Il provvedimento n. 745/2026 chiarisce i limiti alla pubblicazione dei dati personali nelle procedure concorsuali e richiama le Pubbliche Amministrazioni al rispetto dei principi di liceità, minimizzazione e responsabilizzazione.
Privacy e concorsi pubblici: il Garante sanziona AgID per 15.000 euro
Privacy e concorsi pubblici tornano al centro dell’attenzione con il provvedimento n. 745 del 7 ottobre 2026 (documento web n. 10309202), con il quale il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa di 15.000 euro all’Agenzia per l’Italia Digitale (AgID).
La decisione riguarda la pubblicazione, nella sezione Amministrazione trasparente del sito istituzionale, di un elenco di candidati ammessi alla prova orale di una procedura concorsuale, contenente nomi, cognomi e punteggi.
Il documento, riferito a una selezione del 2021, era rimasto accessibile online fino al 23 gennaio 2026, nonostante l’amministrazione ritenesse di averlo già sostituito con una versione priva dei dati identificativi.
Il caso offre l’occasione per approfondire una questione di particolare rilevanza per le amministrazioni pubbliche: come conciliare gli obblighi di pubblicità e trasparenza con la tutela dei dati personali dei partecipanti alle procedure concorsuali?
Il caso AgID: la pubblicazione illecita dei dati dei candidati
Il procedimento trae origine dal reclamo presentato da un candidato che aveva partecipato a una selezione per il reclutamento di personale nell’ambito del programma Smarter Italy.
Il reclamante aveva segnalato la permanenza online di un documento contenente l’elenco dei candidati ammessi alla prova orale, comprensivo dei relativi punteggi.
L’elenco riportava i dati personali di 15 partecipanti alla procedura.
Nel corso dell’istruttoria, AgID ha chiarito di aver tentato di sostituire il documento originario con una versione priva dei dati identificativi. Tuttavia, a causa del mancato perfezionamento della sostituzione documentale, il file contenente i nominativi era rimasto pubblicamente accessibile.
Una volta ricevuta la comunicazione del Garante, l’Agenzia ha provveduto alla rimozione del documento nell’arco di poche ore.
L’Autorità ha comunque accertato l’illiceità del trattamento, evidenziando come un errore operativo non escluda la responsabilità del titolare del trattamento.
La diffusione online dei dati personali deve infatti trovare fondamento in una specifica base giuridica e rispettare i principi previsti dal Regolamento (UE) 2016/679.
Trasparenza amministrativa e GDPR: quali dati possono essere pubblicati?
Uno degli aspetti centrali del provvedimento riguarda il rapporto tra gli obblighi di pubblicazione previsti dalla normativa sulla trasparenza amministrativa e la disciplina europea sulla protezione dei dati personali.
Il Garante richiama, in particolare, l’articolo 19 del D.Lgs. 33/2013, relativo agli obblighi di pubblicazione concernenti i bandi di concorso.
La disposizione, letta insieme alla disciplina del pubblico impiego e alle modifiche introdotte dal D.L. 25/2025, convertito dalla Legge 69/2025, individua specifiche informazioni che le amministrazioni devono rendere pubbliche.
Non ne deriva, tuttavia, un’autorizzazione generalizzata alla diffusione dei dati personali di tutti i partecipanti.
Secondo le indicazioni fornite dal Garante nelle FAQ dedicate al trattamento dei dati personali nelle procedure concorsuali, occorre distinguere tra diverse categorie di informazioni:
- Graduatorie finali: devono essere pubblicati i dati personali dei vincitori, con aggiornamento in caso di scorrimento della graduatoria.
- Atti intermedi della procedura: non possono essere oggetto di pubblicazione indiscriminata online.
- Dati dei candidati non vincitori: non devono essere diffusi per le ordinarie finalità di pubblicità legale e trasparenza, salve specifiche disposizioni normative.
- Informazioni destinate ai partecipanti: devono essere rese disponibili mediante modalità di accesso riservato, quando previsto dalla disciplina applicabile.
- Titoli di preferenza e precedenza: non devono essere pubblicati online in associazione ai nominativi dei candidati.
Il principio fondamentale è che la trasparenza amministrativa non può essere interpretata come un obbligo di pubblicazione generalizzata dei dati personali.
