in proposito, ha in numerose occasioni chiarito che anche la presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali (v., tra i tanti provv. 26 marzo 2026, n.202 doc web n. 10243180; v. inoltre, provv. del 4 giugno 2025, n. 320, doc. web n. 10163025 e provv. del 12 dicembre 2024, doc web 10102355).

In numerose decisioni in merito agli obblighi derivanti dall’art. 124 del d.lgs. 267/2000, il Garante ha ribadito che anche alle pubblicazioni sull’Albo pretorio online di atti o deliberazioni si applicano tutti i limiti previsti dai principi della protezione dei dati personali, avendo riguardo anzitutto alla sussistenza di idonei presupposti di liceità della diffusione online dei dati personali in essa contenuti, prima ancora che alla eventuale minimizzazione degli stessi.

Ciò è confermato anche dal sistema di protezione dei dati personali contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento deve mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e deve essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – di averlo fatto (artt. 5, par. 2; 24 e 25, par. 2, Regolamento).

Si evidenzia, inoltre, che gli obblighi di pubblicazione online di dati per finalità di "trasparenza", pur invocata per legittimare la pubblicazione di tale determina, sono esclusivamente quelli specificatamente indicati nel d.lgs. 14 marzo 2013, n. 33.Nel caso di specie il Comune non ha individuato alcuna specifica norma di legge o, nei casi previsti dalla legge, di regolamento che espressamente preveda la pubblicazione di atti contenenti informazioni attinenti a vicende connesse al rapporto di lavoro, in particolare, nel caso di specie, relativamente al recesso dal rapporto di lavoro a seguito del mancato superamento del periodo di prova della reclamante.

Alla luce delle considerazioni che precedono si deve concludere che la pubblicazione, dal XX al XX nell’Albo pretorio online e dal XX al XX nella Sezione Amministrazione Trasparente del sito web istituzionale del Comune della determina n. XX del XX avente ad oggetto “Recesso dal rapporto lavorativo instaurato con dipendente comunale” contenente il riferimento al numero di matricola della reclamante, ha dato luogo a una diffusione di dati personali, in assenza di un’idonea base giuridica, in violazione degli artt. 5 e 6 del Regolamento e 2-ter del Codice, nonché in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati” in violazione dell’art. 5, par. 1, lett. a) e c), del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver trattato, attraverso la pubblicazione sul proprio sito web istituzionale della determina n. XX del XX, dati personali della reclamante in violazione degli artt. 5, par. 1, lett. a) e c), 6 del Regolamento e 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5, par. 1, lett. a) e c), 6 del Regolamento e 2-ter del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, in quanto il Comune ha dichiarato di aver provveduto “a rimuovere definitivamente la determina n. XX da tutte le sezioni del sito istituzionale” in data XX immediatamente dopo il ricevimento della segnalazione trasmessa dalla reclamante all’Autorità, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

la vicenda in questione ha riguardato una sola interessata e la pubblicazione della determina si è protratta per circa un mese (dal XX al XX) (art. 83, par. 2, lett. a), del Regolamento);

la violazione presenta carattere colposo, essendo la pubblicazione avvenuta nella convinzione di adempiere a un obbligo di pubblicità e che, avendo pubblicato il solo numero di matricola, il Comune riteneva di aver adottato una tecnica di anonimizzazione sufficiente a garantire la non identificabilità della reclamante (art. 83, par. 2, lett. b), del Regolamento);

le informazioni oggetto del trattamento riguardavano dati comuni della reclamante (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel tenere presente che il Comune è un ente di dimensioni molto ridotte, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il titolare ha dato atto di aver intrapreso numerose iniziative per prevenire il verificarsi di simili eventi in futuro (art. 83, par. 2, lett. c), del Regolamento);

ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal titolare in tale specifico ambito (art. 83, par. 2, lett. e), del Regolamento);

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila/00) per la violazione degli artt. 5, par. 1, lett. a) e c), 6 del Regolamento e 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che la pubblicazione, effettuata in assenza di un’idonea base giuridica, ha comunque riguardato dati della reclamante in riferimento al rapporto di lavoro con il Comune.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Villaputzu per violazione degli artt. 5, par. 1, lett. a) e c), 6 del Regolamento e 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

al Comune di Villaputzu, in persona del legale rappresentante pro-tempore, con sede legale in Via Leonardo Da Vinci, 10 - Villaputzu (CA) C.F. 80003170927, di pagare la somma di euro 2.000,00 (duemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000,00 (duemila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione 

IL SEGRETARIO GENERALE
Montuori