Ordinanza ingiunzione o revoca n. 372 del 20/06/2024

Comune di Nepi - diffusione online di graduatoria concorsuale e mancata nomina ex art. 28 GDPR

Il provvedimento riguarda il Comune di Nepi, destinatario di reclamo ex art. 77 GDPR per la pubblicazione online di una graduatoria di prova preselettiva di concorso pubblico e per la gestione del sito istituzionale senza adeguata regolamentazione del rapporto con il fornitore esterno. L’istruttoria ha portato all’accertamento di due distinte violazioni e all’irrogazione di una sanzione amministrativa pecuniaria complessiva.

Origine del procedimento e attività istruttoria

La reclamante ha lamentato la reperibilità online, nonostante le richieste di rimozione, della graduatoria formata a seguito della prova preselettiva di un concorso pubblico indetto dal Comune di Nepi, con l’elenco degli ammessi e dei non ammessi. L’Autorità ha anche rilevato che il Comune non aveva inizialmente regolamentato, ai sensi dell’art. 28 GDPR, il rapporto con Grafiche E. Gaspari S.r.l., società incaricata della gestione del sito web istituzionale e dei relativi contenuti.

Nel corso dell’istruttoria il Comune ha fornito più riscontri, sostenendo inizialmente che il contenuto era stato rimosso e che la pubblicazione era avvenuta in applicazione della normativa sulla trasparenza. Successivamente ha chiarito che la graduatoria era stata pubblicata nella sezione "Amministrazione trasparente" dal 28 settembre 2016 al 31 dicembre 2021 e nella sezione "Notizie" dal 3 febbraio 2015 al 18 febbraio 2022, con errore dovuto anche alla migrazione della piattaforma e alla nomenclatura dei link. Solo in data 3 novembre 2022 è stato prodotto un accordo ex art. 28 GDPR con il fornitore.

Quadro normativo richiamato

Il Garante richiama i principi generali del GDPR, in particolare:

• art. 5, par. 1, lett. a), principio di liceità, correttezza e trasparenza;
• art. 6, par. 1, lett. c) ed e), basi giuridiche del trattamento;
• art. 6, par. 3, e art. 2-ter del Codice privacy, in tema di base normativa per i trattamenti effettuati da soggetti pubblici;
• art. 28 GDPR, sul rapporto tra titolare e responsabile del trattamento.

Vengono inoltre richiamate le norme di settore in materia di pubblicità delle procedure concorsuali e trasparenza amministrativa, tra cui l’art. 19 del d.lgs. 33/2013 e l’art. 15 del d.P.R. 487/1994, nonché le linee guida del Garante del 2014 sulla pubblicità e trasparenza online.

Diffusione illecita della graduatoria concorsuale

L’Autorità ha accertato che il Comune ha pubblicato online la nota con cui era stata approvata la graduatoria della prova preselettiva, contenente i nominativi di 33 candidati ammessi e 178 non ammessi alla prova scritta, tra i quali la reclamante. Il documento è rimasto accessibile per un lungo periodo, sia nella sezione "Notizie" del sito sia nella sezione "Amministrazione trasparente".

Il Garante ha osservato che la normativa invocata dal Comune consente, in generale, la pubblicità delle graduatorie finali dei vincitori, ma non degli esiti intermedi né dei dati dei candidati non vincitori o non ammessi. Ne consegue che la diffusione online dei dati personali in questione non era sorretta da una idonea base giuridica, in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice.

Mancata regolamentazione del rapporto con la società incaricata del sito

Il provvedimento evidenzia che il Comune si è avvalso per un lungo periodo di un soggetto esterno per la gestione del sito istituzionale, ma il relativo rapporto, sotto il profilo della protezione dei dati, è stato disciplinato solo con accordo sottoscritto il 3 novembre 2022. Prima di tale data mancava un atto conforme all’art. 28 GDPR, con indicazione delle istruzioni documentate, dell’oggetto, durata, natura e finalità del trattamento, del tipo di dati e delle categorie di interessati.

Il Garante ritiene che, in assenza di tale regolamentazione, il Comune abbia messo a disposizione del fornitore dati personali degli utenti del sito e di altri interessati in violazione del principio di liceità e della disciplina sul responsabile del trattamento. Non sono stati ritenuti sufficienti i documenti prodotti successivamente, perché non sottoscritti, non datati o privi di chiari riferimenti ai rapporti contrattuali in essere.

Valutazione delle difese e aggravanti/attenuanti

Il Comune ha sostenuto di aver agito in buona fede, nell’erronea convinzione che la normativa sulla trasparenza imponesse la pubblicazione della graduatoria, e ha evidenziato la propria ridotta dimensione organizzativa, la carenza di organico e la successiva attività di sensibilizzazione del personale. Ha anche affermato che si trattava di un episodio isolato e che non risultavano danni o azioni giudiziarie da parte degli interessati.

Il Garante ha riconosciuto la buona cooperazione prestata, l’assenza di precedenti specifici e le dimensioni ridotte dell’ente come elementi attenuanti ai fini sanzionatori, ma ha comunque confermato l’illiceità dei trattamenti. Quanto alla pubblicazione della graduatoria, ha valorizzato la lunga durata della diffusione e il numero elevato di interessati coinvolti; quanto alla mancata regolamentazione ex art. 28 GDPR, ha considerato il protrarsi nel tempo della situazione irregolare.

Sanzione amministrativa e misure accessorie

Per la condotta relativa alla diffusione online della graduatoria, il Garante ha quantificato la sanzione in 8.000 euro, ritenendola effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR. Per la violazione connessa alla mancata regolamentazione del rapporto con il fornitore, la sanzione è stata determinata in 12.000 euro. L’importo totale ingiunto al Comune di Nepi è dunque pari a 20.000 euro.

È stata disposta anche la pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, oltre all’annotazione nel registro interno dell’Autorità. Il provvedimento richiama infine la possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice e l’ordinario rimedio giurisdizionale davanti all’autorità giudiziaria ordinaria.