L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la commune de XX, comprenant le prononcé d'une amende de 5 000 €, pour des manquements en lien avec la publication en ligne de données personnelles, y compris des données de santé, d'une employée. Cette affaire débute par une plainte de la secrétaire générale de la commune, signalant la publication sur le tableau d'affichage public de l'entité de délibérations contenant ses données personnelles, relatives notamment à sa grossesse, sa maternité et ses absences pour maladie.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement, de minimisation des données et de traitement des catégories particulières de données (article 5, paragraphe 1, points a) et c), article 6 et article 9 du RGPD) : La commune a diffusé sur son tableau d'affichage public en ligne des délibérations contenant des données personnelles relatives à sa secrétaire générale, incluant son état de grossesse, sa maternité, son congé parental et une absence pour maladie. Bien que seules ses initiales aient été utilisées, la plaignante était facilement identifiable en raison de sa fonction. L'autorité a jugé que cette publication, maintenue bien au-delà du délai légal de 15 jours, constituait une diffusion illicite de données personnelles, y compris de données de santé dont la diffusion est interdite, en l'absence de base juridique appropriée. Les obligations générales de publicité légale ne sauraient justifier une telle divulgation, qui contrevient aux principes de licéité et de minimisation.

En conséquence, l’autorité a imposé une amende de 5 000 € à la commune.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.