Privacy nei concorsi pubblici: il Garante sanziona l'ente locale per pubblicazione dati categorie protette

Il Garante per la Protezione dei Dati Personali ha emesso un provvedimento sanzionatorio nei confronti del Comune di Ventasso, imponendo una multa di 8.000 euro per gravi violazioni delle norme sulla riservatezza. Il motivo della sanzione risiede nella pubblicazione online non autorizzata dei nominativi di dodici candidati appartenenti alle categorie protette, i cui dati sono stati esposti sul sito istituzionale dell'ente durante lo svolgimento di un concorso pubblico.

L'infrazione è scaturita dal caricamento di un elenco che indicava i partecipanti ammessi alla prova scritta per un posto di esecutore amministrativo. Oltre ai nomi, il documento rendeva pubblici anche l'orario e il luogo di convocazione, esponendo i candidati a rischi di privacy non necessari per la finalità del procedimento. La vicenda evidenzia come la gestione dei dati sensibili durante le fasi istruttorie dei concorsi richieda una massima attenzione procedurale da parte delle pubbliche amministrazioni.

Nonostante le giustificazioni fornite dall'ente locale, che ha citato carenze organizzative interne e le complessità derivanti dalla fusione tra piccoli comuni, l'Autorità ha ribadito con fermezza che la responsabilità giuridica della protezione dei dati non può essere diluita o delegata. Il provvedimento sottolinea che la titolarità del trattamento rimane in capo al datore di lavoro, indipendentemente da eventuali convenzioni con enti esterni come le Unioni Montane, rendendo la compliance normativa un obbligo diretto e non trasferibile dell'amministrazione.

Le violazioni normative e il principio di minimizzazione dei dati

L'intervento del Garante si è basato sulla rilevazione di violazioni degli Artt. 11, comma 1, lett. a) e d) e Art. 19, comma 3 della normativa vigente, unitamente agli Artt. 5, 6 e 9 del Regolamento Garante. Il punto centrale della contestazione riguarda il principio di minimizzazione: le pubbliche amministrazioni devono limitare la diffusione delle informazioni al solo stretto necessario per il raggiungimento dell'obiettivo istituzionale.

In questo specifico caso, la semplice presenza di un candidato in una graduatoria riservata alle categorie protette (ai sensi della Legge 68/99) rivela indirettamente lo stato di salute degli interessati. Poiché i dati relativi alla salute fisica o mentale sono classificati come dati particolari, la loro pubblicazione indiscriminata online costituisce una violazione diretta del diritto alla riservatezza. L'Autorità ha inoltre ribadito che l'amministrazione non può invocare con leggerezza l'errore scusabile per giustificare la diffusione di informazioni così sensibili.

Il precedente normativo è consolidato: il Garante ha già sanzionato altri enti per la persistenza di graduatorie obsolete online o per la pubblicazione di dettagli non necessari. In particolare, il Comune di Vicchio era stato colpito da una sanzione identica di 8.000 euro per violazioni analoghe degli articoli citati, confermando una linea interpretativa rigorosa che non ammette deroghe per mancanze tecniche o burocratiche. Un altro caso rilevante riguarda il Comune di Jesi, sanzionato per la persistente pubblicazione online di una graduatoria del 2008, i cui dati non erano più necessari alla finalità originaria.

Linee guida per la gestione dei dati nei concorsi pubblici

Per evitare sanzioni e garantire la tutela dei diritti dei candidati, le pubbliche amministrazioni devono adottare protocolli rigorosi nella gestione delle graduatorie. È fondamentale distinguere tra i dati che possono essere resi pubblici e quelli che devono rimanere protetti in aree riservate o essere trasmessi solo tramite canali ufficiali dedicati.

Le autorità locali devono assicurarsi che la pubblicazione online sia limitata esclusivamente ai nominativi dei vincitori definitivi. Qualsiasi dettaglio relativo a punteggi parziali, titoli di preferenza o specifiche riserve (come la "pendenza di giudizio") deve essere rimosso dai siti istituzionali. La trasparenza non deve mai andare a discapito della sicurezza dei dati personali, che deve essere garantita attraverso strumenti di accesso controllato.

In caso di necessità di consultazione dei dati dettagliati, l'amministrazione deve predisporre modalità che non espongano i candidati a rischi di identificazione non necessari da parte di terzi. L'uso del Portale InPA o di aree del sito protette da sistemi di autenticazione rappresenta la soluzione tecnica corretta per gestire le informazioni sensibili senza violare le prescrizioni del Garante.

Cosa cambia concretamente per le pubbliche amministrazioni e i candidati

Il provvedimento di Ventasso stabilisce un precedente operativo chiaro per tutti gli uffici che gestiscono concorsi e selezioni. Ecco i punti chiave da seguire per garantire la conformità:

• Divieto di pubblicazione titoli: Non è consentito pubblicare online titoli di preferenza, punteggi parziali o dettagli sulle riserve.
• Limitazione dei dati pubblici: Le pubbliche amministrazioni devono pubblicare online esclusivamente i nominativi dei vincitori.
• Canali riservati: I dati relativi a graduatorie intermedie e informazioni su titoli di preferenza devono essere resi disponibili solo tramite il Portale InPA o aree del sito ad accesso riservato.
• Base giuridica: Il consenso del candidato non è una base giuridica valida per la pubblicazione di dati sensibili da parte della PA; è necessaria una specifica disposizione normativa.
• Obbligo di rimozione: In caso di pubblicazione illecita, l'ente è tenuto a rimuovere immediatamente i documenti e a conformarsi alle prescrizioni dell'Autorità.

Per i candidati, ciò significa che la trasparenza dei concorsi sarà garantita attraverso canali più sicuri, riducendo il rischio di profilazione indebita o di esposizione di dati sanitari. Per i dirigenti e il personale amministrativo, la responsabilità sulla corretta gestione dei file caricati sui portali istituzionali diventa un requisito di conformità imprescindibile, con il rischio di sanzioni pecuniarie significative in caso di negligenza.

In caso di contestazione della sanzione, il contravventore ha solitamente 30 giorni dalla notifica per definire la controversia, potendo optare per il pagamento della metà della sanzione per la chiusura del procedimento. Tuttavia, l'obbligo di conformità e la rimozione immediata dei dati pubblicati illecitamente restano requisiti inderogabili per evitare ulteriori provvedimenti da parte del Garante.

È importante ricordare che la gestione dei dati personali nel settore pubblico non ammette zone d'ombra: la fusione di comuni o le deleghe a Unioni Montane non esentano l'ente principale dalla responsabilità della protezione dei dati dei cittadini. La corretta applicazione della normativa sulla privacy è oggi un pilastro della buona amministrazione e della tutela dei diritti fondamentali dei lavoratori e dei cittadini.

Per approfondire le linee guida sulla trasparenza e la gestione dei dati nei concorsi, è possibile consultare le indicazioni operative pubblicate sul sito ufficiale del Garante per la Protezione dei Dati Personali.

Note operative per i funzionari comunali

Prima di ogni caricamento di file relativi a concorsi pubblici, è necessario verificare che il documento non contenga punteggi intermedi o informazioni che possano identificare la condizione di salute dei candidati. Qualora il file sia destinato alla consultazione pubblica, deve contenere solo i dati strettamente necessari alla finalità di informazione generale.

Riferimenti normativi e precedenti

Il provvedimento si inserisce in un filone di controlli rafforzati sulla Legge 68/99 e sul Regolamento Garante. Casi simili hanno visto sanzioni per la persistenza di dati non più necessari o per la mancanza di misure tecniche adeguate alla separazione dei dati sensibili dai dati ordinari.