Con il provvedimento del 7 ottobre 2026, il Garante per la protezione dei dati personali ha sanzionato l’Agenzia per l’Italia Digitale (AGID) per aver mantenuto pubblicato, nella sezione Amministrazione Trasparente, un elenco di candidati ammessi alla prova orale di un concorso pubblico, contenente nomi, cognomi e punteggi.
Il documento era online dal 2021 ed è stato rimosso soltanto il 23 gennaio 2026, dopo l’intervento del Garante.
L’AGID ha spiegato che si era trattato di una mera svista operativa: l’amministrazione era convinta di aver sostituito il documento con una versione priva di dati identificativi. Ma la sostituzione non si era perfezionata.
Per il Garante, la buona fede e l’errore materiale non escludono la responsabilità del titolare del trattamento.
COSA DEVONO SAPERE I COMUNI?
Il provvedimento ribadisce alcuni principi fondamentali, particolarmente importanti per gli uffici del personale, i responsabili dei procedimenti concorsuali e chi gestisce l’Albo pretorio e la sezione Amministrazione Trasparente.
1. Non tutti gli atti di un concorso possono essere pubblicati online.
L’art. 19 del d.lgs. 33/2013 prevede la pubblicazione dei bandi, dei criteri di valutazione, delle tracce delle prove e delle graduatorie finali, aggiornate con gli eventuali scorrimenti.
Non autorizza, invece, la diffusione indiscriminata degli elenchi nominativi dei candidati ammessi alle prove intermedie.
2. Gli esiti intermedi devono essere comunicati attraverso canali riservati.
Il Garante richiama le proprie FAQ, condivise con il Dipartimento della Funzione Pubblica: convocazioni, punteggi ed elenchi dei candidati che superano le singole prove devono essere resi disponibili ai partecipanti attraverso le funzionalità riservate del Portale inPA.
3. La trasparenza amministrativa non costituisce una base giuridica generale per pubblicare dati personali.
Ogni pubblicazione deve trovare fondamento in una specifica disposizione normativa e rispettare i principi di liceità, correttezza, trasparenza e minimizzazione previsti dagli artt. 5 e 6 del GDPR e dall’art. 2-ter del Codice Privacy.
4. Non basta disporre la rimozione di un documento: occorre verificarne l’effettiva eliminazione.
È forse questo l’insegnamento operativo più importante del provvedimento.
Un documento può rimanere accessibile attraverso collegamenti diretti, vecchi percorsi web o archivi documentali, anche quando l’ufficio ritiene di averlo sostituito o eliminato.
La verifica dell’effettiva rimozione deve diventare una procedura ordinaria.
5. Anche un errore non intenzionale può comportare una sanzione significativa.
Nel caso esaminato, il Garante ha considerato la durata della pubblicazione, il numero degli interessati (15) e la natura dei dati diffusi, riconoscendo tuttavia come elementi attenuanti la collaborazione dell’AGID e la tempestiva rimozione dopo l’intervento dell’Autorità.
La sanzione è stata comunque determinata in 15.000 euro.
UNA RIFLESSIONE PER RESPONSABILI E DIPENDENTI COMUNALI
Questo provvedimento dovrebbe indurre ogni ente locale a verificare non soltanto quali documenti vengono pubblicati, ma anche quali documenti continuano a essere accessibili sui propri siti istituzionali.
È opportuno, in particolare, effettuare una ricognizione delle pubblicazioni relative ai concorsi, anche conclusi da anni, verificare i collegamenti ancora attivi e definire procedure di controllo sulle operazioni di pubblicazione, sostituzione e rimozione.
Il Responsabile della protezione dei dati può svolgere un’importante funzione di consulenza e sorveglianza, ma la responsabilità di assicurare la conformità delle pubblicazioni rimane in capo all’amministrazione titolare del trattamento.
La privacy non si tutela soltanto decidendo correttamente cosa pubblicare. Si tutela anche controllando ciò che è stato pubblicato e verificando che ciò che non deve più essere accessibile sia stato effettivamente rimosso.
È una questione di organizzazione, responsabilità e cultura amministrativa.
Riferimento: Garante per la protezione dei dati personali, provvedimento del 7 ottobre 2026 – AGID. Artt. 5 e 6 GDPR, art. 2-ter d.lgs. 196/2003, art. 19 d.lgs. 33/2013; FAQ Garante sui concorsi pubblici, doc. web n. 10187304.
Lascia un commento