Prescrizioni del Garante n. 47 del 23/02/2023

Banca d'Italia - ammonimento per comunicazione illecita di indirizzi e-mail dei candidati in un concorso pubblico

Il Garante ha esaminato un episodio occorso nell'ambito della gestione di un concorso pubblico bandito da Banca d'Italia per 19 Esperti con orientamento nelle discipline giuridiche. Durante l'invio di una comunicazione massiva ai candidati, una delle e-mail conteneva in chiaro gli indirizzi di posta elettronica dei destinatari, rendendoli visibili agli altri partecipanti del medesimo invio.

Origine della segnalazione e attività istruttoria

La vicenda è emersa a seguito di una segnalazione indirizzata all'Autorità. La comunicazione contestata proveniva dall'indirizzo di posta elettronica riconducibile al Team Selezioni e reclutamento della Banca e aveva ad oggetto indicazioni organizzative per lo svolgimento della prova preselettiva presso la Fiera di Roma, con riferimento anche alle misure di contenimento del contagio da COVID-19.

Nel corso dell'istruttoria, la Banca ha riferito che:

• l'invio era stato effettuato in rapida successione tramite 8 e-mail massive, suddividendo i 5.528 partecipanti in gruppi;
• solo in una delle e-mail, per errore materiale, gli indirizzi erano stati inseriti nel campo dei destinatari anziché in copia nascosta;
• la procedura ordinaria prevedeva l'estrazione degli indirizzi dalla base dati del concorso, il loro inserimento in Ccn e la trasmissione di testi limitati a informazioni generali;
• l'operatore non aveva segnalato l'errore ai responsabili, impedendo l'attivazione immediata della procedura interna di gestione dei data breach;
• dopo la richiesta di informazioni dell'Autorità, erano state adottate ulteriori misure organizzative e tecniche e informati i destinatari di non divulgare o riutilizzare gli indirizzi visibili.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina GDPR e la normativa nazionale, rilevando che i soggetti pubblici possono trattare dati personali nelle procedure concorsuali quando il trattamento è necessario:

• per adempiere un obbligo legale, ai sensi dell'art. 6, par. 1, lett. c), GDPR;
• per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'art. 6, par. 1, lett. e), GDPR e dell'art. 2-ter del Codice privacy.

Ha inoltre evidenziato la centralità dei principi di cui all'art. 5 GDPR, in particolare del principio di liceità, correttezza e trasparenza.

Valutazioni del Garante sulla comunicazione dei dati

Secondo l'Autorità, l'invio del messaggio con gli indirizzi visibili ha determinato una comunicazione di dati personali a soggetti terzi non legittimati a conoscerli. La circostanza ha comportato anche la reciproca conoscibilità, tra i destinatari, della partecipazione al concorso.

Il Garante ha escluso che potesse essere invocato il consenso degli interessati come base giuridica del trattamento, richiamando il considerando 43 GDPR e un precedente provvedimento che afferma come i trattamenti relativi ai concorsi pubblici trovino il proprio fondamento nella disciplina di settore, non nel consenso. Ha inoltre rilevato che in numerosi casi gli indirizzi e-mail riportavano nome, cognome, iniziali o altri elementi idonei a rendere identificabili i candidati.

Circostanze attenuanti e misure adottate

Pur ritenendo il trattamento illecito, il Garante ha valorizzato diversi elementi favorevoli alla titolarità:

• si è trattato di un episodio isolato e dovuto a errore umano;
• la comunicazione era di carattere generale e non conteneva dati particolari ex art. 9 GDPR;
• l'episodio è avvenuto in una fase ancora critica per la gestione dei concorsi, in presenza della persistente circolazione del virus SARS-CoV-2;
• la Banca ha invitato i destinatari a cancellare il messaggio e a non divulgare gli indirizzi;
• sono state rafforzate le procedure di controllo, compreso il controllo "four eyes";
• sono state introdotte ulteriori misure tecniche e organizzative, tra cui la limitazione dell'invio autonomo da parte di alcuni addetti e l'abilitazione all'invio solo di tre soggetti distinti da chi predispone le e-mail.

Esito del procedimento

L'Autorità ha dichiarato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell'art. 2-ter del Codice privacy. Ha tuttavia qualificato il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni amministrative, ritenendo sufficiente un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR.

Il Garante ha escluso l'adozione di ulteriori misure correttive, osservando che la condotta aveva esaurito i suoi effetti. Non è stata irrogata una sanzione pecuniaria.

Implicazioni operative

Il provvedimento conferma che, nelle comunicazioni massive rivolte ai candidati di procedure selettive pubbliche, l'uso del campo Ccn è una misura essenziale di minimizzazione del rischio. Resta centrale l'obbligo del titolare di organizzare processi e controlli idonei a prevenire errori di invio, nonché di assicurare una tempestiva emersione e gestione interna degli incidenti che possano integrare una violazione dei dati personali.