Ordinanza ingiunzione o revoca n. 551 del 23/07/2026

Pubblicazione di nominativi in una procedura di avviamento al lavoro presso un’azienda ospedaliera

Il provvedimento riguarda l’Azienda Ospedaliero-Universitaria di Bologna IRCCS e trae origine da un reclamo relativo alla pubblicazione sul sito istituzionale dei dati personali di partecipanti a una procedura di assunzione tramite centro per l’impiego. Il Garante ha adottato un’ordinanza ingiunzione, rilevando la violazione degli artt. 5, 6 e 9 del Regolamento (UE) 2016/679 e degli artt. 2-ter e 2-septies, comma 8, del Codice privacy.

Fatto e procedimento

L’Azienda aveva pubblicato nella sezione “Amministrazione trasparente” un file PDF denominato “elenco candidati idonei/non idonei”, relativo alla copertura di 22 posti di coadiutore amministrativo. Il documento conteneva i nominativi dei partecipanti, distinti tra idonei e non idonei.

La procedura era stata avviata ai sensi dell’art. 16 della legge 28 febbraio 1987, n. 56, mediante richiesta al centro per l’impiego. Secondo quanto riferito dall’Azienda, la selezione era finalizzata ad accertare esclusivamente l’idoneità allo svolgimento delle mansioni e non comportava una valutazione comparativa analoga a quella di un concorso.

Nel corso dell’istruttoria l’Azienda ha sostenuto di aver pubblicato l’elenco in applicazione degli obblighi di trasparenza previsti dal d.lgs. 14 marzo 2013, n. 33, in particolare dall’art. 19, e ha successivamente rimosso i dati dei candidati non idonei e, in via precauzionale, quelli degli idonei. Gli interessati indicati nella memoria difensiva erano 95, mentre nella motivazione relativa alla quantificazione della sanzione il Garante ha fatto riferimento a circa 90 partecipanti.

Disciplina applicabile

Il Garante ha ricordato che i soggetti pubblici possono trattare dati personali nell’ambito delle procedure di reclutamento quando il trattamento sia necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico, ai sensi degli artt. 6, par. 1, lett. c) ed e), 6, par. 3, 9, par. 2, lett. b) e g), e 88 GDPR, nonché dell’art. 2-ter del Codice.

Anche quando il trattamento sia fondato su una competenza o su un obbligo di legge, devono essere rispettati i principi di cui all’art. 5, par. 1, GDPR. In particolare, i dati devono essere trattati in modo lecito, corretto e trasparente e devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.

Per i dati appartenenti a categorie particolari, inclusi quelli relativi alla salute, l’art. 9 GDPR prevede un regime rafforzato di tutela. L’art. 2-septies, comma 8, del Codice richiama inoltre specifiche garanzie per il trattamento e la diffusione di tali informazioni.

Inidoneità dell’art. 19 del d.lgs. 33/2013

L’Azienda aveva richiamato l’art. 19 del d.lgs. n. 33/2013, che prevede la pubblicazione dei bandi di concorso, dei criteri di valutazione, delle tracce delle prove e delle graduatorie finali, aggiornate con l’eventuale scorrimento degli idonei non vincitori.

Il Garante ha ritenuto tale riferimento non pertinente per due ragioni:

• la procedura esaminata era una forma di reclutamento mediante avviamento degli iscritti nelle liste di collocamento ai sensi dell’art. 16 della legge n. 56/1987, non un pubblico concorso;
• l’art. 19 riguarda le graduatorie finali delle procedure concorsuali e non autorizza la pubblicazione dell’elenco nominativo di tutti i partecipanti, tanto meno dei candidati non idonei.

Di conseguenza, anche il richiamo all’art. 8, comma 3, del d.lgs. n. 33/2013, relativo alla durata quinquennale della pubblicazione obbligatoria, è stato ritenuto inconferente. Una durata prevista per una pubblicazione obbligatoria non può legittimare il trattamento se manca, a monte, uno specifico obbligo di pubblicazione.

Diffusione online e minimizzazione

La pubblicazione sul sito web istituzionale è stata qualificata come diffusione di dati personali particolarmente invasiva. Essa rende le informazioni reperibili indiscriminatamente da chiunque, anche tramite motori di ricerca, e consente la loro circolazione al di fuori del contesto amministrativo originario.

Il Garante ha richiamato le Linee guida in materia di trasparenza, adottate con provvedimento n. 243 del 15 maggio 2014, nonché le Linee guida sul trattamento dei dati dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, provvedimento n. 161 del 14 giugno 2007. Tali indicazioni impongono di contemperare trasparenza e pubblicità amministrativa con riservatezza, dignità, identità personale e protezione dei dati.

Anche quando una disciplina di settore preveda forme di pubblicità o conoscibilità degli atti, ciò non autorizza automaticamente la loro integrale trasposizione in una sezione Internet liberamente accessibile. L’amministrazione deve effettuare una selezione delle informazioni e, ove necessario, utilizzare tecniche di anonimizzazione o modalità che consentano al solo interessato di conoscere la propria posizione.

Rilevanza dei dati relativi a disabilità e condizioni economiche

Il Garante ha osservato che l’art. 24 del d.P.R. n. 487/1994, richiamando i criteri per la formazione delle graduatorie dei centri per l’impiego, contempla anche elementi quali il grado di invalidità.

Sebbene dalla graduatoria pubblicata non fosse possibile stabilire con certezza se ciascun partecipante fosse stato inserito per una condizione di disabilità, per una situazione reddituale o patrimoniale sfavorevole o per altra ragione, la sola partecipazione alla procedura poteva determinare un’associazione dell’interessato a una condizione di disabilità o a una situazione economica e sociale delicata.

Secondo il Garante, tali informazioni potevano incidere sulla dignità degli interessati e produrre effetti pregiudizievoli. Anche quando non rivelino direttamente un dato sanitario, possono costituire informazioni idonee a far emergere aspetti soggettivi particolarmente sensibili. La loro pubblicazione online non risultava quindi necessaria né proporzionata.

Violazioni accertate

Il trattamento è stato ritenuto effettuato in assenza di un’idonea base giuridica e in violazione dei seguenti principi e disposizioni:

• art. 5, par. 1, lett. a), GDPR, per violazione dei principi di liceità, correttezza e trasparenza;
• art. 5, par. 1, lett. c), GDPR, per violazione del principio di minimizzazione;
• art. 6 GDPR, per assenza di una base giuridica idonea alla diffusione online;
• art. 9 GDPR, in relazione alla possibile rivelazione indiretta di categorie particolari di dati;
• art. 2-ter del Codice, in materia di base giuridica dei trattamenti effettuati per compiti di interesse pubblico o per obblighi legali;
• art. 2-septies, comma 8, del Codice, in materia di garanzie per il trattamento di dati appartenenti a categorie particolari.

Le dichiarazioni dell’Azienda sulla buona fede, sulla complessità della procedura, sulla limitatezza del personale e sulla rilevanza degli obblighi di trasparenza non hanno consentito l’archiviazione del procedimento.

Rimozione dei dati e misure organizzative

L’Azienda ha rimosso inizialmente i dati dei candidati non idonei e, successivamente, anche quelli degli idonei. Ha inoltre dichiarato di aver avviato verifiche amministrative sulle modalità di assolvimento degli obblighi di pubblicazione, con il coinvolgimento dei servizi privacy, del DPO e del RPCT.

Sono state richiamate anche iniziative formative e organizzative, tra cui corsi di formazione per il personale e l’obiettivo di adottare linee di indirizzo per la revisione quantitativa e qualitativa delle informazioni pubblicate sui siti istituzionali.

Il Garante ha considerato tali iniziative come elementi attenuanti. Non ha tuttavia adottato ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta aveva esaurito i propri effetti in seguito alla rimozione dei dati.

Sanzione e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta o da trattamenti tra loro collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui l’importo complessivo non può superare quello previsto per la violazione più grave.

Le violazioni degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-septies, comma 8, del Codice rientrano nel regime sanzionatorio dell’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice, con limite massimo pari a 20 milioni di euro.

Nel determinare l’importo, il Garante ha applicato i criteri dell’art. 83, par. 2, GDPR e le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie. La gravità è stata qualificata come media, considerando:

• la durata della pubblicazione, protrattasi nel complesso dal periodo indicato negli atti fino alla rimozione;
• il coinvolgimento di circa 90 partecipanti, tra idonei e non idonei;
• la possibile incidenza, anche indiretta, su dati appartenenti a categorie particolari;
• la buona fede dell’Azienda, che riteneva erroneamente di agire in conformità agli obblighi di trasparenza;
• la complessità e la non agevole interpretazione della disciplina di settore, pur in presenza delle indicazioni fornite dal Garante.

Sono state valutate come circostanze attenuanti la rimozione dei dati, l’adozione di iniziative tecniche e organizzative, la piena cooperazione con l’Autorità e l’assenza di precedenti violazioni pertinenti.

La sanzione è stata quindi determinata in 10.000 euro, ritenuti effettivi, proporzionati e dissuasivi ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo, pagamento e impugnazione

Il Garante ha ordinato all’Azienda ospedaliera il pagamento di 10.000 euro entro 30 giorni dalla notifica del provvedimento, con applicazione delle conseguenze esecutive previste dall’art. 27 della legge n. 689/1981 in caso di mancato pagamento.

Ai sensi dell’art. 166, comma 8, del Codice, è stata fatta salva la possibilità di definire la controversia mediante pagamento di una somma pari alla metà della sanzione entro il termine previsto per la proposizione del ricorso.

Sono state inoltre disposte:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero, ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.