Ordinanza ingiunzione o revoca n. 116 del 26/02/2026

MIMIT - pubblicazione online di graduatoria concorsuale con dati eccedenti e tardivo riscontro a istanza di cancellazione

Il provvedimento riguarda il Ministero delle Imprese e del Made in Italy, in relazione alla pubblicazione online di una graduatoria finale di concorso pubblico gestita tramite Formez PA e alla gestione di una richiesta di cancellazione ex art. 17 GDPR presentata da un partecipante. L'Autorità ha ritenuto illecito il trattamento per diffusione di dati non necessari e per il ritardato riscontro all'istanza dell'interessato.

Origine del procedimento e fatti esaminati

I reclami hanno riguardato il concorso pubblico, per titoli ed esami, per 225 posti di personale non dirigenziale di area terza, profilo di funzionario statistico. I reclamanti lamentavano la pubblicazione online della graduatoria sul sito di Formez PA, nell'interesse del MIMIT, con dati personali eccedenti, in particolare il codice fiscale, oltre a punteggi intermedi e indicazioni sulle cause di preferenza/precedenza. Uno dei reclamanti lamentava anche il mancato tempestivo riscontro a una richiesta di cancellazione e ad altri diritti ex artt. 15-22 GDPR.

L'istruttoria ha accertato che la graduatoria originaria era ancora raggiungibile online in una prima versione con:

• nome e cognome;
• codice fiscale;
• posizione in graduatoria;
• punteggio totale;
• punteggio della prova scritta;
• punteggio dei titoli;
• indicazione della sussistenza di cause di preferenza/precedenza.

È emerso inoltre che la graduatoria era stata prima rimossa e sostituita con una versione priva del codice fiscale, ma ancora contenente gli altri dati, e poi ulteriormente rimossa. L'ultima versione reperibile online risultava limitata a nome, cognome e punteggio totale dei soli vincitori.

Quadro normativo richiamato

Il Garante ha richiamato gli artt. 5, 6, 9, 12 e 28 del GDPR, nonché gli artt. 2-ter e 2-septies, comma 8, del Codice privacy. Per il tema della pubblicità delle graduatorie concorsuali e della trasparenza amministrativa sono stati richiamati, tra gli altri:

• art. 7 del d.P.R. n. 3/1957;
• art. 15 del d.P.R. n. 487/1994, nel testo applicabile ratione temporis;
• art. 19 del d.lgs. n. 33/2013;
• art. 35, comma 5-quater, del d.lgs. n. 165/2001, quale disciplina sopravvenuta ma non applicabile ai fatti.

È stata richiamata anche la disciplina sui dati relativi alla salute e il divieto di diffusione di dati particolari, oltre ai principi di liceità, correttezza, trasparenza e minimizzazione dei dati.

Valutazioni sulla pubblicazione della graduatoria

Il Garante ha ribadito che la pubblicità delle procedure concorsuali non comporta un automatismo nella diffusione online di tutti i dati contenuti nelle graduatorie. La finalità di trasparenza impone un bilanciamento con la protezione dei dati personali e il rispetto del principio di minimizzazione.

Secondo l'Autorità:

• per i vincitori, la pubblicazione può riguardare nome, cognome e punteggio finale;
• per gli idonei non vincitori, nella disciplina applicabile al caso di specie non era giustificata la diffusione online della graduatoria completa;
• dati ulteriori, diversi da quelli strettamente necessari, potevano essere conosciuti dagli interessati solo tramite accesso documentale, ove ne ricorressero i presupposti.

È stata inoltre esclusa la possibilità di trasporre sul sito istituzionale, in modo indiscriminato, forme di pubblicità legale previste da normative più risalenti, poiché la diffusione via Internet ha un impatto molto più invasivo e permanente.

Dati relativi a preferenza/precedenza e possibile incidentalità di dati sulla salute

L'indicazione della presenza o assenza di cause di preferenza/precedenza è stata ritenuta eccedente rispetto alla finalità di pubblicità e trasparenza. Anche se la graduatoria non indicava la specifica causa, l'annotazione associava al candidato condizioni soggettive riconducibili a categorie previste dalla legge, come numero di figli, lodevole servizio o, in taluni casi, condizioni che possono rivelare indirettamente dati sulla salute del candidato o dei familiari.

Il Garante ha richiamato precedenti in materia, evidenziando che la diffusione online di tali informazioni non è consentita, pur essendo esse utilizzabili dall'amministrazione per la formazione e l'aggiornamento della graduatoria.

Riscontro tardivo all'istanza di cancellazione

Quanto alla richiesta di cancellazione, il Ministero ha fornito riscontro solo dopo l'avvio dell'istruttoria dell'Autorità. Il Garante ha rilevato la violazione dell'art. 12 GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese.

L'Autorità ha ritenuto non decisivo che la richiesta riguardasse dati pubblicati da un soggetto terzo su un sito estraneo alla sfera di controllo del Ministero, poiché il titolare era comunque tenuto a dare un riscontro tempestivo all'interessato.

Accertamento dell'illiceità e sanzione

Il Garante ha concluso che il trattamento, effettuato nell'ambito della pubblicazione della graduatoria, era illecito per violazione degli artt. 5, par. 1, lett. a) e c), 6, 9 e 12 GDPR, nonché degli artt. 2-ter e 2-septies, comma 8, del Codice.

Ai fini sanzionatori è stata applicata l'art. 83, par. 3, GDPR, trattandosi di condotte collegate nell'ambito di un unico trattamento. Tenuto conto dei criteri di cui all'art. 83, par. 2, sono stati valorizzati:

• la durata del trattamento, protrattosi per circa un anno;
• il numero degli interessati coinvolti, pari a 133 persone;
• il carattere colposo della violazione;
• la presenza di dati potenzialmente sensibili o comunque delicati;
• la pubblicazione, seppure per un periodo limitato, del codice fiscale;
• la cooperazione del Ministero;
• l'assenza di precedenti specifici.

La sanzione è stata determinata in euro 15.000,00.

Dispositivo

Il Garante ha:

• dichiarato l'illiceità del trattamento effettuato dal MIMIT;
• ordinato il pagamento della sanzione di euro 15.000,00;
• ricordato la facoltà di definire la controversia con il pagamento in misura pari alla metà della sanzione entro 30 giorni, ai sensi dell'art. 166, comma 8, del Codice;
• ingiunto il pagamento entro 30 giorni dalla notificazione in caso di mancata definizione;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito web del Garante e la pubblicazione del provvedimento;
• disposto l'annotazione delle violazioni nel registro interno dell'Autorità.

È stata infine richiamata la possibilità di proporre ricorso davanti all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.