Provvedimento del 14 luglio 2026 [10286417]
Provvedimento del 14 luglio 2026 [10286417]
Condividi[doc. web n. 10286417]
Provvedimento del 14 luglio 2026
Registro dei provvedimenti
n. 523 del 14 luglio 2026
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);
VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);
VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);
Vista la documentazione in atti;
Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;
Relatore la prof.ssa Ginevra Cerrina Feroni;
PREMESSO
1. Introduzione
Con segnalazione trasmessa ai sensi dell’art. 144 del Codice all’Autorità in data XX, è stata lamentata, in particolare, la diffusione di dati personali sul sito web istituzionale del Comune di Rieti (di seguito, il “Comune”), tra cui i dati personali dei contribuenti TARI.
Nella predetta segnalazione è stata richiamata, in particolare, una notizia stampa, con la quale è stato reso noto che “L’amministrazione […] ha esposto i dati personali di oltre 31.000 cittadini, mettendoli a rischio di furti d’identità e frodi. […ad XX] è infatti stato pubblicato un file di oltre 2000 pagine dove sono stati lasciati in bella mostra i dati personali di cittadini e imprese reatine: nome, cognome, codice fiscale e domicilio, nonché dati catastali, indirizzo, categoria di utenza e metri quadrati delle proprietà che hanno a disposizione e su cui pagano la TARI” […il] primo cittadino, […] non ha ritenuto necessario informare immediatamente i cittadini di questa grave violazione. […] l’amministrazione […] ha eliminato documento e relativa delibera, come se non fosse successo nulla” (cfr. URL https://...).
In risposta al predetto articolo, il Comune, come accertato dall’Ufficio in data XX, ha pubblicato un comunicato dichiarando di “avere agito con la massima tempestività possibile”, nonché rappresentando che “sul fatto non c’è stata alcuna reticenza, ma si è seguito scrupolosamente quanto previsto dai protocolli in casi analoghi. L’errore commesso è stato rilevato da personale dell’Ente e l’Amministrazione ha immediatamente messo in essere l’azione prevista, cioè la rimozione. Si precisa inoltre che il documento pubblicato conteneva dati personali, non sensibili e non giudiziari e dati di persone giuridiche, che non rientrano nell’ambito dell’applicazione della privacy. Si è proceduto con sollecitudine a fare quanto previsto dalla norma, attivando il protocollo e quindi anche la segnalazione al Garante della Privacy, nella quale si è data disponibilità a segnalare alla cittadinanza l’accaduto, quando la stessa Autorità Garante […] dicesse [al Comune] essere necessario. […] Nessuna reticenza o lentezza, quindi, ma solo l’applicazione di quanto previsto dalle norme” (cfr. comunicato del XX, URL https://...).
2. L’attività istruttoria
2.1. La violazione dei dati personali occorsa
In merito alla violazione occorsa, il Comune, con nota acquisita al prot. n. XX del XX, ha provveduto a comunicare all’Autorità, ai sensi dell’art. 33 del Regolamento, in particolare, che:
- “In data XX è stata erroneamente pubblicata sull'Albo Pretorio la determinazione n. XX del XX con i relativi allegati che costituivano comunque solo elementi del fascicolo e non dovevano essere pubblicati (tra cui il contratto di servizio XX) […] il suddetto contratto di servizio XX ha, tra gli allegati, l'elenco dei dipendenti dell'Azienda (nome e cognome di n. 50 persone), il Piano Industriale e il ruolo TARI (circa 31.000 utenze tra persone fisiche e giuridiche, con indicazione tra l'altro del codice fiscale, nome e cognome, residenza, dati catastali ed indirizzo immobili soggetti a tassazione, superficie soggetta a tassazione). Accertata l'erronea pubblicazione del suddetto atto e dei relativi allegati nella giornata del XX è stata immediatamente rimossa la pubblicazione sia dall'Albo pretorio sia nella sezione "Amministrazione Trasparente" (sez. F, punto 7);
- i sistemi coinvolti nella violazione sono il “Software per la gestione dell'Albo Pretorio e della sezione "Amministrazione Trasparente" fornito dalla società XX […]” (sez. F, punto 8);
- le misure tecniche e organizzative in essere al momento della violazione si sostanziano nella ”Sensibilizzazione e formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo” (sez. F, punto 9);
- sono stati coinvolti nella violazione i dati anagrafici (nome, cognome, sesso, data di nascita, luogo di nascita, codice fiscale), nonché i dati relativi all’iscrizione al ruolo TARI del Comune (ossia, dati catastali e indirizzo di immobili soggetti a tassazione, superficie soggetta a tassazione) di circa 31.050 interessati, tra cui utenti, contraenti, abbonati, clienti attuali o potenziali (sez. F, punti 10, 11 e 12); nel dettaglio, gli interessati coinvolti sarebbero “dipendenti della XX” e “persone fisiche o giuridiche con l’obbligo di iscrizione al ruolo TARI” (sez. F, punto 14);
- i dati sono stati divulgati al di fuori di quanto previsto dall’informativa ovvero dalla disciplina di riferimento e possono essere correlati, senza sforzo irragionevole, ad altre informazioni relative agli interessati (sez. G, punto 1.1);
- la violazione ha comportato la conoscenza dei dati da parte di terzi non autorizzati (sez. G, punto 2) e la gravità del potenziale impatto per gli interessati è stata valutata dal Comune come trascurabile (sez. G, punto 3).
Nella citata notifica, è stato altresì rappresentato che in data XX, si è provveduto alla “Rimozione della pubblicazione sia dall'Albo pretorio sia nella sezione "Amministrazione Trasparente"” e che, tra le misure tecniche e organizzative adottate (o da adottare) per prevenire simili violazioni future vi è la “Modifica delle politiche del titolare del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo” (sez. H, punti 1 e 2).
Nella medesima notifica di violazione, il Comune ha rappresentato che la comunicazione agli interessati prevista dall’art. 34 del Regolamento non è stata effettuata in quanto “la violazione non è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche” poiché “Gli elenchi pubblicati non contengono dati personali di cui agli articoli 9 e 10 del Reg. UE 2016/679” (sez. I, punto 1 e sez. L, punto 1).
2.2. I riscontri alle richieste di informazioni
Con note del XX e del XX (rispettivamente, prot. nn. XX e XX), il Comune ha fornito riscontro alle richieste di informazioni formulate da questa Autorità ai sensi dell’art. 157 del Codice (cfr. note prot. nn. XX del XX e XX del X), fornendo chiarimenti in merito ai profili di seguito delineati:
a. per quanto concerne le modalità con cui il Comune è venuto a conoscenza della violazione occorsa in data XX, nonché con riferimento alla portata della diffusione dei dati personali contenuti nella determinazione n. XX del XX e nei relativi allegati (di seguito, “Determinazione”), il Comune ha dichiarato, in particolare, che:
- “Nella giornata del XX il dipendente […] incaricato della pubblicazione dell’atto in oggetto era assente […]. In data XX, […] il dipendente ha controllato le pubblicazioni fatte e si è accorto della violazione. Nella stessa giornata ha provveduto a segnalare la questione […] ed a rimuovere la pubblicazione. Nella mattina del XX ha avvisato del fatto il DPO per una valutazione della violazione […]” (cfr. nota del XX);
- “[…] la pubblicazione dell’atto in oggetto è stato un mero errore materiale dal quale è scaturita la violazione e che è stato commesso a causa della contemporanea pubblicazione di altro atto” (cfr. nota del XX);
- “Il numero complessivo di download della determinazione e/o degli allegati è stato di 31 (trentuno) tutte effettuate da soggetti esterni. Il numero complessivo di visualizzazioni della determinazione e/o degli allegati è stato di 57 (cinquantasette) di cui 13 (tredici) effettuate da dipendenti dello scrivente comune e 44 (quarantaquattro) effettuate da soggetti esterni” (cfr. nota del XX);
b. con riferimento alla base giuridica e alle finalità del trattamento effettuato attraverso la pubblicazione della Determinazione sull'Albo Pretorio e nella Sezione “Amministrazione trasparente” del proprio sito web istituzionale, il Comune ha rappresentato che “La base giuridica del trattamento è ravvisabile all’art. 6 par. 1 lettera c) del Regolamento al fine degli obblighi legali in capo al Titolare imposti dalla Legge 18 giugno 2009, n. 69 per l’Albo Pretorio e dal Decreto Legislativo n. 33 del 14 marzo 2013 per la sezione “Amministrazione trasparente” del sito web istituzionale” (cfr. nota del XX);
c. per quanto concerne, invece, la base giuridica e le finalità del trattamento effettuato da parte del Comune in relazione ai dati personali dei dipendenti di XX (di seguito, “XX”), anche in rapporto alla pubblicazione della Determinazione “XX […] è un'azienda con socio unico il Comune […] operante nei seguenti settori di pubblica utilità […tra cui] Gestione rifiuti, Igiene pubblica, […] Sulla scorta del Piano Economico Finanziario per l’anno XX (anche richiamato nella determinazione n XX del XX) si rimanda al contratto tra il Comune di Rieti e la sua partecipata […] ricompreso tra gli allegati della determinazione n XX del XX […]. Nel quotidiano scambio di informazioni tra l’Amministrazione e la sua società partecipata si è provveduto ad avvisare in merito alla violazione occorsa chiedendo di avere giusta nota in merito ad eventuali segnalazioni o reclami. Alla data odierna non è stato comunicato nulla in tal senso” (cfr. nota del XX);
d. per quanto riguarda le categorie di persone giuridiche coinvolte dalla violazione in esame, il Comune ha chiarito che:
- “Le persone giuridiche coinvolte sono imprese individuali, società tra professionisti e società di persone o di capitali, ivi compresi consorzi e cooperative, […] Tra queste, imprese individuali e società di persone potrebbero, nel nome essere identificate una o più persone fisiche alla pari del data base ufficiale delle Camere di Commercio consultabile prima richiesta” (cfr. nota del XX);
- “[…] nel numero degli interessati indicato nella notifica di violazione […] prot. n. XX del XX sono comprese anche le persone giuridiche (es. imprese unipersonali, ecc.), dalla cui ragione sociale possano essere identificate una o più persone fisiche”; inoltre “i dati pubblicati riguardanti gli immobili di proprietà di persone fisiche e/o giuridiche sono facilmente accessibili a chiunque sia in possesso di profilo alla piattaforma SISTER dell’Agenzia delle Entrate, destinata in particolare sia ai liberi professionisti (tecnici, commercialisti etc.) che agli Enti” (cfr. nota del XX);
e. per quanto attiene agli ulteriori soggetti coinvolti nel trattamento dei dati personali oggetto di violazione e al ruolo svolto dagli stessi per quanto concerne la disciplina in materia di protezione dei dati personali, il Comune ha dichiarato che “La società XX è l’operatore economico affidatario della gestione dell’Albo Pretorio e della sezione “Amministrazione trasparente” del sito web istituzionale incaricata quale Responsabile del Trattamento (art. 28 del Regolamento) […]” (cfr. nota del XX);
f. con riguardo, invece, alle specifiche misure tecniche, nonché alle misure organizzative (ulteriori, rispetto a quelle già indicate nella notifica ai sensi dell’art. 33 del Regolamento) in essere al momento della violazione, il Comune ha rappresentato che:
- “I soggetti incaricati del trattamento nel periodo ricompreso tra XX e XX sono stati informati e formati, includendo altresì le istruzioni operative, sugli obblighi in materia di protezione dei dati personali imposti dal Regolamento, dal Codice e dalle disposizioni in materia dell’Autorità Garante, novellate nel combinato disposto con le disposizioni in materia di Trasparenza negli atti amministrativi ed anticorruzione […]” (cfr. nota del XX);
- “A seguito del Data Breach […] si sono ritenute attuali ed applicabili le istruzioni contenute nel documento […] del XX […] e si è approntato e distribuito ai dirigenti “XX” in edizione XX revisione XX del XX […]” (cfr. nota del XX);
- “Nel periodo ricompreso tra XX e XX sono stati formati e sensibilizzati dipendenti che partecipano ai trattamenti ed alle connesse attività di controllo (art. 29 del Regolamento) […]” tra cui quelli dell’Ufficio preposto alla pubblicazione della Determinazione (cfr. nota del XX);
- per quanto concerne la logica di funzionamento del software per la gestione dell’Albo Pretorio fornito dalla società XX (di seguito, “Fornitore”) in relazione al processo di pubblicazione atti “Il software è configurato di default per la pubblicazione degli allegati. Pertanto, qualora un documento non debba essere pubblicato, l’operatore dovrà rimuovere il flag “Pubblica”. In questo modo, l’allegato non sarà visibile né sull’albo né nei servizi online” (cfr. All. XX “Relazione XX” allegata alla nota del XX);
g. per quanto concerne, infine, la valutazione del rischio svolta dal Comune in merito alla gravità della violazione occorsa e alle ragioni per cui ha ritenuto di non effettuare la comunicazione agli interessati ai sensi dell’art. 34 del Regolamento, nonché alle eventuali ulteriori misure di mitigazione del rischio adottate, il Comune ha rappresentato che:
- “In data XX si è provveduto ad analizzare il data breach […] provvedendo nella stessa data a formalizzare la segnalazione all’Autorità Garante. Nella segnalazione si indicava che, nonostante l’alto numero di interessati coinvolti dal data breach, non trovando nella pubblicazione di dati personali impattati nelle categorie di cui agli articoli 9 e 10 del Regolamento si decideva, in prima battuta, di non effettuare la comunicazione agli interessati prevista all’art. 34 del Regolamento, rimettendo la decisione ad un eventuale disposto del Garante in merito (art. 34 par. 4 del Regolamento). Nonostante ciò, in data XX a risposta della notizia apparsa sul quotidiano online RietiLife […] il Comune produceva comunicato stampa segnalando l’accaduto e le attività intraprese sia alla consigliera che agli interessati coinvolti nel data breach (ravvisabile a soddisfazione dell’art. 34 par. 1 del Regolamento) per mezzo della stessa testata giornalistica online e del sito web istituzionale […]” (cfr. nota del XX);
- “A seguito del Data breach e dell’apertura dell’istruttoria […] si è provveduto a chiedere ulteriori chiarimenti in merito alla configurazione del software per la pubblicazione sull’albo pretorio. A valle di ciò il […Comune] ha eseguito in data XX una DPIA sul software per la gestione dell’Albo Pretorio ricevendo in pari data il parere positivo del DPO. Dalla valutazione del rischio è emerso che, avendo opportunamente sensibilizzato il personale incaricato della pubblicazione alle problematiche inerenti la protezione dei dati personali, l’errore umano può considerarsi IMPROBABILE, così come l’utilizzo del software in pubblicazione da parte di persone esterne a questo Comune” (cfr. nota del XX).
Con riferimento alla condotta del Comune, l’Ufficio, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria condotta, ha notificato allo stesso, con nota del XX (prot. n. XX) ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento per aver agito:
- in violazione dei principi di liceità, correttezza e trasparenza, di minimizzazione dei dati e di integrità e riservatezza, nonché del principio di accountability di cui all’art. 5, par. 1, lett. a), c) ed f) del Regolamento;
- in violazione di cui agli artt. 5, par. 2, e 24 del Regolamento;
- in violazione dei principi di privacy by design e by default di cui all’art. 25 del Regolamento;
- in violazione degli obblighi di sicurezza di cui all’art. 32 del Regolamento;
- in violazione degli artt. 12, par. 1, e 34 del Regolamento.
Il Comune, con l’atto sopra citato, è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge 24 novembre 1981, n. 689).
Con nota del XX (prot. n. XX) cui si rinvia integralmente, il Comune ha presentato una memoria prospettando argomenti difensivi poi sostanzialmente ribaditi in occasione dell’audizione, tenutasi in data XX (v. verbale prot. n. XX della medesima data), perfezionatasi con nota del XX (prot. n. XX), in cui il Comune ha rappresentato, in particolare, che:
- “La violazione ha riguardato la pubblicazione, limitatamente al periodo decorrente dal XX al XX, di dati comuni degli interessati (identificativi e catastali)”;
- “l’erronea pubblicazione non ha determinato significativi pregiudizi, né rischi elevati per i diritti e le libertà degli interessati, tenuto conto delle seguenti circostanze attenuanti: a) i dati anagrafici sono ottenibili da chiunque ne faccia richiesta all’anagrafe del Comune, in conformità alle disposizioni del DPR 233/1989, mentre le informazioni catastali […]sono consultabili, tramite un servizio online, sull’area tematica predisposta dall’Agenzia delle Entrate, che consente a chiunque l’accesso alla banca dati. b) a fronte del considerevole numero di dati pubblicati, le visualizzazioni sono state solo 57 (di cui 13 effettuate da dipendenti dell’Ente - in quanto tali tenuti a rispettare gli obblighi di riservatezza - e 44 da soggetti esterni); c) l’arco temporale della violazione è stato sostanzialmente breve (11 gg. solari); d) un solo interessato ha proposto reclamo ai sensi dell’art. 77 GDPR” (cfr. nota del XX);
- “la violazione è stata conseguenza di un mero errore materiale del […soggetto che ha effettuato la pubblicazione], il quale […] si è trovato a dover effettuare personalmente la pubblicazione dell’atto all’Albo Pretorio e, per una questione tecnica informatica (di cui non era a conoscenza), inconsapevolmente e con un automatismo a lui sconosciuto, ha inviato in pubblicazione gli allegati dell’atto principale (Determinazione n. XX del XX) […] non rendendosi conto che il sistema informatico di default e, senza una ulteriore attività manuale dell’operatore, pubblica i documenti allegati all’atto principale”;
- “l’errore è stato commesso a causa della contemporanea pubblicazione di altro atto, effettuata in conformità agli obblighi derivanti dalla legge n. 69/2009 e dal D.Lgs. 33/2013 e, pertanto nel pieno convincimento, da parte dell’agente, della correttezza del proprio operato […] Appare, altresì, opportuno segnalare non solo l’accidentalità della violazione, ma anche l’occasionalità della stessa, non sussistendo precedenti violazioni del GDPR commesse dall’Ente” (cfr. nota del XX);
- “L’Ente si è subito attivato con la Software house che gestisce il servizio informatico comunale al fine di fare introdurre specifici alert all’operatore che si trova ad effettuare la pubblicazione all’Albo Pretorio online, in modo tale che ogni documento da pubblicare possa essere “consapevolmente flaggato”, spuntando la relativa casella […e] al fine di prevenire il ripetersi di fatti analoghi all’accaduto, ha introdotto una variazione procedurale che consente di selezionare consapevolmente l’opzione di pubblicazione. In particolare ha provveduto a disattivare il parametro che comportava la pubblicazione automatica degli allegati nell'Applicativo XX, così permettendo di poter inserire manualmente la pubblicazione o meno di un documento” (cfr. nota del XX);
- “Si rappresenta, inoltre, di aver richiesto al fornitore –[…] con ticket aperto il XX […] di modificare le logiche della piattaforma “XX” utilizzata per la pubblicazione di determine e ulteriori atti online, con rilascio in produzione da parte del fornitore stesso, a partire dal mese di XX, di una nuova procedura che richiede, attualmente, una condotta attiva da parte dell’operatore per il caricamento degli allegati. Della predetta procedura è stata data informazione, altresì, ai dipendenti del Comune, al fine di promuovere un’attività consapevole da parte dei singoli operatori al momento del caricamento. Il Comune ha, pertanto, adottato misure aggiuntive al fine di prevenire il ripetersi di violazioni analoghe a quella occorsa. Al riguardo si rappresenta che, con l’eccezione della Violazione, pur nella previgente modalità operativa della piattaforma XX, non si sono mai verificati né rilevati episodi di pubblicazione di allegati ad atti soggetti ad obbligo di pubblicazione recanti dati personali (cfr. verbale di audizione dell’XX);
- “Con riferimento alla Violazione in questione, […] tra le varie misure adottate, è stato diramato un comunicato pubblicato sul precedente sito web istituzionale del Comune e successivamente rilanciato mediante due selezionate testate locali (“RietiLife” e “Format Rieti”)”” (cfr. verbale di audizione dell’XX).
3. Esito dell’attività istruttoria
3.1. La normativa in materia di protezione dei dati personali.
Posta la ricostruzione dell’istruttoria condotta dall’Autorità, si fa presente che il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice.
Preliminarmente, si ricorda che per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, n. 1, del Regolamento).
Con riferimento ai principi in materia di protezione dei dati personali, l’art. 5, par. 1, lett. a) e c), del Regolamento stabilisce che i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato, e devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (principi di “liceità, correttezza e trasparenza” e di “minimizzazione”).
In applicazione del richiamato principio di trasparenza, l’art. 12, par. 1, del Regolamento prevede, in particolare, che il titolare del trattamento adotta misure appropriate per fornire all'interessato le comunicazioni di cui all'articolo 34 in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici.
Inoltre, ai sensi dell’art. 5, par. 1, lett. f), del Regolamento, i dati personali devono essere trattati “in maniera da garantire un'adeguata sicurezza […], compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali” (principio di integrità e riservatezza).
In proposito, l’art. 32 del Regolamento prevede, in particolare, che:
il titolare del trattamento, “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, [mette] in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: […] b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; […] d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento” (par. 1);
“nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati” (par. 2).
A ciò si aggiunga che l’art. 25 del Regolamento impone al titolare del trattamento:
“tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso [di mettere] in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati” (principio di privacy by design, par. 1);
di mettere in atto “misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica” (principio di privacy by default, par. 2).
Si evidenzia, infine, ai sensi dell’art. 5, par. 2 del Regolamento, che il titolare del trattamento è competente per il rispetto dei principi in materia di protezione dei dati personali e deve essere in grado di comprovarlo («responsabilizzazione») e che, ai sensi dell’art. 24, par. 1, del Regolamento, il titolare - tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche - mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento.
3.2. La violazione dei principi di liceità del trattamento, di minimizzazione dei dati e di integrità e riservatezza dei dati personali, nonché della protezione dei dati fin dalla progettazione e per impostazione predefinita.
All’esito dell’attività istruttoria, è emerso, in sintesi, che in data del XX è stata pubblicata sul sito web istituzionale del Comune - sia in Albo Pretorio che nella sezione “Amministrazione Trasparente” - la determinazione n. XX del XX avente ad oggetto il “XX”, comprensiva dei relativi allegati, incluso il contratto di servizio con la società XX, unitamente ad ulteriore documentazione quale, in particolare, l'elenco del personale di XX addetto al servizio di igiene urbana, nonché l’elenco delle utenze TARI. Dalla predetta pubblicazione è derivata la diffusione di dati e informazioni dei contribuenti cui erano riferite le utenze TARI - intestate sia a persone fisiche che giuridiche - quali, in particolare, codice fiscale, nome e cognome, indirizzo di residenza, codice e categoria di utenza TARI, dati catastali, indirizzo e superficie degli immobili soggetti a tassazione, nonché di dati personali (nome e cognome) riferiti a taluni lavoratori della società XX (di seguito, la “Violazione”).
Al riguardo, risulta necessario rilevare che, sebbene il Comune abbia rappresentato, in particolare, che la Violazione sia dipesa da “un mero errore materiale […] commesso a causa della contemporanea pubblicazione di altro atto”, che il “XX il dipendente […] incaricato della pubblicazione dell’atto in oggetto era assente” e che il “Dirigente […] si è trovato a dover effettuare personalmente la pubblicazione dell’atto all’Albo Pretorio, e, per una questione tecnica informatica (di cui non era a conoscenza), inconsapevolmente e con un automatismo a lui sconosciuto, ha inviato in pubblicazione gli allegati dell’atto principale”, il software utilizzato all’epoca dei fatti è risultato configurato “di default per la pubblicazione degli allegati” (cfr. All. XX “Relazione XX” allegata alla nota del XX). Una siffatta impostazione è risultata causata dall’assenza di misure volte a limitare la pubblicazione dei soli atti e documenti previsti dalla legge, essendo selezionato di default il campo “Pubblica”, con la conseguenza che la rimozione del relativo flag risultava di fatto rimessa alla condotta attiva dell’operatore preposto (cfr. All. 4 cit.).
Al riguardo, sebbene il Comune abbia rappresentato di essersi attivato con il fornitore che gestisce la piattaforma “XX” per la modifica della predetta funzionalità sin dal XX - a seguito della Violazione occorsa - si segnala che, dalla documentazione prodotta in corso d’istruttoria, si evince unicamente che la predetta richiesta era stata presa in carico dal Fornitore stesso, mancando tuttavia agli atti eventuali seguiti o comunicazioni tra il Comune e il fornitore, volti a sollecitare l’effettiva modifica della funzionalità. Si rileva, inoltre, che, sulla base dell’evidenza fornita, il ticket inizialmente aperto dal Comune risultava essere di natura puramente interlocutoria, avendo lo stesso come oggetto “Ticket #XX – Pubblicazione allegati agli atti – suggerimento di modifica di default” (cfr. “Presa_in_carico_del_ticket” allegata alla nota del XX). Tale considerazione risulta, altresì, confermata dal fatto che, nel successivo scambio di corrispondenza prodotto tra il Comune e il medesimo fornitore, veniva fatto riferimento ad un ticket successivo, avente ad oggetto “Re: Ticket #XX – GPDP – Segnalazione relativa alla diffusione dati personali. Richiesta relazione”, in cui il Fornitore, in data XX, aveva reso ulteriori spiegazioni in merito al fatto che il “software è configurato di default per la pubblicazione degli allegati. Pertanto, qualora un documento non debba essere pubblicato, l’operatore dovrà rimuovere il flag “Pubblica” [...] (cfr. All. 4 “Relazione XX”, cit.).
Ciò posto, si evidenzia che la predetta impostazione di default risulta contrastare, in primo luogo, con il citato principio di integrità e riservatezza dei dati personali degli interessati, nonché con i principi di privacy by design e by default di cui all’art. 25 del Regolamento, posto che il caricamento predefinito di atti e documenti, nonché dei relativi allegati – anche consistenti in file di grandi dimensioni, come nel caso di specie – comporta una maggiore esposizione a rischi per i diritti e le libertà personali degli interessati, laddove, come nel caso di specie, il singolo operatore non deselezioni l’opzione relativa alla pubblicazione di default. Risulta evidente, pertanto, che una impostazione del software che non consenta di selezionare gli atti e i documenti da pubblicare (opt-in), ma solo di escluderne, se del caso, la pubblicazione stessa (opt-out) comporta un considerevole aumento del rischio di perdita di riservatezza dei dati, soprattutto nel caso di errori umani o bug di sistema.
Tale impostazione predefinita risulta, altresì, in contrasto con i principi di liceità e di minimizzazione di cui all’art. 5, par. 1, lett. a) e c), del Regolamento, anche alla luce della normativa - espressamente richiamata dal Comune – che prevede, in via generale, la pubblicazione di atti, informazioni e documenti per finalità di pubblicità legale (cfr. in particolare, legge n. 69/2009, ma si veda, altresì, il d.lgs. 267/2000) o per finalità di trasparenza amministrativa (art. 14 del d.lgs. n. 33/2013).
Al riguardo, infatti, prima di diffondere in rete qualsiasi dato personale relativo agli interessati, il titolare del trattamento è, in ogni caso, tenuto a verificare quali dati e informazioni pubblicare, assicurando in pari tempo il pieno rispetto della disciplina in materia di protezione dei dati personali con specifico riferimento alla pertinenza e non eccedenza dei dati diffusi. Il Garante ha nel tempo fornito specifiche indicazioni alle pubbliche amministrazioni in ordine alle cautele da adottare per la diffusione di dati personali in Internet per finalità di trasparenza e pubblicità dell’azione amministrativa, in particolare, nel 2014, con le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (provv. n. 243 del 15 maggio 2014, doc. web n. 3134436, parte I e II, spec. par. 3.a). In tale contesto, seppur in vigenza del precedente quadro normativo, sono stati individuati una serie di principi la cui attualità può considerarsi tutt’ora vigente, ed è stato chiarito (e confermato anche in numerose decisioni successive), che la presenza di un regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online di dati personali né una deroga ai principi in materia di protezione dei dati personali, come confermato dal sistema di protezione dei dati personali contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento debba mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e deve essere “in grado di dimostrare” – secondo il principio di “responsabilizzazione” – di averlo fatto ai sensi degli artt. 5, par. 2, 24 e 25, par. 2, del Regolamento. In tali occasioni, il Garante ha ribadito che anche alle pubblicazioni sull’albo pretorio online di atti o deliberazioni si applicano tutti i limiti previsti dai principi in materia di protezione dei dati personali, avendo riguardo anzitutto alla previa verifica della sussistenza di idonei presupposti di liceità della diffusione online dei dati personali in essi contenuti – dovendo il titolare verificare, preliminarmente, l’esistenza di una specifica disposizione normativa che ne autorizzi, quale idonea base giuridica, la diffusione - e alla minimizzazione degli stessi (cfr., tra i tanti, da ultimo, provv. n. 423 del 17 luglio 2025, doc. web n. 10181686, e precedenti ivi citati).
Quanto, poi, al richiamo effettuato dal Comune agli obblighi di trasparenza di cui al d.lgs. 14 marzo 2013, n. 33, si osserva che anche in tali casi la pubblicazione nella sezione “Amministrazione trasparente” deve avvenire con le modalità e nel formato espressamente previsti dal predetto quadro normativo e dalle indicazioni fornite nel tempo dall’Autorità Nazionale Anti Corruzione, essendo suscettibili di pubblicazione le puntuali informazioni enumerate da tale quadro normativo e non, invece, gli atti dell’amministrazione in versione integrale (cfr. FAQ in materia di trasparenza sull’applicazione del d.lgs. n. 33/2013, disponibili sul sito ANAC | Home page - www.anticorruzione.it alla pagina https://www.anticorruzione.it/chiedilo-ad-anac/-/categories/119067). Si ricorda infatti che, anche con riguardo ad un’eventuale pubblicazione nella sezione “Amministrazione trasparente” del sito istituzionale, il titolare deve sempre verificare, sulla base di una valutazione responsabile e attenta, quali dati e informazioni pubblicare in applicazione della normativa di settore che regola modi, tempi e forme di pubblicità (cfr. da ultimo, provv. n. 423 del 17 luglio 2025, cit.).
Si rappresenta, inoltre, che non rileva quanto osservato dal Comune in corso d’istruttoria in relazione al fatto che, per quanto concerne la Violazione occorsa, “i dati pubblicati riguardanti gli immobili di proprietà di persone fisiche e/o giuridiche sono facilmente accessibili a chiunque sia in possesso di profilo alla piattaforma SISTER dell’Agenzia delle Entrate, destinata in particolare sia ai liberi professionisti (tecnici, commercialisti etc.) che agli Enti”. A tal riguardo, deve infatti evidenziarsi che Violazione ha comportato, per un considerevole numero di interessati, la diffusione di un'ingente quantità di dati personali, rendendoli liberamente e immediatamente accessibili da parte di chiunque. Tale situazione si differenzia in modo sostanziale, per estensione e modalità di accessibilità, dall’ipotesi in cui analoghe informazioni siano eventualmente acquisibili attraverso interrogazioni selettive di distinti sistemi informativi, le quali presuppongono specifiche operazioni di ricerca, non consentono un accesso immediato e sono riferite, caso per caso, a singoli interessati previamente individuati.
In considerazione delle ragioni sopra esposte, risulta pertanto accertato che le misure adottate dal Comune, almeno sino al mese di XX, per quanto concerne le modalità di caricamento dei propri atti sul sito web istituzionale, non sono risultate adeguate a garantire, fin dalla progettazione e per impostazione predefinita, né il rispetto dei principi di liceità del trattamento e di minimizzazione dei dati, né tantomeno un livello di sicurezza adeguato al rischio, non essendo in grado di assicurare su base permanente la riservatezza dei dati personali trattati e avendo comportato pertanto, da parte del Comune, la violazione degli artt. 5, par. 1, lett. a), c) e f), 25 e 32 del Regolamento.
3.3. La mancata adozione di misure adeguate a rilevare e gestire tempestivamente la Violazione.
In aggiunta a quanto osservato nel precedente paragrafo 3.2., nel corso dell’istruttoria, anche sulla base degli elementi di valutazione forniti dal Comune, è emersa l’inadeguatezza delle ulteriori misure adottate per rilevare la Violazione occorsa.
Ai sensi del citato art. 25 del Regolamento, il titolare del trattamento è infatti tenuto ad attuare i principi di protezione dei dati (art. 5 del Regolamento) adottando misure tecniche e organizzative adeguate e integrando nel trattamento le necessarie garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti e le libertà degli interessati. In particolare, al fine di garantire l’osservanza del principio di integrità e riservatezza (art. 5, par. 1, lett. f), del Regolamento), occorre che il titolare valuti costantemente se stia utilizzando, in qualunque fase del trattamento, mezzi appropriati e misure idonee a contrastare le eventuali vulnerabilità. Inoltre, il titolare deve effettuare revisioni periodiche delle misure di sicurezza poste a presidio e tutela dei dati personali (cfr. cons. 78 del Regolamento e “Linee guida 4/2019 sull’articolo 25 Protezione dei dati fin dalla progettazione e per impostazione predefinita”, adottate il XX dal Comitato europeo per la protezione dei dati, spec. punti 84 e 85). Al riguardo, le “Linee guida sulla notifica delle violazioni dei dati personali ai sensi del Regolamento (UE) 2016/679” del Gruppo articolo 29 del 3 ottobre 2017, come modificate e adottate in ultimo il 6 febbraio 2018 e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018, chiariscono, inoltre, che “la capacità di individuare, trattare e segnalare tempestivamente una violazione deve essere considerata un aspetto essenziale” delle misure tecniche e organizzative che il titolare e il responsabile del trattamento devono mettere in atto, ai sensi dell’art. 32 del Regolamento, per garantire un livello adeguato di sicurezza dei dati personali.
Per quanto attiene al caso di specie, il Comune avrebbe dovuto effettuare, pertanto, una costante verifica dell’adeguatezza delle misure tecniche e organizzative relative alle operazioni di trattamento dei dati personali poste in essere, per evitare (o individuare tempestivamente) errori/anomalie nei caricamenti effettuati nelle varie sezioni del sito web istituzionale, mettendo in atto misure adeguate a garantire un livello di sicurezza adeguato al rischio. Tale circostanza non si è, invece, verificata nel caso concreto, posto che l’erronea pubblicazione della Determinazione e dei relativi allegati è stata rilevata solo successivamente - il XX - quando l’operatore “incaricato della pubblicazione dell’atto […ha] ripreso il servizio, […] controllato le pubblicazioni fatte e si è accorto della violazione […provvedendo] a segnalare la questione […] ed a rimuovere la pubblicazione”.
Le funzionalità in concreto utilizzate e le misure tecniche adottate da parte del Comune non sono risultate, pertanto, idonee a prevenire e rilevare tempestivamente la Violazione e, dunque, devono ritenersi non conformi alle disposizioni degli artt. 5, par. 1, lett. f), 25 e 32, del Regolamento. Si ricorda inoltre che, per quanto concerne l’adozione delle misure di sicurezza tecniche e organizzative necessarie al fine di garantire la conformità dei trattamenti di dati personali posti in essere, seppur il Regolamento ponga in capo anche al responsabile del trattamento specifici obblighi in materia (art. 32), resta fermo che il titolare è il soggetto sul quale ricade una “responsabilità generale” sui trattamenti di dati personali posti in essere (cfr. art. 5, par. 2 c.d. “accountability” e art. 24 del Regolamento), anche quando questi siano effettuati da altri soggetti “per suo conto” (cons. 81, artt. 4, punto 8) e 28 del Regolamento.
Alla luce delle considerazioni che precedono, risulta pertanto accertato che il Comune ha agito in violazione degli artt. 5, par. 1, lett. f), e par. 2, 24, 25 e 32 del Regolamento anche per quanto attiene al rilevamento e alla gestione della Violazione occorsa.
3.4. L’inadeguata valutazione del rischio e della comunicazione della Violazione agli interessati.
Con riferimento alla Violazione occorsa, il Comune, ritenendo che la stessa non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, ha inizialmente omesso di informare gli interessati coinvolti, ritenendo trascurabile la gravità del potenziale impatto per gli stessi (cfr. sez. XX, punto XX, della notifica del XX). Successivamente, nel corso dell’istruttoria ha rappresentato che “nonostante l’alto numero di interessati coinvolti dal data breach, non trovando nella pubblicazione di dati personali impattati nelle categorie di cui agli articoli 9 e 10 del Regolamento si decideva, in prima battuta, di non effettuare la comunicazione agli interessati prevista all’art. 34 del Regolamento, rimettendo la decisione ad un eventuale disposto del Garante in merito (art. 34 par. 4 del Regolamento)” precisando, altresì, che “in data XX a risposta della notizia apparsa sul quotidiano online RietiLife […] il Comune produceva comunicato stampa segnalando l’accaduto e le attività intraprese sia alla consigliera che agli interessati coinvolti nel data breach (ravvisabile a soddisfazione dell’art. 34 par. 1 del Regolamento) per mezzo della stessa testata giornalistica online e del sito web istituzionale […]”.
Al riguardo, occorre evidenziare, in primo luogo, che l’art. 34, par. 1, del Regolamento stabilisce che “quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all'interessato senza ingiustificato ritardo”. Spetta, infatti, al titolare del trattamento, mediante comportamenti proattivi e consapevoli, effettuare la predetta valutazione del rischio, in ossequio non solo a quanto indicato dal citato art. 34 del Regolamento ma anche, più in generale, al principio di “responsabilizzazione” di cui agli artt. 5, par. 2, e 24 del Regolamento. Tale valutazione – che si distingue dalla valutazione d’impatto sulla protezione dei dati, prevista dall’art. 35 del Regolamento, da svolgere prima di dare inizio al trattamento – deve essere effettuata dal titolare del trattamento, tenendo in considerazione tutte le circostanze del caso concreto ai fini della corretta individuazione di un determinato livello di gravità del rischio, non dovendo pertanto limitarsi a considerare unicamente se in una violazione dei dati personali risultino impattati dati appartenenti alle categorie di cui agli articoli 9 e 10 del Regolamento.
Nel caso di specie, il Comune avrebbe dovuto, infatti, considerare, ai fini di una corretta valutazione del livello di gravità del rischio derivante dalla Violazione e delle conseguenze sui diritti e sulle libertà degli interessati coinvolti, anche ulteriori elementi rilevanti quali: per quanto concerne gli utenti TARI, il numero degli interessati coinvolti e le tipologie di dati impattati (in particolare, dati identificativi degli interessati e indirizzi di residenza), nonché il fatto che gli stessi fossero idonei a rivelare informazioni di natura altamente personale - quali, ad esempio, il tenore di vita dell’interessato desumibile dal tipo di abitazione (signorile, popolare, ultrapopolare), potendo tale circostanza desumersi dalla categoria di utenza TARI attribuita a ciascun contribuente – e suscettibili di comportare un elevato livello di rischio per i diritti e le libertà delle persone fisiche coinvolte (es. maggior esposizione a furti, discriminazione, ecc.).
In secondo luogo, per quanto concerne la comunicazione agli interessati, si rammenta che il citato art. 34 del Regolamento prevede che la stessa “descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all'articolo 33, paragrafo 3, lettere b), c) e d)” (par. 2). In ordine alle modalità con le quali procedere alla comunicazione della violazione agli interessati, l’art. 34, par. 3, del Regolamento presenta specifiche esimenti rispetto alla comunicazione diretta agli interessati ove quest’ultima “richiederebbe sforzi sproporzionati”; nondimeno, pur sotto tale condizione, rimane l’obbligo di informare gli interessati, per quanto non in via diretta, in merito agli elevati profili di rischio collegati alla violazione. Al riguardo, si fa presente che le “Linee guida 9/2022 sulla notifica delle violazioni dei dati personali ai sensi del RGPD”, adottate dal Comitato europeo per la protezione dei dati il XX riportano che “in linea di principio, la violazione dovrebbe essere comunicata direttamente agli interessati coinvolti, a meno che ciò richieda uno sforzo sproporzionato. In tal caso, si procede a una comunicazione pubblica o a una misura simile che permetta di informare gli interessati con analoga efficacia (articolo 34, paragrafo 3, lettera c)”.
Nel caso in esame, si evidenzia che la comunicazione effettuata dal Comune mediante la pubblicazione del comunicato stampa in data XX sul proprio sito web istituzionale – successivamente rilanciato, come dichiarato dal Comune, “mediante due selezionate testate locali (“RietiLife” e “Format Rieti”)” - non costituisce uno strumento idoneo all’assolvimento degli obblighi di cui all’art. 34 del Regolamento. Infatti, nello stesso comunicato veniva espressamente indicato che “Si è proceduto con sollecitudine a fare quanto previsto dalla norma, attivando il protocollo e quindi anche la segnalazione al Garante della Privacy, nella quale si è data disponibilità a segnalare alla cittadinanza l’accaduto, quando la stessa Autorità Garante […] dicesse [al Comune] essere necessario”, lasciando quindi intendere che le valutazioni di competenza del Comune al fine di effettuare l’eventuale comunicazione agli interessati – peraltro impropriamente rimesse all’Autorità – fossero ancora in corso.
L’inidoneità del predetto comunicato emerge, inoltre, dal fatto che nello stesso non sono state fornite indicazioni sulle tipologie di dati personali coinvolti nella Violazione, né sono state individuate le categorie di interessati coinvolti, essendo stata unicamente riportata un’informazione non corretta (ossia: “il documento pubblicato conteneva […] dati di persone giuridiche, che non rientrano nell’ambito dell’applicazione della privacy”), senza rendere noto, peraltro, quanto riconosciuto nella nota del XX, in merito alla possibilità che nel caso di imprese unipersonali, dalla ragione sociale si possa identificare una o più persone fisiche.
Sul punto, si evidenzia che l’indicazione delle tipologie di dati personali oggetto di violazione – così come delle ulteriori informazioni di cui all’art. 33, par. 3, lett. b), c) e d), del Regolamento - è necessaria al fine di informare in maniera esaustiva gli interessati in merito all’effettiva natura della Violazione occorsa e renderli consapevoli delle possibili conseguenze della stessa. La predetta indicazione è altresì strumentale per un’efficace individuazione delle forme di tutela più opportune, in ossequio al principio di trasparenza e agli obblighi ad esso connessi, nel rispetto di quanto previsto dagli artt. 5, par. 1, lett. a), 12, par. 1, e 34 del Regolamento, anche considerando che, nel caso di specie, le misure adottate dal Comune a seguito della Violazione (in particolare, rimozione della Determinazione e dei relativi allegati dal sito web istituzionale avvenuta in data XX, ossia dieci giorni dopo la pubblicazione) non sono risultate idonee a scongiurare del tutto il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati. Invero, nel lasso di tempo in cui i dati personali sono stati erroneamente pubblicati, è stato rilevato che “Il numero complessivo di download della determinazione e/o degli allegati è stato di 31 […tutti] da soggetti esterni […mentre quello] di visualizzazioni della determinazione e/o degli allegati è stato di 57 (cinquantasette) di cui 13 (tredici) effettuate da dipendenti […comunali] e 44 […] da soggetti esterni”.
In aggiunta, occorre evidenziare che il predetto comunicato non era facilmente conoscibile dagli interessati. Al riguardo, si ricorda che le “Linee guida 9/2022 sulla notifica delle violazioni dei dati personali ai sensi del regolamento generale sulla protezione dei dati (GDPR)”, adottate dal Comitato europeo per la protezione dei dati il 28 marzo 2023, nel raccomandare l’utilizzo di più canali di comunicazione, chiariscono anche che l'obiettivo principale della comunicazione di cui all’art. 34 del Regolamento è aiutare gli interessati a comprendere la natura della violazione. Tale obiettivo non può di certo ritenersi raggiunto qualora, come nel caso in esame, la comunicazione richieda una ricerca specifica da parte degli interessati. Ciò in quanto il comunicato pubblicato sul precedente sito web istituzionale del Comune del Comune (URL della home del sito https://..., URL del comunicato https://...), oltre ad avere un titolo fuorviante “Risposta […a un consigliere]: nessuna lentezza o reticenza, ma ferrea applicazione delle norme”, non immediatamente riconducibile alla Violazione occorsa, risultava reperibile solo nella sezione dei comunicati stampa del predetto sito web.
Per le ragioni sopra esposte, risulta accertato che il Comune ha omesso di fornire agli interessati coinvolti un’adeguata comunicazione in merito alla Violazione occorsa nonché di effettuare un’adeguata valutazione del rischio in relazione alla stessa, in violazione degli artt. 5, par. 1, lett. a), par. 2, 12, par. 1, 24, e 34 del Regolamento.
4. Conclusioni
Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.
Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, parr. 1, lett. a), c) ed f), e 2, 12, par. 1, 24, 25, 32 e 34 del Regolamento.
La violazione delle predette disposizioni rende applicabili le sanzioni amministrative previste dall’art. 83, parr. 4 e 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.
Considerato, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.
5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice)
Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).
Tenuto conto che la violazione delle disposizioni sopra citate da parte del Comune ha avuto luogo in conseguenza di una condotta che può essere considerata unitaria (stesso trattamento o trattamenti tra loro collegati, in quanto inerenti alla medesima Violazione), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5 e 12 del Regolamento, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).
La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.
Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che la Violazione dei dati personali occorsa ha impattato, per quanto concerne in particolare gli utenti TARI, un numero elevato di interessati (oltre 31.000) e ha riguardato non solo dati identificativi e indirizzi di residenza ma anche informazioni di natura altamente personale - quali, ad esempio, il tenore di vita dell’interessato desumibile dal tipo di abitazione (signorile, popolare, ultrapopolare), in base alla categoria di utenza TARI attribuita a ciascun contribuente, complessivamente suscettibili di comportare un elevato livello di rischio per i diritti e le libertà delle persone fisiche coinvolte (es. maggior esposizione a furti, discriminazione, ecc.). Occorre, in ogni caso considerare, con riferimento alla durata della Violazione occorsa, che la stessa si è protratta per un periodo di tempo limitato, durante il periodo estivo (fine agosto e primi di settembre).
Deve, inoltre, considerarsi:
- il carattere colposo della violazione (art. 83, par. 2, lett. b) del Regolamento);
- che i trattamenti in questione non sono relativi a categorie particolari di dati (art. 83, par. 2, lett. g).
Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento possa essere considerato di grado medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).
Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole, la circostanza che il titolare del trattamento è un Comune di modeste dimensioni, che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, nonché il grado di cooperazione manifestato dal titolare con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi, avendo lo stesso, in particolare, provveduto all’adozione “a partire dal mese di XX, di una nuova procedura che richiede, attualmente, una condotta attiva da parte dell’operatore per il caricamento degli allegati […fornendo] informazione, altresì, ai dipendenti del Comune, al fine di promuovere un’attività consapevole da parte dei singoli operatori al momento del caricamento” (art. 83, par. 2, lett. e) e f), del Regolamento).
In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 6.000,00 (seimila/00) per la violazione degli artt. 5, parr. 1, lett. a), c) ed f), e 2, 12, par. 1, 24, 25, 32 e 34 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.
In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito internet del Garante. Ciò in considerazione del fatto che la Violazione ha riguardato dati personali riferiti a un numero ingente di interessati e complessivamente suscettibili di comportare un elevato livello di rischio per i diritti e le libertà delle persone fisiche coinvolte.
Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Rieti nei termini di cui in motivazione, per la violazione degli artt. 5, parr. 1, lett. a), c) ed f), e 2, 12, par. 1, 24, 25, 32 e 34 del Regolamento;
ORDINA
ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Rieti, con sede legale in Piazza Vittorio Emanuele II n. 1, 02100, Rieti, C.F. 00100700574, di pagare la somma di euro 6.000,00 (seimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;
INGIUNGE
al Comune di Rieti:
- di pagare la somma di euro 6.000,00 (seimila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;
DISPONE
ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante;
ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.
Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.
Roma, 14 luglio 2026
IL PRESIDENTE
Stanzione
IL RELATORE
Cerrina Feroni
IL SEGRETARIO GENERALE
Montouri
