Ordinanza ingiunzione o revoca n. 550 del 23/07/2026

Illecita pubblicazione online di una graduatoria di avviamento al lavoro

Il Garante, con provvedimento del 23 luglio 2026, ha esaminato il reclamo di un’interessata che aveva chiesto la cancellazione dei propri dati da una graduatoria pubblicata online dall’Agenzia Regionale per il lavoro dell’Emilia-Romagna e la loro deindicizzazione dai motori di ricerca. Il procedimento riguardava una graduatoria formata ai sensi dell’art. 16 della legge n. 56/1987 per l’assunzione a tempo indeterminato di operatori tecnici addetti all’accoglienza presso l’Azienda ospedaliero-universitaria di Bologna – IRCCS Policlinico Sant’Orsola.

Fatto e procedimento

L’Agenzia aveva pubblicato sul proprio sito istituzionale una determinazione contenente i nominativi, in chiaro, di circa 700 iscritti alla procedura. Il documento risultava inoltre indicizzato dai comuni motori di ricerca, cosicché la ricerca del nome e cognome di un interessato consentiva di visualizzare la relativa posizione in graduatoria.

L’interessata aveva esercitato il diritto alla cancellazione ai sensi dell’art. 17, par. 1, GDPR e aveva chiesto la deindicizzazione. L’Agenzia aveva respinto l’istanza, sostenendo che la pubblicazione fosse giustificata da esigenze di trasparenza e dal quadro normativo applicabile alla procedura.

Il Garante ha quindi avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la pubblicazione e indicizzazione dei nominativi in relazione agli artt. 5, 6 e 9 GDPR e agli artt. 2-ter e 2-septies, comma 8, del Codice privacy. L’Agenzia non ha chiesto di essere sentita e ha presentato memorie difensive.

Natura della procedura e posizione dell’Agenzia

L’Agenzia ha sostenuto che la procedura avesse caratteristiche sostanzialmente concorsuali e comparative. In particolare, il Centro per l’impiego avrebbe dovuto verificare l’ammissibilità delle domande, i requisiti autocertificati, i punteggi e i titoli di preferenza, formando una graduatoria definitiva da trasmettere all’ente assumente.

Secondo l’Agenzia, tale impostazione avrebbe giustificato l’applicazione dei principi di trasparenza propri delle procedure di reclutamento pubblico, nonché degli obblighi di pubblicazione previsti dall’art. 19 del d.lgs. n. 33/2013. L’Agenzia ha inoltre richiamato l’art. 26, comma 7, del d.P.R. n. 487/1994, secondo cui la graduatoria deve essere resa pubblica con le stesse modalità previste per il bando di offerta di lavoro.

Base giuridica e principi applicabili

Il Garante ha ricordato che i soggetti pubblici possono trattare dati personali quando il trattamento è necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR, nonché dell’art. 2-ter del Codice.

Anche quando il trattamento è effettuato nell’ambito di procedure di reclutamento o valutazione, devono essere rispettati i principi di:

• liceità, correttezza e trasparenza, di cui all’art. 5, par. 1, lett. a), GDPR;
• minimizzazione dei dati, di cui all’art. 5, par. 1, lett. c), GDPR;
• necessità e proporzionalità rispetto alla finalità perseguita, ai sensi dell’art. 6, par. 3, GDPR;
• tutela rafforzata delle categorie particolari di dati ai sensi dell’art. 9 GDPR e dell’art. 2-septies del Codice.

Inapplicabilità degli obblighi di pubblicazione delle procedure concorsuali

Il Garante ha distinto l’avviamento degli iscritti nelle liste di collocamento dalle procedure selettive di cui all’art. 35, comma 1, lett. a), del d.lgs. n. 165/2001.

