Parere del Garante n. 521 del 03/11/2023

Portale unico del reclutamento: parere sullo schema di decreto ministeriale

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro per la Pubblica Amministrazione relativo alle caratteristiche e alle modalità di funzionamento del Portale unico del reclutamento, istituito dall’art. 35-ter del d.lgs. 165/2001. Il parere si colloca nel quadro della disciplina sul reclutamento nelle pubbliche amministrazioni e del GDPR, con specifico richiamo agli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento.

Quadro normativo di riferimento

Lo schema si innesta sulla riforma del reclutamento pubblico introdotta dal d.l. 36/2022, convertito nella l. 79/2022, che ha istituito il Portale unico del reclutamento, accessibile tramite registrazione e utilizzabile da amministrazioni centrali, autorità amministrative indipendenti, Regioni ed enti locali per le procedure concorsuali e selettive. Il Garante richiama inoltre le disposizioni del d.P.R. 487/1994, come modificato dal d.P.R. 82/2023, in particolare gli artt. 3, 4 e 15, nonché il coordinamento con il d.P.R. 445/2000, il CAD e le norme sulla documentazione amministrativa.

Contenuto dello schema esaminato

Lo schema di decreto, composto da 12 articoli e da un allegato tecnico, disciplina:

• le finalità istituzionali del Portale e il suo ambito di applicazione;
• le funzioni disponibili per le amministrazioni, per gli utenti e per il DFP;
• le modalità di registrazione tramite SPID, CIE, CNS ed eIDAS;
• i dati raccolti nel curriculum vitae e quelli inseriti nelle domande di candidatura;
• le modalità di accesso e utilizzo da parte delle amministrazioni accreditate;
• le comunicazioni ai candidati e la pubblicazione delle graduatorie;
• i tempi di conservazione;
• le misure di sicurezza;
• la gestione dei malfunzionamenti;
• la modifica futura del decreto e dell’allegato tecnico;
• la disciplina dei ruoli privacy, con individuazione di titolari e responsabile del trattamento.

Valutazioni del Garante sui trattamenti previsti

Il Garante osserva che i trattamenti connessi al Portale presentano rischi elevati per i diritti e le libertà degli interessati, poiché possono coinvolgere dati appartenenti a categorie particolari o relativi a condanne penali e reati, sono svolti su larga scala e riguardano una platea ampia di interessati, spesso in posizione vulnerabile. Per questo richiama la necessità di una valutazione d’impatto ex art. 35 GDPR, da aggiornare in relazione all’evoluzione del sistema.

Ruoli di titolare e responsabile del trattamento

Uno dei profili centrali dello schema è la chiara ripartizione dei ruoli:

• la Presidenza del Consiglio dei ministri - Dipartimento della funzione pubblica opera come titolare del trattamento per registrazione, compilazione del curriculum, monitoraggio del Portale, adeguamento tecnico e supporto;
• le singole amministrazioni banditrici sono titolari per i trattamenti relativi al procedimento di reclutamento;
• il DFP agisce come responsabile del trattamento, ai sensi dell’art. 28 GDPR, per conto delle amministrazioni, dalla presentazione della domanda fino alla conclusione della procedura concorsuale.

Il Garante valorizza questa impostazione perché consente una chiara allocazione di responsabilità, nel rispetto dei principi di liceità, correttezza, trasparenza e limitazione delle finalità.

Minimizzazione dei dati e qualità dell’informazione

L’Autorità rileva positivamente che lo schema circoscrive i dati trattati a quelli necessari rispetto alle finalità di selezione, reclutamento e assunzione. Vengono individuate con precisione le informazioni raccolte in sede di registrazione e di compilazione del curriculum vitae, comprendenti dati anagrafici, titoli di studio, abilitazioni, specializzazioni, esperienze professionali e altri titoli pertinenti.

Particolare rilievo è dato alle funzionalità che consentono:

• di replicare nella domanda i dati già presenti nel curriculum;
• di aggiornarli in momenti successivi;
• di selezionare solo le informazioni pertinenti al singolo bando.

Il Garante richiama, in tale contesto, i principi di minimizzazione, esattezza e privacy by design/by default di cui agli artt. 5 e 25 GDPR, nonché l’art. 88 GDPR e l’art. 113 del Codice privacy.

Informative, autenticazione e controlli sulla veridicità

Lo schema prevede che gli interessati ricevano le informative necessarie sui trattamenti svolti tramite il Portale dal DFP e dalle amministrazioni titolari. È inoltre disciplinata l’autenticazione informatica, limitando i dati acquisiti agli elementi strettamente necessari.

Per gli utenti sono indicati, tra gli altri, cognome, nome, codice fiscale, luogo e data di nascita, sesso, indirizzo di residenza o domicilio, PEC o altro domicilio digitale e recapito telefonico; per il personale autorizzato ad operare per conto delle amministrazioni, sono acquisiti solo codice fiscale, cognome e nome.

Il Garante considera adeguato anche il coordinamento con il d.P.R. 445/2000, poiché la veridicità delle dichiarazioni resta soggetta ai controlli delle amministrazioni procedenti ex art. 71 TUDA.

Conservazione, visibilità delle domande non presentate e monitoraggio aggregato

Il decreto regola i tempi di conservazione dei dati in relazione alle diverse finalità perseguite, prevedendo anche l’eventuale conservazione ulteriore per difesa in giudizio nei limiti strettamente necessari. Inoltre stabilisce che le domande compilate ma non inviate restino visibili all’amministrazione banditrice solo per il tempo necessario al supporto nella presentazione e siano cancellate dopo 30 giorni dalla scadenza del relativo periodo.

Per le attività di monitoraggio del Portale, il trattamento deve avvenire mediante dati aggregati, così da escludere la diretta identificabilità degli interessati. Il Garante richiama in proposito i principi di limitazione della conservazione e minimizzazione dei dati.

Sicurezza e gestione dei malfunzionamenti

Lo schema contiene misure tecniche, organizzative e fisiche finalizzate a garantire integrità, riservatezza e sicurezza del Portale, dettagliate nell’allegato tecnico. È inoltre disciplinata la procedura per l’accertamento dei malfunzionamenti:

• in caso di malfunzionamento tecnico e generalizzato, il DFP lo accerta con proprio atto e pubblica un avviso sul Portale;
• se il malfunzionamento dipende da problemi tecnici o errori materiali della singola amministrazione, quest’ultima informa il DFP, che accerta il disservizio e supporta le attività conseguenti, pubblicando l’avviso informativo.

Pubblicità delle graduatorie e coordinamento con la disciplina di settore

Il Garante rileva che lo schema coordina il Portale con la disciplina sulla pubblicità delle graduatorie e degli esiti concorsuali. La pubblicazione deve avvenire nel rispetto delle norme di settore e secondo criteri di minimizzazione, anche attraverso la contestuale pubblicazione sul Portale e sul sito dell’amministrazione interessata, in coerenza con l’art. 15 del d.P.R. 487/1994 e con le disposizioni del d.lgs. 165/2001.

Conclusioni

L’Autorità prende atto che le osservazioni formulate nel corso delle interlocuzioni informali con il DFP sono state recepite nello schema di decreto. Ritiene quindi che i rischi elevati connessi ai trattamenti siano stati adeguatamente valutati e mitigati, anche tramite la DPIA ex art. 35 GDPR, e conclude esprimendo parere favorevole sullo schema di decreto relativo al Portale unico del reclutamento.