Con il provvedimento n. 550 del 23 luglio 2026, segnalato nella newsletter dell’11 settembre, il Garante per la protezione dei dati personali ha sanzionato per 30.000 euro un ente pubblico regionale che aveva pubblicato sul proprio sito istituzionale la graduatoria di circa settecento persone iscritte ai centri per l’impiego e avviate a una selezione per dieci posti presso un’azienda ospedaliera.
Accanto ai nomi, in chiaro, comparivano i punteggi, il grado di invalidità, i dati sulla situazione economica, i carichi familiari e lo stato di disoccupazione. Il documento era indicizzato dai motori di ricerca.
Il punto che interessa chiunque abbia partecipato a una selezione pubblica è semplice: non tutto ciò che la pubblica amministrazione deve rendere trasparente può essere messo online con nome e cognome. E la distinzione non dipende dalla buona fede dell’ente, ma dal tipo di procedura.
Cosa è successo
La procedura era un avviamento a selezione dalle liste di collocamento: un meccanismo diverso dal concorso pubblico, attraverso il quale le amministrazioni assumono per alcuni profili attingendo agli iscritti ai centri per l’impiego, secondo criteri che tengono conto anche della condizione economica e familiare.
L’ente ha pubblicato la determinazione con la graduatoria completa. L’ha rimossa, insieme all’indicizzazione, solo dopo aver ricevuto la comunicazione dell’avvio dell’istruttoria da parte del Garante.
Nelle sue difese ha sostenuto di aver agito correttamente: la normativa sui procedimenti di assunzione prevede che le graduatorie siano rese pubbliche con le stesse modalità del bando, e il bando era online; la disciplina sulla trasparenza amministrativa impone la pubblicazione delle graduatorie; la procedura aveva, a suo dire, natura concorsuale e comparativa, e la durata della pubblicazione era stata allineata a quella prevista per i concorsi.
Perché il Garante ha ritenuto la pubblicazione illecita
Il ragionamento dell’Autorità si regge su una distinzione che l’ente aveva sottovalutato.
Avviamento dalle liste e concorso non sono la stessa cosa. La disciplina del pubblico impiego distingue espressamente l’assunzione tramite procedure selettive da quella mediante avviamento degli iscritti nelle liste di collocamento. E gli obblighi di pubblicazione delle graduatorie previsti dalla normativa sulla trasparenza si riferiscono ai bandi di concorso per il reclutamento, non agli avviamenti.
Venuta meno quella base giuridica, la pubblicazione con i nominativi in chiaro è risultata priva di un’idonea base giuridica e non conforme ai principi di liceità, correttezza, trasparenza e minimizzazione.
La pubblicità poteva essere garantita in altro modo. Secondo il Garante, quanto richiesto dalla normativa poteva essere assolto ricorrendo a forme di anonimizzazione, così da rendere conoscibile al solo interessato la propria posizione in graduatoria.
Online non è come la bacheca dell’ufficio. È il passaggio più istruttivo del provvedimento. La pubblicazione su internet, osserva l’Autorità, costituisce una forma di diffusione particolarmente invasiva, perché consente a chiunque, attraverso i comuni motori di ricerca, di reperire indiscriminatamente e in tempo reale un insieme consistente di informazioni personali.
Il dato che non si vede ma c’è: la salute
C’è poi un aspetto più delicato. Nella graduatoria compariva il grado di invalidità, che è un dato relativo alla salute e appartiene alle categorie particolari protette con maggiore rigore.
Ma il Garante va oltre: anche a prescindere dall’indicazione espressa, la sola partecipazione a una procedura di quel tipo può determinare l’associazione degli interessati a una condizione di disabilità, dati i criteri di priorità previsti. È un principio che l’Autorità aveva già affermato: non è consentito diffondere i nominativi degli aventi diritto al collocamento obbligatorio.
Da qui la violazione, oltre che dei principi generali, del divieto di diffusione dei dati relativi alla salute.
La buona fede non basta, ma pesa
Nel quantificare la sanzione il Garante ha tenuto conto di diversi elementi favorevoli all’ente: la violazione è stata commessa in buona fede, nell’erronea convinzione di applicare correttamente la disciplina di settore; i dati sono stati rimossi e deindicizzati tempestivamente dopo l’avvio dell’istruttoria; c’è stata piena collaborazione e mancavano precedenti.
Ha però considerato il numero elevato di persone coinvolte e la natura dei dati, disponendo anche la pubblicazione del provvedimento sul proprio sito.
La lezione, per le amministrazioni, è che la buona fede riduce la sanzione ma non la evita. E che la convinzione di dover pubblicare per trasparenza è la causa più frequente di questo tipo di violazioni.
E nei concorsi veri e propri?
Sarebbe sbagliato leggere il provvedimento al contrario, come se nei concorsi pubblici tutto potesse essere pubblicato. Anche lì, la trasparenza non cancella i principi della protezione dei dati.
La normativa impone la pubblicazione dei bandi e delle graduatorie per rendere controllabile la correttezza della selezione. Ma ciò che deve essere conoscibile è il risultato della procedura, non l’intera vita dei candidati. Dati sulla salute, sulla situazione economica, sui titoli di preferenza legati a condizioni personali restano soggetti a limiti rigorosi, e il principio di minimizzazione impone di pubblicare solo ciò che serve allo scopo.
Contano anche le modalità. Una graduatoria consultabile dai soli partecipanti, attraverso un accesso con credenziali, raggiunge l’obiettivo della trasparenza verso chi ha un interesse diretto senza esporre i candidati a chiunque faccia una ricerca con il loro nome. E conta la durata: un documento che resta indicizzato per anni continua a produrre effetti ben oltre la conclusione della procedura.
Il messaggio del Garante è coerente in entrambi i casi: la pubblicità è uno strumento al servizio di un fine, e va dosata su quel fine.
Se il tuo nome è finito online
Per il cittadino che scopre i propri dati in una graduatoria, in un atto dell’albo pretorio o in una determina pubblicata sul sito di un ente, ci sono strumenti precisi.
- Conservare la prova. Salvare la pagina, annotare l’indirizzo e la data, fare una ricerca con il proprio nome sui motori di ricerca e conservarne i risultati.
- Scrivere all’ente, e al suo responsabile della protezione dei dati, chiedendo la rimozione o l’oscuramento dei dati eccedenti e la deindicizzazione dai motori di ricerca.
- Chiedere di conoscere la base giuridica della pubblicazione e il periodo per cui è prevista.
- Se l’ente non risponde o risponde negativamente, proporre reclamo al Garante.
- Valutare il danno. Quando la diffusione riguarda la salute, la situazione economica o la condizione di disoccupazione, le conseguenze personali possono essere concrete e meritano una valutazione specifica.
Cosa devono verificare le amministrazioni
- Qual è la procedura? Concorso, avviamento dalle liste, mobilità, selezione interna: gli obblighi di pubblicazione non sono gli stessi.
- Quale norma impone la pubblicazione, e di quali dati? La trasparenza giustifica la diffusione solo nei limiti di ciò che è necessario.
- Si può anonimizzare? Un codice identificativo comunicato al singolo candidato consente di conoscere la propria posizione senza esporre quella degli altri.
- Serve che il documento sia indicizzato? Un’area riservata, accessibile con credenziali ai soli partecipanti, risolve quasi sempre il problema.
- Per quanto tempo resta online? La durata va stabilita e rispettata.
- Il documento contiene dati sulla salute, anche indirettamente? In quel caso la diffusione è vietata.
- Il responsabile della protezione dei dati è stato coinvolto prima della pubblicazione, e non dopo il reclamo?
Una considerazione finale
Trasparenza e riservatezza vengono spesso presentate come due valori in conflitto, tra i quali l’amministrazione deve scegliere. Il provvedimento mostra che non è così: la trasparenza serve a rendere controllabile l’azione pubblica, non a esporre le persone che con quell’azione entrano in contatto.
Chi si iscrive a un centro per l’impiego sta attraversando un momento spesso difficile. Che la sua condizione economica, familiare e di salute diventi reperibile da chiunque digiti il suo nome è un prezzo che nessuna esigenza di pubblicità giustifica. Come già emerso in materia di uso delle immagini di videosorveglianza da parte dei Comuni, per un ente pubblico la domanda corretta non è mai «posso farlo?», ma «quale norma mi consente di farlo, e fino a che punto?».
Il presente contributo ha finalità esclusivamente informativa, dà conto del contenuto del provvedimento richiamato alla data di pubblicazione e non costituisce parere legale sul caso concreto.
Fonti: Garante per la protezione dei dati personali, provvedimento n. 550 del 23 luglio 2026 (doc. web n. 10287084) e newsletter dell’11 settembre 2026; regolamento (UE) 2016/679; decreto legislativo 30 giugno 2003, n. 196.
