L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la commune de Sutri, comprenant le prononcé d'une amende de 2 000 €, pour des manquements liés à la publication en ligne de données personnelles, y compris des données de santé, d'un ancien employé. Cette affaire débute par la plainte d'un ancien employé signalant la publication d'actes administratifs le concernant, contenant ses données personnelles et de santé, sur le site internet de la commune.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité et de minimisation des données (article 5, paragraphe 1, points a) et c) du RGPD) et de base légale du traitement (article 6 du RGPD) : La commune a diffusé sur son site internet, dans les sections "Tableau d'affichage en ligne" et "Administration transparente", plusieurs actes administratifs concernant la mobilité professionnelle d'un employé. L'autorité a jugé que cette publication n'était justifiée par aucune obligation légale ou réglementaire spécifique. Cette diffusion a donc été réalisée sans base légale appropriée et en violation du principe de minimisation, la commune n'ayant pas vérifié la nécessité de publier ces informations ni procédé à l'occultation des données non indispensables.

* Interdiction de diffuser des catégories particulières de données (article 9 du RGPD) : L'un des documents publiés faisait référence à la loi n° 68/1999, relative au droit au travail des personnes handicapées. L'autorité a estimé que cette simple mention suffisait à révéler des informations sur l'état de santé de la personne concernée, constituant une diffusion de données de santé interdite par la réglementation.

En conséquence, l’autorité a imposé une amende de 2 000 € à la commune de Sutri.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.