Garante privacy graduatorie liste collocamento online: limiti trasparenza

Con il provvedimento del 23 luglio 2026 n. 550 (testo in calce), il Garante per la protezione dei dati personali ha sanzionato per 30.000 euro l’Agenzia Regionale per il lavoro dell’Emilia-Romagna per aver pubblicato sul proprio sito istituzionale, lasciandola indicizzare dai motori di ricerca, una determinazione contenente i nominativi di circa 700 iscritti alle liste di collocamento ammessi a una procedura di avviamento a selezione ai sensi dell’art. 16 della legge 56/1987.

Premessa del caso: pubblicazione online e indicizzazione di una graduatoria

La pubblicazione online e l’indicizzazione sui motori di ricerca dei nominativi dei partecipanti a una procedura di avviamento a selezione degli iscritti nelle liste di collocamento, disciplinata dall’art. 16 della legge n. 56/1987, non possono essere automaticamente ricondotte all’obbligo di pubblicazione delle graduatorie finali previsto dall’art. 19, comma 1, del d.lgs. n. 33/2013, disposizione riferita ai bandi di concorso per il reclutamento. La diversa natura della procedura di avviamento rispetto alle procedure selettive cui si riferisce la disciplina generale del reclutamento pubblico impedisce, infatti, di estendere per via interpretativa un obbligo di pubblicazione previsto per una fattispecie differente.

Nel caso esaminato dal Garante, l’assenza di una specifica disposizione che imponesse o autorizzasse la pubblicazione sul sito istituzionale dei nominativi dei partecipanti, con la conseguente indicizzazione da parte dei comuni motori di ricerca, ha condotto l’Autorità a ritenere il trattamento privo di adeguata base giuridica ai sensi degli artt. 6, par. 3, GDPR e 2-ter del Codice. Il provvedimento assume così rilievo non soltanto per la distinzione tra procedure concorsuali e avviamento degli iscritti nelle liste di collocamento, ma anche per il più generale principio secondo cui la possibilità per una pubblica amministrazione di trattare determinati dati personali non comporta, di per sé, la legittimità della loro diffusione indiscriminata online. La pubblicità richiesta dalla normativa di settore deve essere, pertanto, distinta dalla diffusione sul web, la cui ampiezza, reperibilità ed indicizzazione impongono una verifica autonoma della base giuridica e della proporzionalità del trattamento, soprattutto quando la pubblicazione possa rendere indirettamente conoscibili informazioni riconducibili a condizioni personali meritevoli di particolare tutela.

Il presente provvedimento, dunque, trae origine dal reclamo presentato ai sensi dell’art. 77 GDPR da una partecipante a una procedura avviata dall’Agenzia Regionale per il lavoro dell’Emilia-Romagna, ai sensi dell’art. 16 della legge n. 56/1987, finalizzata all’assunzione a tempo pieno e indeterminato di dieci operatori tecnici addetti all’accoglienza, categoria B, presso l’Azienda ospedaliero-universitaria di Bologna, Policlinico di Sant’Orsola. La reclamante aveva chiesto all’Agenzia la cancellazione dei propri dati personali dalla graduatoria e la loro deindicizzazione dai motori di ricerca, dopo aver constatato che la ricerca del proprio nome e cognome consentiva di individuare la graduatoria e la relativa posizione.

L’Agenzia aveva respinto la richiesta, ritenendo la pubblicazione legittimata dal quadro normativo applicabile e, in particolare, dalle esigenze di trasparenza connesse alla procedura di reclutamento.

La controversia sottoposta al Garante non riguardava pertanto soltanto la presenza dei nominativi nella graduatoria, ma la legittimità della loro diffusione attraverso il sito istituzionale e la conseguente possibilità di reperirli mediante i comuni motori di ricerca.

Il quadro normativo di riferimento

La disciplina delle assunzioni: art. 35 d.lgs. 165/2001, art. 16 l. 56/1987 e d.P.R. 487/1994

L’art. 35, comma 1, del d.lgs. 30 marzo 2001, n. 165 individua due distinte modalità di assunzione presso le pubbliche amministrazioni: le procedure selettive di cui alla lettera a), alle quali si applicano i principi enunciati dal comma 3 del medesimo articolo, e l’avviamento degli iscritti nelle liste di collocamento di cui alla lettera b), previsto per le qualifiche e i profili per i quali è richiesto il solo requisito della scuola dell’obbligo. Il comma 3 enuncia infatti i principi cui devono conformarsi le procedure di reclutamento di cui al comma 1, lett. a), senza estenderne espressamente l’applicazione alla distinta modalità di assunzione mediante avviamento degli iscritti nelle liste di collocamento.

L’art. 16 della legge 28 febbraio 1987, n. 56 disciplina quest’ultima forma di reclutamento, prevedendo che le amministrazioni pubbliche effettuino le assunzioni dei lavoratori da inquadrare nei livelli retributivi per i quali non è richiesto un titolo di studio superiore a quello della scuola dell’obbligo mediante selezioni tra gli iscritti nelle liste di collocamento e di mobilità, avviati numericamente alla selezione secondo l’ordine delle graduatorie risultanti dalle liste della circoscrizione territorialmente competente.

A tale modalità di assunzione il d.P.R. 9 maggio 1994, n. 487 dedica uno specifico capo, il Capo III.

Secondo la ricostruzione dell’Agenzia richiamata nel provvedimento, il procedimento coinvolge due soggetti e si articola in due fasi: il centro per l’impiego forma, sulla base dell’avviso pubblico e dei criteri previsti dalla disciplina di settore, la graduatoria degli iscritti; l’amministrazione interessata procede quindi alla verifica dell’idoneità alla mansione, nel rispetto dell’ordine di chiamata risultante dalla graduatoria [art. 27, comma 3, d.P.R. n. 487/1994].

Assumono particolare rilievo, ai fini della vicenda esaminata dal Garante, alcune disposizioni del d.P.R. n. 487/1994. L’art. 24 disciplina la formazione delle graduatorie da parte dei centri per l’impiego sulla base degli elementi indicati nella relativa tabella, tra i quali figura anche il grado di invalidità; l’art. 25, comma 2, stabilisce che la graduatoria unica sia resa pubblica mediante affissione all’albo degli uffici e delle sezioni interessate; l’art. 26, comma 7, prevede che la graduatoria sia resa pubblica con le medesime modalità stabilite per il bando dell’offerta di lavoro. Il quadro è completato dal decreto del Ministro del lavoro e delle politiche sociali 11 gennaio 2018, n. 4, il cui allegato B comprende la predisposizione delle graduatorie per l’avviamento a selezione presso le pubbliche amministrazioni tra i livelli essenziali delle prestazioni in materia di politiche attive del lavoro.

Gli obblighi di pubblicità e trasparenza: gli artt. 19, 8 e 7-bis d.lgs. 33/2013

L’art. 19, comma 1, del d.lgs. 14 marzo 2013, n. 33 prevede che le pubbliche amministrazioni pubblichino i bandi di concorso per il reclutamento, a qualsiasi titolo, di personale presso l’amministrazione, nonché i criteri di valutazione della commissione, le tracce delle prove e le graduatorie finali, aggiornate con l’eventuale scorrimento degli idonei non vincitori.

La disposizione si inserisce nel regime della trasparenza amministrativa e presuppone, dunque, l’esistenza di una procedura riconducibile alla fattispecie dei bandi di concorso per il reclutamento. Non ogni graduatoria formata nell’ambito di un procedimento di assunzione presso una pubblica amministrazione è pertanto automaticamente assoggettata all’obbligo di pubblicazione previsto dalla norma.

L’art. 8, comma 3, del medesimo decreto disciplina invece la durata della pubblicazione dei dati oggetto di pubblicazione obbligatoria, stabilendo che essi siano pubblicati per un periodo di cinque anni, decorrente dal 1° gennaio dell’anno successivo a quello da cui decorre l’obbligo di pubblicazione, e comunque fino a quando gli atti pubblicati producono i loro effetti, fatti salvi i diversi termini previsti dalla normativa. La disposizione disciplina quindi la durata di un obbligo di pubblicazione già esistente, ma non costituisce di per sé la fonte dell’obbligo di pubblicare un determinato dato o documento.

A tal riguardo, è bene richiamare anche l’art. 7-bis del d.lgs. n. 33/2013, che disciplina i rapporti tra gli obblighi di trasparenza e la normativa in materia di protezione dei dati personali.

In particolare, la disposizione stabilisce che gli obblighi di pubblicazione comportano il rispetto dei limiti previsti dall’art. 5-bis e che le pubbliche amministrazioni devono comunque assicurare la tutela dei dati personali secondo la disciplina applicabile. La norma prevede, inoltre, specifiche cautele per i dati personali contenuti negli atti oggetto di pubblicazione, imponendo, nei casi previsti, di rendere non intelligibili i dati non pertinenti o non indispensabili rispetto alle finalità di trasparenza.

L’art. 7-bis conferma che l’obbligo di pubblicazione non determina una generale e indiscriminata prevalenza delle esigenze di trasparenza sulla tutela dei dati personali. La distinzione è decisiva nel caso in esame.

L’art. 8, comma 3, non può essere utilizzato autonomamente per individuare un termine di pubblicazione quando non sia previamente individuabile la disposizione che impone la pubblicazione della graduatoria; allo stesso modo, la disciplina generale della trasparenza non può essere invocata per estendere a una diversa procedura di assunzione un obbligo previsto dall’art. 19 per i bandi di concorso.

La disciplina di protezione dei dati personali: GDPR e Codice Privacy

La pubblicazione di una graduatoria contenente nominativi ed informazioni riferibili a persone fisiche costituisce un trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR e deve, pertanto, rispettare i principi e le condizioni di liceità previsti dal Regolamento (UE) 2016/679.

Nel caso delle pubbliche amministrazioni, la base giuridica del trattamento non può essere individuata nel mero interesse dell’amministrazione a rendere conoscibili i propri atti, ma deve essere ricondotta ad una delle condizioni previste dall’art. 6 GDPR. In particolare, rilevano l’art. 6, par. 1, lett. c), relativo al trattamento necessario per adempiere un obbligo legale, e la lett. e), relativa al trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Ai sensi dell’art. 6, par. 3, la base giuridica dei trattamenti fondati su tali condizioni deve essere stabilita dal diritto dell’Unione o dal diritto dello Stato membro applicabile al titolare.

Nel sistema italiano, tali previsioni devono essere lette congiuntamente all’art. 2-ter del Codice in materia di protezione dei dati personali, che disciplina le condizioni per il trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. La disposizione assume rilievo anche sul piano della diffusione: ai sensi dell’art. 2-ter, comma 3, la comunicazione o la diffusione dei dati personali trattati per tali finalità è consentita nei casi previsti dalla legge, dal regolamento o da atti amministrativi generali, oppure quando risulti necessaria ai sensi della disciplina vigente.

La nozione di diffusione, inoltre, comprende la comunicazione dei dati a soggetti indeterminati, anche mediante la loro messa a disposizione o consultazione. Ne deriva che la pubblicazione di una graduatoria nominativa su un sito istituzionale accessibile indistintamente al pubblico non costituisce una mera modalità tecnica di gestione dell’atto, ma integra una specifica operazione di diffusione soggetta alle condizioni previste dalla normativa in materia di protezione dei dati personali.

Un ulteriore livello di tutela opera quando il trattamento riguarda categorie particolari di dati personali. L’art. 9, par. 1, GDPR stabilisce infatti un divieto generale di trattamento dei dati che rivelino, tra l’altro, l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici e relativi alla salute, salvo che ricorra una delle specifiche condizioni previste dal par. 2. Per i trattamenti effettuati da soggetti pubblici assume rilievo, in particolare, l’art. 9, par. 2, lett. g), che consente il trattamento necessario per motivi di rilevante interesse pubblico sulla base del diritto dell’Unione o dello Stato membro, purché proporzionato alla finalità perseguita e accompagnato da misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.

Nel diritto interno, l’art. 2-sexies del Codice individua le condizioni per il trattamento di categorie particolari di dati necessario per motivi di rilevante interesse pubblico, richiedendo che la normativa di riferimento individui gli specifici tipi di dati trattabili, le operazioni eseguibili e le ragioni di rilevante interesse pubblico perseguite. Fondamentale è anche l’art. 2-septies, comma 8, secondo cui i dati relativi alla salute non possono essere diffusi. La disciplina delle categorie particolari di dati introduce dunque un limite ulteriore rispetto alla semplice verifica dell’esistenza di una base giuridica per il trattamento: anche quando il trattamento sia astrattamente consentito, devono essere rispettate le specifiche garanzie previste per la particolare natura dei dati coinvolti.

È proprio su questo piano che la vicenda assume una rilevanza ulteriore rispetto alla semplice pubblicazione di una graduatoria. Nel caso esaminato dal Garante, infatti, la partecipazione alla procedura e la posizione occupata nella graduatoria potevano consentire, almeno indirettamente, di associare gli interessati a condizioni personali particolarmente delicate. L’art. 24 del d.P.R. n. 487/1994 richiama infatti, tra gli elementi utilizzati per la formazione della graduatoria, anche il grado di invalidità.

Sebbene dalla sola presenza del nominativo nella graduatoria non fosse necessariamente possibile determinare la specifica condizione personale dell’interessato, la pubblicazione nominativa poteva comunque consentire un’inferenza relativa alla possibile sussistenza di una condizione di disabilità o di altra situazione tutelata dalla disciplina di settore. La questione deve pertanto essere valutata non soltanto alla luce del contenuto immediatamente visibile del dato pubblicato, ma anche della capacità dell’informazione di rivelare indirettamente informazioni protette.

Specialista privacy: opportunità e sfide dell’intelligenza artificiale, 26 ore (8 incontri live), Altalex Formazione. Il Corso fornisce le conoscenze e le capacità operative di base necessarie per applicare il Regolamento Europeo 679/2016 e il D.Lgs. 101/2018 in materia di protezione dei dati personali. Scopri subito programma e relatori

Le difese dell’Agenzia e il loro rigetto

Procedure selettive e avviamento degli iscritti: l’art. 35 d.lgs. 165/2001 e l’art. 19 d.lgs. 33/2013

La difesa principale dell’Agenzia muoveva da una qualificazione sostanziale della procedura: quella prevista dall’art. 16 della legge n. 56/1987, strutturata mediante avviso pubblico, presentazione delle domande, verifica dei requisiti autocertificati, applicazione di punteggi predeterminati e titoli di preferenza, sarebbe stata assimilabile a una vera procedura concorsuale e comparativa per soli titoli, nella quale i partecipanti si trovavano in posizione di concorrenti. Da tale qualificazione l’Agenzia faceva discendere l’applicabilità dei principi di cui all’art. 35, comma 3, del d.lgs. n. 165/2001, compreso quello di trasparenza, nonché dell’obbligo di pubblicazione delle graduatorie finali previsto dall’art. 19, comma 1, del d.lgs. n. 33/2013. Quanto alla durata della pubblicazione, l’Agenzia richiamava inoltre, in via analogica, l’art. 8, comma 3, del medesimo decreto, individuando in cinque anni il periodo di pubblicazione.

Il Garante ha respinto tale ricostruzione sulla base di un argomento al tempo stesso testuale e sistematico. L’art. 35 del d.lgs. n. 165/2001 distingue infatti l’avviamento degli iscritti nelle liste di collocamento, previsto dalla lettera b), dalle procedure selettive di cui alla lettera a), e il comma 3 si riferisce espressamente ai principi applicabili alle procedure di reclutamento contemplate dalla lettera a). La distinzione trova ulteriore conferma nel d.P.R. n. 487/1994, che dedica all’avviamento degli iscritti nelle liste di collocamento un capo autonomo e una disciplina specifica. Da tale differenziazione deriva che l’art. 19 del d.lgs. n. 33/2013, nel riferirsi ai bandi di concorso per il reclutamento e alle relative graduatorie finali, non può essere automaticamente esteso alle procedure di avviamento disciplinate dall’art. 16 della legge n. 56/1987.

A sostegno della propria ricostruzione, il Garante ha richiamato propri precedenti nei quali le disposizioni invocate dall’Agenzia erano state ricondotte alle procedure selettive di cui all’art. 35, comma 1, lett. a), del d.lgs. n. 165/2001 e non alla distinta procedura di avviamento degli iscritti nelle liste di collocamento (provv. n. 235 dell’11 aprile 2024 e provv. n. 116 del 26 febbraio 2026).

Il tempo di pubblicazione (art. 8, comma 3) e gli artt. 25 e 26 d.P.R. n. 487/1994: pubblicità non significa diffusione online

L’Agenzia invocava l’art. 26, comma 7, del d.P.R. n. 487/1994, secondo cui la graduatoria è resa pubblica con le stesse modalità previste per il bando dell’offerta di lavoro. Poiché il bando era stato pubblicato online e la presentazione della domanda richiedeva l’identificazione mediante SPID, secondo la prospettazione dell’Agenzia anche la graduatoria definitiva avrebbe dovuto essere resa conoscibile attraverso il sito istituzionale. Il Garante ha tuttavia distinto la previsione di una forma di pubblicità della graduatoria dalla possibilità di rendere indiscriminatamente conoscibili i dati personali di tutti i partecipanti.

La pubblicità prevista dalla disciplina di settore è funzionale, tra l’altro, alla possibilità per l’interessato di verificare la propria posizione e di esercitare le facoltà di tutela previste dall’ordinamento; essa non implica che ciascun nominativo debba essere reso conoscibile a una platea indeterminata di soggetti. Analogamente, l’art. 25, comma 2, del d.P.R. n. 487/1994, nel prevedere la pubblicazione della graduatoria mediante affissione all’albo degli uffici e delle sezioni interessate, non costituisce, secondo il Garante, una base normativa sufficiente per la pubblicazione nominativa online e per la sua indicizzazione attraverso i comuni motori di ricerca.

La pubblicità prevista dalla disciplina di settore non può essere considerata, senza ulteriori verifiche, equivalente a una diffusione generalizzata attraverso Internet. Il mezzo attraverso il quale l’informazione viene resa accessibile incide infatti concretamente sulla portata del trattamento: una graduatoria consultabile presso gli uffici competenti presenta un livello di accessibilità radicalmente diverso rispetto a un documento pubblicato sul sito istituzionale, indicizzato dai motori di ricerca e reperibile attraverso la semplice digitazione del nome e del cognome dell’interessato.

La questione non può essere risolta sulla base della sola corrispondenza formale tra la pubblicità del bando e quella della graduatoria. Occorre verificare, alla luce degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice, se la specifica modalità di diffusione adottata dall’amministrazione trovi un’idonea base normativa e sia proporzionata rispetto alla finalità perseguita. In questa prospettiva, il dato normativo che impone una forma di pubblicità deve essere distinto dall’autorizzazione a una diffusione indiscriminata, permanente e facilmente reperibile attraverso strumenti di ricerca generalizzati. La disciplina di settore va, pertanto, applicata in modo compatibile con i principi di minimizzazione, necessità e proporzionalità, evitando che una forma di pubblicità funzionale alla tutela degli interessati si trasformi in una divulgazione eccedente rispetto alla finalità perseguita.

La diffusione online come forma “particolarmente invasiva”: anonimizzazione e livelli differenziati di pubblicità

Richiamando le Linee guida del 15 maggio 2014 in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, il Garante ribadisce che, quando la pubblicazione online comporta il trattamento di dati personali, le esigenze di pubblicità e trasparenza devono essere contemperate con i diritti e le libertà fondamentali degli interessati e con la tutela della loro dignità. La dimensione telematica della pubblicazione assume, infatti, una rilevanza autonoma rispetto alla semplice conoscibilità dell’atto: la diffusione attraverso Internet consente una reperibilità potenzialmente generalizzata, immediata e continuativa delle informazioni, anche attraverso motori di ricerca esterni al sito istituzionale, e rende possibile la loro combinazione con ulteriori dati disponibili online.

Nel caso esaminato, il Garante ha ritenuto che l’esigenza di rendere conoscibile la graduatoria potesse essere soddisfatta mediante modalità tali da consentire al singolo interessato di verificare la propria posizione senza rendere indiscriminatamente conoscibili i nominativi degli altri partecipanti.

L’Autorità sottolinea, in particolare, che la pubblicazione online indicizzata presenta caratteristiche significativamente diverse rispetto alle forme tradizionali di pubblicità amministrativa: i dati possono essere reperiti attraverso una semplice ricerca nominativa, possono essere conservati e riprodotti al di fuori del contesto originario nel quale erano stati pubblicati e possono essere incrociati con altre informazioni, anche successivamente alla loro rimozione dal sito istituzionale. La modalità di diffusione diviene quindi essa stessa un elemento rilevante ai fini della valutazione di proporzionalità del trattamento.

Il Garante precisa, inoltre, che anche quando la disciplina di settore preveda forme specifiche e circoscritte di pubblicità, tale previsione non autorizza automaticamente la trasposizione dei dati sul sito web istituzionale e la loro indicizzazione mediante i motori di ricerca. Il titolare del trattamento deve assicurare livelli differenziati di pubblicità e trasparenza, modulando la conoscibilità delle informazioni in funzione dello specifico interesse perseguito e della posizione dei soggetti coinvolti, così da evitare interferenze sproporzionate nella vita privata degli interessati.

Tale impostazione trova fondamento, sul piano dei diritti fondamentali, negli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea e, sul piano della disciplina in materia di protezione dei dati, nei principi di necessità, minimizzazione e proporzionalità.

I dati indirettamente rivelatori: art. 9 GDPR e art. 2-septies, comma 8, del Codice

Un ulteriore profilo riguarda la natura delle informazioni potenzialmente desumibili dalla graduatoria.

L’art. 24 del d.P.R. n. 487/1994 prevede infatti che i centri per l’impiego formino le graduatorie sulla base di una tabella di criteri che comprende anche il grado di invalidità. Il Garante rileva che dalla sola graduatoria non sia possibile stabilire, per ciascun interessato, la specifica ragione della partecipazione alla procedura, che potrebbe dipendere tanto da una condizione di disabilità quanto da una situazione patrimoniale o reddituale sfavorevole. Tuttavia, la presenza del nominativo nella graduatoria può comunque determinare un’associazione dell’interessato a una possibile condizione di disabilità. La pubblicazione non rende necessariamente conoscibile in modo diretto uno specifico dato relativo alla salute, ma può consentire di formulare un’inferenza relativa a una condizione personale tutelata dalla disciplina sulle categorie particolari di dati.

Il problema deve essere affrontato distinguendo la natura delle diverse informazioni potenzialmente coinvolte. Non ogni informazione relativa alla condizione economica o sociale di una persona costituisce, infatti, una categoria particolare di dati ai sensi dell’art. 9 GDPR. Diversamente, le informazioni idonee a rivelare dati relativi alla salute rientrano nella disciplina rafforzata prevista dal Regolamento.

A ciò si aggiunge il divieto specifico previsto dal diritto interno. L’art. 2-septies, comma 8, del Codice stabilisce infatti che i dati relativi alla salute non possono essere diffusi. Il limite opera quindi anche rispetto alle modalità di pubblicità di una graduatoria amministrativa: la circostanza che l’informazione sia contenuta in un procedimento di reclutamento e che la pubblicazione persegua una finalità di trasparenza non consente di derogare al divieto di diffusione dei dati relativi alla salute.

Il Garante richiama, in questo senso, anche le proprie Linee guida del 2007, nelle quali è stato escluso che esigenze generiche di pubblicità possano giustificare la diffusione dei nominativi degli aventi diritto al collocamento obbligatorio contenuti in elenchi o graduatorie.

GDPR e Normativa Privacy Commentario, A cura di: Belisario Ernesto, Riccio Giovanni Maria, Scorza Guido, Ed. Ipsoa, 2022. Il volume offre il commento dei singoli articoli del Regolamento n. 2016/679/UE, integrato con le norme del decreto di adeguamento della normativa nazionale (d.lgs. n. 101/2018). Scarica gratuitamente l’estratto

La quantificazione della sanzione

Trattandosi di una condotta unitaria, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo il quale, quando il titolare viola, con la stessa o con più operazioni collegate, diverse disposizioni del Regolamento, l’importo della sanzione amministrativa non può superare quello previsto per la violazione più grave. Nel caso di specie, le violazioni degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-septies, comma 8, del Codice sono state ricondotte al regime sanzionatorio dell’art. 83, par. 5, GDPR, che prevede, per le violazioni ivi contemplate, una sanzione fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Quanto ai poteri correttivi, il Garante ha ritenuto non necessario adottare ulteriori misure ai sensi dell’art. 58, par. 2, GDPR, poiché gli effetti della condotta risultavano ormai esauriti. L’Agenzia aveva rimosso la determinazione dal proprio sito istituzionale, richiesto la deindicizzazione delle pagine interessate e dichiarato di avere adottato iniziative tecniche e organizzative volte a prevenire il ripetersi di condotte analoghe. La cessazione della diffusione non ha quindi escluso l’illecito né inciso sulla possibilità di irrogare la sanzione, ma ha reso non necessaria l’adozione di ulteriori misure correttive.

Il Garante ha qualificato la gravità della condotta come media, richiamando il punto 60 delle Linee guida EDPB 4/2022 e valutando, in particolare, tre elementi. Il primo è costituito dall’estensione della violazione: i dati personali di circa 700 interessati sono rimasti esposti online per tutta la durata della pubblicazione, elemento valutato ai sensi dell’art. 83, par. 2, lett. a), GDPR. Il secondo riguarda il comportamento del titolare: l’Agenzia ha agito in buona fede, nella convinzione di conformarsi alla disciplina di settore, considerata risalente e non di agevole coordinamento con la normativa in materia di protezione dei dati personali; il Garante ha rilevato che l’Agenzia non aveva tenuto adeguatamente conto delle indicazioni già fornite nel tempo dall’Autorità ai soggetti pubblici, elemento considerato ai sensi della lett. b). Il terzo elemento riguarda la natura dei dati coinvolti: la riferibilità, seppure indiretta, a categorie particolari di dati ha inciso sulla valutazione della gravità ai sensi della lett. g).

Sono state considerate circostanze favorevoli la rimozione della pubblicazione e la richiesta di deindicizzazione, nonché le iniziative tecniche e organizzative dichiarate dall’Agenzia, ai sensi dell’art. 83, par. 2, lett. c); la piena cooperazione prestata nel corso dell’istruttoria, ai sensi della lett. f); e l’assenza di precedenti violazioni pertinenti, ai sensi della lett. e). Alla luce del complesso di tali elementi, l’importo della sanzione è stato determinato in 30.000 euro, ritenuto dal Garante effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

La sanzione deve essere letta, dunque, alla luce di un equilibrio tra la rilevanza oggettiva della condotta e gli elementi che ne hanno attenuato la gravità. Da un lato, la violazione riguardava un numero significativo di interessati, si era protratta per tutta la durata della pubblicazione e presentava un profilo ulteriore di criticità per la possibile riferibilità indiretta a categorie particolari di dati. Dall’altro, il Garante ha valorizzato la buona fede del titolare, l’assenza di precedenti pertinenti, la collaborazione prestata e soprattutto la tempestiva eliminazione della pubblicazione e la richiesta di deindicizzazione.

L’importo di 30.000 euro appare significativo soprattutto se rapportato alla struttura della violazione.

Il Garante non ha considerato la condotta come una mera irregolarità formale nella gestione di una graduatoria, ma come una diffusione illecita di dati personali realizzata mediante uno strumento — il sito istituzionale indicizzato dai motori di ricerca — capace di ampliare considerevolmente la platea dei soggetti potenzialmente in grado di accedere alle informazioni. Al tempo stesso, la qualificazione della gravità come media e la valorizzazione della buona fede dell’Agenzia impediscono di assimilare il caso a ipotesi di diffusione intenzionale o gravemente negligente.

Osservazioni conclusive

Il provvedimento n. 550 del 23 luglio 2026 si inserisce in un orientamento ormai consolidato del Garante volto a impedire che gli obblighi di trasparenza amministrativa vengano interpretati come una generale autorizzazione alla diffusione online dei dati personali.

Nel caso esaminato, l’art. 19 del d.lgs. n. 33/2013 non poteva essere utilizzato per estendere alle procedure di avviamento degli iscritti nelle liste di collocamento un obbligo previsto per i bandi di concorso, né l’art. 8, comma 3, poteva essere utilizzato per ricavare autonomamente un termine quinquennale di pubblicazione. Allo stesso modo, la previsione di una forma di pubblicità della graduatoria contenuta nel d.P.R. n. 487/1994 non è stata ritenuta sufficiente a giustificare la pubblicazione nominativa sul sito istituzionale e la conseguente indicizzazione sui comuni motori di ricerca.

La pronuncia conferma che nell’ambiente digitale, la modalità attraverso la quale un’informazione viene resa pubblica costituisce essa stessa un elemento da sottoporre a valutazione giuridica.

La pubblicità amministrativa non è una categoria uniforme: l’affissione presso un ufficio, la consultazione riservata da parte degli interessati, la pubblicazione sul sito istituzionale e l’indicizzazione attraverso motori di ricerca producono livelli di accessibilità profondamente differenti. Ne deriva un principio di graduazione della conoscibilità, secondo il quale la trasparenza deve essere realizzata attraverso la modalità meno invasiva compatibile con la finalità perseguita. L’indicizzazione generalizzata, consentendo di reperire un nominativo al di fuori del contesto amministrativo originario, di aggregarlo con altre informazioni e di conservarne traccia anche oltre il periodo di pubblicazione istituzionale, rappresenta quindi una forma di diffusione che richiede una specifica giustificazione e non può essere considerata una conseguenza automatica della pubblicità dell’atto.

La necessità di questa graduazione risulta ancora più evidente quando la struttura della procedura consente di ricavare informazioni ulteriori rispetto a quelle direttamente pubblicate.

Nel caso delle liste di collocamento, il riferimento al grado di invalidità tra i criteri di formazione della graduatoria dimostra come un dato apparentemente neutro — il nominativo associato alla partecipazione o alla posizione occupata — possa contribuire, almeno indirettamente, a rivelare una condizione di disabilità. La protezione prevista dall’art. 9 GDPR deve pertanto essere valutata anche considerando la capacità del dato di consentire inferenze su categorie particolari di informazioni, secondo una prospettiva coerente con l’interpretazione della Corte di giustizia nella causa C-184/20. Ciò non significa che ogni informazione economica o sociale debba essere automaticamente qualificata come categoria particolare di dati, ma impone al titolare di considerare il contesto complessivo nel quale l’informazione viene resa accessibile e le inferenze ragionevolmente ricavabili dalla sua combinazione con altri elementi.

L’Autorità ha valorizzato, in senso attenuante, il fatto che l’amministrazione avesse agito nella convinzione di conformarsi a una disciplina di settore risalente e non agevole da coordinare con il quadro europeo di protezione dei dati; nello stesso tempo, ha rilevato che l’Agenzia non aveva tenuto adeguatamente conto delle indicazioni già fornite nel tempo dal Garante ai soggetti pubblici. Ne emerge una duplice valutazione dell’errore interpretativo: esso esclude una condotta intenzionale e contribuisce a contenere la gravità della violazione, ma non elimina il dovere dell’amministrazione di conoscere e applicare gli orientamenti ormai consolidati in materia di pubblicazione online. La qualificazione della gravità come media e la determinazione della sanzione in 30.000 euro riflettono proprio questo equilibrio.

La buona fede ha avuto un peso attenuante concreto, ma difficilmente potrà essere invocata con la medesima forza in presenza di condotte future che si pongano in contrasto con indicazioni già specificamente formulate dall’Autorità.

Da questo punto di vista, il provvedimento assume una funzione che supera quella meramente repressiva. Per le pubbliche amministrazioni, esso suggerisce la necessità di introdurre una verifica preventiva della base giuridica della pubblicazione delle graduatorie, evitando di ricorrere all’applicazione analogica di obblighi previsti per procedure differenti.

Quando una forma di pubblicità sia effettivamente richiesta, occorre inoltre individuare il livello di conoscibilità strettamente necessario: dalla comunicazione individuale della posizione alla consultazione mediante sistemi di autenticazione, fino all’eventuale utilizzo di codici identificativi, da valutare con attenzione perché non necessariamente equivalenti all’anonimizzazione. Particolare cautela deve essere riservata all’indicizzazione da parte dei motori di ricerca e alla durata della permanenza online, che non possono essere determinate automaticamente sulla base del termine quinquennale previsto dall’art. 8 del d.lgs. n. 33/2013 quando tale disposizione non costituisca la fonte dell’obbligo di pubblicazione.

Il caso evidenzia, infine, l’importanza di una valutazione sostanziale dei dati contenuti nelle graduatorie, che non si limiti al loro contenuto letterale. Prima della pubblicazione, l’amministrazione dovrebbe considerare quali informazioni possano essere direttamente o indirettamente rivelate dalla combinazione tra nominativi, posizione, punteggi e criteri utilizzati per la formazione della graduatoria, verificando in particolare l’eventuale coinvolgimento di categorie particolari di dati. Analogamente, le richieste di esercizio dei diritti previsti dal GDPR, compreso il diritto alla cancellazione, non dovrebbero essere respinte sulla base di un generico richiamo alla trasparenza, ma dovrebbero essere precedute dalla verifica concreta della base giuridica che sostiene la pubblicazione e, ove necessario, dalla tempestiva rimozione dei contenuti e dalla richiesta di deindicizzazione.

Sitografia

• “Graduatorie online: vietata la pubblicazione dei dati degli iscritti ai Centri per l’impiego” (ecnews.it);
• “Garante privacy: graduatorie sul web – no ai dati degli iscritti nelle liste dei Centri per l’impiego” (dottrinalavoro.it);
• Garante Privacy, Provvedimento n. 116 del 26 febbraio 2026, richiamato nel provvedimento in commento;
• Garante Privacy, Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati – 15 maggio 2014, provv. n. 243 (doc. web n. 3134436);
• Garante Privacy, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico – 14 giugno 2007 (doc. web n. 1417809);
• Garante Privacy,FAQ in materia di trattamento di dati personali dei partecipanti alle procedure concorsuali per finalità di pubblicità e trasparenza (doc. web n. 10187304);
• ANAC, indicazioni sugli obblighi di pubblicazione concernenti i bandi di concorso.

Bibliografia

• CGUE, Grande Sezione, 1° agosto 2022, causa C-184/20, OT c. Vyriausioji tarnybinės etikos komisija (eur-lex.europa.eu);
• CGUE, Grande Sezione, 13 maggio 2014, causa C-131/12, Google Spain (eur-lex.europa.eu). 

IN COLLABORAZIONE CON

>> Scopri il Corso online il trattamento dei dati personali nell’utilizzo dell’intelligenza artificiale di Altalex!

Garante Privacy, Provvedimento n. 550/2026