[doc. web n. 10251748]

Provvedimento del 17 aprile 2026

Registro dei provvedimenti
n. 273 del 17 aprile 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento la sig.ra XX ha rappresentato che è stata pubblicata sull'Albo pretorio online del Comune di Campo Calabro (di seguito “Comune”), presso cui svolge la propria attività lavorativa, la Determinazione n.XX del XX, e i relativi allegati, contenenti informazioni riguardanti la propria performance individuale nonché quella relativa ad altri lavoratori.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità, il Comune ha dichiarato, con la nota del XX, in particolare, che:

- “l’atto emanato rientra nella categoria di atto amministrativo/determinazione avente ad oggetto “Approvazione e pubblicazione delle graduatorie di selezione per l’attribuzione di differenziale stipendiale del personale dipendente a tempo indeterminato nella Categorie Operatori, Operatori Esperti, Istruttori e Funzionari E.Q. anno XX”, avente finalità l’applicazione del CCDI stipulato il XX con riguardo all’istituto della progressione economiche all’interno delle aree, ad esito della procedura di selezione di cui all’avviso del XX, composto dal testo e n. 2 tabelle denominati Allegato A e Allegato B”;

- “l’atto amministrativo/determinazione in quanto tale è stato pubblicato per quindici giorni consecutivi all’albo pretorio dell’ente per come previsto dalla normativa (art. 124, commi 1 e 2, D.lgs. 267/2000), restando consultabile per ulteriore periodo dei 5 anni successivi come da normativa”;

- “i dati personali contenuti nelle suddette tabelle sono dati identificativi dei lavoratori vincitori (posizione, nominativo e punteggio conseguito), in quanto funzionali a rendere noti gli esiti della procedura, ed integra un adempimento degli obblighi in materia di trasparenza in accordo alla privacy”;

- “l’atto amministrativo non include le schede personali contenente la valutazione dettagliata delle prestazioni lavorative, giudizi e informazioni e apprezzamenti sulla capacita competenza professionali che pertanto tali dati non sono stati esposti ad alcun tipo di diffusione”.

Con nota del XX l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento sul presupposto che il trattamento in questione fosse stato posto in essere in violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento, nonché dell’art. 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, il Comune, che non ha chiesto di essere audito, ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “si è ritenuto di pubblicare gli esiti del procedimento al solo fine di adempiere all’ obbligo di trasparenza amministrativa previsto dal d.lgs. 33/2013, reputando equiparabili i risultati finali delle procedure finalizzate al riconoscimento delle progressioni economiche orizzontali con le graduatorie finali di cui ai bandi di concorso. In tal senso si sono ritenuti applicabili i criteri di cui all’art. 11, comma 1, lett. c), e dell’art. 15 in materia di performance del personale e criteri di selezione e pubblicità dell’azione amministrativa, ai sensi del D.Lgs. n. 33/2013.”;

- “la pubblicazione degli esiti del suddetto procedimento, effettuata con la determinazione num, XX del XX, è stata eseguita sul sito web istituzionale dell’Ente in virtù delle normative di settore applicabili”;

- “la pubblicazione delle determinazioni, assieme ai due suoi allegati, è avvenuta in ossequio a quanto stabilito dalla specifica normativa in materia di pubblicità degli atti amministrativi nella sezione "Albo Pretorio" telematico dell'Ente (ex art. 32, comma l, L. 69/2009 e s.m.i.), per il tempo strettamente necessario previsto dalla norma ed in conformità agli obblighi di pubblicità e trasparenza previsti dalla stessa Legge”;

- si rileva inoltre che […] l’art. 7 del bando di selezione progressioni economiche orizzontali (PEO) pubblicato dal Comune di Campo Calabro citava quanto di seguito riportato: “l’elenco degli ammessi e degli esclusi saranno resi pubblici esclusivamente mediante affissione all’albo pretorio on line”; dovendosi trarre dalla presentazione della candidatura alla selezione il consenso”;

- “alla luce delle osservazioni formulate dal Garante e preso atto di esse si comunica che […] il Comune ha provveduto tempestivamente ad oscurare la determinazione n.XX del XX”;

- “il Comune si impegna […] ad effettuare una rigorosa valutazione preventiva sulla base giuridica della pubblicazione di dati personali, distinguendo tra obblighi di pubblicazione e meri obblighi di trasparenza interna […e a] promuovere specifiche attività formative rivolte al personale dell’Ente”.

3. Esito dell’attività istruttoria. La normativa applicabile.

Preliminarmente si rappresenta che per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Pertanto, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, paragrafo 1, n. 1 del Regolamento).

Il datore di lavoro può trattare i dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, paragrafo 1 del Regolamento), dei lavoratori se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi (artt. 6, paragrafo 1, lett. c), 9, paragrafo 2, lett. b) e 4; 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. e) e paragrafo 2 e 3 del Regolamento; art.2-ter del Codice).

Il titolare del trattamento è tenuto a rispettare i principi di “liceità, correttezza e trasparenza”, “limitazione delle finalità”, “minimizzazione” nonché “integrità e riservatezza” dei dati e “responsabilizzazione” (art. 5 del Regolamento).

Il Garante ha fornito nel tempo indicazioni in ordine ai presupposti (e al ricorrere di questi, delle specifiche modalità) per la lecita pubblicazione di atti e documenti che contengono dati personali anche dei dipendenti, precisando, in particolare, che anche “laddove l´amministrazione riscontri l´esistenza di un obbligo normativo che impone la pubblicazione dell´atto o del documento nel proprio sito web istituzionale è necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni”, in conformità al principio di minimizzazione dei dati (cfr. art. 5, par. 1, lett. c), del Regolamento), “quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità” (“Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" del Garante, provv. 15 maggio 2014, n. 243, doc. web n. 3134436).

3.1. La diffusione online di dati personali con riguardo alle progressioni economiche orizzontali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni dell’Autorità, risulta accertato che il Comune ha pubblicato, per quindici giorni consecutivi, nella sezione “Albo pretorio” del proprio sito web istituzionale, la determinazione n.XX del XX, e i relativi allegati (Allegato A e Allegato B), contenenti i dati personali (posizione, nominativo e punteggio conseguito) di taluni lavoratori, tra cui la reclamante, all’esito di una procedura di selezione di progressione economica all’interno delle aree concernente la performance individuale di ciascun lavoratore, e mantenendone la messa a disposizione sul sito web istituzionale, come dichiarato dallo stesso Comune, per un ulteriore periodo di cinque anni.

Con la nota del XX il Comune ha dichiarato di aver tempestivamente provveduto “ad oscurare la determinazione n.XX del XX”, al fine di dare seguito alle osservazioni formulate dal Garante.

Tra le argomentazioni difensive prospettate dal Comune, finalizzate a giustificare la pubblicazione della determinazione in questione e dei relativi allegati, vi è la asserita necessità di adempiere a quanto previsto dall’art. 124 del d.lgs. n. 267 del 18 agosto 2000 (Testo Unico delle leggi sull’ordinamento degli enti locali) che regola la pubblicazione per 15 giorni sull’Albo pretorio delle deliberazioni dell’Ente, nonché dell’art 32, comma l della legge 69 n. del 18 giugno 2009 (obblighi di pubblicazione sull’Albo pretorio online). A tale riguardo si evidenzia che la citata normativa nulla prevede riguardo alla pubblicazione di una determinazione quale quella oggetto della presente istruttoria. In numerose decisioni in merito agli obblighi derivanti dall’art. 124 del d.lgs. 267/2000 il Garante ha ribadito che anche alle pubblicazioni sull’Albo pretorio online di atti o deliberazioni si applicano tutti i limiti previsti dai principi della protezione dei dati personali, avendo riguardo anzitutto alla sussistenza di idonei presupposti di liceità della diffusione online dei dati personali in essa contenuti, prima ancora che alla eventuale minimizzazione degli stessi. Il Garante, in proposito, ha in numerose occasioni chiarito che anche la presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali, come confermato dal sistema di protezione dei dati personali contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento deve mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e deve essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – di averlo fatto  ai sensi degli artt. 5, par. 2 e 24 e 25, par. 2, Regolamento (cfr. tra i tanti, da ultimo provv. del 17 luglio 2025 n. 423, doc. web n. 10181686 e precedenti in esso citati).

Si evidenzia, inoltre, che gli obblighi di pubblicazione online di dati per finalità di "trasparenza", pur invocata per legittimare la pubblicazione di tali atti, sono esclusivamente quelli specificatamente indicati nel d.lgs. 14 marzo 2013, n. 33. Il Comune, in tale caso, non ha individuato alcuna norma di legge o, nei casi previsti dalla legge, di regolamento che espressamente preveda la pubblicazione di atti che facciano riferimento alla pubblicazione degli esiti di una selezione riguardante la determinazione delle progressioni economiche cd. “orizzontali” dei dipendenti, come nel caso di specie.

Contrariamente a quanto sostenuto dal Comune non possono essere invocati, per giustificare nel caso di specie la diffusione di dati personali, gli artt. 11, comma 1, lett. c), peraltro abrogato dal d.lgs. n. 97 del 25 maggio 2016, e 15 del d.lgs. 33 del 2013, atteso che tali articoli si riferiscono esclusivamente alle informazioni riguardanti i compensi percepiti dai titolari di incarichi di collaborazione o consulenza.

In via generale, con riferimento agli “Obblighi di pubblicazione dei dati relativi alla valutazione della performance e alla distribuzione dei premi al personale” si evidenzia che  il d.lgs. 33 del 2013 (cfr. art. 20) stabilisce che le pubbliche amministrazioni “pubblicano i dati relativi all'ammontare complessivo dei premi collegati alla performance stanziati e l'ammontare dei premi effettivamente distribuiti”, prevedendo l’obbligo di indicare esclusivamente “i criteri definiti nei sistemi di misurazione e valutazione della performance per l'assegnazione del trattamento accessorio e i dati relativi alla sua distribuzione, in forma aggregata”, ma non i dati personali dei percettori di tali compensi accessori.

La finalità di trasparenza perseguita mediante tale previsione, al fine di dare pubblica evidenza dei livelli di selettività e premialità nella distribuzione dei premi e degli incentivi al personale, trova effettività, per espressa scelta del legislatore, attraverso la pubblicazione dei menzionati valori in forma aggregata.

Per completezza, seppure nel caso di specie non sono stati diffuse informazioni riguardanti l’esatto compenso percepito da ciascun lavoratore, in ogni caso, in base al richiamato quadro normativo, non possono essere pubblicati i dati personali che consentano di identificare direttamente o indirettamente i singoli lavoratori. Più in generale il Garante ha nel tempo fornito indicazioni in ordine ai presupposti (e, al ricorrere di questi, delle specifiche modalità) per la lecita pubblicazione di atti e documenti che contengono dati personali anche dei dipendenti precisando, in particolare, che non è lecito diffondere informazioni personali riferite a singoli lavoratori come nelle ipotesi di informazioni riguardanti contratti individuali di lavoro, trattamenti stipendiali o accessori percepiti (cfr. par. 6.3 delle "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" del 14 giugno 2007, doc. web n. 1417809).

Tali informazioni, in assenza di idonea base giuridica, non possono essere diffuse né messe a disposizione, neanche mediante comunicazione, di soggetti estranei all’amministrazione (ad esempio le OO.SS.) o di altri colleghi non specificamente autorizzati (cfr. in merito alla non conoscibilità da parte delle organizzazioni sindacali dei compensi accessori erogati ai dipendenti, v. Cons. St., Sez. VII, 09/08/2022, n. 7064 che conferma una precedente posizione del Garante espressa con nota n. XX del XX).

Né al riguardo si può ritenere sufficiente per giustificare la pubblicazione online dei nominativi dei lavoratori partecipanti alla selezione per la progressione economica “orizzontale” il riferimento al bando di concorso (art. 7) che prevedeva la pubblicazione “mediante affissione all’albo pretorio on line” degli elenchi sia di coloro che avevano superato la selezione che di quelli che erano stati esclusi, per il solo fatto che al momento della candidatura i partecipanti avevano prestato il consenso al trattamento dei propri dati.

In disparte dalle valutazioni sul piano generale in merito alla inidoneità di un bando di concorso a innovare o derogare al quadro normativo nazionale applicabile (cfr. considerando 41 del Regolamento, nonché Corte Cost. sent. n. 271/2005; v. anche provv. n. 235 dell’11 aprile 2024, sopra richiamato e provv.ti n. 125 del 13 aprile 2023 doc. web 9907846, n. 287 del 6 luglio 2023 doc. web 9920145, n. 286 del 6 luglio 2023, doc. web 9920116), si evidenzia che il trattamento di dati personali da parte di un soggetto pubblico trova la propria base giuridica in una disposizione normativa e non, invece, nel consenso degli interessati, in ragione dello squilibrio nel rapporto tra titolare e interessato (considerando n. 43 e art. 88 del Regolamento; sul punto cfr., tra i tanti, con specifico riguardo al contesto pubblico, provv. n. 235 dell'11 aprile 2024 doc. web 10019523 e inoltre cfr. provv. n. 170 del 29 aprile 2021, doc web n. 9681778 e n. 160 del 17 settembre 2020, doc web n. 9461168; v. altresì, in senso conforme, Linee Guida EDPB sul consenso ai sensi del Regolamento UE 2016/679 - WP 259 - del 4 maggio 2020, spec. par. 3.1.1; Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249).

Quanto poi, più in particolare, riguardo alla pubblicazione di dati personali dei partecipanti alle selezioni per l’attribuzione di progressioni economiche orizzontali, si fa presente che anche l’Autorità Nazionale Anticorruzione-ANAC, relativamente alle procedure selettive interne che determinano un passaggio di livello nell’ambito della stessa area o categoria, cd. progressioni orizzontali, come nel caso di specie, ha chiarito che trattasi di “procedure a carattere meritocratico connesse alla valutazione dell'apporto individuale del lavoratore e non soggette al principio del pubblico concorso” (v. ANAC Delibera n 775 del 10 novembre 2021; comma 1-bis dell’art. 52 del d.lgs. 165/2001) e pertanto non soggette agli obblighi di pubblicazione previsti esclusivamente per le procedure selettive finalizzate all’assunzione per il reclutamento di personale esterno o quelle consistenti nell’inquadramento in un’area superiore (c.d. progressioni verticali) che avvengono attraverso procedure comparative, determinandosi in tal caso una novazione oggettiva del rapporto di lavoro. Tale posizione è stata tenuta in considerazione dal Garante nell’ambito di decisioni su singoli casi (v., provv. ti n. 28 del 26 gennaio 2023 doc. web n. 9865528 e n.287 del 6 luglio 2023, doc. web 9920145).
Si osserva, inoltre, che la diffusione online costituisce un trattamento particolarmente invasivo poiché consente a chiunque, per effetto dei comuni motori di ricerca esterni ai siti, di reperire indiscriminatamente e in tempo reale un insieme consistente di informazioni personali rese disponibili in rete, non sempre aggiornate e di natura differente. Una volta pubblicati, i dati rischiano di rimanere in rete per un tempo indefinito e pertanto possono essere utilizzati, anche incrociandoli con altre informazioni presenti sul web, da chiunque.

Alla luce delle considerazioni che precedono si deve concludere che la pubblicazione online dei predetti dati personali relativi alle progressioni economiche orizzontali  di taluni dipendenti fino al XX, data in cui il Comune ha dichiarato di aver provveduto “ad oscurare la determinazione n.XX del XX”,  ha dato luogo a una diffusione di dati personali,  in assenza di un’idonea base giuridica, in violazione degli artt. 6 del Regolamento e 2-ter del Codice, nonché in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati” in violazione dell’art. 5, par. 1, lett. a) e c), del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune per aver diffuso i dati personali del reclamante e degli altri interessati contenuti nella predetta documentazione, in violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento nonché dell’art. 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono tutte soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In ogni caso, considerando che la condotta ha esaurito i relativi effetti - atteso che il Comune, seppure a seguito di quanto comunicato dal Garante, a far data del XX ha provveduto a “ad oscurare la determinazione n.XX del XX” contenente i dati personali degli interessati, tra cui la reclamante, non ricorrono i presupposti per l’adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

il trattamento in questione ha riguardato undici interessati, tra cui la reclamante, e si è protratto fino al XX (art. 83, par. 2, lett. a), del Regolamento);

la pubblicazione è avvenuta in buona fede nella erronea convinzione di agire conformemente alla disciplina di settore applicabile considerando che il Comune ha operato ritenendo di poter perseguire finalità di pubblicità e trasparenza dell’azione amministrativa, non tenendo però conto del quadro normativo di settore e delle indicazioni fornite nel tempo dal Garante a tutti i soggetti pubblici in materia (art. 83, par. 2, lett. b), del Regolamento);

la diffusione ha riguardato esclusivamente dati comuni (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso si ritiene, che, ai fini della quantificazione della sanzione, considerato che il titolare del trattamento è un Comune di piccole dimensioni, debbano essere prese in considerazione le seguenti circostanze attenuanti:

il Comune, a seguito di quanto occorso, dopo aver rimosso i dati personali oggetto di diffusione, ha inoltre dichiarato di aver assunto, sul piano organizzativo, iniziative finalizzate a conformarsi alla normativa applicabile e alle indicazioni del Garante, promuovendo specifiche attività formative rivolte, in particolare, agli uffici preposti alla pubblicazione degli atti (art. 83, par. 2, lett. c) del Regolamento);

il Comune ha offerto piena collaborazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti pertinenti violazioni commesse dal Comune (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 6.000/00 (seimila/00) per la violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento nonché dell’art. 2-ter del Codice quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che il trattamento ha riguardato la diffusione di atti contenenti dati personali degli interessati riguardanti delicate informazioni relative al rapporto di lavoro con il Comune.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune per violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento nonché dell’art. 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

al Comune di Campo Calabro, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Martiri Di Nassiriya - 89052 Campo Calabro (RC), C.F. 00250760808, di pagare la somma di euro 6.000/00 (seimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 6.000/00 (seimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 aprile 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori