Albo pretorio e rispetto della normativa privacy: la pubblicazione di delibere contenenti informazioni sul rapporto lavorativo è illecita

Con provvedimento del 17 ottobre u.s. il Garante Privacy, in esito ad un procedimento ispettivo, ha sanzionato un Comune per aver diffuso dati personali del reclamante in assenza di idonea base giuridica, in violazione degli artt. 5, 6 e 9 del Regolamento UE 2016/679 e dell’art. 2-ter del Codice in materia di protezione dei dati personali. Specificamente, il Comune aveva pubblicato nella sezione “Albo on line” del proprio sito istituzionale delibere contenenti informazioni relative alla cessazione del rapporto di lavoro del reclamante, non richieste né dalla normativa di trasparenza, né da altro tipo di normativa.

L’Autorità, dopo aver richiamato la necessità della c.d. base giuridica, ovvero il fondamento normativo per trattare (nel caso di specie: pubblicare) i dati personali, ha individuato i seguenti profili di irregolarità nell’operato del Comune:

• in via preliminare, la pubblicazione delle delibere è stata disposta nella sezione “Albo pretorio” e non nella sezione “Amministrazione Trasparente”, dove il legislatore consente la pubblicazione di dati afferenti i pubblici dipendenti;
• nel merito, il D.Lgs. 33/2013 in materia di pubblicazione obbligatoria pur costituendo in astratto la base giuridica, in concreto non lo è perchè non richiede la pubblicazione di informazioni relative alla cessazione del rapporto di lavoro dei dipendenti; pertanto, il Comune -laddove avesse comunque voluto procedere alla pubblicazione su base volontaria ed ulteriore- avrebbe dovuto procedere preliminarmente all’anonimizzazione dei dati al fine di rendere legittima la pubblicazione dei documenti;
• le pubblicazioni disposte dal Comune non trovano fondamento nei principi generali sulla trasparenza amministrativa che disciplinano le pubblicazioni obbligatorie di cui al D.Lgs. 33/2013: il Comune infatti ha proceduto a pubblicare provvedimenti ed atti non coerenti con il perseguimento dell’interesse pubblico, quali delibere contenenti informazioni riguardanti vicende derivanti dal rapporto di lavoro, corrispondenza tra l’ente e il dipendente, lettere di accettazione o meno dei provvedimenti, delibera di conferimento incarico legale contenente il nominativo dell’interessato che aveva citato in giudizio il Comune, informazioni relative alle ferie ed altri dati sensibili quali soprattutto l’appartenenza ad un’organizzazione sindacale;
• nello specifico, la pubblicazione delle delibere contenenti l’accoglimento delle dimissioni volontarie del reclamante e i successivi atti, non trova fondamento nell’art. 13 D.Lgs. 33/2013 che, invero, dispone la pubblicazione dei dati relativi alla struttura organizzativa della PA;
• sempre nello specifico, la pubblicazione delle delibere contenenti la quantificazione in denaro delle ferie non godute dal reclamante non è legittimata dagli artt. 26 e 27 D.Lgs. 33/2013 che, invero, disciplinano gli obblighi di pubblicazione relativi alle sovvenzioni e contributi erogati a persone fisiche ed enti pubblici e privati;
• infine, la circostanza -riportata dal Comune- che i dati  oggetto della contestazione fossero già pubblici non rende legittimo il trattamento disposto dal Comune poiché effettuato in violazione dei principi di liceità e minimizzazione.

Alla luce delle verifiche svolte, l’Autorità ha evidenziato che la pubblicazione delle delibere contenente la tipologia di informazioni sopra richiamata non è conforme né alle norme sulla tutela dei dati personali né alle norme sulla trasparenza in quanto la sua pubblicazione non è richiesta da queste ultime.

Rispetto alla violazione commessa, l’Autorità ha valutato come medio il livello di gravità ed ha determinato l’ammontare della sanzione pecuniaria in € 8.000 tenuto conto delle seguenti circostanze:

• la diffusione di dati è avvenuta sul sito istituzionale del Comune senza indicizzazione sui motori di ricerca e ha riguardato un solo interessato;
• il Comune ha agito nella errata convinzione di adempiere a un obbligo di legge ed in un contesto caratterizzato da forte incertezza dovuta al periodo emergenziale derivante dalla diffusione del virus Covid-19;
• il trattamento ha riguardato la diffusione di informazioni anche riferite a categorie particolari quali l’appartenenza a un’organizzazione sindacale;
• non risultano precedenti violazioni, aventi medesima natura, commesse dal titolare del trattamento;
• il Comune ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria.