Comune di Ventasso
Ordinanza ingiunzione per l'applicazione di sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante dichiara l'illiceità del trattamento effettuato dal Comune di Ventasso per violazione degli artt. 5, 6 e 9 del Regolamento (UE) 2016/679 nonché dell'art. 2-ter e 2-septies, comma 8 del d.lgs. 196/2003. La violazione consiste nella pubblicazione online dell'elenco dei candidati ammessi a una procedura concorsuale riservata ai disabili, nella quale erano indicati giorno, ora e luogo della convocazione, rivelando indirettamente dati relativi alla salute di 12 interessati. La pubblicazione è avvenuta dal XX al XX sulla pagina web del Comune e successivamente è rimasta accessibile tramite link diretto fino alla segnalazione del Garante nel XX. Il Garante ritiene la violazione di gravità media, considerando le difficoltà organizzative del Comune derivanti dalla fusione con l'Unione Montana, la collaborazione prestata, l'assenza di precedenti pertinenti violazioni e le iniziative intraprese per conformarsi alla normativa. Irriga una sanzione di € 8.000,00.
Approfondimento
Soggetti coinvolti
12 interessati
Riferimenti normativi
Lettura del caso
Temi affrontati — Trattamento illecito di dati personali in ambito di procedure concorsuali pubbliche, con diffusione di dati relativi alla salute; violazione dei principi di liceità, fondamento giuridico e divieto di trattamento di categorie particolari di dati; obblighi di pubblicazione dei dati personali in procedure concorsuali riservate alle categorie protette
Conseguenze — Il Garante dichiara l'illiceità del trattamento e ordina al Comune di Ventasso di pagare la sanzione amministrativa pecuniaria di € 8.000,00, con facoltà di definire la controversia mediante pagamento di € 4.000,00 entro 30 giorni. In caso di mancata definizione, il Comune è ingiunto a pagare l'importo intero di € 8.000,00 entro 30 giorni dalla notificazione, pena l'adozione di atti esecutivi. Dispone inoltre la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante, la pubblicazione del provvedimento sul sito dell'Autorità e l'annotazione delle violazioni nel registro interno.
- trattamento di 12 interessati, arco temporale prolungato (dal XX al XX sulla pagina web e successivamente fino al XX tramite link accessibile), natura sensibile dei dati (dati relativi alla salute per partecipanti a procedure riservate ai disabili). Fattori
- violazione commessa per errore a causa di difficoltà organizzative del Comune derivanti dalla fusione e adesione all'Unione Montana, piena collaborazione durante l'istruttoria, assenza di precedenti pertinenti violazioni, adozione di misure correttive quali formazione del personale e redazione di linee guida interne. Dimensione del Comune: piccola (circa 3.800 abitanti). Sanzione determinata in € 8.000,00 quale importo effettivo, proporzionato e dissuasivo
Distinzione tra titolare e responsabile del trattamento: il Comune inizialmente, successivamente l'Unione Montana a seguito di trasferimento delle competenze mediante convenzione ex art. 28 GDPR (erroneamente citato come art. 29 nel testo). Obblighi di riservatezza nelle procedure concorsuali riservate a categorie protette: l'elenco degli ammessi rivela indirettamente appartenenza a categoria protetta, costituendo dato sensibile ex art. 9 GDPR. Responsabilità per errori organizzativi nel contesto di riorganizzazioni amministrative.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.