[doc. web n. 10296755]

Provvedimento del 3 settembre 2026

Registro dei provvedimenti
n. 615 del 3 settembre 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni; 

PREMESSO

1. Premessa.

Con reclamo presentato in data XX, integrato in data XX, il Sig. XX ha lamentato una violazione della disciplina sulla protezione dei dati personali da parte del Comune di Aprilia (di seguito, il “Comune”) rappresentando,  in particolare, di aver inviato, in data XX, una PEC al protocollo del Comune “chiedendo un incontro al Commissario Straordinario […] con la quale veniva evidenziata la gestione folle e XX della […] XX”, e che la predetta PEC con la richiesta di incontro sarebbe stata “stata inoltrata prima a due funzionari del Comune […] e poi direttamente al Collegio dei Liquidatori [dell’XX, di seguito anche “XX”], che in data XX […] in qualità dei datore di lavoro, ha notificato [al reclamante] l’apertura di un procedimento disciplinare”.

Con successiva nota dell’XX l’interessato ha integrato il reclamo inizialmente presentato provvedendo a trasmettere, in particolare, evidenza del licenziamento adottato dall’XX, notificato allo stesso “in data XX, prot. n. XX, [al]l’esito del procedimento disciplinare conclusosi con il licenziamento per giusta causa”.

2. L’attività istruttoria 

Con nota del XX, prot.XX, cui si rinvia integralmente, il Comune ha fornito riscontro ad una richiesta di informazioni formulata da questa Autorità, con nota del XX, prot. n. XX, dichiarando, in particolare, che:

- “con Decreto del Presidente della Repubblica del 23 aprile 2025, è stato […] sciolto il Consiglio Comunale di Aprilia per infiltrazioni mafiose ai sensi dell’art. 143 del D.Lgs. 267/2000 e nominata la conseguente Commissione Straordinaria”;

- “Il trattamento dei dati personali del reclamante è stato effettuato dal Comune di Aprilia nell’ambito dell’esercizio di compiti di interesse pubblico e di pubblici poteri attribuiti dalla legge, ai sensi dell’art. 6, par. 1, lett. e), del Regolamento (UE) 2016/679”; in particolare, lo stesso “si inserisce nel contesto delle funzioni istituzionali esercitate dalla Commissione Straordinaria […], e trova fondamento: 

- nelle funzioni di amministrazione, indirizzo e vigilanza attribuite all’Organo commissariale finalizzate al ripristino della legalità amministrativa e gestionale dell’Ente e delle Società partecipate; 

- nei poteri dell’ente socio sulle società partecipate, ai sensi dell’art. 9 del d.lgs. n. 175/2016; 

- nel sistema dei controlli sulle società partecipate previsto dall’art. 147-quater del d.lgs. n. 267/2000”; 

- “La predetta comunicazione, […] è risultata funzionalmente circoscritta alle finalità perseguite dal Comune e non comportava alcuna estensione automatica della base giuridica in capo al destinatario per trattamenti ulteriori o autonomi […]. In particolare, la comunicazione del nominativo del reclamante è risultata necessaria ai fini della valutazione dell’attendibilità della segnalazione e della corretta istruttoria, con utilizzo circoscritto a tali finalità”;

- “La PEC è stata […] trasmessa […alla] Commissione Straordinaria […che] ha provveduto a richiedere notizie in merito ai legali rappresentanti dell’XX […utilizzando] la mail in uso esclusivo al Collegio dei Liquidatori”.

Sulla base degli elementi acquisiti, l’Ufficio con nota del XX (prot. n. XX), ha notificato al Comune di Aprilia, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la comunicazione dei dati del reclamante attuata dal Comune alla XX è stata effettuata in assenza di un idoneo presupposto normativo, in violazione degli artt. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e dell’art. 2-ter del Codice, nonché in maniera non conforme ai principi di “liceità, correttezza e trasparenza”, di “limitazione delle finalità”, e di “minimizzazione” dei dati, in violazione dell’art. 5, par. 1, lett. a), b) e c) del Regolamento.

Con la medesima nota il Comune è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689). 

