Garante per la protezione dei dati personali (Italy): warning to Azienda Sanitaria Locale Verbanio Cusio Ossola for disclosure of employer data in tax enforcement context

Provvedimento del 12 febbraio 2026 [10225045]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 12 febbraio 2026 [10225045]

Provvedimento del 12 febbraio 2026 [10225045]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10225045]

Provvedimento del 12 febbraio 2026

Registro dei provvedimenti

n. 71 del 12 febbario 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, il Sig. XX, nel lamentare per il tramite del proprio avvocato una presunta violazione della normativa in materia di protezione dei dati personali, ha rappresentato che, con nota del XX, l’Azienda Sanitaria Locale Verbanio Cusio Ossola, a fronte di un pignoramento presso terzi, originato dal mancato pagamento di imposte e tributi comunali e notificato alla medesima Azienda nell’asserita qualità di datore di lavoro del reclamante, nel redigere la dichiarazione prevista dall’art. 547 c.p.c., avrebbe reso noto al creditore procedente – il XX - che il reclamante, con procedura di mobilità, presta servizio presso il XX a partire dal febbraio XX.

2. L’attività istruttoria.

In merito ai fatti lamentati, nell’ambito dell’istruttoria, la predetta Azienda Sanitaria Locale, con nota del XX, ha rappresentato in particolare che:

- la circostanza che il reclamante avesse assunto un nuovo impiego presso il XX con procedura di mobilità è stata esplicitata “in ottemperanza al principio di leale collaborazione tra Pubbliche amministrazioni nel perseguimento di finalità di preminente interesse pubblico consistente nella riscossione coattiva di tributi comunali”; ciò “tenuto conto delle disposizioni contenute nell’ art. 72 bis e 72 ter del DPR n. 602/1973 come modificato dall’ art. 3, comma 5, del D.L. n. 16/2012 e del rilevato preminente interesse pubblico alla luce della natura dei crediti riferiti alla riscossione coattiva, attivata dall’Ente Locale mediante procedura di pignoramento presso terzi”;

- “l’informazione resa al XX nella specifica circostanza, contenente l’elemento forse eccedente, non era stata, allo stato, reputata di carattere particolarmente riservato, privilegiando in tale contesto, per le legittime finalità della procedura attivata dall’Ente Locale, gli elementi di trasparenza, in quanto l’indicazione risultava pertinente ed avrebbe consentito allo stesso di dar corso all’ iter di recupero dei tributi erariali”.

Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato alla predetta Azienda Sanitaria Locale, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che il trattamento dei dati del reclamante nel caso di specie fosse stato effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento e 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota dell’XX, l’Azienda Sanitaria Locale, che non ha richiesto di essere audita, ha presentato una memoria difensiva, dichiarando, in particolare, che:

l’informazione in questione “è stat[…a] comunicat[…a] a un ente pubblico tenuto al segreto d'ufficio e alla corretta gestione dei dati, anticipando tutt’al più una informazione che l’Amministrazione pignorante avrebbe comunque acquisito con le normali procedure di accesso UNEP”;

“stante l’accaduto, ed alla luce dell’importanza che il rapporto fra trasparenza amministrativa e tutela della riservatezza assume per questo ente, è stato programmato un adempimento specifico in termini di formazione focalizzato interamente sul rapporto privacy-trasparenza, di prossima attivazione”.

3. Esito dell’attività istruttoria.

All’esito dell’attività istruttoria, è emerso che, a fronte della notifica del pignoramento presso terzi dei debiti del reclamante, l’Azienda Sanitaria Locale Verbanio Cusio Ossola, nel rendere la dichiarazione prevista dalla legge (v., in particolare, art. 547 c.p.c.), ha reso noto al creditore procedente – il XX – che a partire dal XX il reclamante, all’esito di una procedura di mobilità, presta servizio presso il XX, amministrazione che coincide quindi con il nuovo datore di lavoro dell’interessato. Ciò al fine di favorire il soddisfacimento di dichiarate finalità di preminente interesse pubblico connesse alla riscossione coattiva dei tributi comunali di cui il reclamante risultava debitore, ritenute dalla medesima Azienda Sanitaria Locale prevalenti sulla riservatezza dell’interessato, nonché, più in generale, nell’ottica della leale cooperazione che contraddistingue i rapporti tra le pubbliche amministrazioni.

Al riguardo, per quanto in particolare rileva in relazione al caso in esame, si fa presente che, nell’ambito del contesto lavorativo, i soggetti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di “comunicazione” di dati personali a terzi, da parte di soggetti pubblici, è ammessa solo al ricorre delle condizioni previste dall’art. 2-ter, commi 1, 1-bis, 2 e 4, par. 1, lett. a), del Codice.

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

In tale quadro, si evidenzia che, anche a seguito della cessazione del rapporto lavorativo, la messa a disposizione dei dati a soggetti esterni all’organizzazione amministrativa, in assenza di specifiche disposizioni normative che prevedano tale trattamento, può dare luogo, anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10), del Regolamento, a una “comunicazione” di dati personali illecita in quanto sprovvista di un’idonea base giuridica (cfr. art. 2-ter, commi 1 e 3, del Codice).

Anche nella fase successiva alla cessazione del rapporto lavorativo, infatti, l’amministrazione, titolare del trattamento, è tenuta ad evitare, nel rispetto dei principi di protezione dei dati, ogni occasione di superflua e ingiustificata conoscibilità dei dati da parte di soggetti non autorizzati, limitandosi a comunicare a terzi i dati dei soggetti che hanno rivestito la posizione di dipendenti solo in presenza di specifiche previsioni normative (art. 2-ter del Codice; v. anche le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, del 14 giugno 2007, pubblicate in G.U. 13 luglio 2007, n. 161, e in www.garanteprivacy.it, doc. web n. 1417809, spec. par. 5.1, per cui “i casi in cui l’amministrazione pubblica è legittimata a comunicare informazioni che riguardano i lavoratori a terzi, soggetti pubblici o privati”, sono individuati da “specifiche disposizioni legislative o regolamentari”).

Quanto al caso di specie, si osserva in primo luogo che le disposizioni richiamate dall’Azienda Sanitaria Locale in corso d’istruttoria non prevedono espressamente che, nell’ambito della procedura di espropriazione presso terzi, il terzo cui viene notificato il pignoramento, non ritenendosi più debitore dell’esecutato, debba indicare al creditore procedente l’esistenza di altri crediti pignorabili, dovendosi esso limitare a “specificare di quali cose o di quali somme è debitore o si trova in possesso e quando ne deve eseguire il pagamento o la consegna” nonché “i sequestri precedentemente eseguiti presso di lui e le cessioni che gli sono state notificate o che ha accettato” (cfr. art. 547 c.p.c.).

Né, anche considerando i rischi per i diritti e le libertà degli interessati esecutati, risulta sufficiente, a tal fine, invocare generali obblighi di trasparenza e cooperazione tra le pubbliche amministrazioni, non ravvisandosi in relazione a siffatte procedure alcuna specifica disposizione che preveda in modo puntuale tale trattamento.

Ciò stante, anche tenuto conto che l’ordinamento prevede già in favore dei creditori procedenti specifici strumenti per procedere alla ricerca di crediti pignorabili (v., in generale, art. 492-bis c.p.c.), deve concludersi che, nel caso di specie, l’Azienda Sanitaria Locale ha dato luogo ad una “comunicazione” dei dati del reclamante ad un soggetto “terzo” – il XX – in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento e 2-ter del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda Sanitaria Locale Verbanio Cusio Ossola nei termini di cui sopra.

Tanto premesso, occorre, tuttavia, tenere in considerazione taluni elementi, anche di contesto, emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta (v. cons. 148 del Regolamento).

In particolare, tenuto conto che:

la violazione rappresenta, ad ogni modo, un episodio di carattere isolato e ha riguardato informazioni, riconducibili ad un solo interessato, che non appartengono alle categorie particolari di dati di cui all’art. 9 del Regolamento e che, più in generale, il creditore procedente avrebbe comunque potuto acquisire ricorrendo alle specifiche procedure prevista dalla legge (cfr. art. 83, par. 2, lett. a) e g), del Regolamento);

la violazione presenta carattere colposo, essendo la comunicazione stata effettuata ritenendo erroneamente di dover agevolare il creditore, nell’ottica della leale cooperazione tra le pubbliche amministrazioni e nel perseguimento di dichiarate finalità di trasparenza (cfr. art. 83, par. 2, lett. b), del Regolamento);

l’Azienda Sanitaria Locale ha dichiarato di aver programmato uno specifico intervento di carattere formativo nella prospettiva di sensibilizzare il personale autorizzato al trattamento dei dati e prevenire il verificarsi di simili accadimenti in futuro (cfr. art. 83, par. 2, lett. c), del Regolamento);

l’Istituto ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo (art. 83, par. 2, lett. e), del Regolamento).

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 e dell’art. 83, par. 2, del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 e art. 83, par. 2, del Regolamento).

Considerato che la condotta ha ormai esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Azienda Sanitaria Locale Verbanio Cusio Ossola, in persona del legale rappresentante pro-tempore, con sede legale in Via Mazzini, 117 - 28887 Omegna (VB), C.F. 00634880033, per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento e 2-ter del Codice nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce la predetta Azienda Sanitaria Locale, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1, lett. a), e 6 del Regolamento e 2-ter del Codice, come sopra descritto;

c) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, dispone la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

d) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 febbraio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Cerrina Feroni

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10225045

Data

12/02/26

Argomenti

Pubblica Amministrazione

Lavoro pubblico

Tipologie

Ammonimento