[doc. web n. 9865528]

Ordinanza ingiunzione nei confronti di Comune di Misterbianco - 26 gennaio 2023

Registro dei provvedimenti
n. 28 del 26 gennaio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato al Garante la sig.ra XX, dipendente del Comune di Misterbianco (di seguito “Comune”), ha lamentato la pubblicazione all’Albo Pretorio del Comune della determinazione n. XX avente ad oggetto la “Progressione economica orizzontale anno XX – Rideterminazione della graduatoria categoria C, in esecuzione della sentenza n. XX e provvedimenti conseguenti”. La determinazione contiene dati personali della reclamante e di un’altra dipendente e, segnatamente, il rispettivo numero di matricola, nonché con riferimento alla reclamante anche ulteriori informazioni relative ad un contenzioso avanti al giudice del lavoro e alla circostanza che, per effetto della relativa sentenza, la stessa dovesse restituire delle somme indebitamente percepite con trattenute mensili sulla busta paga nel limite di un quinto dello stipendio.

Dalla determinazione si evince infatti che in base alla ridefinizione dei punteggi, veniva disposto che la reclamante “scende dalla posizione n. 12 alla posizione n. 13 […e] perde la posizione PEO; […] deve restituire un importo non specificato per il periodo XX; […] deve restituire l’importo di € 6.060,08 a partire dal XX mediante prelievo coatto con trattenute mensili sulla busta paga nel limite del quinto dello stipendio”.

Alla stessa determinazione sono inoltre allegati due documenti e, in particolare, la “graduatoria definitiva […]” e quella “rettificata [...]” a seguito della predetta sentenza.

Come lamentato dalla reclamante, seppur nel corpo della determinazione la reclamante veniva identificata con il numero XX, l’interessata risultava facilmente identificabile dalla lettura combinata del provvedimento e degli allegati, mettendo in correlazione le due graduatorie, atteso che “negli allegati A (vecchia graduatoria) e B (nuova graduatoria) parti integranti e sostanziali del provvedimento vengono espressamente indicati: Nome e Cognome, data di nascita, data di assunzione e punteggio assegnato”.

2. L’attività istruttoria.

Con nota del XX, rispondendo alla richiesta di informazioni formulata da questa Autorità, il Comune ha rappresentato, in particolare, che:

- “rientrano tra gli obblighi di pubblicazione in capo a questo Ente, anche quelli di cui all’art. 19 del D.lgs. n. 33/2013, […] che attiene agli obblighi di trasparenza nell’ambito delle procedure concorsuali delle amministrazioni”;

- “si precisa che la determinazione del Responsabile del Settore n. XX, oggetto del reclamo, riguarda una rideterminazione di graduatoria relativa alla Progressione Economica Orizzontale dell’anno XX in esecuzione della sentenza n. XX”;

- “di per sé stessa, dunque, trattandosi di graduatoria, [il Comune] si è attenuto strettamente a quanto indicato dallo stesso Garante al punto 3.b. della “parte seconda” delle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati (Registro dei provvedimenti n. 243 del 15 maggio 2014), provvedendo a pubblicare detta determinazione all’Albo Pretorio telematico dell’Ente, assieme ai due suoi allegati, nei ristretti limiti dei 15 giorni previsti per legge, ovvero dal XX al XX “anche al fine di consentire agli interessati l´attivazione delle forme di tutela dei propri diritti e di controllo della legittimità delle procedure concorsuali o selettive” con diffusione dei soli dati pertinenti e non eccedenti riferiti agli interessati”;

- “si è, comunque avuto cura di adottare l’accorgimento dell’oscuramento del nome e cognome del soggetto reclamante pur mantenendo il numero di matricola, in quanto conosciuto solo dai diretti interessati e dal competente personale incaricato al trattamento dei dati”;

