L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la municipalité de Cori, comprenant le prononcé d'une amende de 2 000 €, pour des manquements en lien avec la diffusion de données personnelles de bénéficiaires d'une aide sociale. Cette affaire débute par un contrôle d'office mené par l'autorité, après avoir constaté la publication sur le site internet de la municipalité de la liste des bénéficiaires d'une aide alimentaire.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : La municipalité a diffusé sur son site internet la liste des bénéficiaires d'une aide sociale, la "Carte Dédiée à vous", en les identifiant par les neuf premières lettres de leur code fiscal, les trois premières lettres de leur nom de famille et leur date de naissance. L'autorité a jugé que cette publication constituait une diffusion de données personnelles sans base juridique adéquate. L'obligation légale de communiquer l'attribution de l'aide aux personnes concernées n'autorisait pas une diffusion publique de leurs informations, d'autant que ces données permettaient de déduire une situation de vulnérabilité économique et sociale, et que le risque de ré-identification n'était pas négligeable compte tenu du contexte d'une petite commune.

En conséquence, l’autorité a imposé une amende de 2 000 € à la municipalité de Cori.

En outre, l’autorité a ordonné la publication de sa décision sur son site internet.