Protocollo informatico mal configurato, il Garante sanziona la Città Metropolitana di Sassari.

Le verifiche da fare in ogni ente

Con l’ordinanza ingiunzione n. 426 dell’11 giugno 2026, resa nota con la newsletter del 29 luglio, il Garante per la protezione dei dati personali ha sanzionato la Città Metropolitana di Sassari per 12.000 euro. Tutto nasce da una notifica di data breach presentata dallo stesso ente e dal reclamo di una dirigente, la quale aveva scoperto che una nota riservata che la riguardava, relativa a una presunta condotta a possibile rilevanza disciplinare, era stata protocollata senza i necessari requisiti di riservatezza e risultava quindi consultabile da personale non autorizzato.

All’origine della violazione non c’è un attacco informatico, ma una configurazione errata del protocollo informatico, maturata nel delicato passaggio di migrazione dei sistemi dalla ex Provincia di Sassari ai due nuovi enti subentranti. Il risultato è stato che documenti contenenti dati personali, anche di natura delicata, sono rimasti visibili a dipendenti che, per ruolo e mansioni, non erano autorizzati a trattarli. Il Garante ha qualificato queste consultazioni come vere e proprie comunicazioni di dati a soggetti terzi, prive di base giuridica.

L’Autorità ha richiamato le proprie precedenti decisioni e le indicazioni fornite fin dal 2007 ai datori di lavoro pubblici e privati, ribadendo che il protocollo informatico, dove transita tutta la documentazione afferente alla gestione e all’attività istituzionale dell’ente, deve assicurare un accesso selettivo, e che per i documenti relativi al rapporto di lavoro dei dipendenti occorrono procedure differenziate e riservate. Il contesto organizzativo complesso non vale come esimente, perché la protezione dei dati va garantita fin dalla progettazione e per impostazione predefinita anche, e soprattutto, nelle fasi di riorganizzazione, subentro o cambio di applicativo.

Le violazioni contestate

Nel quantificare la sanzione in 12.000 euro il Garante ha considerato, tra l’altro, che le indicazioni sull’accesso selettivo alla documentazione erano note fin dal 2007, che la violazione ha interessato i dati personali transitati sul protocollo informatico e che tra questi figuravano anche informazioni delicate, rilevanti sul piano disciplinare. È stata inoltre disposta la pubblicazione del provvedimento sul sito dell’Autorità.

Il caso riguarda da vicino ogni Comune, unione, consorzio e partecipata. Il protocollo informatico è il cuore documentale dell’ente e una configurazione sbagliata delle abilitazioni si traduce, di fatto, in un data breach permanente e silenzioso. L’esperienza insegna che i momenti a maggior rischio sono proprio quelli di cambiamento, come le fusioni, i subentri tra enti e i cambi di software di gestione documentale. Vale anche la pena ricordare, come abbiamo già scritto commentando la giurisprudenza contabile, che la sanzione pagata dall’ente può tradursi in una responsabilità erariale del funzionario che, pur potendo, non ha adottato le misure necessarie.

Le verifiche da fare subito

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante per la protezione dei dati personali, provvedimento n. 426 dell’11 giugno 2026 (doc. web 10266034) e newsletter n. 550 del 29 luglio 2026 (doc. web 10275843)