Ordinanza ingiunzione o revoca n. 235 del 11/04/2024

INPS - pubblicazione illecita di elenchi e punteggi in un concorso pubblico

Il provvedimento riguarda l’INPS, destinatario di un’ordinanza ingiunzione per aver pubblicato sul proprio sito istituzionale documenti relativi a un concorso pubblico, contenenti dati personali di migliaia di candidati. Il procedimento è stato avviato a seguito di reclamo di un partecipante alla selezione.

Origine del procedimento e fatti emersi

Il reclamo ex art. 77 GDPR segnalava la diffusione, nella pagina dedicata al concorso per 1.858 posti di consulente protezione sociale, di elenchi degli ammessi e non ammessi alle prove scritte e orali e dell’elenco dei partecipanti con la valutazione dei titoli e i punteggi attribuiti. L’istruttoria del Garante ha accertato che tali documenti erano pubblicati sul sito dell’INPS e indicizzati dai motori di ricerca generalisti.

L’INPS ha dichiarato di aver rimosso i documenti il giorno stesso della richiesta di informazioni dell’Autorità e di averli sostituiti con elenchi identificati da ID domanda randomizzati. Ha sostenuto che la pubblicazione fosse prevista dal regolamento interno e dal bando di concorso, e funzionale alla trasparenza e alla decorrenza dei termini di impugnazione.

Quadro normativo richiamato

Il Garante ha richiamato:

• gli artt. 5 e 6 GDPR, con particolare riferimento ai principi di liceità, correttezza, trasparenza e minimizzazione;
• l’art. 6, par. 3, GDPR e l’art. 2-ter del Codice privacy, che impongono una base giuridica nel diritto dell’Unione o nazionale;
• l’art. 19 del d.lgs. 33/2013, in materia di pubblicazione dei bandi di concorso, criteri di valutazione, tracce e graduatorie finali;
• la disciplina di settore sui concorsi pubblici, che consente la pubblicazione delle graduatorie definitive dei vincitori, non degli esiti intermedi o dei dati dei non vincitori/non ammessi.

Sono state richiamate anche le linee guida del Garante del 2014 sulla pubblicazione online di dati personali da parte di soggetti pubblici.

Valutazione dell’Autorità sulla liceità del trattamento

Il Garante ha ritenuto che il bando di concorso e il regolamento interno dell’INPS, pur essendo atti amministrativi generali, non potessero derogare alla disciplina primaria e sovraordinata in materia di pubblicità concorsuale e protezione dei dati. La base giuridica dell’art. 2-ter del Codice non legittima una diffusione online generalizzata di dati personali dei candidati quando tale pubblicazione non sia prevista dalle norme di settore.

È stato anche escluso che il consenso prestato nella domanda di partecipazione potesse costituire base giuridica valida nel contesto pubblico e concorsuale, per la posizione di squilibrio tra titolare e interessato. Parimenti, non è stato ritenuto invocabile il legittimo interesse del titolare, in quanto non applicabile ai trattamenti effettuati da autorità pubbliche ai sensi dell’art. 6, par. 1, lett. f), GDPR.

Esito: diffusione illecita e assenza di base giuridica

L’Autorità ha concluso che la pubblicazione online di elenchi e punteggi di oltre 5.000 candidati ha integrato una diffusione di dati personali priva di idonea base giuridica, con violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice privacy. Il Garante ha precisato che esigenze di consultazione riservata ai soli partecipanti avrebbero potuto essere soddisfatte tramite un’area riservata con accesso selettivo.

Sanzione e criteri di quantificazione

Trattandosi di un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, richiamando la sanzionabilità ex art. 83, par. 5, GDPR. Nella determinazione della sanzione ha considerato:

• l’elevato numero degli interessati coinvolti;
• la convinzione errata dell’INPS di agire per trasparenza;
• precedenti dell’Autorità in casi analoghi;
• la durata della pubblicazione;
• la cooperazione prestata dall’INPS;
• l’assenza di categorie particolari di dati.

La sanzione amministrativa pecuniaria è stata fissata in euro 20.000.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’INPS;
• ingiunto il pagamento di euro 20.000, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice entro 30 giorni pagando la metà della sanzione;
• disposto la pubblicazione del provvedimento sul sito web dell’Autorità ai sensi dell’art. 166, comma 7, del Codice.

È stata infine richiamata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.