Ordinanza ingiunzione o revoca n. 114 del 26/02/2026

Ministero dell’economia e delle finanze: diffusione online illecita degli elenchi dei candidati ammessi a una prova scritta di concorso pubblico

Il provvedimento riguarda il Ministero dell’economia e delle finanze, in qualità di titolare del trattamento, nell’ambito di un concorso pubblico per il reclutamento di dirigenti di seconda fascia. L’istruttoria è stata avviata a seguito di un reclamo presentato da una candidata, ma l’Autorità ha concentrato l’esame sulla pubblicazione online dei nominativi dei candidati ammessi alla prova scritta, avvenuta tramite il sito di Formez PA e richiamata da un link presente sul sito istituzionale del Ministero.

Origine del procedimento e fatti accertati

La reclamante aveva inizialmente segnalato il rischio che la pubblicazione del proprio nominativo quale candidata esonerata dalla prova preselettiva potesse rivelare il proprio stato di salute. Dalle verifiche dell’Ufficio è emerso tuttavia che il suo nominativo non era contenuto negli elenchi pubblicati e che non risultava provata la divulgazione di dati relativi alla salute dell’interessata.

È stato invece accertato che:

• Formez PA, operando come responsabile del trattamento ai sensi dell’art. 28 GDPR, aveva pubblicato online due file contenenti gli elenchi dei candidati ammessi alla prova scritta, con nome e cognome di oltre trecento candidati;
• il Ministero aveva pubblicato sul proprio sito un link di rinvio al sito di Formez PA, rendendo accessibile a chiunque il contenuto degli elenchi;
• la consultazione non era limitata ai soli partecipanti tramite area riservata, ma avveniva in una sezione del sito accessibile indiscriminatamente.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina applicabile ai trattamenti effettuati da soggetti pubblici nell’ambito di procedure concorsuali o selettive, in particolare:

• art. 5 GDPR, principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della finalità e integrità/riservatezza;
• art. 6, par. 1, lett. c) ed e), GDPR, e art. 2-ter del Codice privacy, quale base giuridica per i trattamenti necessari per obbligo legale o compito di interesse pubblico;
• art. 28, par. 1 e 3, GDPR, in tema di responsabile del trattamento e vigilanza del titolare;
• art. 19 del d.lgs. 33/2013, in materia di obblighi di pubblicazione nei concorsi pubblici;
• le linee guida del Garante in materia di trattamento dei dati online per finalità di trasparenza e i precedenti provvedimenti sul tema.

L’Autorità ha ribadito che la disciplina di settore consente la pubblicazione di alcuni atti e informazioni, ma non legittima la diffusione generalizzata degli esiti intermedi o dei nominativi dei candidati ammessi alle fasi successive, se non nei limiti espressamente previsti dalla legge.

Valutazione sulla diffusione dei dati personali

Il Garante ha ritenuto che la pubblicazione dei nominativi dei candidati ammessi alla prova scritta costituisse una diffusione online di dati personali non prevista dalle norme di settore applicabili. La circostanza che gli elenchi fossero stati inseriti in un contesto richiamato come area dedicata o collegato a un portale concorsuale non è stata ritenuta sufficiente, perché i file erano comunque accessibili a chiunque tramite internet.

L’Autorità ha sottolineato che la diffusione online è particolarmente invasiva, poiché consente indicizzazione, reperibilità immediata e potenziale conservazione indefinita dei dati. Ha inoltre osservato che un bando di concorso non può derogare al quadro normativo di rango primario, e che la più recente disciplina richiamata nel provvedimento conferma la necessità di soluzioni differenziate, come l’accesso riservato ai partecipanti.

Mancato controllo sul responsabile del trattamento

Sul piano organizzativo, il Garante ha rilevato che il Ministero aveva affidato a Formez PA attività di supporto alla procedura concorsuale, prevedendo in convenzione l’uso di un applicativo per la consultazione degli atti e la pubblicazione di contenuti online accessibili con credenziali personali.

Tuttavia, la pubblicazione degli elenchi dei candidati ammessi alla prova scritta è stata considerata frutto di una vigilanza insufficiente da parte del titolare. Il Ministero non ha dimostrato di aver messo in atto controlli adeguati per verificare che il responsabile del trattamento operasse secondo le istruzioni ricevute, né è intervenuto tempestivamente per impedire la diffusione, se non dopo l’avvio dell’istruttoria.

Per questo motivo il Garante ha contestato anche la violazione dell’art. 28, par. 3, GDPR, oltre alla violazione dei principi generali e della base giuridica del trattamento.

Esito del procedimento e sanzione

Il Garante ha ritenuto non sufficienti le difese del Ministero per disporre l’archiviazione e ha accertato l’illiceità del trattamento.

Ai fini sanzionatori ha applicato l’art. 83, par. 3, GDPR, trattandosi di una medesima condotta da cui derivavano più violazioni. Ha poi considerato:

• la durata limitata della pubblicazione;
• il numero elevato di interessati coinvolti, circa trecento;
• l’elemento soggettivo colposo;
• il fatto che non si trattava di dati appartenenti a categorie particolari o relativi a condanne penali;
• la cooperazione del Ministero e l’assenza di precedenti analoghi.

Tenuto conto di tali elementi, ha determinato la sanzione amministrativa pecuniaria in euro 12.000, ritenendola effettiva, proporzionata e dissuasiva.

Misure accessorie e assenza di correttivi

Il Garante ha escluso l’adozione di misure correttive ex art. 58, par. 2, GDPR, perché il trattamento aveva già esaurito i propri effetti: il Ministero aveva rimosso il link dal proprio sito e aveva chiesto a Formez PA la rimozione dei file.

Sono stati invece disposti:

• la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno.

Termini di pagamento e impugnazione

Il Ministero è stato ingiunto di pagare la sanzione entro trenta giorni dalla notifica del provvedimento, con la facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini di legge. Avverso il provvedimento è ammesso ricorso davanti all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.