La pubblicazione online delle graduatorie scolastiche e professionali è diventata una pratica consolidata, ma la recente sanzione inflitta dal Garante per la protezione dei dati personali alla Agenzia Regionale per il lavoro dell’Emilia-Romagna ha messo in luce criticità normative che possono avere gravi ripercussioni per le istituzioni scolastiche. Il provvedimento, emesso il 23 luglio 2026, ha colpito l'ente con una multa di 30.000 euro a causa della diffusione indiscriminata di dati personali di circa 700 soggetti in una graduatoria pubblicata sul web.
Il caso evidenzia come l'obbligo di trasparenza amministrativa non possa mai diventare un pretesto per violare il principio della minimizzazione dei dati. L'Autorità ha ribadito con fermezza che la pubblicazione online espone le informazioni all'indicizzazione da parte dei motori di ricerca, aumentando esponenzialmente il rischio per la privacy degli interessati. Per le scuole, questo significa che ogni atto di pubblicazione deve essere preceduto da una verifica rigorosa sulla base giuridica specifica e sulla pertinenza dei dati inseriti nei tabelloni pubblici.
La distinzione normativa tra bandi di concorso e liste di collocamento
Un punto fondamentale emerso dal provvedimento riguarda la distinzione tra diverse tipologie di pubblicazioni. Mentre i bandi di concorso per il reclutamento sono soggetti alla normativa sulla trasparenza, che prevede la pubblicazione delle "graduatorie finali", le liste di collocamento o di avviamento non beneficiano automaticamente di tale disciplina. In queste ultime, la semplice presenza di un nome può rivelare dati sensibili, come condizioni economiche o disabilità, che non dovrebbero mai essere resi pubblici senza una necessità assoluta.
Il Garante sottolinea che la trasparenza deve essere sempre bilanciata con la tutela della dignità e della riservatezza delle persone. Le istituzioni scolastiche sono quindi chiamate a evitare la diffusione di informazioni che possano esporre i lavoratori o gli studenti a rischi concreti, come lo stalking o il furto di identità. È fondamentale che la scuola agisca come titolare del trattamento, garantendo che ogni dato raccolto sia protetto da accessi abusivi, perdita o manomissione, come previsto dalle linee guida ufficiali dell'Autorità.
Linee guida operative per la gestione delle graduatorie e dei dati scolastici
Per evitare sanzioni e garantire la conformità al GDPR, le scuole devono adottare protocolli rigorosi nella gestione dei dati online. Non è consentito, ad esempio, pubblicare informazioni che non siano strettamente necessarie per l'esercizio del diritto di accesso alla graduatoria. In particolare, la normativa chiarisce che:
- Dati ammessi: Nelle graduatorie online devono comparire esclusivamente il nome, il cognome, il punteggio e la posizione in graduatoria.
- Divieti assoluti: È vietata la pubblicazione di numeri di telefono e indirizzi privati dei candidati per supplenze o incarichi.
- Dati sensibili: Non possono essere inseriti nei tabelloni pubblici dati relativi alla salute, come le menzioni di "prove differenziate" per DSA o regimi alimentari speciali.
- Comunicazioni individuali: Le informazioni su morosità, sanzioni disciplinari o casi di bullismo non possono essere inserite in circolari o delibere pubbliche, ma devono essere inviate esclusivamente in via individuale.
In caso di necessità di rendere pubblica una graduatoria senza identificare univocamente tutti i partecipanti, l'Autorità suggerisce l'uso di codici identificativi invece dei nomi completi, laddove la normativa lo consenta. Questo approccio garantisce il diritto di conoscere la propria posizione senza compromettere la riservatezza degli altri interessati.
| Tipologia di Dato | Stato di Pubblicabilità Online | Modalità Corretta |
|---|---|---|
| Nome e Cognome | Ammesso | Solo se strettamente necessario per la graduatoria |
| Punteggio e Posizione | Ammesso | Dati standard della graduatoria |
| Telefono e Indirizzo | VIETATO | Comunicazione esclusivamente individuale |
| Dati Sanitari / DSA | VIETATO | Inserire solo nelle attestazioni individuali |
| Morosità / Sanzioni | VIETATO | Comunicazione privata e riservata |
Cosa devono fare concretamente scuole, docenti e ATA
L'impatto pratico di questo provvedimento richiede un'azione immediata da parte delle segreterie scolastiche e dei dirigenti. È necessario procedere a un audit dei siti web istituzionali per identificare e rimuovere ogni dato eccedente (come i recapiti telefonici) dalle graduatorie attualmente online. Ogni pubblicazione futura deve essere verificata per assicurarsi che non vi siano riferimenti a condizioni di salute o dati sensibili che possano essere indicizzati dai motori di ricerca.
Per i docenti e il personale ATA, la consapevolezza sulla accountability è fondamentale: ogni trattamento di dati deve essere accompagnato da un'adeguata informativa che spieghi agli interessati (studenti, famiglie, colleghi) quali dati vengono raccolti e per quali finalità. Sebbene il Garante abbia annunciato la predisposizione di specifiche Linee Guida organiche per il mondo della scuola, le istituzioni devono già oggi applicare i principi di minimizzazione e riservatezza per evitare contenziosi e sanzioni amministrative.
In sintesi, la scuola deve garantire che la trasparenza non vada a scapito della dignità dei soggetti coinvolti. La tutela della privacy non è un ostacolo alla trasparenza, ma una condizione necessaria per la corretta gestione dei dati personali nel contesto della digitalizzazione scolastica.
Per approfondimenti sulle FAQ ufficiali, è possibile consultare le indicazioni del FAQ ufficiali del Garante Privacy sulla scuola.
La sanzione di 30.000 euro conferma che la pubblicazione di dati non pertinenti può avere costi economici e reputazionali elevati per l'ente pubblico. Al momento della redazione, le Linee Guida definitive del Garante per il mondo della scuola non sono ancora state rese disponibili integralmente, ma i principi di minimizzazione e la distinzione tra dati pubblici e sensibili restano fermi e applicabili immediatamente.
FAQs
Graduatorie sul web e privacy: il rischio sanzioni per le scuole e la tutela dei dati personali
Le graduatorie pubblicate sul web devono contenere esclusivamente nome, cognome, punteggio e posizione in graduatoria. È vietato inserire dati non pertinenti come numeri di telefono, indirizzi di residenza privati o informazioni sanitarie, che devono essere gestiti esclusivamente tramite comunicazioni individuali.
A differenza dei bandi di concorso, le liste di collocamento non godono automaticamente della disciplina sulla trasparenza e la loro pubblicazione può rivelare dati sensibili su disabilità o condizioni economiche. La violazione del principio di minimizzazione dei dati, unita all'elevato numero di interessati e alla durata della pubblicazione illecita, può portare a sanzioni amministrative significative.
Le istituzioni scolastiche devono procedere con un audit immediato dei propri siti web per rimuovere ogni dato eccedente dalle graduatorie attualmente online. È inoltre necessario adottare misure di anonimizzazione, come l'uso di codici identificativi, laddove la normativa lo consenta per proteggere l'identità dei partecipanti.
Ogni interessato ha il diritto di conoscere, rettificare o aggiornare i propri dati personali detenuti dall'istituto scolastico rivolgendosi direttamente al titolare del trattamento. In caso di mancata risposta o riscontro inadeguato da parte della scuola, è possibile presentare un reclamo al Garante per la protezione dei dati personali.
