Ordinanza ingiunzione o revoca n. 340 del 14/05/2026

Comune di Ventasso: pubblicazione illecita dell'elenco degli ammessi a una selezione riservata alle categorie protette

Il provvedimento riguarda il Comune di Ventasso e la diffusione online dell'elenco dei candidati ammessi alla prova scritta di una procedura selettiva per l'assunzione di un esecutore amministrativo, riservata alle categorie protette ai sensi della l. 68/1999. Il Garante ha ritenuto che la pubblicazione abbia determinato una diffusione illecita di dati idonei a rivelare lo stato di salute degli interessati.

Origine del procedimento e attività istruttoria

L'istruttoria è stata avviata a seguito di un reclamo ex art. 77 GDPR e di una segnalazione dell'ANAC. Dagli accertamenti è emerso che sul sito web istituzionale era accessibile l'elenco degli ammessi alla prova scritta, con indicazione di giorno, ora e luogo della convocazione.

Il Comune ha rappresentato che la vicenda si collocava in un contesto di riorganizzazione successivo alla fusione con altri comuni e che la gestione delle procedure concorsuali era stata affidata all'Unione Montana dei Comuni dell'Appennino Reggiano nell'ambito di convenzioni per la gestione associata delle funzioni. Ha inoltre sostenuto che l'Unione fosse titolare del trattamento per tali attività e che la pubblicazione fosse avvenuta per errore, poi rimossa.

Ruoli privacy di Comune e Unione

Il Garante ha ricostruito i ruoli sostanziali delle parti, ritenendo che la procedura fosse stata indetta dal Comune per soddisfare un proprio obbligo di assunzione di soggetti appartenenti alle categorie protette. L'Unione, in base alla convenzione richiamata negli atti, operava come responsabile del trattamento per conto del Comune.

L'Autorità ha richiamato i principi del GDPR in materia di titolare e responsabile, evidenziando che la ripartizione dei ruoli dipende dall'assetto concreto delle attività effettivamente svolte e non dalla sola qualificazione formale contenuta in convenzioni o contratti. La titolarità del trattamento, dunque, restava in capo al Comune, quale ente che perseguiva la finalità pubblica della selezione e della copertura del posto.

Diffusione online e violazione della disciplina sui dati sanitari

Il Garante ha rilevato che la pubblicazione dell'elenco degli ammessi a una procedura riservata alle categorie protette comportava la rivelazione indiretta di dati relativi alla salute. Ha richiamato il divieto di diffusione dei dati sanitari previsto dall'art. 2-septies, comma 8, del Codice privacy e i limiti posti dagli artt. 5, 6 e 9 GDPR.

È stato considerato irrilevante, ai fini dell'illiceità, che l'ente abbia successivamente rimosso il file e che questo sia rimasto accessibile solo tramite link diretto non indicizzato per un certo periodo: la diffusione era comunque avvenuta per un arco temporale significativo e in assenza di un'adeguata base giuridica.

Quadro normativo richiamato

Il provvedimento richiama:

• l'art. 6 GDPR, quale base giuridica del trattamento;
• l'art. 9 GDPR, in tema di categorie particolari di dati;
• l'art. 5 GDPR, per i principi di liceità, correttezza, trasparenza e minimizzazione;
• l'art. 2-ter del Codice privacy, per i trattamenti dei soggetti pubblici;
• l'art. 2-septies, comma 8, del Codice privacy, che vieta la diffusione dei dati relativi alla salute.

Il Garante ha inoltre richiamato la normativa e gli orientamenti in materia di pubblicità dei concorsi pubblici e di pubblicazione online degli atti amministrativi, sottolineando che la trasparenza non autorizza la diffusione di dati eccedenti o vietati.

Valutazione finale e sanzione

L'Autorità ha escluso i presupposti per misure correttive ulteriori, poiché gli effetti della condotta risultavano esauriti con la rimozione del contenuto. Ha tuttavia dichiarato l'illiceità del trattamento e applicato l'art. 83, par. 3, GDPR, ritenendo la violazione unica e riconducibile a un medesimo trattamento.

Ai fini della quantificazione, il Garante ha considerato:

• il numero degli interessati coinvolti, pari a 12;
• la durata della pubblicazione;
• il carattere colposo della violazione e le difficoltà organizzative dell'ente;
• la particolare delicatezza dei dati coinvolti;
• la collaborazione prestata dal Comune;
• l'assenza di precedenti violazioni pertinenti.

La sanzione amministrativa pecuniaria è stata determinata in euro 8.000. È stata inoltre disposta la pubblicazione dell'ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito istituzionale dell'Autorità.