Ordinanza ingiunzione o revoca n. 745 del 07/10/2026

Sanzione ad AGID per la pubblicazione di un elenco di candidati ammessi a una prova orale

Il provvedimento del 7 ottobre 2026 riguarda la diffusione sul sito istituzionale dell’Agenzia per l’Italia Digitale (AGID) di dati identificativi e punteggi di candidati a una procedura concorsuale. L’istruttoria è stata avviata a seguito del reclamo di un partecipante che aveva chiesto la rimozione dei propri dati.

Fatti e procedimento

Il reclamante aveva partecipato nel 2021 a una procedura per il reclutamento di personale destinato alle esigenze del programma “Smarter Italy”. Aveva segnalato che sul Portale Amministrazione trasparente di AGID era ancora consultabile l’elenco dei candidati ammessi alla prova orale, nel quale compariva anche lui.

Dopo aver informato AGID che il documento era ancora online, il Garante ha ricevuto dall’Agenzia la conferma della pubblicazione e della successiva rimozione dell’intero documento, avvenuta nelle ore immediatamente successive alla comunicazione. Il Garante ha quindi avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando le violazioni degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice.

AGID ha dichiarato che il documento riportava nome, cognome e punteggio dei candidati e che la permanenza online era dovuta a una “mera svista operativa”, occasionale. Ha riferito che normalmente comunica gli esiti mediante codici identificativi univoci e che, dopo la richiesta dell’interessato, riteneva in buona fede di aver già rimosso i dati, sebbene la sostituzione del documento non fosse stata perfezionata.

Trattamento esaminato e regole sulla pubblicità concorsuale

È stato accertato che sul sito istituzionale di AGID era stato pubblicato l’elenco dei candidati ammessi alla prova orale, con nome, cognome e punteggio di 15 interessati, tra cui il reclamante. L’elenco era rimasto online dal 2021 fino al 23 gennaio 2026, data indicata dal Garante come termine della diffusione; AGID riteneva erroneamente di avere rimosso i dati nel 2025.

Il Garante ha ricordato che le pubbliche amministrazioni possono trattare dati personali nell’ambito delle procedure concorsuali quando il trattamento è necessario per adempiere un obbligo legale o per svolgere un compito di interesse pubblico o esercitare pubblici poteri. Il trattamento deve però avere una base nel diritto dell’Unione o dello Stato membro, perseguire un obiettivo di interesse pubblico ed essere proporzionato, nel rispetto dei principi dell’art. 5 GDPR.

Le disposizioni sulla pubblicità delle procedure concorsuali e sulla trasparenza amministrativa riguardano, in particolare, la pubblicazione delle graduatorie definitive e finali. Il Garante ha richiamato l’art. 19, commi 1 e 2, del d.lgs. 14 marzo 2013, n. 33, nonché l’art. 35 e seguenti del d.lgs. 30 marzo 2001, n. 165, come modificati dal d.l. 14 marzo 2025, n. 25, convertito con modificazioni dalla legge 9 maggio 2025, n. 69; ha inoltre menzionato l’art. 7 del d.P.R. 10 gennaio 1957, n. 3, e il d.P.R. 9 maggio 1994, n. 487. Il quadro normativo successivo richiamato non era comunque applicabile al caso concreto, ma conferma che gli atti endoprocedimentali non devono essere pubblicati online.

Il provvedimento richiama inoltre le Linee guida del Garante del 15 maggio 2014, n. 243, in particolare la parte I e II, paragrafo 3.b, e le Linee guida del 14 giugno 2007, n. 161, sul trattamento dei dati dei lavoratori nel settore pubblico. Sono menzionate anche le FAQ del Garante, condivise con il Dipartimento della Funzione Pubblica, sul trattamento dei dati dei partecipanti alle procedure concorsuali alla luce delle recenti disposizioni normative: secondo la FAQ n. 8, diario delle prove, punteggi, convocazioni ed elenchi dei candidati che hanno superato le prove devono essere messi a disposizione dei partecipanti in un’area riservata, utilizzando le funzionalità del Portale InPA.

Violazioni accertate

Il Garante ha concluso che la pubblicazione dell’elenco dei candidati ammessi alla prova orale era priva di un idoneo presupposto normativo e non conforme ai principi di protezione dei dati. Ha pertanto dichiarato violati:

• l’art. 5, par. 1, lett. a) e c), GDPR, per inosservanza dei principi di liceità, correttezza e trasparenza e di minimizzazione;
• l’art. 6, par. 1, lett. c) ed e), GDPR, per mancanza di una base giuridica idonea alla diffusione;
• l’art. 2-ter, commi 1 e 3, del Codice privacy.

La rimozione del documento dopo la comunicazione dell’Ufficio e la natura occasionale dell’errore non hanno superato i rilievi. Il Garante ha precisato che la violazione non poteva essere considerata “minore”, poiché i dati erano stati diffusi online e la pubblicazione era cessata soltanto dopo l’avvio dell’istruttoria.

Misure correttive e sanzione

Poiché AGID aveva rimosso il documento e gli effetti della condotta erano cessati, il Garante non ha ritenuto necessario adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Per la sanzione ha applicato l’art. 83, par. 3, GDPR, trattandosi di violazioni riconducibili a un’unica condotta, e ha considerato applicabile il regime dell’art. 83, par. 5. Nel determinare l’importo ai sensi dell’art. 83, par. 2, ha valutato la durata del trattamento, il coinvolgimento di 15 interessati, la natura colposa della violazione e la diffusione online di dati comuni, attribuendo alla violazione un’intensità media anche alla luce delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, punto 60.

Sono stati considerati a favore di AGID la rimozione nelle ore successive alla conoscenza della permanenza online, la piena cooperazione con l’Autorità e l’assenza di precedenti violazioni pertinenti nello stesso contesto. La sanzione è stata fissata in 15.000 euro, ritenuti effettivi, proporzionati e dissuasivi ai sensi dell’art. 83, par. 1, GDPR. Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione, anche in ragione della durata della diffusione e dell’assenza di una base giuridica idonea.

Dispositivo, pagamento e impugnazione

Il Garante ha dichiarato illecito il trattamento effettuato da AGID e ha ordinato il pagamento di 15.000 euro. In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, la somma deve essere pagata entro 30 giorni dalla notificazione, secondo le modalità indicate nell’allegato, pena l’avvio degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Resta salva la facoltà di definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 per la proposizione del ricorso.

Il provvedimento e l’ordinanza ingiunzione sono pubblicati sul sito del Garante; le violazioni e le misure sono inoltre annotate nel registro interno dell’Autorità. È possibile proporre opposizione davanti al tribunale ordinario competente entro 30 giorni dalla comunicazione, oppure entro 60 giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.