Ordinanza ingiunzione o revoca n. 482 del 11/09/2025

Ente Parco Regionale Migliarino San Rossore Massaciuccoli - diffusione online illecita di verbali di selezione e dati giudiziari

Il Garante ha esaminato un reclamo presentato da un candidato a una selezione pubblica per la nomina del Direttore dell’Ente Parco, relativo alla pubblicazione sul sito istituzionale di verbali della commissione e di autodichiarazioni concernenti procedimenti penali e/o condanne di alcuni candidati. La diffusione è avvenuta nella sezione "Amministrazione Trasparente" ed è risultata indicizzata dai motori di ricerca.

Fatti e origine del procedimento

Il reclamante ha contestato la pubblicazione dei verbali della commissione relativi alla selezione pubblica e la conseguente circolazione online di dati personali riferiti a lui e ad altri candidati. In particolare, erano stati resi disponibili documenti contenenti informazioni anagrafiche e di procedimento riferite a 45 partecipanti, oltre a dichiarazioni autocertificate sulla sussistenza di procedimenti penali in atto e/o condanne riguardanti sette interessati.

L’Ente Parco ha riferito di essere intervenuto dopo la richiesta di cancellazione del reclamante, rimuovendo i documenti dal sito e avviando la deindicizzazione presso i motori di ricerca. Ha qualificato l’evento come mero errore materiale.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria l’ente ha spiegato che la pubblicazione era avvenuta per errore, che i documenti erano stati trattati solo da personale strettamente autorizzato in un’area riservata del software gestionale e che erano state adottate misure organizzative e tecniche. Ha inoltre rappresentato di avere approvato una data protection policy, di avere un’organizzazione interna ridotta e di aver avviato verifiche, checklist e formazione del personale dopo l’apertura dell’istruttoria.

Il Garante ha tuttavia ritenuto che tali elementi non fossero sufficienti a escludere l’illiceità del trattamento né a giustificare l’archiviazione.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha richiamato i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR, nonché le condizioni di liceità ex art. 6 GDPR. Per i trattamenti effettuati da soggetti pubblici nell’ambito di procedure selettive, il Garante ha ricordato che è necessaria una specifica base normativa e che la diffusione online di dati personali è ammessa solo alle condizioni previste dall’art. 2-ter del Codice privacy.

Per quanto riguarda i dati relativi a condanne penali e reati, è stato richiamato l’art. 10 GDPR, oltre all’art. 2-octies del Codice, evidenziando che tali trattamenti sono consentiti solo se previsti dal diritto dell’Unione o degli Stati membri con adeguate garanzie.

Motivi dell’illiceità accertata

Il Garante ha accertato che l’Ente Parco ha diffuso sul proprio sito, e quindi indicizzato, i verbali della selezione contenenti i dati personali di 45 candidati, nonché le autodichiarazioni relative a procedimenti penali e/o condanne di sette interessati. La pubblicazione è stata ritenuta avvenuta in assenza di base giuridica e in violazione dei principi di liceità, correttezza e trasparenza.

L’Autorità ha osservato che, anche in presenza di finalità di trasparenza amministrativa, non sussiste alcun automatismo che consenta la pubblicazione online di dati personali, dovendo il titolare applicare il principio di minimizzazione e adottare misure tecniche e organizzative adeguate. Con specifico riferimento ai dati giudiziari, è stata sottolineata la loro particolare delicatezza e la possibile ingerenza grave nella vita privata e professionale degli interessati.

Violazioni contestate e provvedimento finale

Il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6 e 10 GDPR, nonché degli artt. 2-ter e 2-octies del Codice privacy.

Sanzione amministrativa pecuniaria

Poiché le violazioni derivavano da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR. Ai fini della quantificazione, il Garante ha considerato:

• la diffusione online di dati personali di 45 interessati;
• la presenza di dati relativi a condanne penali e reati per 7 candidati;
• la natura colposa della violazione, dovuta a un errore materiale;
• il livello di gravità medio;
• la buona cooperazione del titolare;
• l’assenza di precedenti violazioni pertinenti;
• le ridotte dimensioni dell’ente e i limiti di spesa dichiarati.

È stata quindi irrogata una sanzione amministrativa pecuniaria di 8.000 euro, ritenuta effettiva, proporzionata e dissuasiva.

Misure accessorie, pubblicazione e rimedi

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante n. 1/2019.

L’Ente Parco è stato ingiunto a pagare 8.000 euro entro 30 giorni dalla notificazione, con facoltà di definire la controversia entro lo stesso termine pagando la metà della sanzione ai sensi dell’art. 166, comma 8, del Codice. È stato inoltre ricordato il diritto di proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.