Il Comune, che non ha chiesto di essere audito, ha fatto pervenire le proprie memorie difensive, con nota del XX, prot. n. XX, cui si rinvia integralmente, rappresentando, in particolare, che: 

a. Con riferimento alla base giuridica del trattamento effettuato, è stato indicato che: 

- “con Decreto del Prefetto di Latina veniva nominata una Commissione d’Indagine -ai sensi dell’art. 141, comma 2, TUEL- per la verifica dell’eventuale sussistenza di fenomeni di condizionamento o infiltrazione della criminalità organizzata di stampo mafioso all’interno dell’Ente. A seguito delle risultanze emerse, con decreto del Presidente della Repubblica del 23 aprile 2025 […] è stata nominata la Commissione Straordinaria per la gestione dell’Ente  […]”; 

- “Le attività, oggetto del presente procedimento, si collocano nella fase embrionale del mandato commissariale […] di ricognizione, verifica e ripristino della legalità amministrativa e gestionale del Comune e delle Società/Aziende che fanno capo al Comune stesso. […] “costituiscono il fondamento del trattamento dei dati in questione: •l’art. 114, commi 1 e 6, del D.Lgs. n. 267/2000, nel quale si definisce la natura dell’Azienda Speciale ed indica quali sono gli obblighi che l’Ente locale ha nei confronti di essa; •l’art. 143, comma 1, del D.Lgs. n. 267/2000, laddove è stato previsto lo scioglimento dell’Ente in presenza di «forme di condizionamento […] tali da compromettere il buon andamento o l’imparzialità dell’amministrazione», con la finalità di assicurare il ripristino della legalità amministrativa; • l’art. 144, comma 1, del D.Lgs. n. 267/2000, ai sensi del quale la Commissione Straordinaria esercita le attribuzioni spettanti agli organi dell’Ente; •l’art. 145, comma 4, del D.Lgs. n. 267/2000, ove si prevede l’attribuzione di stringenti poteri ispettivi in capo alla Commissione Straordinaria, allorquando lo scioglimento, come nel caso di specie, è disposto anche con riferimento a particolari situazioni di condizionamento mafioso collegate all’aggiudicazione di appalti o all’affidamento in concessione di servizi pubblici locali; •l’art. 147-quater, comma 1, del D.Lgs. n. 267/2000, che prevede una costante ed incisiva attività di controllo sulle società partecipate - alle quali sono assimilate le Aziende Speciali, qual è l’XX […] sia dal punto di vista amministrativo che finanziario”;

- “La lettura combinata delle indicate disposizioni, anche alla luce di quanto previsto dall’art. 6, paragrafo 3, lettere a) e b), del Regolamento, delinea un quadro normativo nel quale le attività di verifica e controllo non assumono carattere meramente eventuale, ma si configurano come parte integrante e necessaria dell’esercizio delle funzioni attribuite alla Commissione Straordinaria, in un Comune sciolto per infiltrazioni mafiose”;

- la “verifica […] delle dichiarazioni di un soggetto che riferisce circa una “…gestione folle e con XX…” all’interno dell’Azienda Speciale comunale” era finalizzata a “comprendere se le affermazioni contenute nella comunicazione Pec avessero un sostrato di fondatezza oppure fossero state frutto di propalazioni prive di fondamento di un soggetto che dipendeva da una propria Azienda speciale […a cui] sono stati affidati dal Comune di Aprilia diversi servizi comunali […]”;

b. per quanto concerne le modalità di comunicazione dei dati personali del reclamante, il Comune ha rappresentato, in particolare, che: 

- “le norme di legge che legittimano il […] trattamento dei dati personali del […reclamante e il] d.P.R. 23.4.2025 […], quale atto amministrativo generale [… costituiscono] il quadro nel quale va ad operare detta Commissione, secondo i più ampi poteri di cui al già citato art. 145, comma 4, del D.Lgs. 267/00 […]”;

- “è apparso del tutto lecito, necessitato e proporzionato informare […XX] circa la ricezione di una richiesta di appuntamento pervenuta da un dipendente della medesima Azienda, nella quale si contestava, in via del tutto generica, la “…gestione folle e con XX della municipalizzata…”, allo scopo di ottenere una relazione sul citato dipendente”;

- “Considerati gli stretti rapporti fra il Comune e l’Azienda strumentale, XX, è apparsa indispensabile […] prima di […] concedere o meno il richiesto incontro”; 

