Prescrizioni del Garante n. 44 del 29/01/2026

Federazione Nazionale degli Ordini delle Professioni Infermieristiche: diffusione online di dati di candidati a concorso pubblico

Il Garante ha esaminato un reclamo relativo alla pubblicazione, sul sito istituzionale della Federazione, di atti di una procedura concorsuale contenenti dati personali dell'interessato e di altri candidati, poi risultati indicizzati sui motori di ricerca. Il procedimento è stato avviato a seguito dell'attività istruttoria svolta dall'Autorità e si è concluso con la declaratoria di illiceità del trattamento, senza adozione di misure correttive, poiché i dati erano stati nel frattempo rimossi e deindicizzati.

Origine del reclamo e richieste dell'interessato

L'interessato ha lamentato che atti relativi al concorso pubblico per la copertura di un posto a tempo pieno e indeterminato presso la Federazione contenevano suoi dati personali ed erano stati resi disponibili online e rintracciabili tramite motori di ricerca. Ha quindi esercitato i diritti di cui agli artt. 15-22 GDPR, chiedendo la cancellazione o rimozione dei dati sia dal sito dell'ente sia da Google. La Federazione aveva dato un primo riscontro positivo, dichiarando di aver provveduto alla rimozione dei link, ma al momento del reclamo i dati risultavano ancora indicizzati.

Istruttoria e difese del titolare

Nel corso dell'istruttoria la Federazione ha sostenuto che la pubblicazione degli atti fosse imposta dalla disciplina sulla trasparenza, richiamando in particolare l'art. 19 del d.lgs. 33/2013. Ha affermato di aver pubblicato solo nome e cognome dei candidati e di aver successivamente rimosso dal sito i provvedimenti relativi al concorso. Ha spiegato che la permanenza dell'indicizzazione era dipesa da un inconveniente tecnico e che, una volta rilevato il problema, aveva coinvolto il fornitore del servizio per ottenere l'eliminazione dei collegamenti dai motori di ricerca.

In audizione la Federazione ha aggiunto che, all'epoca dei fatti, non disponeva di risorse e competenze tecniche sufficienti per assicurare la stabilità degli interventi di rimozione, ma che successivamente ha rafforzato l'ufficio privacy, introdotto linee guida interne e procedure sulla pubblicazione di atti contenenti dati personali e svolto attività formative periodiche per il personale.

Quadro normativo richiamato

Il Garante ha ricordato che i soggetti pubblici possono trattare dati personali quando il trattamento sia necessario per adempiere un obbligo legale o per eseguire un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi degli artt. 6, par. 1, lett. c) ed e), 6, par. 3, GDPR e dell'art. 2-ter del Codice. Ha inoltre richiamato i principi generali di cui all'art. 5 GDPR, in particolare liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione e integrità/riservatezza.

Sul piano della trasparenza amministrativa, l'Autorità ha osservato che le disposizioni applicabili alle procedure concorsuali consentono la pubblicazione delle sole graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori, e non anche di atti intermedi quali elenchi degli ammessi, convocazioni alle prove e elenchi degli ammessi o non ammessi alle prove orali. Sono stati richiamati, tra gli altri, l'art. 19 del d.lgs. 33/2013, l'art. 35 e ss. del d.lgs. 165/2001, l'art. 7 del d.P.R. 3/1957 e il d.P.R. 487/1994, nonché le Linee guida del Garante in materia di pubblicità e trasparenza sul web (provv. n. 243/2014).

Valutazione della condotta

Dalle risultanze istruttorie è emerso che la Federazione aveva pubblicato sul proprio sito, per un periodo indicato nel provvedimento con riferimenti omissis, atti del concorso contenenti i dati personali dei candidati, tra cui l'elenco degli ammessi, le date di convocazione alle prove scritte e l'elenco degli ammessi e non ammessi alle prove orali. Tali documenti risultavano anche indicizzati dai motori di ricerca generalisti.

Il Garante ha ritenuto che la pubblicazione di tali atti non fosse giustificata dagli obblighi di trasparenza richiamati dalla Federazione, poiché la normativa invocata non consente la diffusione di documentazione diversa dalle graduatorie finali. Ha inoltre escluso che il bando di concorso potesse costituire base giuridica idonea a derogare alla disciplina sovraordinata in materia di protezione dei dati, richiamando il principio gerarchico delle fonti.

La permanenza dell'indicizzazione sui motori di ricerca, anche dopo la rimozione dal sito, è stata considerata un effetto ulteriore della pubblicazione illecita, idoneo a mantenere la reperibilità dei dati per un tempo indefinito.

Esito del procedimento

Il Garante ha dichiarato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), 6, parr. 2 e 3, lett. b), GDPR e dell'art. 2-ter del Codice. Ha precisato che le violazioni derivavano da un'unica condotta e ha richiamato l'art. 83, par. 3, GDPR; poiché le violazioni ricadono nell'ambito dell'art. 83, par. 5, il massimo edittale teoricamente applicabile è quello di 20.000.000 euro.

Tuttavia, considerato che la Federazione aveva già rimosso i documenti dal proprio sito e ottenuto la deindicizzazione dagli indici dei motori di ricerca, l'Autorità ha ritenuto che non sussistessero i presupposti per misure correttive ai sensi dell'art. 58, par. 2, GDPR.

Dispositivo

Il provvedimento dispone la pubblicazione sul sito internet dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019, nonché l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità ai sensi dell'art. 17 del medesimo Regolamento. È inoltre richiamata la possibilità di proporre ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice e 10 d.lgs. 150/2011.