Ordinanza ingiunzione o revoca n. 634 del 23/09/2026

Pubblicazione illecita di dati nella graduatoria di una borsa di studio

Con il provvedimento n. 634 del 23 settembre 2026, il Garante ha esaminato il reclamo relativo alla pubblicazione sul sito della Fondazione Rome Technopole di una graduatoria per l’assegnazione di borse di studio. L’istruttoria si è conclusa con la dichiarazione di illiceità del trattamento e l’ingiunzione di una sanzione amministrativa pecuniaria.

Reclamo e attività istruttoria

Il reclamante ha riferito che il file della graduatoria, pubblicato in formato Excel, conteneva campi nascosti che rendevano accessibili online dati personali dei candidati. Le informazioni segnalate comprendevano indirizzo di residenza, codice fiscale, data di nascita, indirizzo e-mail, tipo e numero del documento identificativo, atenei e corsi di studio, voto di laurea, banca e IBAN. La Fondazione ha dichiarato di aver rimosso il file circa dodici ore dopo la pubblicazione.

A seguito della richiesta di informazioni, l’Ufficio ha notificato l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la diffusione illecita in violazione degli artt. 5, par. 1, lett. a) e c), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché dell’art. 2-ter, commi 1 e 3, del Codice. La Fondazione ha presentato memorie e partecipato all’audizione, riconducendo l’accaduto a un errore umano e organizzativo: sarebbe stato caricato un file di lavoro, con informazioni non destinate alla pubblicazione, invece di un estratto minimizzato.

Obblighi di pubblicità e dati pubblicabili

La Fondazione aveva giustificato la pubblicazione richiamando l’obbligo di trasparenza previsto dal d.lgs. 33/2013 e, in particolare, dal suo art. 19. Il Garante ha chiarito che tale disposizione prevede la pubblicazione dei bandi e delle graduatorie finali dei concorsi per il reclutamento di personale presso le amministrazioni pubbliche; non riguarda le procedure per l’erogazione di borse di studio.

Il provvedimento precisa inoltre che, anche nell’ambito delle pubblicazioni contemplate dall’art. 19, le informazioni da riportare per ciascun candidato vincitore o idoneo vincitore sono limitate a nome, cognome, eventuale data di nascita — ad esempio in caso di omonimia — e posizione in graduatoria. Devono essere esclusi dati eccedenti quali indirizzo di residenza, IBAN e codice fiscale. Il Garante richiama a questo proposito le FAQ dell’ANAC sull’art. 19 e le proprie FAQ sul trattamento dei dati dei partecipanti alle procedure concorsuali per finalità di pubblicità e trasparenza.

Valutazione del Garante e violazioni

La diffusione online dei dati è avvenuta senza un idoneo presupposto di liceità. La disciplina richiamata dalla Fondazione non autorizzava la pubblicazione della graduatoria della borsa di studio con le informazioni contenute nel file. Il trattamento ha quindi violato il principio di liceità, correttezza e trasparenza e quello di minimizzazione, previsti dall’art. 5, par. 1, lett. a) e c), GDPR; è inoltre risultato privo di una base giuridica conforme all’art. 6, parr. 1, lett. c) ed e), 2 e 3, GDPR e all’art. 2-ter, commi 1 e 3, del Codice.

Il Garante ha ritenuto che le memorie difensive e le dichiarazioni della Fondazione non superassero i rilievi contestati e ha confermato l’illiceità del trattamento. Poiché il file era stato rimosso e la condotta aveva esaurito i propri effetti, non ha ravvisato i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Misure dichiarate dal titolare

La Fondazione ha riferito di aver rimosso il documento, verificato l’assenza di ulteriori copie, chiesto la rimozione di eventuali copie dai motori di ricerca e congelato pubblicazioni non essenziali in attesa della revisione delle procedure. Ha inoltre indicato misure già programmate o in corso di completamento: una procedura interna per le pubblicazioni web e la trasparenza con checklist obbligatoria e doppio controllo; la separazione tra file di lavoro e file minimizzato destinato alla pubblicazione; controlli automatici per individuare stringhe quali codici fiscali, IBAN e numeri di documenti; formazione del personale; aggiornamento delle istruzioni per i gestori del sito e revisione dei profili di autorizzazione. La Fondazione ha anche riferito di aver valutato la gestione dell’evento ai sensi degli artt. 33 e 34 GDPR e di aver deciso di non procedere alla notifica. Il provvedimento non ha imposto ulteriori misure correttive.

Sanzione e criteri di quantificazione

Per le violazioni accertate è applicabile la sanzione prevista dall’art. 83, par. 5, GDPR, ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento e dell’art. 166, comma 2, del Codice. Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato il criterio dell’art. 83, par. 3, secondo cui l’importo complessivo non può superare quello previsto per la violazione più grave. Il limite massimo indicato era di 20.000.000 di euro.

Nel determinare l’importo, il Garante ha considerato che la Fondazione è un soggetto di ridotte dimensioni, che la pubblicazione ha interessato numerosi candidati e che, pur non trattandosi di categorie particolari di dati, erano presenti informazioni di particolare delicatezza, come banca e IBAN. Ha qualificato come medio il livello di gravità, richiamando le Linee guida 4/2022 dell’EDPB sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, del 24 maggio 2023, punto 60. Come circostanze attenuanti ha valutato la durata limitata della diffusione e la rapida rimozione, l’assenza di precedenti violazioni pertinenti, gli impegni di rafforzamento delle misure organizzative e formative e il grado di cooperazione con l’Autorità. La sanzione è stata fissata in 8.000 euro, ritenuti effettivi, proporzionati e dissuasivi ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo, pagamento e impugnazione

Il Garante ha dichiarato illecito il trattamento e ingiunto alla Fondazione il pagamento di 8.000 euro. In base all’art. 166, comma 8, del Codice, la controversia può essere definita pagando entro trenta giorni dalla notifica un importo pari alla metà della sanzione. In caso contrario, gli 8.000 euro devono essere pagati entro trenta giorni dalla notifica, pena l’avvio degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981.

È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, nonché l’annotazione del provvedimento nel registro interno dell’Autorità ai sensi dell’art. 17 dello stesso Regolamento. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.