L’art. 35, comma 1, lett. b), disciplina infatti una specifica modalità di assunzione mediante avviamento degli iscritti nelle liste di collocamento, distinta dalle procedure selettive ordinarie. Anche il d.P.R. n. 487/1994 dedica a tale modalità uno specifico Capo III, separandola dalla disciplina generale dei concorsi.

Secondo il Garante, l’art. 19 del d.lgs. n. 33/2013, che impone la pubblicazione delle graduatorie finali, si riferisce alle procedure concorsuali derivanti da bandi di concorso per il reclutamento e non alle graduatorie formate mediante avviamento degli iscritti nelle liste di collocamento ai sensi dell’art. 16 l. n. 56/1987.

È stato ritenuto inconferente anche il richiamo all’art. 8, comma 3, del d.lgs. n. 33/2013, utilizzato dall’Agenzia per individuare in cinque anni il periodo di pubblicazione. Non essendo applicabile l’art. 19 del decreto trasparenza, tale disposizione non poteva costituire la base per la diffusione quinquennale dei nominativi.

Significato della pubblicità prevista dal d.P.R. 487/1994

Il Garante ha chiarito che l’art. 26, comma 7, del d.P.R. n. 487/1994, nel prevedere che le graduatorie siano rese pubbliche, non autorizza automaticamente la diffusione online dei dati personali di tutti gli interessati.

Analogamente, l’art. 25, comma 2, del medesimo decreto, che richiama la pubblicazione mediante affissione all’albo degli uffici e delle sezioni interessate, individua una forma di pubblicità circoscritta e non equivale alla pubblicazione sul sito web istituzionale con indicizzazione generalizzata sui motori di ricerca.

La pubblicità deve essere organizzata in modo da consentire all’interessato di verificare la propria posizione e, se necessario, proporre opposizione, senza rendere conoscibili a chiunque i nominativi e le posizioni di tutti i partecipanti.

Diffusione online e minimizzazione

Il Garante ha richiamato le Linee guida del 15 maggio 2014, provvedimento n. 243, sul trattamento dei dati personali contenuti in atti e documenti amministrativi pubblicati sul web. Anche quando una disposizione prevede forme di pubblicità amministrativa, l’amministrazione deve contemperare la conoscibilità degli atti con la riservatezza, l’identità personale, la dignità e gli altri diritti fondamentali degli interessati.

La pubblicazione online, soprattutto quando accompagnata dall’indicizzazione sui motori di ricerca, costituisce una forma di diffusione particolarmente invasiva perché consente a chiunque di reperire, aggregare e utilizzare informazioni personali, anche combinandole con altri dati disponibili sul web. I dati possono inoltre rimanere accessibili per un tempo indefinito, anche dopo la scadenza della finalità originaria.

Il Garante ha indicato come soluzione conforme il ricorso a tecniche di anonimizzazione o pseudonimizzazione tali da rendere conoscibile la posizione esclusivamente all’interessato, attraverso modalità di accesso individuale o altri strumenti equivalenti.

Possibile coinvolgimento di categorie particolari di dati

La graduatoria era formata sulla base degli elementi indicati dall’art. 24 del d.P.R. n. 487/1994 e dalla relativa tabella, che include anche il grado di invalidità tra i criteri utilizzabili.

Sebbene dall’elenco pubblicato non fosse possibile stabilire con certezza la ragione per cui ciascun interessato partecipasse alla procedura, la sola presenza nella graduatoria poteva consentire di associare gli interessati a una condizione di disabilità oppure a una situazione economica o sociale sfavorevole.

Il Garante ha ritenuto che tali informazioni potessero rientrare, direttamente o indirettamente, nell’ambito delle categorie particolari di dati di cui all’art. 9 GDPR o comunque rivelare aspetti soggettivi delicati. La pubblicazione online poteva pertanto arrecare pregiudizio alla dignità degli interessati.

