Prescrizioni del Garante n. 117 del 26/02/2026

Formez PA: pubblicazione illecita della graduatoria concorsuale con dati eccedenti

Il Garante per la protezione dei dati personali ha esaminato i reclami di due partecipanti a un concorso pubblico gestito dal MIMIT e pubblicato online tramite Formez PA, quale responsabile del trattamento. Il procedimento riguarda la diffusione sul web di una graduatoria contenente dati personali eccedenti rispetto alle finalità di trasparenza.

Origine del procedimento

I reclamanti avevano partecipato al concorso pubblico, per titoli ed esami, per 225 posti di personale non dirigenziale di area terza, profilo di funzionario statistico. Hanno segnalato che la graduatoria resa disponibile sul sito di Formez PA riportava dati personali non necessari, tra cui il codice fiscale dei candidati, ed era ancora raggiungibile online tramite link indicati dagli stessi reclamanti.

L'istruttoria ha evidenziato che la graduatoria originaria comprendeva non solo i vincitori ma anche gli idonei, con indicazione di:

• posizione in graduatoria;
• nome e cognome;
• codice fiscale;
• punteggio totale;
• punteggio della prova scritta;
• punteggio della valutazione dei titoli;
• eventuali cause di preferenza o precedenza.

Trattamenti accertati e vicenda della pubblicazione

È stato accertato che la graduatoria era stata pubblicata online da Formez PA nell'interesse del MIMIT, poi rimossa anche a seguito di una richiesta di cancellazione ex art. 17 GDPR rivolta al Ministero. Successivamente era stata pubblicata una seconda versione senza codice fiscale, ma con gli altri dati, e anche questa era stata rimossa in seguito all'avvio dell'istruttoria del Garante.

La graduatoria successivamente disponibile online, a seguito degli scorrimenti, riportava soltanto nome, cognome e punteggio totale dei vincitori.

Quadro normativo richiamato

Il provvedimento richiama:

• gli artt. 5, 6, 9, 24, 25, 28, 57, 58 e 83 GDPR;
• gli artt. 2-ter e 2-septies, comma 8, del Codice privacy;
• l'art. 19 del d.lgs. 33/2013;
• la disciplina sui concorsi pubblici e sulla pubblicità delle graduatorie;
• le Linee guida del Garante del 2014 sulla pubblicità e trasparenza sul web;
• le Linee guida EDPB 07/2020 su titolare e responsabile del trattamento.

Il Garante ha ricordato che la trasparenza amministrativa non comporta automatica diffusione online di tutti i dati personali e che il principio di minimizzazione impone di pubblicare solo i dati necessari.

Valutazioni sulla trasparenza nei concorsi pubblici

L'Autorità ha ribadito che, per i concorsi pubblici, la pubblicazione online è legittima solo nei limiti previsti dalla legge. In particolare:

• per i vincitori, sono pubblicabili nome, cognome, posizione e punteggio finale;
• per gli idonei non vincitori, la pubblicazione online non è dovuta, salvo aggiornamenti con scorrimento della graduatoria;
• il codice fiscale non è necessario ai fini di trasparenza;
• i dettagli dei punteggi intermedi non sono indispensabili;
• l'indicazione delle preferenze/precedenze è eccedente e può far emergere, anche indirettamente, dati particolari o dati relativi alla salute.

Il provvedimento richiama anche precedenti dell'Autorità, gli schemi standard di pubblicazione ANAC e la giurisprudenza amministrativa che conferma la limitazione della diffusione dei dati degli idonei non vincitori.

Responsabilità di Formez PA quale responsabile del trattamento

Formez PA operava in base a una convenzione e a un contratto ex art. 28 GDPR con il MIMIT. Il Garante ha sottolineato che il responsabile del trattamento:

• può trattare dati solo su istruzione documentata del titolare;
• deve avvisare il titolare se ritiene che un'istruzione violi il GDPR o altre norme;
• deve collaborare e fornire le informazioni necessarie a dimostrare il rispetto degli obblighi.

Nel caso concreto, Formez PA non poteva limitarsi a richiamare l'inerzia del Ministero, poiché aveva un dovere autonomo di diligenza qualificata e avrebbe dovuto segnalare l'illiceità della pubblicazione. Il fatto che il titolare fosse a conoscenza delle pubblicazioni non esclude la responsabilità del responsabile.

Esito del provvedimento

Il Garante ha dichiarato l'illiceità del trattamento effettuato da Formez PA per violazione dell'art. 28, par. 3, GDPR, in relazione alla diffusione online dei dati personali dei candidati. Ha ritenuto che non vi fossero i presupposti per ulteriori misure correttive, considerando che la condotta aveva già esaurito i propri effetti e che la versione attualmente reperibile della graduatoria era conforme al criterio di essenzialità.

È stata disposta:

• la pubblicazione del provvedimento sul sito dell'Autorità;
• l'annotazione delle violazioni nel registro interno del Garante.

Non risultano irrogate sanzioni pecuniarie nel testo fornito.