Prescrizioni del Garante n. 195 del 17/05/2023

Link Campus University: pubblicazione online di verbali di procedura selettiva e mancata comunicazione dei dati del RPD

Il Garante ha esaminato il reclamo di un candidato a una procedura selettiva per un posto di ricercatore a tempo determinato presso la Link Campus University. Il reclamo riguardava la pubblicazione sul sito istituzionale di verbali contenenti i dati identificativi del candidato e le valutazioni della commissione esaminatrice, nonché la permanenza online di tali documenti dopo la conclusione della procedura.

Fatti e origine del procedimento

Il reclamante ha lamentato l’"illecita pubblicazione" dei propri dati personali in atti di una procedura di valutazione comparativa, osservando che i verbali non avevano più ragione di restare pubblicati una volta definiti gli esiti della procedura e in assenza di contenzioso.

L’Università ha chiarito che il trattamento dei dati era stato effettuato per la gestione della procedura selettiva, per la pubblicità degli atti e per l’eventuale conferimento del contratto, richiamando:

• il bando di selezione e l’informativa resa ai candidati;
• l’art. 24 della l. 240/2010;
• il regolamento interno di Ateneo, che prevedeva la pubblicazione della relazione riassuntiva finale con giudizi e punteggi.

Nel corso dell’istruttoria l’Ateneo ha inoltre precisato di aver nominato un Responsabile della protezione dei dati, ma di non aver comunicato all’Autorità i relativi dati di contatto. Successivamente ha provveduto sia alla rimozione dei verbali dal sito sia alla registrazione telematica del nuovo RPD.

Valutazioni del Garante sulla diffusione dei verbali

Il Garante ha ricordato che per le pubbliche amministrazioni la diffusione di dati personali online è lecita solo se prevista da una norma di legge o, nei casi previsti, da un regolamento ai sensi dell’art. 2-ter del Codice privacy. In ambito concorsuale e selettivo, la disciplina generale e quella in materia di trasparenza consentono la pubblicazione delle sole graduatorie finali e di specifici atti, non la diffusione indiscriminata di verbali contenenti dati personali e giudizi sui candidati.

L’Autorità ha quindi escluso che le norme richiamate dall’Ateneo potessero fondare la pubblicazione dei verbali:

• l’art. 24 della l. 240/2010 disciplina le procedure pubbliche di selezione dei ricercatori, ma non attribuisce agli atenei il potere di stabilire autonomamente la pubblicazione degli atti intermedi;
• il regolamento di Ateneo non poteva derogare alla disciplina generale in mancanza di una base legislativa specifica;
• l’art. 16 della l. 240/2010, richiamato dall’Ateneo, riguardava invece l’abilitazione scientifica nazionale e non la procedura in esame.

Il Garante ha inoltre evidenziato che l’informativa resa ai candidati sulla pubblicità degli atti non era sufficiente, da sola, a legittimare la diffusione online dei dati.

Violazioni accertate

L’Autorità ha concluso che la pubblicazione dei verbali con i dati del reclamante e degli altri partecipanti era avvenuta in assenza di adeguata base giuridica e in violazione del principio di liceità, correttezza e trasparenza.

In particolare, sono state ravvisate le violazioni di:

• art. 5, par. 1, lett. a), GDPR;
• art. 6, par. 1, lett. c) ed e), par. 2 e 3, lett. b), GDPR;
• art. 2-ter del Codice privacy.

È stata inoltre accertata la violazione dell’art. 37, par. 7, GDPR per la mancata comunicazione al Garante dei dati di contatto del Responsabile della protezione dei dati, pur nominato dall’Ateneo.

Sanzione, ammonimento e ragioni della decisione

Pur rilevando l’illiceità del trattamento, il Garante ha ritenuto che il caso potesse essere qualificato come "violazione minore" ai sensi del considerando 148 GDPR, valorizzando:

• il numero limitato di interessati coinvolti, pari a nove;
• l’assenza di dati particolari ex art. 9 GDPR;
• la buona fede dell’Ateneo;
• la collaborazione prestata nel corso dell’istruttoria;
• la rimozione spontanea dei verbali dal sito;
• l’adeguamento del regolamento interno, limitando la pubblicazione ai soli risultati finali;
• l’assenza di precedenti pertinenti.

Alla luce di tali elementi, l’Autorità ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare sanzioni pecuniarie né ulteriori misure correttive, anche perché la condotta aveva già esaurito i propri effetti.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla Link Campus University;
• ammonito l’Ateneo per la violazione delle disposizioni richiamate;
• preso atto che ricorrevano i presupposti di cui all’art. 17 del regolamento del Garante n. 1/2019.

È stato infine ricordato che avverso il provvedimento è proponibile ricorso all’autorità giudiziaria ordinaria nei termini di legge.