Una decisione che certifica una gestione gravemente scorretta delle informazioni sensibili e che, secondo l’Autorità, avrebbe potuto comportare una sanzione fino a 20 milioni di euro, come previsto dal Regolamento europeo.
La vicenda
La vicenda parte da una PEC inviata nel giugno 2025 alla Commissione straordinaria del Comune di Aprilia.
Il dipendente chiedeva un incontro per riferire criticità interne alla municipalizzata, parlando di una “gestione folle e con toni mafiosi” e dichiarandosi disponibile a fornire ulteriori elementi.
Il Garante sottolinea che la comunicazione era “assolutamente generica”, priva di documenti e dettagli, e che proprio per questo avrebbe richiesto un approfondimento diretto da parte dell’ente.
Invece, il Comune di Aprilia ha inoltrato integralmente la PEC alla Multiservizi, datore di lavoro del segnalante, chiedendo una relazione sul dipendente.
Da quel momento, l’azienda ha avviato un procedimento disciplinare concluso con il licenziamento, mentre il Comune di Aprilia – come rileva l’Autorità – non ha più convocato il lavoratore né raccolto ulteriori informazioni sulla segnalazione.
La violazione della legge
Il Garante ha accertato che il Comune di Aprilia ha violato la legge perché ha comunicato i dati personali “in assenza di una base giuridica adeguata”, contravvenendo agli articoli 6 e 5 del Regolamento europeo e all’articolo 2-ter del Codice Privacy.
Le norme richiamate dal Comune di Aprilia a giustificazione dell’operato – relative ai poteri della Commissione straordinaria e ai controlli sulle società partecipate – non prevedono alcuna facoltà di trasmettere dati personali al datore di lavoro del segnalante.
L’Autorità evidenzia inoltre che l’ente ha violato i principi di “limitazione delle finalità” e “minimizzazione”, perché ha condiviso informazioni non necessarie e non pertinenti rispetto allo scopo dichiarato.
Il Comune di Aprilia, scrive il Garante, ha agito “senza effettuare alcuna attività istruttoria” e senza adottare cautele per evitare possibili ritorsioni nei confronti del dipendente.
Whistleblowing: la “soffiata” anonima
La vicenda riporta inevitabilmente al tema, più generale, della protezione delle persone che segnalano possibili irregolarità all’interno delle amministrazioni e delle società.
La normativa sul whistleblowing prevede specifiche garanzie di anonimato per determinate segnalazioni e per i soggetti che le effettuano, proprio per evitare che la denuncia di possibili illeciti possa trasformarsi in una ritorsione.
Nel caso di Aprilia, però, è importante non sovrapporre automaticamente i due piani: la questione esaminata dal Garante riguarda in particolare la liceità della comunicazione dei dati personali effettuata dal Comune.
Il caso offre comunque uno spunto più ampio: quando un dipendente si rivolge a un’amministrazione per segnalare criticità, la gestione della sua identità e delle informazioni fornite diventa un elemento essenziale della tutela del segnalante.
Ora chi paga quei 5.000 euro?
La domanda, a questo punto, è inevitabile: chi paga quei 5.000 euro?
La sanzione del Garante per la privacy viene comminata al Comune, in quanto titolare del trattamento dei dati.
In altre parole, a pagare nell’immediato è l’ente pubblico e, quindi, la somma ricade sul bilancio comunale, dunque sulle tasche dei cittadini.
Ma la vicenda non si esaurisce necessariamente qui. La normativa prevede infatti che, accanto alla responsabilità dell’amministrazione, possano essere valutate eventuali responsabilità personali di chi ha materialmente posto in essere il trattamento illecito.
Il Garante ha ricordato in recenti provvedimenti che tali responsabilità possono rilevare, a seconda dei casi, sul piano civile, erariale o disciplinare.
Questo significa che, qualora dagli accertamenti emergesse una condotta imputabile a uno o più soggetti e un conseguente danno per l’amministrazione, potrebbe essere valutata anche un’eventuale responsabilità erariale, con la possibilità di un’azione di rivalsa nelle sedi competenti.
Non è però automatico che la sanzione pagata dal Comune debba essere recuperata nei confronti di un dipendente o di un amministratore: occorre accertare concretamente chi abbia compiuto la condotta, con quale ruolo, con quale grado di responsabilità e se sussista un effettivo danno erariale.
La fiducia minata
Ci si chiede ora con quale spirito altri dipendenti potranno segnalare la prossima volta eventuali illeciti, oppure chiedere di conferire con le Commissarie, se poi la loro segnalazione, o la loro richiesta, rischia di venire diffusa con tanto di dati personali?
La sanzione, pur contenuta, rappresenta un richiamo pesante: il Comune di Aprilia, già commissariato per infiltrazioni mafiose, avrebbe dovuto garantire massima correttezza nella gestione delle segnalazioni e dei dati personali.
Invece, secondo il Garante, ha trasformato una richiesta di incontro in un procedimento disciplinare, violando la normativa e compromettendo la tutela dell’interessato.
Leggi anche: Aprilia, dalle Commissarie nuova stretta su incassi, spese e Multiservizi. E preparano la privatizzazione della sosta