La diffusione deve essere limitata alle informazioni effettivamente necessarie per adempiere agli obblighi normativi.
Le violazioni del GDPR accertate dal Garante
Nel provvedimento nei confronti di AgID, il Garante ha individuato la violazione di alcune disposizioni fondamentali della normativa sulla protezione dei dati personali.
Articolo 5 GDPR: liceità e minimizzazione
Il trattamento dei dati personali deve rispettare i principi di liceità, correttezza, trasparenza e minimizzazione.
Le informazioni trattate devono essere adeguate, pertinenti e limitate a quanto necessario rispetto alle finalità perseguite.
Nel caso esaminato, la pubblicazione dell’elenco dei candidati ammessi alla prova orale non risultava giustificata dagli obblighi normativi applicabili.
Articolo 6 GDPR: base giuridica del trattamento
Ogni trattamento di dati personali deve fondarsi su una delle condizioni di liceità previste dal Regolamento.
Per le Pubbliche Amministrazioni, la diffusione online di dati personali nell’esercizio di compiti istituzionali richiede un fondamento giuridico adeguato.
Articolo 2-ter del Codice Privacy
Il Garante ha inoltre richiamato l’articolo 2-ter del D.Lgs. 196/2003, che disciplina i presupposti per il trattamento e la diffusione dei dati personali nell’ambito dell’esercizio di compiti di interesse pubblico.
L’Autorità ha ritenuto che la pubblicazione contestata non rispettasse le condizioni previste dalla normativa.
La successiva rimozione del documento ha posto fine alla diffusione illecita, ma non ha eliminato la violazione già verificatasi.
Privacy e concorsi pubblici: 5 indicazioni operative per le amministrazioni
Il provvedimento offre importanti spunti per migliorare la gestione delle pubblicazioni istituzionali e prevenire violazioni della normativa sulla protezione dei dati.
1. Verificare la base giuridica prima della pubblicazione
Ogni pubblicazione contenente dati personali deve essere preceduta dalla verifica dell’effettiva sussistenza di un obbligo normativo.
La circostanza che un documento appartenga a un procedimento amministrativo non comporta automaticamente la possibilità di renderlo accessibile a chiunque.
2. Distinguere tra pubblicazione pubblica e accesso riservato
Le amministrazioni devono individuare correttamente le informazioni destinate alla generalità degli utenti e quelle che possono essere consultate esclusivamente dai partecipanti alla procedura.
In particolare, le comunicazioni relative agli esiti delle prove intermedie devono rispettare le modalità di accesso selettivo previste dalla disciplina applicabile.
3. Applicare il principio di minimizzazione
Prima di pubblicare un documento, occorre verificare quali informazioni personali siano effettivamente necessarie.
L’eventuale oscuramento dei dati non pertinenti deve essere effettuato con modalità tecniche idonee a impedirne la successiva visualizzazione o estrazione.
4. Controllare l’effettiva rimozione dei documenti
Il caso AgID dimostra che non è sufficiente impartire un’istruzione di rimozione o sostituzione.
È necessario verificare che il documento originario non sia più accessibile attraverso collegamenti diretti, archivi o altre funzionalità del sistema di pubblicazione.
La verifica dell’effettiva esecuzione delle operazioni costituisce un presidio organizzativo essenziale.
5. Rafforzare procedure interne e formazione
La prevenzione delle violazioni richiede un adeguato coordinamento tra uffici responsabili delle pubblicazioni, strutture informatiche, responsabili delle risorse umane e Data Protection Officer.
Procedure formalizzate, controlli periodici e formazione del personale possono contribuire a ridurre il rischio di errori nella gestione dei documenti amministrativi.
Queste indicazioni rappresentano una traduzione operativa dei principi richiamati dal Garante e non un elenco di nuovi obblighi introdotti dal provvedimento.
Il ruolo del RPCT e del DPO nella gestione della trasparenza
La decisione assume particolare interesse anche sotto il profilo dell’organizzazione amministrativa.
Il Responsabile della prevenzione della corruzione e della trasparenza (RPCT) svolge un ruolo centrale nel presidio degli obblighi di pubblicazione previsti dalla normativa sulla trasparenza.
Il Responsabile della protezione dei dati (DPO) esercita invece le funzioni di consulenza e sorveglianza previste dall’articolo 39 del GDPR, senza sostituirsi al titolare del trattamento nelle decisioni e nelle relative responsabilità.
Le due figure operano in ambiti distinti, ma il loro coordinamento può contribuire a individuare preventivamente i rischi connessi alla diffusione online delle informazioni.
Particolare attenzione dovrebbe essere dedicata alla definizione di procedure che stabiliscano:
- le responsabilità degli uffici nella predisposizione e pubblicazione dei documenti;
- i controlli da effettuare prima della diffusione online;
- le modalità di aggiornamento, sostituzione e rimozione;
- la gestione delle richieste degli interessati;
- le verifiche periodiche sulla conformità delle pubblicazioni.
La corretta applicazione della disciplina richiede quindi non soltanto competenze giuridiche, ma anche presidi organizzativi, strumenti tecnologici adeguati e una chiara attribuzione delle responsabilità.
Privacy e trasparenza: un equilibrio da garantire anche attraverso la formazione
Il provvedimento n. 745/2026 conferma l’importanza di una gestione consapevole delle informazioni personali nell’ambito dell’attività amministrativa.
La trasparenza rappresenta uno strumento fondamentale di controllo democratico e di conoscibilità dell’azione pubblica, ma deve essere esercitata nel rispetto delle condizioni e dei limiti stabiliti dalla legge.
Per le amministrazioni, la sfida consiste nel tradurre questo equilibrio in procedure concretamente applicabili.
Il caso AgID evidenzia inoltre come una criticità apparentemente tecnica, quale la mancata sostituzione di un documento online, possa produrre conseguenze giuridiche ed economiche.
La conformità al GDPR deve quindi essere garantita durante l’intero ciclo di vita dei documenti pubblicati, dalla predisposizione alla verifica dei contenuti, fino all’aggiornamento e alla rimozione.
Approfondire le competenze con Paradigma
La gestione degli obblighi di trasparenza e la protezione dei dati personali richiedono competenze giuridiche, organizzative e tecnologiche in costante aggiornamento.
Paradigma propone iniziative formative rivolte a RPCT, DPO, responsabili degli uffici amministrativi, dirigenti pubblici e professionisti, dedicate all’evoluzione normativa, agli orientamenti delle Autorità e alle implicazioni operative per le organizzazioni.
Attraverso il confronto con esperti e l’analisi di casi concreti, i percorsi formativi consentono di approfondire gli strumenti necessari per una corretta gestione degli adempimenti e dei rischi.
Scopri le iniziative formative Paradigma nelle aree Data Protection, Anticorruzione e Trasparenza.
Fonti normative e documentali
1. Garante per la protezione dei dati personali – Provvedimento n. 745 del 7 ottobre 2026
Ordinanza-ingiunzione nei confronti dell’Agenzia per l’Italia Digitale (AgID) per la pubblicazione illecita di dati personali dei candidati a una procedura concorsuale.
Consulta il provvedimento ufficiale n. 745/2026
2. Garante Privacy – FAQ sul trattamento dei dati personali nelle procedure concorsuali
Chiarimenti sulle modalità di pubblicazione delle graduatorie, sulla comunicazione degli esiti delle prove e sui limiti alla diffusione dei dati personali per finalità di pubblicità e trasparenza.
Consulta le FAQ ufficiali del Garante Privacy
3. Regolamento (UE) 2016/679 – GDPR
Riferimenti principali: articoli 5 (principi applicabili al trattamento), 6 (liceità del trattamento), 39 (compiti del DPO) e 83 (sanzioni amministrative pecuniarie).
Consulta il Regolamento europeo sulla protezione dei dati personali
4. D.Lgs. 14 marzo 2013, n. 33 – Trasparenza amministrativa
Articolo 19: obblighi di pubblicazione concernenti i bandi di concorso.
Consulta il D.Lgs. 33/2013 su Normattiva
5. D.Lgs. 30 giugno 2003, n. 196 – Codice Privacy
Articolo 2-ter: base giuridica per il trattamento di dati personali effettuato per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.
Consulta il Codice Privacy su Normattiva
6. D.Lgs. 30 marzo 2001, n. 165 – Norme generali sull’ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche
Articoli 35 e seguenti, relativi al reclutamento del personale nelle Pubbliche Amministrazioni.
