Ordinanza ingiunzione o revoca n. 83 del 23/03/2023

Consiglio Nazionale dell'Ordine degli Assistenti Sociali: pubblicazione di graduatoria concorsuale ed esclusione del candidato

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un partecipante a una procedura concorsuale bandita dal Consiglio Nazionale dell'Ordine degli Assistenti Sociali, concernente la pubblicazione sul sito istituzionale della graduatoria finale, di una delibera di esclusione e della successiva graduatoria rettificata. Il procedimento è stato avviato a seguito della contestazione dell'interessato circa la possibile identificazione, tramite la lettura congiunta degli atti pubblicati, del fatto che egli fosse stato escluso dalla procedura per ragioni connesse a pregresse condanne penali.

Fatti e contenuto del reclamo

Il reclamante ha riferito che il Consiglio aveva pubblicato:

• la graduatoria finale del concorso, in cui egli figurava come idoneo non vincitore;
• una delibera finalizzata all'adozione del provvedimento di esclusione, con oscuramento del nome e delle motivazioni;
• una graduatoria rettificata, priva del suo nominativo.

Secondo l'interessato, la combinazione di tali documenti avrebbe consentito di ricavare l'esistenza del suo esclusione dalla procedura e, indirettamente, anche la presenza di dati relativi a condanne penali e reati.

Istruttoria e difese del titolare del trattamento

Nel corso dell'istruttoria il Consiglio ha sostenuto di avere agito in conformità agli obblighi di pubblicazione previsti dalla normativa sulla trasparenza amministrativa e sui concorsi pubblici. In particolare ha richiamato il d.lgs. 33/2013, l'art. 19 in tema di graduatorie e aggiornamenti, nonché la disciplina sulla pubblicità legale degli atti amministrativi. Ha affermato che:

• il nominativo del reclamante compariva solo nella graduatoria finale;
• la delibera di esclusione era stata pubblicata con adeguati omissis;
• la prima graduatoria era stata rimossa e sostituita da quella rettificata;
• erano state eliminate anche le indicizzazioni sui motori di ricerca.

Il Consiglio ha inoltre sostenuto che, per effetto delle omissioni, nessun lettore avrebbe potuto risalire a dati giudiziari o alla specifica ragione dell'esclusione.

Quadro normativo richiamato dal Garante

L'Autorità ha richiamato il quadro normativo applicabile ai soggetti pubblici, rilevando che il trattamento è lecito quando necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'art. 6, parr. 1, lett. e), 2 e 3, e, per i dati particolari, dell'art. 9, par. 2, lett. g), GDPR, nonché dell'art. 2-ter del Codice privacy nel testo vigente all'epoca dei fatti. È stato inoltre evidenziato che la diffusione di dati personali da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o, nei casi previsti, di regolamento.

Il Garante ha poi richiamato i principi di:

• liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a), GDPR;
• minimizzazione dei dati, ex art. 5, par. 1, lett. c), GDPR.

Sono state richiamate anche le linee guida del 2014 in materia di trattamento di dati personali per finalità di pubblicità e trasparenza sul web e quelle del 2007 sul trattamento di dati dei lavoratori nel pubblico impiego.

Valutazione sulla pubblicazione della graduatoria

Il Garante ha rilevato che la disciplina di settore in materia di concorsi pubblici prevede la pubblicazione delle graduatorie finali e, in generale, degli atti necessari a consentire la tutela degli interessati e il controllo sulla legittimità dell'azione amministrativa. Tuttavia, ha osservato che:

• la pubblicazione riguarda le sole graduatorie definitive dei vincitori e gli eventuali aggiornamenti conseguenti allo scorrimento;
• non è prevista la diffusione dei dati dei candidati non vincitori o non ammessi oltre quanto strettamente necessario;
• l'obbligo di trasparenza non giustifica la pubblicazione di una graduatoria contenente i dati di candidati idonei non vincitori in assenza di effettivo scorrimento.

Nel caso di specie, il Consiglio aveva pubblicato una graduatoria comprendente il candidato vincitore e quattro candidati idonei non vincitori, con indicazione dei rispettivi punteggi, senza che fosse intervenuto uno scorrimento. Tale diffusione è stata ritenuta eccedente e priva di base giuridica idonea.

Identificabilità indiretta attraverso la combinazione degli atti

L'Autorità ha ritenuto che, sebbene la delibera e la graduatoria rettificata non riportassero in chiaro il nome del reclamante, l'interessato potesse essere comunque identificato indirettamente mediante il confronto tra:

• la graduatoria originaria, in cui il suo nominativo era presente;
• la graduatoria rettificata, in cui il nominativo non compariva più;
• la delibera recante il mandato al Presidente a disporre l'esclusione dalla graduatoria.

In questo modo risultava conoscibile il fatto che uno dei candidati idonei fosse stato escluso. Richiamando il concetto di identificabilità anche per correlazione e deduzione, il Garante ha concluso che la combinazione dei documenti pubblicati ha determinato una diffusione illecita di dati personali del reclamante e di altri tre interessati.

Esclusione della violazione relativa ai dati giudiziari

Diversamente, l'Autorità ha escluso che la condotta integrasse diffusione di dati relativi a condanne penali e reati ex art. 10 GDPR. Poiché nei documenti pubblicati non era riportata la specifica motivazione dell'esclusione, non era possibile desumere dal solo contenuto online la natura giudiziaria del presupposto richiamato dal reclamante. Su questo punto il reclamo è stato archiviato.

Violazioni accertate e sanzione

Il Garante ha dichiarato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell'art. 2-ter del Codice privacy nel testo applicabile ratione temporis. Ha ritenuto che la violazione fosse sanzionabile ai sensi dell'art. 83, par. 5, GDPR, applicando una sanzione amministrativa pecuniaria di 3.000 euro.

Nella determinazione dell'importo sono stati considerati, ai sensi dell'art. 83, par. 2, GDPR:

• la precedente diffusione di indicazioni del Garante sul tema;
• il numero limitato di interessati coinvolti;
• la natura colposa della violazione e la buona fede dell'ente;
• la presumibile limitata platea dei soggetti che hanno consultato e correlato gli atti;
• le ridotte dimensioni dell'ente e la limitata dotazione organica;
• la collaborazione prestata all'Autorità;
• le iniziative interne adottate per rafforzare la compliance privacy;
• l'assenza di precedenti violazioni o provvedimenti pertinenti.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva.

Misure ulteriori e pubblicazione del provvedimento

Poiché la diffusione dei dati personali era già cessata, non sono state disposte ulteriori misure correttive ai sensi dell'art. 58, par. 2, GDPR. È stata invece disposta la pubblicazione del provvedimento sul sito dell'Autorità ai sensi dell'art. 166, comma 7, del Codice privacy.

Il provvedimento ricorda infine la possibilità di proporre ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. 150/2011.