È stato richiamato anche l’art. 2-septies, comma 8, del Codice, che vieta la diffusione dei dati relativi alla salute. Il Garante ha ricordato che, per graduatorie riferite a categorie protette, non è consentita la diffusione dei nominativi degli aventi diritto al collocamento obbligatorio, non potendo generiche esigenze di trasparenza giustificare la pubblicazione.

Violazioni accertate

Il Garante ha accertato che la pubblicazione della determinazione con i nominativi in chiaro e la sua indicizzazione sui motori di ricerca erano avvenute senza una specifica e idonea base giuridica.

Le violazioni accertate hanno riguardato:

• l’art. 5 GDPR, per inosservanza dei principi di liceità, correttezza, trasparenza e minimizzazione;
• l’art. 6 GDPR, per mancanza di una base giuridica idonea alla diffusione online;
• l’art. 9 GDPR, per il coinvolgimento, anche indiretto, di dati appartenenti a categorie particolari;
• l’art. 2-ter del Codice, in relazione alla base giuridica dei trattamenti effettuati da soggetti pubblici;
• l’art. 2-septies, comma 8, del Codice, in relazione al divieto di diffusione dei dati relativi alla salute.

Il Garante ha riconosciuto che la normativa di settore, risalente e non caratterizzata da indicazioni operative puntuali, poteva aver contribuito all’errata interpretazione dell’Agenzia. Ciò non ha tuttavia escluso l’illiceità del trattamento, anche perché l’Agenzia non aveva tenuto conto delle indicazioni già fornite dal Garante in materia di pubblicazione online dei dati personali.

Misure adottate e assenza di ulteriori misure correttive

Dopo aver ricevuto la comunicazione di avvio dell’istruttoria, l’Agenzia ha rimosso dal sito la determinazione contestata e ha provveduto a richiedere la deindicizzazione dei dati dai motori di ricerca.

Poiché la condotta aveva esaurito i propri effetti, il Garante ha ritenuto non necessario adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione e criteri di quantificazione

La violazione è stata considerata un’unica condotta, costituita da trattamenti collegati. È stato quindi applicato l’art. 83, par. 3, GDPR, secondo cui l’importo complessivo della sanzione non può superare quello previsto per la violazione più grave.

Poiché le violazioni degli artt. 5, 6 e 9 GDPR e delle corrispondenti disposizioni del Codice rientrano nel regime dell’art. 83, par. 5, GDPR, il limite massimo astratto era pari a 20 milioni di euro.

Il livello di gravità è stato qualificato come medio, tenendo conto dei seguenti elementi:

• pubblicazione dei dati di circa 700 interessati;
• durata del trattamento, dal periodo indicato negli atti fino alla rimozione;
• diffusione indiretta di dati riconducibili a categorie particolari;
• buona fede dell’Agenzia e convinzione erronea di agire in conformità alla disciplina di settore;
• mancata considerazione delle indicazioni già fornite dal Garante.

Sono state considerate circostanze attenuanti:

• la rimozione dei dati dal sito e la richiesta di deindicizzazione;
• l’adozione di iniziative tecniche e organizzative per conformarsi alla normativa;
• la piena cooperazione con l’Autorità;
• l’assenza di precedenti violazioni pertinenti della medesima natura.

Alla luce della valutazione complessiva dei criteri di cui all’art. 83, par. 2, GDPR, il Garante ha determinato la sanzione in 30.000 euro, ritenendola effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo e adempimenti

Il Garante ha ordinato all’Agenzia Regionale per il lavoro dell’Emilia-Romagna il pagamento di 30.000 euro ai sensi dell’art. 58, par. 2, lett. i), GDPR.

Il pagamento deve essere effettuato entro 30 giorni dalla notifica del provvedimento, secondo le modalità indicate nell’allegato, a pena dell’adozione degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. L’Agenzia può definire la controversia mediante il pagamento della metà della sanzione entro il termine previsto per la proposizione del ricorso, ai sensi dell’art. 166, comma 8, del Codice.

Sono state inoltre disposte:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.