- “parallelamente alla pubblicazione sopra definita, presso la Regione Sicilia, ai sensi e per effetto dall’art 6 comma 1 della Legge 26 giugno 2015, n. 11 e fatte salve le disposizioni a tutela della privacy è fatto obbligo a tutte le amministrazioni comunali di provvedere anche alla pubblicazione sul medesimo Albo pretorio on line per estratto entro sette giorni dalla loro emanazione, tutti gli atti deliberativi adottati dalla giunta e dal consiglio e le determinazioni sindacali e dirigenziali nonché le ordinanze, ai fini di pubblicità notizia”;

- “si aggiunge che la durata di questa pubblicazione per estratto è di 5 anni (art. 8 comma 3 d.lgs. 14 marzo 2013, n. 33 come modificato dall'art. 1, comma 1, d.lgs. n. 97 del 2016), precisando, tuttavia, che la pubblicazione per estratto non consente di accedere al testo integrale della determinazione e degli allegati, ma in essa vi compare unicamente la dicitura dell’oggetto generico della determinazione”;

- “si ritiene […] che la determinazione, oggetto di reclamo, non contenga alcun contenuto pregiudizievole nei confronti della dipendente reclamante se non quello direttamente derivante da obbligazioni a carattere giurisdizionale  e normativo, posto che [il Comune] ha operato, in applicazione di una sentenza esecutiva di un giudice ed in conformità con la normativa in materia di trasparenza, senza che , in alcun sia stata discrezionalmente lesa né la sfera professionale, né quella personale della dipendente , tenuto conto che, in particolare, il dovuto riferimento al recupero delle somme “con trattenute mensili sulla busta paga nel limite di un quinto dello stipendio” contenuto nello stesso provvedimento, si poneva come generica e non unica procedura, che non andava, assolutamente, a compromettere la tutela della sfera soggettiva della dipendente, né, tanto meno, a denunciare la propria situazione reddituale , così come, invece, lamentato nel reclamo”.

Sulla base degli elementi acquisiti l’Ufficio ha notificato al Comune, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la pubblicazione sul sito web del Comune della predetta determinazione ha causato la “diffusione” dei dati personali della reclamante e di altri interessati, in violazione degli artt. 5, 6 del Regolamento e 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139. Pertanto ha invitato il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

Il Comune ha fatto pervenire le proprie memorie difensive rappresentando, in particolare, che:

- “con riferimento alla contestata non conformità ai principi di "liceità, correttezza e trasparenza" e "minimizzazione dei dati", non sembra che, relativamente all’attività di pubblicazione effettuata, sia stata adeguatamente considerata la situazione che l'atto principale della determinazione sia stato perfezionato e pubblicato nel rispetto delle dovute cautele previste in materia di protezione dei dati, ovvero, nello specifico, attraverso l'utilizzo della formula "omissis" al posto dei dati personali contenuti nel testo, accortezza questa in linea con le finalità di oscuramento e minimizzazione dei dati ritenuti eccedenti e non pertinenti, ciò nella leale e sincera convinzione, del tutto in buona fede, che la sopravvivenza nel testo del solo numero di matricola del dipendente potesse essere, in ogni caso, un valido argine alla pubblica riconoscibilità del dipendente”;

- “con riferimento poi, all'altro motivo di addebito riguardante la contestata assenza di una base giuridica, si rappresenta che questo Ente, nel procedere alla suddetta attività di pubblicazione di una graduatoria finale riguardante una Progressione Economica Orizzontale (PEO), abbia agito in conformità alle stesse indicazioni contenute nel paragrafo 3.b. delle Linee guida [doc. web n. 3134436], secondo cui occorre dare pubblicità alle graduatorie finali [...] di concorsi e selezioni pubbliche e di altri procedimenti che prevedono la formazione di graduatorie, per cui la pubblicazione della determinazione de quo, assieme ai due suoi allegati, è avvenuta in ossequio a quanto stabilito dalla specifica normativa in materia di pubblicità degli atti amministrativi nella sezione "Albo Pretorio" telematico dell'Ente (ex art. 32, comma l, L. 69/2009 e s.m.i.), per il tempo strettamente necessario previsto dalla norma ed in conformità agli obblighi di  pubblicità e trasparenza previsti dalla stessa Legge”;

- “d'altra parte, a proposito dell'asserzione secondo cui la pubblicazione delle sole "graduatorie finali" sia riferibile esclusivamente ai "bandi di concorso per il reclutamento" e non anche alle procedure finalizzate alle progressioni economiche, la lettura del doc web n. 958442, da Voi stessi citato, ricondurrebbe, invece, a valorizzare una normativa di settore, secondo cui occorra dare pubblicità, oltre che degli esiti delle prove concorsuali e graduatorie finali, più in generale, dei provvedimenti finali e delle graduatorie, nonché degli altri atti riguardanti i concorsi, le prove selettive e le progressioni di carriera e di altri procedimenti che si concludono con la formazione di graduatorie, risultando quest'ultima fattispecie in linea con quanto effettuato dall'Ente”;

- “va detto, anche, che l'obbligo, a cui questo Ente ha ottemperato, è stato ulteriormente ripreso dal D.lgs. 14 marzo 2013, n. 33 e s.m.i. (emanato in esecuzione dell'art. l, comma 35, della legge 190/2012), concernente il "Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni", il quale, in particolare, all'art. 12 ha disciplinato gli specifici obblighi di pubblicazione concernenti gli atti di carattere normativa e amministrativo generale”;

- “è il caso di aggiungere che la pubblicazione all’albo pretorio del Comune è prescritta dall’ art. 124 T. U n. 267/2000 per tutte le deliberazioni del comune e della provincia ed essa riguarda non solo le deliberazioni degli organi di governo (consiglio e giunta municipali) ma anche le determinazioni dirigenziali, esprimendo la parola "deliberazione" ab antiquo sia risoluzioni adottate da organi collegiali che da organi monocratici ed essendo l’intento quello di rendere pubblici tutti gli atti degli Enti locali di esercizio del potere deliberativo, indipendentemente dalla natura collegiale o meno dell'organo emanante (Consiglio di Stato, sez. V, 15/03/2006, n. 1370)”;

- “si tiene a precisare, ribadendo quanto già rappresentato nel ns. precedente riscontro […], a cui si rinvia nella sua integrità, come questo Ente, nell'ambito delle superiori attività di pubblicazione degli atti, abbia cercato di adottare tutti i dovuti accorgimenti per adempiere alla tutela della "Data Protection", provvedendo a disattivare, con regolarità, i meccanismi che consentono ai motori di ricerca di indicizzare il contenuto, in ossequio al punto 6) delle Linee guida AgiD "sulla pubblicità legale dei documenti e sulla conservazione dei siti web delle PA" riguardante il "Diritto all'oblio e temporaneità della pubblicazione", posto che ogni pubblicazione avviene limitatamente al periodo previsto dall'ordinamento proprio al fine di rispettare il principio di temporaneità ed il cd. "diritto all'oblio".

3. Normativa applicabile.

3.1 Il quadro normativo.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche qualora operino nello svolgimento dei propri compiti di datori di lavoro, possono trattare i dati personali dei lavoratori, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalle norme nazionali di settore (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e), del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che le operazioni di trattamento che consistono nella “diffusione” di dati personali sono ammesse solo quando previste da una norma di legge o di regolamento (art. 2-ter, nel testo del Codice antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Con riguardo alle categorie particolari di dati personali, il trattamento è, di regola, consentito, oltre che per assolvere a specifici obblighi “in materia di diritto del lavoro […] nella misura in cui sia autorizzato dal diritto […] in presenza di garanzie appropriate” (art. 9, par. 2, lett. b), del Regolamento), anche ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento).

Il datore di lavoro, titolare del trattamento, è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

3.2. La diffusione dei dati personali relativi al rapporto di lavoro e alle progressioni economiche orizzontali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, il Comune ha pubblicato, dal XX al XX, sul sito web istituzionale, sezione Albo Pretorio, la Determinazione n. XX - e i relativi allegati, parti integranti e sostanziali del provvedimento stesso - avente ad oggetto la rideterminazione di graduatoria relativa alla Progressione Economica Orizzontale dell’anno XX, diffondendo in chiaro dati personali relativi alla reclamante ed altri lavoratori. In particolare, con specifico riferimento alla reclamante (XX) e a un’altra lavoratrice (XX), sono stati diffusi informazioni personali, contenute nella determinazione, relative a una sentenza del giudice del lavoro, alla conseguente posizione di debito/credito delle medesime lavoratrici, nonché al pignoramento del quinto dello stipendio della reclamante. Sono stati altresì diffusi altri dati personali contenuti nei predetti allegati, e, in particolare, nome, cognome, data di nascita, data di assunzione, anzianità di servizio, categoria, punteggio, riferiti all’interessata e agli altri partecipanti alla procedura finalizzata alla progressione economica orizzontale.

Nel corso dell’istruttoria il Comune ha giustificato la diffusione dei dati personali contenuti nella determinazione in esame e nei relativi allegati invocando, quali basi giuridiche del relativo trattamento, corpi normativi e disposizioni anche a livello regionale che, tuttavia, per ragioni diverse, non appaiono pertinenti rispetto al caso di specie, o comunque non sufficienti a giustificare, per i profili di protezione dei dati, la condotta dell’ente. 

In via preliminare vanno distinte, anche in ragione del diverso regime giuridico applicabile, le disposizioni che regolano gli obblighi di pubblicità dell’azione amministrativa per finalità di trasparenza da quelle che regolano forme di pubblicità per finalità diverse, quali la pubblicità legale.

In particolare, gli obblighi di pubblicazione online di dati per finalità di "trasparenza" sono quelli indicati nel d.lgs. 14 marzo 2013, n. 33 avente a oggetto le "informazioni concernenti l´organizzazione e l´attività delle pubbliche amministrazioni, allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull´utilizzo delle risorse pubbliche" (cfr. “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" del Garante, provv. 15 maggio 2014, n. 243, doc. web n. 3134436, parte I).

Accanto a questi obblighi di pubblicazione coesistono altri obblighi di pubblicità online di dati, informazioni e documenti della P.A. – contenuti in specifiche disposizioni di settore diverse da quelle approvate in materia di trasparenza – come, fra l´altro, quelli volti a far conoscere l´azione amministrativa in relazione al rispetto dei principi di legittimità e correttezza, o quelli atti a garantire la pubblicità legale degli atti amministrativi (es.: pubblicità integrativa dell´efficacia, dichiarativa, notizia; cfr. Linee guida, cit. parte II).

Tanto premesso, in riferimento al caso in esame, appare inconferente il richiamo, da parte del Comune, all’assolvimento degli obblighi di cui all’art. 19 del d.lgs. 14 marzo 2013, n. 33, atteso che il comma primo di tale disposizione, nel prescrivere la pubblicazione delle sole “graduatorie finali”, si riferisce esclusivamente ai “bandi di concorso per il reclutamento” (cfr. provv.ti 25 marzo 2021, n. 106, doc. web n. 9584421 e 11 marzo 2021, n. 89, doc. web n. 9581028) e non anche alle procedure interne finalizzate alle progressioni economiche del personale già in sevizio.

A tale riguardo è, altresì, opportuno richiamare quanto stabilito espressamente dall’Autorità Nazionale Anticorruzione-ANAC proprio in merito all’ambito di applicazione del menzionato art. 19, nella parte in cui ha specificato che le procedure selettive interne che determinano un passaggio di livello nell’ambito della stessa area o categoria, cd. progressioni orizzontali, come nel caso di specie, “sono escluse dall’ambito oggettivo di applicazione dell’art. 19 “Bandi di concorso” del d.lgs. 33/2013, in quanto procedure a carattere meritocratico connesse alla valutazione dell'apporto individuale del lavoratore e non soggette al principio del pubblico concorso”, differentemente dalle progressioni finalizzate al passaggio di qualifica, consistenti nell’inquadramento in un’area superiore (c.d. progressioni verticali) che avvengono attraverso procedure comparative, determinandosi in tal caso una novazione oggettiva del rapporto di lavoro assimilabile all’assunzione (v. ANAC Delibera n 775 del 10 novembre 2021; comma 1-bis dell’art. 52 del d.lgs. 165/2001 nonché la copiosa giurisprudenza sul punto, in particolare, Corte di Cassazione, Sezione Lavoro Ordinanza 7 dicembre 2020 n. 27932; Cass., Sez. Unite, Sent. 6 giugno 2017, n. 13981; Cons. Stato, sez. III, 29 aprile 2019, n. 2774; Cons. Stato, sez. V, 6 luglio 2010, n. 4313).

A riprova di ciò si rileva che la determinazione in questione non è stata pubblicata nella sezione “Amministrazione Trasparente” del sito web istituzionale del Comune, come sarebbe stato necessario in caso di applicazione del d.lgs. 14 marzo 2013, n. 33, confermando che il Comune non ha proceduto alla pubblicazione in questione per le invocate finalità di trasparenza dell’azione amministrativa.

Nel corso dell’istruttoria il Comune ha inoltre fatto riferimento al punto 3.b. delle richiamate Linee guida del Garante, che contempla, non già la pubblicazione per finalità di trasparenza, bensì forme di “pubblicità degli esiti delle prove concorsuali e delle graduatorie finali – nonché, nei casi (e con le modalità) previsti, dei risultati di prove intermedie – di concorsi e selezioni pubbliche e di altri procedimenti che prevedono la formazione di graduatorie”, specificando che restano “salve le normative di settore che ne regolano tempi e forme di pubblicità”.

Le norme di settore alle quali fa riferimento il menzionato passaggio delle Linee guida consistono nelle disposizioni che stabiliscono, in generale, la pubblicità dei provvedimenti finali e delle graduatorie riguardanti i concorsi e le prove selettive finalizzate al reclutamento e all’assunzione che, per le ragioni anzidette, non risultano applicabili al caso di specie (cfr. nota 62, Linee guida cit.; art. 7, d.P.R. 10 gennaio 1957, n. 3; nonché art. 15, d.P.R. 9 maggio 1994, n. 487, in particolare, commi 5, 6 e 6 bis e, più in generale, sulla pubblicità delle procedure di reclutamento del personale delle pubbliche amministrazioni, art. 35, comma 3, d. lgs. 30 marzo 2001, n. 165). Il predetto passaggio si riferisce altresì “ad altri procedimenti che si concludono con la formazione di graduatorie” ove siano previste da specifiche diposizioni di settore che ne regolino anche il regime di pubblicità (al riguardo, si vedano, ad esempio, le procedure di avanzamento ad anzianità per sottufficiali e graduati di cui agli artt. 1056 e 1059 del d.lgs. n. 66/2010, che prevede che gli esiti delle stesse siano pubblicati sui portali istituzionali delle Forze Armate; diversamente dalle procedure per l’avanzamento degli ufficiali di cui all’art. 1067, comma 5, per i quali è invece previsto unicamente che ai soggetti valutati è data comunicazione dell’esito dell’avanzamento).

Nel caso in questione invece il Comune non ha individuato alcuna specifica norma di settore che espressamente autorizzi la pubblicazione degli esiti di un procedimento relativo alla determinazione delle progressioni economiche orizzontali dei lavoratori, restando in ogni caso salve le altre forme di conoscibilità degli atti amministrativi previste dall’ordinamento (artt. 22 e ss. l. 7 agosto 1990, n. 241; d.P.R. 12 aprile 2006, n. 184; artt. 6, 9, 10 e 86 Regolamento).

Tra le varie argomentazioni difensive prospettate dal Comune, finalizzate a giustificare la pubblicazione della determinazione in questione e dei relativi allegati, vi è la asserita necessità di adempiere a quanto previsto dall’art. 124 del d.lgs. n. 267 del 18 agosto 2000 (Testo Unico delle leggi sull’ordinamento degli enti locali) che regola la pubblicazione per 15 giorni sull’Albo Pretorio  delle deliberazioni dell’Ente (v. anche art. 32, comma l, della L. n.69 del 18 giugno 2009, che si limita a prevedere che gli obblighi di pubblicazione di “atti e provvedimenti amministrativi aventi effetto di pubblicità legale si intendono assolti con la pubblicazione nei propri siti informatici da parte delle amministrazioni e degli enti pubblici obbligati”).

Le citate disposizioni nulla prevedono riguardo alla pubblicazione di una determinazione quale quella oggetto della presente istruttoria (ossia determinazione avente ad oggetto la rideterminazione di una graduatoria relativa alla Progressione Economica Orizzontale, e dei relativi allegati contenenti, come nel caso di specie, ulteriori informazioni riguardanti delicate vicende connesse al rapporto di lavoro della dipendente, quali il pignoramento del quinto dello stipendio). Né può ritenersi adeguato il riferimento all’invocata legge regionale (Legge 26 giugno 2015, n. 11) che all’art 6 comma 1, richiamato dal Comune, prevede esclusivamente l’obbligo di pubblicazione “per estratto nei rispettivi siti internet, entro sette giorni dalla loro emanazione, tutti gli atti deliberativi adottati dalla giunta e dal consiglio e le determinazioni sindacali e dirigenziali nonché le ordinanze, ai fini di pubblicità notizia”.

Il Garante, in proposito, ha in numerose occasioni chiarito che anche la presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali (v. provv. del 15 settembre 2022, n. 299, doc. web n. 9815665 e provv. del 25 febbraio 2021, n. 68, doc. web 9567429).

In numerose decisioni in merito agli obblighi derivanti dall’art. 124 del d.lgs. 267/2000, infatti, il Garante ha ribadito che anche alle pubblicazioni sull’Albo Pretorio online di atti o deliberazioni si applicano tutti i limiti previsti dai principi della protezione dei dati personali, avendo riguardo anzitutto alla sussistenza di idonei presupposti di liceità della diffusione online dei dati personali in essa contenuti, prima ancora che alla eventuale minimizzazione degli stessi. Ciò è confermato anche dal sistema di protezione dei dati personali contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento deve mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e deve essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – di averlo fatto (artt. 5, par. 2; 24 e 25, par. 2, Regolamento).

Pertanto laddove la pubblicazione online di documenti comporti un trattamento di dati personali e quindi una loro diffusione, devono essere opportunamente contemperate le esigenze di pubblicità perseguite con i diritti e le libertà fondamentali, nonché la dignità dell´interessato, con particolare riferimento alla riservatezza, all´identità personale e al diritto alla protezione dei dati personali, individuando prioritariamente la sussistenza di una idonea base giuridica per la diffusione dei dati (v., da ultimo, provv.ti n. 366 del 10 novembre 2022, doc. web n. 9834986 e n. 299, del 15 settembre 2022, doc. web n. 9815665).

Peraltro, nonostante le accortezze adottate dal Comune con l’intento di minimizzare i dati personali presenti nella determina, emerge che la reclamante (indicata con “XX”) e l’altra lavoratrice (indicata con “XX”), risultano comunque identificabili, stante la definizione di dato personale contenuta nel Regolamento (“qualsiasi informazione riguardante una persona fisica identificata o identificabile”, dovendosi considerare “identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, […]” (art. 4, par. 1, n. 1). Si osserva infatti che la determinazione in questione, nel richiamare quanto disposto dall’autorità giudiziaria all’esito del giudizio che aveva coinvolto le due lavoratrici, menzionava i rispettivi numeri di matricola esplicitando i conseguenti effetti economici per ciascuna e specificando che la graduatoria sarebbe stata conseguentemente modificata (“la dipendente XX [acceda] alla PEO XX , collocandosi in prima posizione nella graduatoria in trattazione e, quindi, la stessa passa dalla posizione economica C1 alla posizione economica C2 a far data dal XX” e che “la dipendente XX [perda] la PEO XX, scendendo di una posizione nella graduatoria in trattazione, collocandosi in tredicesima posizione, e, quindi la stessa torna alla posizione economica C2 a far data dal XX”). In tal modo, da un semplice confronto con i dati contenuti nell’allegato B, in cui le lavoratrici rispettivamente in prima e tredicesima posizione sono indicate con nome, cognome e data di nascita, le interessate risultano agevolmente identificabili.

Alla luce delle predette considerazioni, contrariamente a quanto affermato dal Comune - che, utilizzando la “formula "omissis" al posto dei dati personali” nel corpo dell’atto principale, ha ritenuto di avere ottemperato al principio di minimizzazione dei dati - le predette interessate sono identificabili, per relationem, con quanto riportato negli allegati alla determinazione stessa. Pertanto, con riguardo a tali interessate, il Comune ha, altresì, diffuso dati personali relativi a specifiche vicende connesse sia al rapporto di lavoro, sia all’esito di un contenzioso con l’amministrazione e alla conseguente posizione di debito/credito, nonché al pignoramento del quinto dello stipendio della reclamante.

In ogni caso, quanto all’indicazione della matricola in luogo del nominativo del lavoratore, come nel caso di specie, si fa presente che tale accorgimento può non essere ritenuto in concreto sufficiente a evitare l’identificabilità degli interessati, specie quando ad essi siano associate altre informazioni di contesto ovvero ulteriori elementi identificativi, circostanza che ricorre, ad esempio, come nel caso in questione, quando tali informazioni e dati siano contenuti anche nello stesso atto o in atti connessi (v., tra i tanti, da ultimo, provv. n.420 del 15 dicembre 2022, in corso di pubblicazione).

Per tutto quanto sopra esposto, si deve concludere che il Comune ha posto in essere una diffusione di dati personali in assenza di idonea base giuridica, in violazione degli artt. 5 e 6 del Regolamento e dell’art. 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver diffuso, mediante pubblicazione online sul proprio sito web istituzionale, dal XX al XX, la determinazione n. XX e i relativi allegati, in violazione degli artt. 5 e 6 del Regolamento e dell’art. 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e dell’art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l'adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i) e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stata considerata la particolare delicatezza dei dati personali oggetto di diffusione online  riguardanti vicende inerenti il rapporto di lavoro - con particolare riferimento agli esiti della procedura valutativa e ai conseguenti effetti salariali per i dipendenti del Comune, nonché riferimenti alla specifica situazione della reclamante e di altra interessata per effetto di una specifica pronuncia giurisdizionale e alle conseguenze sul piano economico per la stessa reclamante (pignoramento del quinto dello stipendio). È stato inoltre considerato il mancato rispetto delle indicazioni che, da tempo, il Garante, ha fornito a tutti i soggetti pubblici sin dal 2014 con le Linee guida sopra richiamate e in numerosi provvedimenti su singoli casi concreti adottati negli anni dal Garante. Risulta, inoltre, un precedente provvedimento di cui all'articolo 58, paragrafo 2, nei confronti del Comune, relativamente a una pertinente violazione.

Di contro, si è tenuto favorevolmente in considerazione che la violazione non ha riguardato categorie particolari di dati personali. La pubblicazione nell’albo pretorio della determinazione in questione è avvenuta per un breve periodo di tempo e senza alcuna indicizzazione sui siti generalisti.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 5 e 6 del Regolamento e 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che la determinazione oggetto di diffusione online conteneva i riferimenti a una delicata vicenda personale dell’interessata, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), dichiara l'illiceità del trattamento di dati personali effettuato dal nei termini descritti in motivazione, consistente nella violazione degli artt. 5 e 6 del Regolamento e 2-ter del Codice;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Misterbianco in persona del legale rappresentante pro-tempore, con sede legale in via S. Antonio Abate, 3 - 95045 Misterbianco (CT) C.F. 80006270872 di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune - fermo restando quanto disposto dall’art. 166, comma 8 del Codice di pagare la somma di euro 5.000,00 (cinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 gennaio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei