Nessun attore esterno: violazione da configurazione, accertata dal Garante privacymedium
Nessuno è entrato: il documento riservato era già visibile a trenta persone
Il 29 luglio 2026 il Garante privacy ha reso nota una sanzione da 12mila euro alla Città Metropolitana di Sassari. Non c'è stato un attacco: il protocollo informatico dell'ente era configurato in modo tale che una platea di circa trenta utenti con privilegi elevati potesse vedere il registro e gli allegati di ogni registrazione. Fra quei documenti una nota riservata su un possibile procedimento disciplinare a carico di una dirigente. La segnalazione non arriva da un sistema di monitoraggio: arriva dalla persona coinvolta, avvertita da due colleghi che le hanno riferito di aver potuto aprire e scaricare il file. L'Autorità contesta integrità e riservatezza, responsabilizzazione e protezione dei dati fin dalla progettazione.
Una violazione senza attaccante
Quasi tutto ciò che raccontiamo comincia con qualcuno che entra dove non doveva. Questa storia comincia con qualcuno che era già dentro e poteva vedere più di quanto gli competesse.
Il 1° aprile 2025 la Provincia di Sassari — poi Città Metropolitana — notifica al Garante una violazione di dati personali ai sensi dell'articolo 33 del GDPR. Nella notifica l'ente descrive un «eventuale accesso non autorizzato dipendente da cause organizzative» riguardante il gestionale di protocollo e documentale ospitato sui propri server: una platea di circa trenta utenti con privilegi informatici poteva visualizzare sia il registro di protocollo sia i documenti allegati a ciascuna singola registrazione, accedendo così a dati personali di dipendenti e consulenti.
Il periodo dichiarato della violazione va dal 25 al 29 marzo 2025. Gli interessati coinvolti, secondo la notifica: uno. Il documento in questione era una comunicazione dell'allora Commissario verso il Segretario, con richiesta di avvio di un eventuale procedimento disciplinare a carico di una dirigente, con potenziale pregiudizio alla reputazione.
- 25-29 marzo 2025La finestra
Il documento riservato è visibile a chi ha profilo di autorizzazione elevato.
- 26 marzo 2025La scoperta
L'ente apprende del possibile accesso non autorizzato.
- 28 marzo 2025La correzione
Il responsabile della protezione dati impartisce disposizioni sui privilegi.
- 1° aprile 2025La notifica
Segnalazione al Garante ai sensi dell'art. 33 del GDPR.
- 11 giugno 2026Il provvedimento
Registro dei provvedimenti n. 426: sanzione di 12mila euro.
Chi si è accorto di cosa
Il dettaglio più istruttivo dell'intera vicenda non è tecnico. La dirigente interessata presenta reclamo ai sensi dell'articolo 77 del Regolamento e racconta come è venuta a saperlo: due operatori del settore da lei diretto le hanno riferito di aver potuto visionare e scaricare la nota, protocollata con un livello di visibilità che la rendeva accessibile a tutti gli utenti con quel profilo.
Nessun alert. Nessun log analizzato. Nessun sistema che si accorge di un accesso anomalo — perché non c'era niente di anomalo: erano accessi perfettamente autorizzati a un documento che non avrebbe dovuto essere in quella categoria. Il controllo che ha funzionato è stato una persona che ha detto a un'altra persona: guarda che questo lo vedo.
- 01Il documentonota riservata, protocollata senza i requisiti di riservatezza
- 02Il permessovisibilità estesa a tutti i profili di autorizzazione elevati, circa trenta utenti
- 03La scopertadue colleghi lo segnalano alla diretta interessata, che presenta reclamo
La reazione dell'ente è rapida. Il 28 marzo 2025 il responsabile della protezione dei dati impartisce disposizioni tecniche e organizzative per limitare i privilegi: il livello massimo di consultazione viene riservato alle figure apicali, con riorganizzazione delle utenze e dei relativi privilegi in base agli incarichi, e richiesta che tutte le altre utenze scendano a un livello inferiore. Il 22 aprile 2025 la violazione viene comunicata all'interessato.
Cosa contesta il Garante
Il provvedimento n. 426 dell'11 giugno 2026, pubblicato con la newsletter del 29 luglio, quantifica la sanzione in 12mila euro e individua la violazione nei principi di integrità e riservatezza, responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita.
Il ragionamento dell'Autorità, richiamando proprie decisioni precedenti, è che anche nei trattamenti effettuati mediante sistemi di gestione documentale servono misure tecniche e organizzative idonee ad assicurare un accesso selettivo alla documentazione presente nel protocollo, per evitare che documenti siano consultabili da personale non autorizzato. In particolare, per la protocollazione di documenti contenenti dati personali dei dipendenti e relativi allo specifico rapporto di lavoro, l'Autorità indica la necessità di procedure differenziate e riservate.
Nella quantificazione pesano tre elementi dichiarati: che il Garante fornisce indicazioni ai datori di lavoro pubblici e privati sul corretto trattamento dei dati nel rapporto di lavoro fin dal 2007; che la violazione ha riguardato tutti i dati personali transitati sul protocollo, non solo il singolo documento; e che il trattamento ha avuto a oggetto anche dati delicati, rilevanti ai fini disciplinari.
Su quest'ultimo punto vale la pena fermarsi. La notifica parla di un interessato, ed è corretto: una sola persona ha subìto un pregiudizio concreto. Ma la configurazione errata non riguardava un documento, riguardava il modo in cui il protocollo funzionava. La differenza fra «un caso» e «un difetto strutturale» è esattamente ciò che l'Autorità mette al centro.
Cosa portarsi via, se gestite un protocollo
Il livello di riservatezza è un dato, non un'etichetta. Marcare un documento come riservato serve a qualcosa solo se il sistema traduce quella marcatura in un permesso effettivo. Se il profilo di autorizzazione prevale sulla classificazione del documento, l'etichetta è decorativa.
I privilegi «tecnici» non sono neutri. Trenta utenti con privilegi informatici non sono trenta amministratori di sistema: sono trenta persone che, per svolgere un compito operativo, hanno ricevuto un livello di visibilità pensato per un compito diverso. È il modo più comune in cui un permesso si allarga: non per decisione, per accumulo.
I documenti sul personale vogliono un binario separato. È la prescrizione più concreta del provvedimento: per gli atti che riguardano il rapporto di lavoro — e a maggior ragione i procedimenti disciplinari — servono procedure di protocollazione differenziate e riservate, non lo stesso flusso di una determina qualunque.
Fate una prova, non una verifica documentale. La domanda utile non è «quali permessi ho assegnato», è «cosa vede realmente una persona con il profilo X». Sono due risposte che divergono con sorprendente facilità, e questa vicenda mostra chi se ne accorge per primo: chi ha il documento davanti agli occhi.
Una nota di trasparenza: i fatti e le citazioni provengono dal provvedimento pubblicato dal Garante e dalla newsletter che lo accompagna. Nel testo pubblicato nomi, date interne e numeri di protocollo sono in parte omissati dall'Autorità stessa, e non li abbiamo ricostruiti.
