Prescrizioni del Garante n. 115 del 26/02/2026

Formez PA: pubblicazione illecita degli elenchi dei candidati ammessi a un concorso pubblico

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da Formez PA nell’ambito di un concorso pubblico per dirigenti del Ministero dell’economia e delle finanze. Il procedimento è stato avviato a seguito del reclamo di una candidata, che lamentava il rischio di diffusione di dati relativi al proprio stato di salute; l’istruttoria ha invece accertato una diversa violazione, consistente nella pubblicazione online, in area accessibile a chiunque, degli elenchi nominativi dei candidati ammessi alla prova scritta.

Origine del reclamo e accertamenti iniziali

La reclamante aveva presentato domanda di partecipazione al concorso tramite la piattaforma Step-One 2019 e aveva richiesto l’esonero dalla preselettiva ai sensi dell’art. 20 della legge 104/1992, trasmettendo a Formez PA la documentazione attestante l’invalidità superiore all’80%. Dopo la pubblicazione degli esiti della prova preselettiva, il Ministero aveva rinviato al sito di Formez PA, che conteneva due file PDF denominati "ELENCO IDONEI PROFILO A" e "ELENCO IDONEI PROFILO B", con i nominativi dei candidati ammessi alla prova scritta.

L’Autorità ha verificato che il nominativo della reclamante non risultava presente in alcun elenco pubblicato e che, pertanto, non era provata la diffusione di dati sanitari riferibili alla stessa. La parte del reclamo relativa alla presunta rivelazione dello stato di salute non ha quindi trovato riscontro istruttorio.

Ruolo di Formez PA e del Ministero

Dagli atti è emerso che Formez PA operava in forza di una convenzione con il Ministero dell’economia e delle finanze e agiva come responsabile del trattamento ai sensi dell’art. 28 GDPR. Il bando di concorso indicava espressamente il Ministero quale titolare del trattamento e Formez PA quale responsabile, richiamando l’art. 28 del Regolamento e la disciplina in materia di protezione dei dati.

Nel corso dell’istruttoria, Formez PA ha sostenuto di aver operato secondo le istruzioni ricevute e di aver garantito ai candidati un’area riservata per la consultazione del punteggio e della prova svolta. Ha inoltre affermato di avere rimosso gli elenchi contestati dal sito e di aver avviato una revisione delle proprie procedure. Il Ministero, da parte sua, ha dichiarato di non avere richiesto la pubblicazione specifica degli elenchi e di non aver mai voluto la diffusione dei dati come poi avvenuta.

Violazione dell’art. 28, par. 3, GDPR

Il Garante ha ritenuto che la pubblicazione degli elenchi nominativi in un’area accessibile a chiunque costituisse una violazione dell’art. 28, par. 3, GDPR, perché effettuata in difformità dalle istruzioni documentate del titolare e dalle previsioni della convenzione. In base agli atti, la consultazione degli esiti doveva avvenire tramite accesso selettivo in area riservata ai soli candidati, con credenziali personali, e non tramite semplice pubblicazione sul sito internet.

L’Autorità ha richiamato il principio di accountability del titolare, ma ha chiarito che anche il responsabile del trattamento risponde autonomamente quando agisce in violazione delle istruzioni legittime ricevute. In questo caso, Formez PA, pur operando per conto del Ministero, non avrebbe dovuto intraprendere un’iniziativa non conforme al quadro normativo vigente.

Quadro normativo richiamato

Nel motivare la decisione, il Garante ha richiamato:

• gli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), 6, par. 3 e 28 GDPR;
• l’art. 2-ter del Codice privacy;
• la disciplina di settore sulle procedure concorsuali, in particolare il d.lgs. 165/2001, il d.P.R. 487/1994 e l’art. 19 del d.lgs. 33/2013;
• le Linee guida del Garante del 15 maggio 2014 sulla diffusione online dei dati personali nelle procedure concorsuali;
• le linee guida EDPB 07/2020 sui concetti di titolare e responsabile del trattamento.

L’Autorità ha escluso che il bando di concorso potesse derogare alla normativa di settore o costituire da solo base giuridica sufficiente per la diffusione online degli elenchi. Ha inoltre escluso la rilevanza del consenso dei candidati, richiamando il considerando 43 GDPR, e ha chiarito che l’art. 32 della legge 69/2009 riguarda la pubblicità legale degli atti amministrativi, non la diffusione generalizzata dei dati dei partecipanti a concorsi pubblici.

Rapporto tra trasparenza amministrativa e protezione dei dati

Il provvedimento sottolinea che la normativa sulla trasparenza amministrativa consente la pubblicazione di specifici atti concorsuali, ma non legittima la diffusione indiscriminata degli esiti intermedi con i nominativi dei candidati. Il Garante ha ribadito che, in generale, la pubblicità online è ammessa per le graduatorie finali, mentre per gli atti intermedi deve operare un bilanciamento che eviti interferenze sproporzionate nella sfera privata degli interessati.

È stato anche richiamato il successivo intervento legislativo dell’art. 35-ter, comma 2, del d.lgs. 165/2001, come modificato dal d.l. 25/2025 convertito dalla l. 69/2025, che prevede la pubblicazione in area riservata del diario delle prove, del punteggio e dell’elenco dei candidati che hanno superato la prova, mantenendo la pubblicazione online generalizzata solo per la graduatoria finale.

Esito finale del procedimento

Il Garante ha concluso che la diffusione online, da marzo a una data successiva indicata negli atti, dei dati personali di oltre trecento candidati è avvenuta in assenza di un’idonea base giuridica e in violazione dei principi di liceità, correttezza e trasparenza, nonché dell’art. 28, par. 3, GDPR. Ha quindi rilevato l’illiceità del trattamento.

Non sono state adottate misure correttive ex art. 58, par. 2, GDPR, poiché la condotta aveva già esaurito i propri effetti: gli elenchi erano stati rimossi dal sito e la piattaforma Step-One 2019 risultava dismessa. Il provvedimento dispone la pubblicazione sul sito del Garante e l’annotazione nel registro interno delle violazioni e delle misure adottate. È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 d.lgs. 150/2011.