[doc. web n. 10262588]

Provvedimento del 28 maggio 2026

Registro dei provvedimenti
n. 383 del 28 maggio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo, presentato a questa Autorità, ai sensi dell’art.77 del Regolamento, il XX, che ha svolto la propria attività lavorativa presso il Comune di Sciacca (di seguito “Comune”), ha lamentato la pubblicazione, sul sito web istituzionale dello stesso, della Determina Dirigenziale n. XX del XX concernente la “PRESA D'ATTO DIMISSIONI VOLONTARIE E QUANTIFICAZIONE INDENNITA' SOSTITUTIVA DI PREAVVISO DIPENDENTE XX”, contenente i dati personali dell’interessato.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità, il Comune ha dichiarato, con la nota del XX, in particolare, che:

- “la determinazione dirigenziale N.XX del XX, nella quale il responsabile del procedimento indicava le informazioni necessarie alla produzione dell’atto, conteneva solo il nome e cognome della persona a cui l’atto era orientato, utilizzando l’oscuramente della data di nascita e del luogo di nascita nella pubblicazione”;

- “la necessità della pubblicazione dell’atto è resa necessaria per l’assolvimento della pubblicazione dell’art. 18 L.R. 22/2008, come sostituito dall’art.6 della L.R. 11/2015 e modificato dagli artt.12 e 13 della L.R. 13/2022”;

- “l’intervallo di tempo nel quale tale atto è stato reso pubblico è di 15 gg su Albo Pretorio (art.124 del TUEL) mentre su Amministrazione Trasparente la pubblicazione deve restare per 5 anni […] (art.8 comma 3 del decreto legislativo 14 marzo 2013 n.33)”.

Con nota del XX l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento sul presupposto che il trattamento in questione fosse stato posto in essere in violazione degli artt. 5, par. 1, lett. a) e c), 6, par.1, lett. c) ed e) del Regolamento, nonché dell’art. 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689). 

Con nota del XX, il Comune, che non ha chiesto di essere audito, ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “la durata della pubblicazione è stata di 15 gg. su Albo Pretorio, è residuata fino a poco tempo fa la pubblicazione del provvedimento al seguente link https://servizi.comune.sciacca.ag.it/...” ;

- “attualmente al link sopra indicato è presente la determinazione dirigenziale N.XX del XX, ma con occultamento di tutti i dati personali del XX, compreso nome e cognome”;

- “la pubblicazione oggetto di contestazione in nessun modo è stata volontaria, si è provveduto attraverso automatismi quotidiani che portano l’Ente a pubblicare sempre più informazioni per garantire la trasparenza delle azioni intraprese e comunque funzionali alla relativa gestione del rapporto con il personale dell’Ente ai sensi della normativa in vigore”;

- “è stato previsto un momento informativo per gli uffici relativi alla gestione del personale, da parte del D.P.O. nel merito delle relative azioni da intraprendere, in relazione agli obblighi di pubblicazione”.

3. Esito dell’attività istruttoria. La normativa applicabile.

La disciplina di protezione dei dati personali prevede che il datore di lavoro può trattare i dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, paragrafo 1 del Regolamento), dei lavoratori se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi (artt. 6, paragrafo 1, lett. c), 9, paragrafo 2, lett. b) e 4; 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. e) e paragrafo 2 e 3 del Regolamento; art.2-ter del Codice”.

Preliminarmente si rappresenta che per dato personale si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Pertanto, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, paragrafo 1, n. 1 del Regolamento).

Tali trattamenti devono, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro che deve perseguire un obiettivo di interesse pubblico ed essere proporzionato al perseguimento dello stesso. La finalità del trattamento deve essere necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (cfr. art. 6, par. 3, del Regolamento e 2-ter del Codice).

Il titolare del trattamento è tenuto a rispettare i principi di “liceità, correttezza e trasparenza”, “limitazione delle finalità”, “minimizzazione” nonché “integrità e riservatezza” dei dati e “responsabilizzazione” (art. 5 del Regolamento).

Il Garante ha fornito nel tempo indicazioni in ordine ai presupposti (e al ricorrere di questi, delle specifiche modalità) per la lecita pubblicazione di atti e documenti che contengono dati personali anche dei dipendenti, precisando, in particolare, che anche “laddove l´amministrazione riscontri l´esistenza di un obbligo normativo che impone la pubblicazione dell´atto o del documento nel proprio sito web istituzionale è necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni”, in conformità al principio di minimizzazione dei dati (cfr. art. 5, par. 1, lett. c), del Regolamento), “quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità” (“Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" del Garante, provv. 15 maggio 2014, n. 243, doc. web n. 3134436).

3.1. La diffusione online di dati personali. 

Dagli elementi acquisiti e dei fatti emersi nell’ambito dell’attività istruttoria, risulta accertato che il Comune ha pubblicato la Determina Dirigenziale n. XX del XX concernente la “PRESA D'ATTO DIMISSIONI VOLONTARIE E QUANTIFICAZIONE INDENNITA' SOSTITUTIVA DI PREAVVISO DIPENDENTE XX”, contenente i dati personali dell’interessato. 

Tra le argomentazioni difensive prospettate dal Comune, finalizzate a giustificare la pubblicazione della determina stessa, vi è la asserita necessità di adempiere all’obbligo previsto dall’” art. 18 L.R. 22/2008, come sostituito dall’art.6 della L.R. 11/2015 e modificato dagli artt.12 e 13 della L.R. 13/2022”.

A tale riguardo si evidenzia che la citata disposizione, che in ogni caso contiene un esplicito riferimento al rispetto delle disposizioni in materia di protezione dei dati personali, nulla prevede riguardo all’obbligo di pubblicazione di atti aventi ad oggetto informazioni relativi alla presa d’atto delle dimissioni volontarie e conseguente quantificazione della indennità sostitutiva di preavviso dei dipendenti, indicando, invece, un obbligo di pubblicazione generico.

Pertanto, con riguardo agli obblighi di pubblicazione online di dati per finalità di "trasparenza", si evidenzia che tali obblighi sono esclusivamente quelli specificatamente indicati nel d.lgs. 14 marzo 2013, n. 33. Le pubbliche amministrazioni non sono libere di diffondere “dati personali” ulteriori, non individuati dal d. lgs. n. 33/2013 o da altra specifica norma di legge o di regolamento, come nel caso di specie. Per tali ragioni non risulta applicabile al caso di specie l’art.8 comma 3 del d.lgs. 33 del 2013 che prevede che solo gli atti oggetto di pubblicazione obbligatoria restino pubblicati per un periodo di cinque anni (cfr.art.8 cit. “i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblicati per un periodo di 5 anni”).

Con particolare riguardo agli obblighi di pubblicazione sull’albo pretorio online (v. art. 124 del d.lgs. n. 267 del 18 agosto 2000 -Testo Unico delle leggi sull’ordinamento degli enti locali), pur invocato per legittimare la pubblicazione di tale documento, il Garante ha ribadito che anche in tale caso si applicano tutti i limiti previsti dai principi della protezione dei dati personali, avendo riguardo anzitutto alla sussistenza di idonei presupposti di liceità della diffusione online dei dati personali in essa contenuti, prima ancora che alla eventuale minimizzazione degli stessi. Il Garante, in proposito, ha in numerose occasioni chiarito (in particolare, nel 2014, con le Linee guida del 2014 , sopra richiamate, in particolare parte I e II, spec. par. 3.a; v. anche le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” doc. web n. 1417809) che anche la presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, anche per i dati personali comuni, né una deroga ai principi in materia di protezione dei dati personali come confermato dal sistema di protezione dei dati personali contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento debba mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e deve essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – di averlo fatto ai sensi degli artt. 5, par. 2, 24 e 25, par. 2, del Regolamento (cfr. tra i tanti, da ultimo provv. del 12 marzo 2026, n. 163, doc web 10240362 e provv. ; v. anche provv. del 17 luglio 2025 n. 423, doc. web n. 10181686 e precedenti in essi citati).

Al riguardo, infatti, prima di diffondere in rete qualsiasi dato personale relativo agli interessati, il titolare del trattamento è tenuto a verificare quali dati e informazioni pubblicare, assicurando in pari tempo il pieno rispetto della disciplina in materia di protezione dei dati personali con specifico riferimento alla pertinenza e non eccedenza dei dati diffusi, non rilevando, in tal caso, “l’oscuramento della data di nascita e del luogo di nascita” dell’interessato, effettuato dal Comune in quanto il reclamante era direttamente identificabile mediante il nome e cognome. 

Si evidenzia, infine, che, sin dall’oggetto della pubblicazione, da cui si evince anche il contenuto della determina, sono espressamente indicati sia nome e cognome dell’interessato (“PRESA D'ATTO DIMISSIONI VOLONTARIE E QUANTIFICAZIONE INDENNITA' SOSTITUTIVA DI PREAVVISO DIPENDENTE XX”). Al riguardo, si fa presente che il Garante ha rilevato, nel tempo, l’illiceità in merito alla pubblicazione su sito web istituzionale di atti e documenti che contenevano dettagli informativi in relazione alla gestione e, come avvenuto nel caso di specie, alla cessazione del rapporto di lavoro, anche qualora tali dati fossero contenuti esclusivamente nell’oggetto della determina, che comunque ne costituisce parte integrante (v. tra i tanti provv. del 17 ottobre 2024, n. 612, doc. web n. 10073751 e provv. del 17 luglio 2025 sopra richiamato; cfr. anche provv. del 1° agosto 2013 n. 382, doc. web n. 2578588 che, ancorché con riguardo al quadro normativo previgente, contiene principi applicabili al caso di specie).

Tanto premesso, nel caso di specie, il Comune non ha individuato alcuna norma di legge o, nei casi previsti dalla legge, di regolamento, che espressamente preveda la pubblicazione di atti che facciano riferimento a determinazioni contenenti dati personali attinenti a vicende connesse al rapporto di lavoro che, in particolare, riguardano la presa d’atto delle dimissioni e la relativa quantificazione della indennità di preavviso del lavoratore.

Alla luce delle considerazioni che precedono si deve concludere che la pubblicazione online dal XX  fino ai primi mesi del XX della predetta determina ha dato luogo a una diffusione di dati personali, in assenza di un’idonea base giuridica, in violazione degli artt. 6 par.1 lett. c) ed e) del Regolamento e 2-ter del Codice, nonché in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati” in violazione dell’art. 5, par. 1, lett. a) e c), del Regolamento. 

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune per aver diffuso i dati personali del reclamante contenuti nella predetta documentazione, in violazione degli artt. 5, par. 1, lett. a) e c) e 6 par.1 lett. c) ed e) del Regolamento nonché dell’art. 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono tutte soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In ogni caso, considerando che la condotta ha esaurito i relativi effetti - atteso che il Comune, seppure a seguito del ricevimento dell’atto di avvio del procedimento ha provveduto ad oscurare i dati personali del reclamante dalla predetta determinazione, non indicizzata sui motori di ricerca - non ricorrono i presupposti per l’adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- il trattamento in questione ha riguardato un solo interessato e si è protratto dal XX fino ai primi mesi del XX, senza indicizzazione sui motori di ricerca (art. 83, par. 2, lett. a), del Regolamento);

- la pubblicazione è avvenuta in buona fede considerato che il Comune ha agito “attraverso automatismi quotidiani” nell’errata convinzione di poter perseguire finalità di pubblicità e trasparenza dell’azione amministrativa, non tenendo però conto del quadro normativo di settore e delle indicazioni fornite nel tempo dal Garante a tutti i soggetti pubblici in materia (art. 83, par. 2, lett. b), del Regolamento); 

- la diffusione ha riguardato dati personali comuni del reclamante, non indicizzati sui motori di ricerca (cfr. art. 83, par. 2, lett. g), del Regolamento), 

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- il Comune a seguito di quanto occorso, ha dichiarato di aver assunto iniziative, finalizzate a conformarsi alla normativa applicabile e alle indicazioni del Garante, coinvolgendo il proprio Responsabile della Protezione dei Dati riguardo a specifiche attività formative in relazione agli obblighi di pubblicazione (art. 83, par. 2, lett. c) del Regolamento);

- il Comune ha offerto piena collaborazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento); 

- risulta una precedente violazione delle medesime disposizioni del Regolamento e del Codice, ancorché in contesti diversi (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 6.000/00 (seimila/00) per la violazione degli artt. 5, par. 1, lett. a) e c) e 6 par.1 lett. c) ed e) del Regolamento nonché dell’art. 2-ter del Codice quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che il trattamento ha riguardato la diffusione di una determina, in assenza di un’idonea base giuridica, contenente informazioni del rapporto di lavoro tra il Comune e il reclamante. 

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune per violazione degli artt. 5, par. 1, lett. a) e c) e 6 par.1 lett. c) ed e) del Regolamento nonché dell’art. 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

Al Comune di Sciacca, in persona del legale rappresentante pro-tempore, con sede legale in Via Roma, 13 - 92019 Sciacca (AG), C.F. 00220950844, di pagare la somma di euro 6.000/00 (seimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 6.000/00 (seimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 28 maggio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori