(di Antonio Forte)
La scorretta configurazione dei profili di autorizzazione del sistema di protocollo informatico, che consenta la visibilità indistinta o non selettiva di documenti contenenti dati personali e informativi sul rapporto di lavoro a soggetti privi delle necessarie mansioni, integra una violazione dei principi di minimizzazione, integrità, riservatezza e privacy by design di cui agli artt. 5 e 25 del Regolamento UE 2016/679. Tale difetto organizzativo configura una comunicazione illecita di dati personali a terzi non autorizzati, giustificando l’irrogazione di una sanzione amministrativa pecuniaria a carico dell’amministrazione.
Il provvedimento n. 426 dell’11 giugno 2026 del Garante per la Protezione dei Dati Personali trae origine dalla notifica di una violazione di dati personali e da un contestuale reclamo presentato da una dirigente di un’amministrazione sarda. Oggetto della contestazione è stata la protocollazione e conseguente diffusione, nell’ambito del gestionale documentale dell’ente, di una nota riservata ad oggetto un’ipotesi di procedimento disciplinare a carico di un dirigente. L’istruttoria ha evidenziato come l’atto, pur essendo destinato esclusivamente al Segretario Generale, sia risultato accessibile e liberamente scaricabile da un numero indefinito di dipendenti e collaboratori. L’amministrazione ha giustificato l’accaduto adducendo un mero errore di configurazione informatica verificatosi durante una delicata fase di transizione organizzativa e successione infrastrutturale. In particolare, a diversi utenti non appartenenti all’ufficio di protocollo era stato erroneamente attribuito un profilo con livello di visibilità massimo, idoneo ad accedere all’intero registro e ai relativi allegati. Nel merito, l’Autorità ha ribadito che i trattamenti posti in essere dai datori di lavoro pubblici devono sempre rispettare i limiti della stretta necessità organizzativa e delle mansioni attribuite. La mancata segregazione degli accessi e l’assenza di procedure differenziate per i protocolli riservati collidono frontalmente con i principi sanciti dall’articolo 5 del GDPR, in particolare con l’obbligo di garantire l’integrità, la riservatezza e la minimizzazione dei dati, unitamente al principio di responsabilizzazione del titolare. Viene altresì violato l’articolo 25 del Regolamento UE 2016/679, il quale impone di strutturare i sistemi informativi adottando misure tecniche idonee a garantire la protezione dei dati fin dalla progettazione e per impostazione predefinita, assicurando che le informazioni registrate siano visibili solo a chi ne abbia effettiva ed esclusiva necessità di servizio. Il Garante, accertato che la diffusione indebita ha costituito un’illecita comunicazione di dati personali a terzi, ha ritenuto che la condotta tenuta dall’ente presentasse un livello di gravità medio. Tenuto conto della cooperazione prestata, dell’assenza di precedenti e delle rettifiche apportate con il riassetto globale dei profili, l’Autorità ha ingiunto il pagamento di una sanzione pecuniaria pari a 12.000 euro.
