Il Garante Privacy sanziona un Comune per 3.600 euro. Due violazioni, due insegnamenti importanti per gli enti locali.
Con un provvedimento del 20 ottobre 2026, il Garante per la protezione dei dati personali ha sanzionato il Comune di San Nicandro Garganico per due distinte violazioni del GDPR: la diffusione illecita di dati personali contenuti in atti amministrativi e la mancata comunicazione dell’aggiornamento dei dati del Responsabile della Protezione dei Dati (RPD/DPO).
IL PRIMO ERRORE: PUBBLICARE DATI PERSONALI NON NECESSARI.
Il Comune aveva pubblicato sul proprio sito istituzionale, nella sezione Amministrazione Trasparente, una deliberazione consiliare di riconoscimento di un debito fuori bilancio e una successiva determinazione di liquidazione.
Negli atti erano riportati il nominativo di una persona, le informazioni relative a una controversia davanti al giudice del lavoro e gli importi riconosciuti a suo favore.
Il Comune aveva ritenuto legittima la pubblicazione, sostenendo che l’indicazione del nome e cognome fosse compatibile con gli obblighi di trasparenza.
Il Garante ha chiarito che non è così.
L’esistenza di un obbligo di pubblicazione non autorizza automaticamente la diffusione di tutti i dati personali contenuti nell’atto.
Il principio di minimizzazione, previsto dall’art. 5 del GDPR, impone di pubblicare esclusivamente le informazioni necessarie rispetto alla finalità perseguita.
Per identificare una controversia giudiziaria, ad esempio, può essere sufficiente indicare il numero della causa, senza rendere pubblica l’identità della persona coinvoltaATTENZIONE ANCHE ALLA DURATA DELLA PUBBLICAZIONE
Il Garante ha evidenziato un secondo aspetto: i dati personali erano rimasti accessibili online per circa un anno.
La pubblicazione all’albo pretorio prevista dall’art. 124 del TUEL ha, ordinariamente, una durata di 15 giorni.
Decorso tale termine, la permanenza online di dati personali richiede un autonomo e idoneo presupposto normativo.
La conservazione degli atti negli archivi digitali o in Amministrazione Trasparente non può trasformarsi in una diffusione indiscriminata e permanente dei dati personali.
IL SECONDO ERRORE: NON AGGIORNARE I DATI DEL DPO PRESSO IL GARANTE
Nel corso dell’istruttoria è emerso che il Comune non aveva comunicato al Garante la variazione dei dati di contatto del proprio RPD.
L’amministrazione si era giustificata sostenendo che l’adempimento fosse stato affidato a un soggetto interno.
Anche questa motivazione è stata respinta.
La responsabilità dell’adempimento resta in capo al Comune, quale titolare del trattamento.
L’art. 37, par. 7, del GDPR impone infatti di pubblicare i dati di contatto del RPD e comunicarli all’Autorità, aggiornandoli quando necessario
LE SANZIONI
- 2.400 euro per l’illecita diffusione dei dati personali.
- 1.200 euro per la mancata comunicazione della variazione dei dati del RPD.
Totale: 3.600 euro, oltre alla pubblicazione del provvedimento sul sito del Garante.
COSA DEVONO FARE CONCRETAMENTE I COMUNI?
Questo provvedimento richiama alcune verifiche fondamentali:
✔️ Controllare gli atti prima della pubblicazione, compresi oggetto, allegati e visti contabili.
✔️ Oscurare i dati personali non necessari, anche quando l’atto deve essere obbligatoriamente pubblicato.
✔️ Distinguere la pubblicazione all’albo pretorio dagli obblighi di Amministrazione Trasparente, verificando per ciascuno presupposti e durata.
✔️ Verificare periodicamente che i dati del DPO pubblicati sul sito coincidano con quelli comunicati al Garante.
✔️ Definire responsabilità e controlli interni per prevenire pubblicazioni illecite.
UNA RIFLESSIONE FINALE
Il provvedimento conferma un principio che dovrebbe ormai essere acquisito nella gestione amministrativa:
La trasparenza non si misura dalla quantità di dati personali pubblicati, ma dalla capacità dell’amministrazione di rendere conoscibile la propria attività nel rispetto dei diritti delle persone.
E ricorda un altro aspetto fondamentale: la protezione dei dati personali non può essere affidata esclusivamente alla diligenza del singolo ufficio.
È una responsabilità organizzativa dell’intero ente.
La privacy non limita la buona amministrazione. Ne costituisce una componente essenziale.
Lascia un commento