- “In tale quadro, si ribadisce, la comunicazione dei dati personali minimi (nome e cognome) del reclamante all’XX, in qualità di autonomo titolare del trattamento e datore di lavoro dell’autore della comunicazione Pec, si è resa necessaria ai fini dello svolgimento dell’attività istruttoria, in quanto rappresentava l’unico strumento idoneo a consentire una verifica concreta e non meramente astratta dei fatti segnalati”;  “La comunicazione si è pertanto limitata ai dati ritenuti necessari rispetto alle finalità perseguite, senza includere informazioni ulteriori rispetto a quelle già contenute nella comunicazione trasmessa all’Ente dal reclamante”;

- “L’operato dell’Amministrazione si è sviluppato nel rispetto del principio di minimizzazione, inteso non solo come riduzione quantitativa dei dati trattati, ma anche come adeguatezza e pertinenza degli stessi rispetto allo specifico contesto istruttorio”;

c. con riguardo, infine, ai successivi esiti dell’interlocuzione intercorsa con XX il Comune ha rappresentato che: 

- “qualsiasi ulteriore determinazione adottata […da XX] nei confronti del reclamante si collocano nell’ambito della sua autonoma sfera organizzativa e decisionale, non risultando riconducibili, né sotto il profilo causale né sotto quello funzionale, alle finalità della comunicazione effettuata dall’Ente”

- “il presunto trattamento illecito avrebbe avuto ad oggetto una singola comunicazione, indirizzata ad un ristrettissimo numero di persone”, “il terzo che ha conosciuto il dato personale è un’Azienda Speciale strumentale al Comune, parificata ad un Ente Pubblico”, “il trattamento sarebbe avvenuto in maniera del tutto colposa, a causa della convinzione circa l’esistenza di una base giuridica”, non sussistono “precedenti provvedimenti” e che il Comune si sarebbe reso “disponibile a divulgare, anche a breve, una circolare a tutto il personale del ruolo dirigenziale per segnalare le criticità che sono emerse nel caso di specie ed adottare misure correttive”.

Si rappresenta, inoltre, che in data XX il reclamante ha integrato il proprio reclamo fornendo ulteriore documentazione all’Autorità, trasmettendo alcune delle interlocuzioni intercorse tra lo stesso, il Comune e la XX ai fini dell’ottenimento di ulteriori delucidazioni sulle modalità di gestione della propria “segnalazione” al Comune del XX. 

Al riguardo, al fine di acquisire un quadro complessivo completo da entrambe le parti, l’Autorità ha avanzato un’ulteriore richiesta di informazioni al Comune con nota del XX, prot. n. XX a cui lo stesso ha riscontrato con nota del XX, prot. n. XX, fornendo i chiarimenti e la documentazione richiesta.  

3. Esito dell’attività istruttoria 

3.1. La normativa in materia di protezione dei dati personali

In via preliminare, si rappresenta che il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice.

In particolare, i soggetti pubblici possono trattare dati personali solo se tale trattamento “è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento”, oppure quando “il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento. La disciplina nazionale ha introdotto disposizioni più specifiche per adeguare l’applicazione delle norme del Regolamento, determinando, con maggiore precisione, requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (art. 6, par. 2 del Regolamento) e, in tale ambito, ha previsto che il trattamento è ammesso solo quando previsto da una norma di legge o di regolamento o da atto amministrativo generale (art. 2-ter del Codice). 

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quelli di “liceità, correttezza e trasparenza”, “limitazione delle finalità” e “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”, “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a), b) e c) del Regolamento).

Con riferimento al caso in esame, per quanto attiene, in particolare, la comunicazione di dati personali a terzi, posta la definizione di “comunicazione di cui all’art. 2-ter, comma 4, del Codice, si chiarisce che il medesimo articolo dispone altresì che “La base giuridica prevista dall' articolo 6, paragrafo 3, lettera b), del regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” e che “la comunicazione di dati personali, trattati per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, a soggetti che intendono trattarli per altre finalità sono ammesse unicamente se previste ai sensi del comma 1 o se necessarie ai sensi del comma 1-bis” (commi 1 e 3).

Si evidenzia, infine, che, ai sensi dell’art. 2-decies del Codice, la comunicazione e la conseguente acquisizione dei dati personali da parte di altro titolare, ove effettuate in assenza di una adeguata base giuridica, configurano una violazione della disciplina rilevante in materia di trattamento dei dati personali e non possono essere utilizzati, salvo quanto previsto dall’art. 160-bis del Codice, che lascia impregiudicate le valutazioni dell’autorità giudiziaria. 

3.2. L’illecita comunicazione dei dati personali 

Preliminarmente, deve evidenziarsi che l’istruttoria è stata svolta esclusivamente in relazione ai trattamenti effettuati dal Comune di Aprilia, unico soggetto nei cui confronti l’interessato ha presentato il reclamo, e non ha riguardato, invece, i successivi trattamenti effettuati da XX, in qualità di datore di lavoro, anche tenuto conto degli alternativi strumenti di tutela già attivati dal reclamante nei confronti di quest’ultimo in relazione alla liceità del licenziamento conseguente alla predetta comunicazione.

Ciò premesso, si evidenzia che dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché dalle successive valutazioni dell’Ufficio, è stato rilevato che con la PEC del XX, il reclamante si è limitato a richiedere alla Commissione Straordinaria del Comune “un incontro al fine di fornir[e] informazioni dettagliate sulla gestione folle e XX della XXi” rappresentando di rivolgersi al Comune “sia per motivi di interesse pubblico sia in relazione al […suo] stato di mobbing” e di restare “a disposizione per eventuali approfondimenti o documenti integrativi”. Tale comunicazione non recava documentazione in allegato né conteneva riferimenti a circostanze o fatti specificamente individuati, i quali avrebbero semmai costituito l’oggetto dell’incontro richiesto e/o dell’eventuale della documentazione integrativa che il reclamante si era reso disponibile a fornire, ove richiesto dalla Commissione. 

A seguito di tale comunicazione e senza effettuare alcuna attività istruttoria volta ad acquisire direttamente dal reclamante ulteriori elementi e/o informazioni in merito a quanto genericamente rappresentato, il Comune ha provveduto invece a comunicare i dati del reclamante unitamente alla PEC del XX ad XX, soggetto terzo, dotato di autonoma personalità giuridica e datore di lavoro del reclamante, rispetto al quale lo stesso intendeva portare all’attenzione della Commissione straordinaria potenziali comportamenti illeciti da approfondire. 

In particolare, con mail del XX, il Comune provvedeva a chiedere al Collegio del Liquidatori di XX “una relazione sul dipendente” e, in generale, “su quanto da lui argomentato nella nota [del XX] allegata”, sebbene, per ammissione della stessa Commissione straordinaria, si trattasse di una “segnalazione” assolutamente generica. A seguito di tale richiesta XX avviava, da un lato, un procedimento disciplinare nei confronti del proprio dipendente, culminato con il licenziamento e, dall’altro, con nota del XX, trasmetteva al Comune una dettagliata relazione sulle vicende lavorative intercorse con il reclamante, incentrata su una puntuale descrizione delle pregresse contestazioni disciplinari e sanzioni adottate nei confronti dello stesso, supportata dall’allegazione della relativa documentazione. Alla luce di tale riscontro il Comune ha ritenuto di non dover effettuare ulteriori approfondimenti con il reclamante, non dando seguito all’incontro richiesto sulla base di informazioni, invero ultronee rispetto all’oggetto della segnalazione, in quanto incentrate esclusivamente sulle vicende disciplinari relative al rapporto di lavoro tra il dipendente e l’XX.

Ciò posto, con riferimento alla base giuridica a fondamento della comunicazione di dati effettuata, il Comune, con la nota del XX citata, ha dichiarato inizialmente - in modo tautologico - che il trattamento sarebbe avvenuto “nell’ambito dell’esercizio di compiti di interesse pubblico e di pubblici poteri attribuiti dalla legge, ai sensi dell’art. 6, par. 1, lett. e), del Regolamento (UE) 2016/679, in conformità ai principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), del medesimo Regolamento” e “nel contesto delle funzioni istituzionali esercitate dalla Commissione Straordinaria”, senza però indicare un idoneo presupposto di liceità del trattamento, non menzionando, come invece previsto dall’art. 2-ter del Codice, la specifica norma di legge o di regolamento o di atto amministrativo generale che prevede il trattamento in esame, ossia la comunicazione dei dati del reclamante all’Azienda speciale. 

Infatti, le disposizioni normative citate dal Comune disciplinano aspetti molto generali della partecipazione degli enti locali nelle società a partecipazione pubblica/capitale pubblico: in particolare, gli artt. 7-10 del d.lgs. 19 agosto 2016, n. 175, disciplinano la costituzione di società a partecipazione pubblica, l’acquisto di quote di società già costituite, la gestione delle partecipazioni, l’alienazione, etc.; l’art. 9, specificamente citato dal Comune, disciplina alcuni aspetti generali relativi alle modalità di esercizio dei diritti del socio ente-locale (patti parasociali, validità di delibere, nomina e revoca di componenti di organi interni della società, etc.). Analogamente, l’art. 147-quater del d.lgs. n. 267/2000, recante il “Testo Unico delle leggi sull'ordinamento degli enti locali”, disciplina il sistema dei controlli sulle società partecipate in relazione al raggiungimento degli obiettivi gestionali previsti, analizzandone gli eventuali scostamenti, anche in riferimento a possibili squilibri economico-finanziari rilevanti per il bilancio dell'ente. Considerazioni analoghe possono effettuarsi in relazione alle disposizioni normative indicate nelle memorie difensive, e segnatamente, agli artt. 114, commi 1 e 6, del d.lgs. n. 267/2000, sugli aspetti generali del rapporto tra l’Ente locale e l’Azienda speciale (capitale di dotazione, determinazione delle finalità assegnate, degli atti fondamentali, vigilanza, verifica dei risultati della gestione, copertura degli eventuali costi sociali), 143, comma 1, del d.lgs. n. 267/2000, sugli ulteriori casi di scioglimento dell’Ente locale, 144, comma 1, del d.lgs. n. 267/2000 sull’attribuzione alla Commissione Straordinaria di compiti del Comune, nonché il già citato art. 147-quater, comma 1, del d.lgs. n. 267/2000. 

Con riguardo, poi agli “stringenti poteri ispettivi in capo alla Commissione”, in caso di scioglimento dell’Ente per “particolari situazioni di condizionamento mafioso collegate all’aggiudicazione di appalti o all’affidamento in concessione di servizi pubblici locali”, in base all’art. 145, comma 4, del d.lgs. n. 267/2000, pure citato dal Comune a fondamento del trattamento in esame, si evidenzia che tali poteri si esplicano, anche nei riguardi delle Aziende speciali, nella possibilità di “richiedere notizie e informazioni sull’espletamento della gara di appalto e sull' esecuzione del contratto di appalto” (art. 14, comma 3-bis, del decreto-legge 13 maggio 1991, n. 152, convertito, con modificazioni, dalla legge 12 luglio 1991, n. 203), e adottare i “provvedimenti ritenuti necessari […] in qualunque momento e fase della procedura contrattuale, o la rescissione del contratto già concluso”. La richiesta formulata dal Comune all’XX, non può in alcun modo inquadrarsi in tali fattispecie, non solo per l’assenza di un qualunque riferimento a una gara o contratto d’appalto, ma in quanto finalizzata unicamente a “chiedere una relazione sul dipendente in oggetto e su quanto da lui argomentato nella nota allegata”, e non su situazioni specifiche afferenti l’“espletamento della gara di appalto” o l’“esecuzione del contratto di appalto”, circostanze certamente non fornite dal reclamante nella generica PEC del XX. 

Peraltro, la predetta Commissione, pur invocando l’esercizio dei poteri previsti dall’art. 145 del d.lgs. 267/2000 a fondamento del trattamento dei dati del reclamante, non ha ritenuto di acquisire, richiedendoli in modo puntuale al reclamante, proprio quelle ulteriori informazioni o documenti “sulla gestione folle e con XX della XX”, che le avrebbero consentito di esercitare quei poteri, né, come precisato, ha ritenuto di fissare un appuntamento con il reclamante. 

Posto che l’art. 2-ter, comma 4, del Codice chiarisce che per “comunicazione” si intende “il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato”  e dagli altri soggetti indicati dalla predetta disposizione, e che  il medesimo articolo specifica che “La base giuridica prevista dall' articolo 6, paragrafo 3, lettera b), del regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (commi 1 e 3), la comunicazione di dati personali del reclamante e l’inoltro della PEC del XX all’XX, soggetto terzo e titolare autonomo del trattamento, risulta essere stata effettuato dal Comune in assenza di una base giuridica adeguata. 

Infatti, nessuna delle disposizioni richiamate dal Comune a fondamento della comunicazione dei dati del reclamante presenta le caratteristiche richieste dalla normativa in materia di protezione dei dati personali. L’art. 6, par. 3, lett. b), del Regolamento prevede che la base giuridica per il trattamento necessario per adempiere a un obbligo legale o in esecuzione di un compito di interesse pubblico, deve contenere disposizioni specifiche quali, ad esempio, le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento, le tipologie di dati oggetto del trattamento, gli interessati, i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati, le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto. 

Alla luce del predetto quadro normativo, e degli elementi forniti dal Comune in corso d’istruttoria, il trattamento dei dati del reclamante risulta pertanto effettuato in assenza di una adeguata base giuridica, in violazione del principio di “liceità, correttezza e trasparenza” previsto dall’ art. 5, par. 1, lett. a), del Regolamento, nonché degli artt. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e dell’art. 2-ter del Codice. 

3.3. La violazione dei principi di “limitazione delle finalità” e di “minimizzazione”

In aggiunta a quanto esposto nel precedente paragrafo 3.2, e ferma restando la necessità di un’adeguata base giuridica, con riferimento alla dichiarata finalità del trattamento, individuata nella “valutazione dell’attendibilità della segnalazione e corretta istruttoria”, nella “esigenza di avviare accertamenti più puntuali  […] per comprendere se le affermazioni contenute nella comunicazione Pec avessero un sostrato di fondatezza oppure fossero state frutto di propalazioni prive di fondamento di un soggetto che dipendeva da una propria Azienda speciale”, nell’ambito delle menzionate “funzioni di amministrazione, indirizzo e vigilanza attribuite all’Organo commissariale”, si rappresenta che il Comune non ha fornito adeguati elementi atti a comprovare né l’effettivo svolgimento di un’istruttoria sulla “segnalazione”, né l’effettiva necessità di trasmettere all’XX direttamente la PEC del reclamante anziché  formulare specifiche richieste istruttorie - mediante l’adozione di particolari cautele - eventualmente a seguito dell’acquisizione di elementi più specifici dal reclamante. 

A tal riguardo, si osserva in primo luogo che, sebbene il reclamante non abbia richiesto di mantenere riservata la propria identità, né abbia richiesto l’applicazione di istituti, pure previsti dall’ordinamento, che prevedono la tutela della riservatezza dell’identità del segnalante e del contenuto della segnalazione, risulta evidente, sostanzialmente, che il Comune avrebbe dovuto, anche nella prospettiva di prevenire il rischio di atti ritorsivi nei confronti del lavoratore, comunque adottare particolari cautele e precauzioni nella gestione delle preliminari informazioni ad esso pervenute e nell’approfondimento di quanto segnalato. A tal proposito, si rileva che la “segnalazione” e la conseguente richiesta di incontro avanzata al Comune dal reclamante si fonda, presumibilmente, sull’affidamento posto nell’esercizio dei poteri istruttori in capo alla Commissione Straordinaria per il perseguimento delle finalità ad essa assegnate (quali, ai sensi del D.P.R. del 23 aprile 2025, “rimuovere gli effetti pregiudizievoli per l’interesse pubblico ed assicurare il risanamento dell’ente locale”), anziché nell’esistenza di partecipazioni societarie del Comune nell’ente “segnalato”.

In secondo luogo, si evidenzia che l’oggetto della richiesta formulata dal Comune ad XX (“una relazione sul dipendente […] e su quanto da lui argomentato nella nota”), unitamente all’inoltro della PEC al soggetto “segnalato” - nonché datore di lavoro del reclamante - tenuto conto della estrema genericità della segnalazione (“gestione folle e dai XX”), oltre ad esporre quest’ultimo a un prevedibile rischio di ritorsioni, non poteva ritenersi ex ante idonea al perseguimento della finalità di acquisire gli elementi conoscitivi specifici individuati dalle norme citate a fondamento del trattamento, essendo tale richiesta indirizzata proprio al soggetto “segnalato”; come emerso infatti in corso d’istruttoria, dalla richiesta avanzata all’XX il XX non è derivato alcun chiarimento rispetto all’eventuale infondatezza di quanto – genericamente – segnalato, bensì una relazione totalmente incentrata sul rapporto di lavoro del dipendente. Pertanto, la comunicazione dei dati del reclamante ad XX risulta effettuata, oltre che in assenza di una base giuridica, anche in violazione del principio di “limitazione delle finalità”, di cui all’art. 5, par. 1, lett. b) del Regolamento. 

Parimenti, la richiesta di una “relazione sul dipendente”, e la conseguente acquisizione del dettagliato riscontro predisposto da XX, non può ritenersi giustificata, considerato che il Comune non ha alcuna competenza sulla gestione del personale dell’Azienda speciale e non avrebbe potuto dar luogo ad alcuna determinazione al riguardo. 

Ad ogni modo, anche volendo considerare la necessità di una richiesta “esplorativa” preliminare rivolta direttamente al soggetto “segnalato”, il Comune avrebbe comunque dovuto adottare, in applicazione del principio di “minimizzazione” di cui all’art. 5, par. 1, lett. c) del Regolamento, quelle necessarie garanzie volte a non esporre, in prima battuta, l’interessato al presumibile rischio di ritorsioni dal proprio datore di lavoro. La Commissione Straordinaria avrebbe potuto, da un lato, richiedere chiarimenti all’Azienda Speciale in merito a quanto “segnalato”, omettendo di rivelare l’identità dell’interessato e, dall’altro, utilizzare ulteriori strumenti previsti dall’ordinamento, ove ritenuto necessario, per acquisire preliminarmente informazioni sull’eventuale affiliazione del reclamante “XX”, anche al fine di decidere se accogliere o meno la richiesta di incontro dell’interessato. 

Per le ragioni sopraesposte, risulta pertanto accertato che il Comune ha effettuato un trattamento non conforme ai principi di “limitazione delle finalità” e di “minimizzazione” dei dati, in violazione dell’art. 5, par. 1, lett. b) e c) del Regolamento. 

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dal Comune, avvenuto in maniera non conforme ai principi di “liceità, correttezza e trasparenza”, di “limitazione delle finalità”, e di “minimizzazione” dei dati, in violazione dell’art. 5, par. 1, lett. a), b) e c) del Regolamento, nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e dell’art. 2-ter del Codice.  

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

Considerato, in ogni caso, che la condotta del Comune ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5.  Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le rilevate, relative agli artt. 5 e 6 del Regolamento e 2-ter del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- con specifico riguardo alla natura, alla gravità e alla durata della violazione, occorre considerare che, sebbene il trattamento abbia riguardato un solo interessato, lo stesso ha prodotto un significativo impatto su quest’ultimo in conseguenza della comunicazione dei suoi dati personali al datore di lavoro (cfr. art. 83, par. 2, lett. a), del Regolamento); 

- il carattere colposo della violazione, essendo stato il trattamento effettuato nella, seppur erronea, “convinzione circa l’esistenza di una base giuridica” (art. 83, par. 2, lett. b) del Regolamento);

- riguardo alle categorie di dati personali comunicati, non sono compresi i dati di cui agli artt. 9 e 10 del Regolamento, concernenti categorie particolari di dati personali o dati relativi a condanne penali o reati (art. 83, par. 2, lett. g) del Regolamento)

si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole, la circostanza che il titolare del trattamento è un Comune di medie dimensioni, che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, nonché il peculiare contesto in cui lo stesso si è trovato ad operare nella fattispecie in esame, essendo il trattamento avvenuto “nella fase embrionale del mandato commissariale” e ai fini della gestione di una segnalazione di potenziali criticità nel contesto organizzativo di una delle società affidatarie di pubblici servizi comunali (art. 83, par. 2, lett. e) e k), del Regolamento).

Occorre, tuttavia, considerare in senso sfavorevole al Comune, la mancata adozione di misure per attenuare il danno subito dall’interessato, non avendo provveduto ad effettuare delle ulteriori verifiche/approfondimenti in merito alle preliminari informazioni ricevute dal reclamante prima di coinvolgere - eventualmente – XX (art. 83, par. 2, lett. c), del Regolamento).  

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila/00) per la violazione degli artt. 5, par. 1, lett. a), b) e c), nonché 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e dell’art. 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il trattamento di dati personali di un interessato nell’ambito della delicata gestione di una sua “segnalazione” di potenziali dinamiche criminali nell’ambito del contesto organizzativo dell’Azienda speciale di cui era dipendente, esponendolo a potenziali effetti ritorsivi del predetto datore di lavoro.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Aprilia, nei termini di cui in motivazione, in violazione degli artt. 5, par. 1, lett. a), b) e c), nonché 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e dell’art. 2-ter del Codice 

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Aprilia con sede in Piazza Roma, n. 1, 04011 Aprilia (LT), C.F. 80003450592, di pagare la complessiva somma di euro 5.000,00 (cinquemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

Al Comune di Aprilia:

- di pagare la complessiva somma di euro 5.000,00 (cinquemila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante; 

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento. 

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 3 settembre 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori