[doc. web n. 10309202]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 745 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale; 

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il prof. Pasquale Stanzione;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento il sig. XX ha rappresentato di aver partecipato nel 2021 a una procedura concorsuale “per l'assunzione di n. 1 unità profilo professionale di Funzionario amministrativo, esperto in comunicazione pubblica e relazioni istituzionali – categoria III e di n. 2 unità di personale con contratto di lavoro a tempo determinato e pieno nel profilo professionale di Collaboratore amministrativo – categoria II^, per le esigenze del programma “Smarter Italy” presso l’Agenzia per l’Italia Digitale (di seguito “AGID”), e di aver richiesto la rimozione dei propri dati personali dal sito web dell’amministrazione. Il reclamante ha rappresentato che all’ indirizzo https://trasparenza.agid.gov.it/download/8404.html, risultava pubblicato “l’elenco dei candidati ammessi alla prova [orale] fra cui il reclamante”.

1.2. L’attività svolta.

Con nota del XX questa Autorità ha avviato l’istruttoria preliminare informando l’AGID che il predetto elenco era ancora presente sul proprio sito web istituzionale. L’AGID avendo appreso che l’elenco, contenente i nominativi dei partecipanti ammessi alla prova orale, tra cui il reclamante, era ancora visibile sul proprio sito web istituzionale, ha provveduto a rimuovere l’intero documento nell’arco di poche ore.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del XX (prot. n. XX) notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate, con riferimento alla diffusione online dei predetti dati personali, riguardano gli artt. 5, 6 del Regolamento, nonché 2-ter del Codice.

2.2. Difese del Titolare del Trattamento (art. 166, comma 6, del Codice)

Con nota del XX l’AGID, che non ha chiesto di essere audito, ha dichiarato che nel documento pubblicato i dati personali si riferivano esclusivamente a “nome, cognome e punteggio del candidato” e che tale pubblicazione si è verificata “per una mera svista operativa” del tutto occasionale.

L’AGID ha rappresentato che “per prassi consolidata” provvede alla comunicazione degli esiti delle procedure concorsuali “mediante l’impiego di codici identificativi univoci attribuiti ai candidati”. 

Successivamente alla richiesta del reclamante, non avendo ricevuto alcuna ulteriore comunicazione dallo stesso, l’AGID “era convinta in buona fede – seppur erroneamente – di aver già positivamente e fattivamente accolto la richiesta dell’interessato”.

3. VALUTAZIONI DELL’AUTORITÀ

3.1 La normativa in materia di protezione dei dati.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche quando operino nello svolgimento di procedure concorsuali, selettive o comunque valutative, prodromiche all’instaurazione del rapporto di lavoro, possono trattare i dati personali degli interessati (art. 4, n. 1, del Regolamento) se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento e art. 2-ter del Codice).

Tali trattamenti devono, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro che deve perseguire un obiettivo di interesse pubblico ed essere proporzionato al perseguimento dello stesso. La finalità del trattamento deve essere necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (cfr. art. 6, par. 3, del Regolamento e 2-ter del Codice).

Il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, paragrafo 1, lett. a) e c) del Regolamento).

3.2 La diffusione online dei dati personali nell’ambito di procedure concorsuali.

All’esito dell’istruttoria relativa al reclamo e di quanto dichiarato dal titolare del trattamento, con assunzione di responsabilità anche ai sensi dell’art. 168 del Codice, è emerso che l’AGID ha pubblicato, sul “Portale Amministrazione trasparente” del proprio sito web istituzionale, fino alla data di ricezione della nota di avvio dell’istruttoria da parte dell’Autorità, l’elenco dei candidati ammessi alla prova orale della predetta procedura recante i dati personali (nome, cognome e punteggio) di quindici interessati risultati idonei, fra cui il reclamante. Sebbene l’AGID fosse persuasa di aver correttamente sostituito il documento pubblicato con altro privo di dati identificativi, tuttavia a causa del “mancato perfezionamento della sostituzione documentale”, il predetto elenco, contenente i dati identificativi anche del reclamante, era rimasto pubblicato online “per mera svista operativa”.

A tale riguardo si rappresenta che, in una cornice normativa caratterizzata da norme stratificatesi nel tempo, le disposizioni normative che stabiliscono, in generale, la pubblicità delle graduatorie di concorsi e prove selettive, svolgono la funzione di consentire agli interessati, partecipanti alle procedure concorsuali o selettive, l’attivazione delle forme di tutela dei propri diritti e di controllo della legittimità dell’azione amministrativa e dispongono, in primo luogo, che siano pubblicate online le sole graduatorie definitive dei vincitori di concorso e non anche l’elenco dei candidati ammessi alle prove intermedie (cfr. art. 35 e ss d. lgs. 30 marzo 2001, n. 165 come da ultimo modificati dal d.l.14 marzo 2025, n. 25 convertito con modificazioni dalla l. 9 maggio 2025, n. 69; v. anche art. 7, d.P.R. 10 gennaio 1957, n. 3; nonché d.P.R. 9 maggio 1994, n. 487). Come noto, il Garante ha fornito, nel tempo, specifiche indicazioni alle pubbliche amministrazioni in ordine alle cautele da adottare per la diffusione di dati personali in internet per finalità di trasparenza e pubblicità dell’azione amministrativa nelle specifiche linee guida (“Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” provv. n. 243 del 15 maggio 2014, doc. web n. 3134436, spec. parte I e II, par. 3.b; cfr. anche le “Linee guida in materia di trattamento di dati personali, di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, n.161, doc web n.1417809) nonché in numerosi provvedimenti aventi ad oggetto i trattamenti di dati personali nell’ambito delle procedure concorsuali, in cui ha rilevato la diffusione illecita di dati personali contenuti negli atti intermedi delle stesse (cfr., provv. n. 114 del 26 febbraio 2026, doc. web n. 10234960 e provvedimenti ivi citati).

Anche le disposizioni in materia di trasparenza amministrativa prevedono specifici obblighi di pubblicazione, relativi alle graduatorie finali, nella sezione “Amministrazione Trasparente” del sito web istituzionale delle amministrazioni. Infatti, in base a quanto previsto dal d.lgs. 14 marzo 2013, n. 33, “fermi restando gli altri obblighi di pubblicità legale, le pubbliche amministrazioni pubblicano i bandi di concorso per il reclutamento, a qualsiasi titolo, di personale presso l’amministrazione, nonché i criteri di valutazione della Commissione, le tracce delle prove e le graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori. Le pubbliche amministrazioni pubblicano e tengono costantemente aggiornati i dati di cui al comma 1” (art. 19, commi 1 e 2; cfr., provv. dell'11 aprile 2024, n. 235, doc. web 10019523, v. anche newsletter del 6 giugno 2024, provv. del 4 luglio 2024, n. 404, doc. web n. 10050145, 20 giugno 2024, n. 372, doc. web n. 10039471, 11 aprile 2024, n. 235, doc web n. 10019523, 28 aprile 2022, n. 151, doc. web n. 9778996, e i precedenti provvedimenti in esso richiamati, tra cui, in particolare, il provv. 25 novembre 2021 n. 407, doc. web 9732406). 

Tali disposizioni definiscono, sotto il profilo della protezione dei dati, l’ambito del trattamento consentito e ne costituiscono la base giuridica stabilendo limiti, condizioni e presupposti della pubblicazione online di dati personali nell’ambito delle procedure concorsuali. 

In linea di continuità con gli orientamenti dell’Autorità in tale ambito di trattamento e nella prospettiva di richiamare l’attenzione delle amministrazioni al rigoroso rispetto dei principi di protezione dei dati e della normativa di settore, anche alla luce del recente intervento del legislatore (v. il citato d.lgs.14 marzo 2025, n. 25, convertito in legge 9 maggio 2025, n. 69), si fa presente che sul sito web del Garante sono disponibili specifiche FAQ, condivise con il Dipartimento della Funzione Pubblica, volte a fornire indicazioni e chiarimenti finalizzati a prevenire iniziative e trattamenti di dati personali non conformi in tale specifico contesto, nell’ottica di un efficace bilanciamento tra la protezione dei dati e la trasparenza e la pubblicità delle procedure concorsuali (v. “FAQ in materia di trattamento di dati personali dei partecipanti alle procedure concorsuali per finalità di pubblicità e trasparenza alla luce delle recenti disposizioni normative”, doc. web n. 10187304).

Anche con riferimento al quadro normativo vigente appena richiamato, non applicabile, ad ogni modo, al caso di specie, si evidenzia che non devono essere oggetto di pubblicazione online i dati personali contenuti negli atti o nei documenti a carattere endoprocedimentale. Resta fermo che, invece, il diario delle prove, il punteggio conseguito, l'eventuale convocazione alle prove e l'elenco dei candidati che hanno superato la prova, con i relativi punteggi, devono essere messi a disposizione ai soli partecipanti alla procedura in un'area ad accesso riservato, utilizzando le specifiche funzionalità del Portale InPA (v. FAQ sopra citate, n.8).

Con riguardo al caso di specie risulta accertato che l’AGID ha, invece, pubblicato online, fino al XX, seppure per “una svista che [secondo quanto dichiarato] deve considerarsi inusuale”, sul proprio sito web istituzionale l’elenco dei candidati ammessi alla prova orale della predetta procedura recante i dati personali (nome, cognome e punteggio) di quindici interessati, tra cui il reclamante. 

Alla luce di tutte le considerazioni che precedono, deve concludersi che l’AGID ha diffuso sul proprio sul sito web istituzionale dati personali, in maniera non conforme ai principi di “liceità, correttezza e trasparenza”, nonché di “minimizzazione” dei dati, in violazione dell’art. 5, paragrafo 1, lett. a) e c) del Regolamento e in assenza di un idoneo presupposto normativo, in violazione dell’art. 6, par. 1, lett. c) ed e), del Regolamento e dell’art. 2-ter, commi 1 e 3, del Codice.

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver diffuso l’elenco dei candidati ammessi alla prova orale (15 interessati) partecipanti alla predetta procedura, tra cui il reclamante, in violazione degli artt. 5, e 6 del Regolamento, nonché 2-ter del Codice. 

La violazione accertata, nei termini di cui in motivazione, non può in alcun modo essere considerata “minore”, tenuto conto in particolare della circostanza che il trattamento ha comunque dato luogo a una diffusione online di dati personali, seppure per un mero errore, che è terminata solo al momento della ricezione della nota di avvio dell’istruttoria da parte dell’Autorità (v. considerando 148 del Regolamento).

5. MISURE CORRETTIVE 

Considerato che la condotta ha esaurito i suoi effetti - atteso che l’AGID ha provveduto appena ricevuta la richiesta da parte dell’Ufficio alla rimozione dal proprio sito web istituzionale del predetto elenco - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

6.2 Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- il trattamento in questione ha riguardato quindici interessati e si è protratto dal 2021 fino al 23 gennaio 2026, ancorché l’AGID ritenesse erroneamente di aver rimosso i dati personali dell’interessato nel 2025 (art. 83, par. 2, lett. a), del Regolamento);

- la violazione presenta carattere colposo in quanto il trattamento dei dati personali è avvenuto per un mero errore da parte dell’AGID (cfr. art. 83, par. 2, lett. b), del Regolamento);

- il trattamento ha riguardato la diffusione online di dati comuni degli interessati (cfr. art. 83, par. 2, lett. g), del Regolamento), 

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- l’AGID ha dato atto di aver rimosso il predetto elenco nelle ore immediatamente successive al momento in cui è venuta a conoscenza del fatto che lo stesso fosse ancora pubblicato sul proprio sito web istituzionale, verificando “la regolarità della pubblicazione a fini di pubblicità di tutti i provvedimenti” (art. 83, par. 2, lett. c), del Regolamento);

- ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dal titolare in materia di trattamenti di dati personali nel medesimo contesto per finalità di pubblicità e trasparenza delle procedure concorsuali (art. 83, par. 2, lett. e), del Regolamento);

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 15.000,00 (quindicimila/00) per la violazione degli artt. 5 e 6 Regolamento, nonché 2-ter del Codice e, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in particolare in ragione della diffusione dei dati personali che sono stati pubblicati online per un lungo periodo di tempo, in assenza di una idonea base giuridica.

PER QUESTI MOTIVI

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’AGID Agenzi per l’Italia Digitale, in persona del legale rappresentante pro-tempore, con sede legale in Via Liszt 21 - 00144 Roma (RM), C.F. 97735020584 per violazione degli artt. 5 e 6 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare, di pagare la somma di euro 15.000,00 (quindicimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

SI INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 15.000,00 (quindicimila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori