Il trattamento illecito di dati nelle graduatorie di concorso pubblico

Abstract: breve rassegna dei più recenti provvedimenti del Garante della tutela dei dati personali per sanzionare la diffusione illecita di dati personali in violazione dei principi di minimizzazione e non eccedenza

1. Disciplina normativa

La commissione di concorso, una volta espletate tutte le fasi della procedura concorsuale/selettiva, delle quali redige processo verbale, predispone la graduatoria finale. Sono proclamati vincitori i candidati utilmente collocati nelle graduatorie di merito nei limiti dei posti complessivamente messi a concorso; i candidati che abbiano superato la selezione ma siano collocati in posizione successiva a quella del numero dei posti messi a concorso rivestono la qualifica di idonei e possono beneficiare di una possibilità più o meno remota di ingresso in servizio a seconda del posizionamento, in seguito alla scorrimento della graduatoria da parte della stessa Amministrazione procedente o di altre P.A., che possano chiedere di potervi attingere. Le graduatorie devono essere pubblicate contestualmente sul sito istituzionale dell’Ente procedente nella sezione “Amministrazione trasparente – bandi di concorso” (art. 19 comma 1 D.Lgs. 33/2013) e sul portale INPA.gov (art. 35 ter comma 1 D.Lgs. 165/2001). La data di pubblicazione rileva quale termine per la presentazione di eventuale impugnazione. L’obbligo per le P.A. di pubblicare le graduatorie, incluso il relativo aggiornamento a seguito dello scorrimento degli idonei non vincitori, è uno degli strumenti introdotti dal D.Lgs. 33/2013 per finalità di trasparenza e come misura di prevenzione della corruzione. Anche le progressioni verticali, che sono procedure selettive interne che determinano il passaggio di personale dipendente in un’area superiore, rientrano a pieno titolo nell’ambito oggettivo di applicazione dell’art. 19 comma 1, che fa riferimento al “reclutamento, a qualsiasi titolo, di personale presso l’amministrazione”, e in quanto per orientamento giurisprudenziale consolidato dette procedure sono assimilabili ad una vera e propria assunzione; sono, invece, escluse dall’ambito di applicazione dell’art. 19 le progressioni orizzontali, ora denominate “differenziali stipendiali”, in quanto procedure non soggette al principio del pubblico concorso.

La graduatoria finale è l’elenco dei candidati che hanno superato l’intera procedura concorsuale, vale a dire i vincitori e gli idonei (per questi ultimi con le modalità specificate oltre, in conformità agli indirizzi del Garante della Privacy e dell’ANAC), con esclusione dell’indicazione dei candidati bocciati, degli esclusi e di coloro che non si sono presentati a sostenere le prove. L’elenco deve recare solo l’indicazione del nome e del cognome, con esclusione dei dati anagrafici, salvo la necessità di un’ulteriore indicazione, ad es. del solo anno di nascita o della data di nascita, nel caso di omonimia. E’ tassativamente esclusa la pubblicazione di ulteriori dati personali (luogo e data di nascita, codice fiscale, residenza, cellulare) in quanto si violerebbe il principio di “minimizzazione dei dati”, principio definito dall’art. 5 comma 1 lett. c) del GDPR 2016/679, c.d. Regolamento Europeo sulla tutela dei dati personali, che prevede la pubblicazione dei soli dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Ancora più stringente è la tutela approntata per i dati sensibili, inerente il complesso delle informazioni riguardanti lo stato di salute, che consentono l’approntamento di misure di favore e di agevolazioni, sia in sede di svolgimento delle prove di esame (ad es. necessità di tempi aggiuntivi) sia ai fini del riconoscimento dei diritti di precedenza e preferenza nella redazione della graduatoria finale. Sono molteplici i rischi di incorrere in una diffusione illecita di dati personali nella pubblicazione,  e prima ancora nella redazione delle graduatorie di concorsi pubblici, pertanto si fornisce una panoramica dei più recenti provvedimenti del Garante per la protezione dei dati personali, quale momento di riflessione.

2. Interventi del Garante privacy: graduatorie intermedie

Sulla corretta formulazione delle graduatorie si è espresso più volte il Garante per la protezione dei dati personali, in quanto il legittimo interesse alla trasparenza e al controllo sulle attività compiute in sede concorsuale deve essere correttamente contemperato con il diritto alla tutela della riservatezza dei dati personali, a fortiori allorchè trattasi di situazioni di fragilità che incidono su aspetti della salute.

Con il Provvedimento del 17 ottobre 2024 il Garante si è occupato del reclamo presentato da due candidati a un concorso pubblico, che lamentavano che l’Ente avesse pubblicato sul proprio sito web istituzionale la graduatoria intermedia recante gli esiti dei colloqui tecnici professionali di ciascun candidato attraverso l’indicazione delle formule “idoneo” (con annessa specificazione del punteggio), “non idoneo” o “assente” . Nel corso dell’attività istruttoria l’Autorità ha altresì verificato che la graduatoria contenente i dati personali dei reclamanti risultasse ancora reperibile online attraverso i motori di ricerca generalisti, mentre il file dell’esito della prova orale fosse reso accessibile esclusivamente attraverso l’ingresso nella specifica pagina della selezione e solo fino alla pubblicazione della graduatoria quale atto conclusivo della procedura, assolvente ogni necessità di trasparenza sugli esiti della procedura.

L’Ente ha presentato una memoria difensiva, basata su una molteplicità di motivazioni:

1. nella pubblicazione degli esiti delle prove orali, i dati sono stati minimizzati con l’indicazione della sola dicitura “non idoneo” senza riportare il voto assegnato e senza divulgare alcun altro dato di natura personale e identificativa; l’Ente ne deduce che la sola indicazione di “non idoneo” non risulti arrecare un pregiudizio concreto e ragionevolmente prevedibile agli interessi del titolare del dato personale, poiché una valutazione di non idoneità meramente riferita ad una prova orale e contingentata ai soli argomenti richiesti durante la prova, non può dirsi finalizzata a violare la riservatezza del candidato, nè tale non idoneità appare poter determinare conseguenze sul piano relazionale e professionale degli interessati;

2. la pubblicazione è avvenuta all’interno della specifica pagina di selezione e vi è rimasta solamente fino alla pubblicazione della graduatoria definitiva;

3. l’esame nel quale è stata riconosciuta la non idoneità è una prova orale che, per disposizione normativa, deve svolgersi in aula aperta al pubblico, al fine di consentire il relativo controllo per garantire la massima trasparenza, venendo resi subito noti i nominativi dei candidati, le domande e le risposte formulate, nonché l’eventuale assenza di coloro che decidono di rinunciare;

4. la pubblicazione contestata risulta essere stata effettuata nel rispetto dei principi di proporzionalità e di pertinenza del trattamento dei dati personali;

5. la necessaria tutela delle persone fisiche rispetto ai propri dati personali non osta a una normativa nazionale che imponga la raccolta e la divulgazione di informazioni relative allo svolgimento dei pubblici concorsi (specificamente i nominativi dei candidati con i relativi esiti raggiunti), in quanto necessaria e appropriata al raggiungimento degli obiettivi della corretta informazione dei cittadini e della buona gestione del reclutamento del personale nelle pubbliche amministrazioni.

L’Autorità conclude l’istruttoria giungendo a valutazioni opposte. In primis essa rileva che i soggetti pubblici, anche quando operino nell’ambito dello svolgimento di procedure concorsuali, selettive o comunque valutative, prodromiche all’instaurazione del rapporto di lavoro, possono trattare i dati personali degli interessati se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento”, ad es. “per finalità di assunzione” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”. L’Ente ha, pertanto, errato laddove ha pubblicato sul proprio sito web istituzionale un atto interno alla procedura selettiva, ovvero una graduatoria intermedia, corredata dei giudizi di “idoneo”, “non idoneo” o “assente”, poichè gli artt. 15 e ss D.P.R. 9 maggio 1994, n. 487, gli artt. art. 35 e 35 ter D.Lgs. 30 marzo 2001, n. 165 e l’art. 19 D.Lgs. 33/2013 dispongono che siano pubblicate le sole graduatorie definitive dei vincitori di concorso, quale atto conclusivo e immediatamente impugnabile (art. 15, comma 6, del d.P.R. cit.).

Il Garante già con le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (provvedimento n. 243 del 15/05/2014), per agevolare la consultazione delle graduatorie suggeriva di metterle a disposizione degli interessati in aree ad accesso selezionato dei siti web istituzionali, consentendo la consultazione degli esiti delle prove o del procedimento ai soli partecipanti alla procedura concorsuale o selettiva mediante l’attribuzione agli stessi di credenziali di autenticazione (es. username o password, numero di protocollo o altri estremi identificativi forniti dall’ente agli aventi diritto, oppure mediante utilizzo di dispositivi di autenticazione, quali la carta nazionale dei servizi). Nel caso in esame emerge che la pubblicazione della graduatoria intermedia è sprovvista di un’idonea base giuridica, a prescindere dall’esito positivo o negativo conseguito da ciascun candidato all’esito delle prove sostenute nonché indipendentemente dall’adozione di accorgimenti intesi a dare attuazione al principio di minimizzazione in riferimento al dato relativo all’inidoneità dei candidati che non le abbiano superate, tanto più che gli interessati non possono nemmeno attivare forme di tutela dei propri diritti e di controllo della legittimità delle procedure concorsuali o selettive, poiché il termine per l’eventuale impugnativa decorre dalla data della pubblicazione della graduatoria finale. Nè assume rilievo la circostanza che la prova cui si riferisce la predetta graduatoria (colloquio) si caratterizzi per essere svolta in luogo aperto al pubblico, atteso che la libera accessibilità ai locali presso i quali si svolgono le prove orali di concorso non legittima anche la diffusione di qualsivoglia atto o documento afferente alla procedura o comunque predisposto dalla commissione esaminatrice. Nel provvedimento de quo il Garante riconosce che l’informazione relativa alla “non idoneità” di taluni partecipanti ha di fatto comportato la conoscibilità da parte di chiunque delle valutazioni negative espresse dalla commissione esaminatrice in ordine alle qualità e attitudini professionali, con possibili effetti pregiudizievoli per gli interessati, pertanto sanziona l’Ente comminando una sanzione amministrativa pecuniaria pari a € 5.000,00.

3. Interventi del Garante privacy: applicazione del bando di concorso – lex specialis

Il provvedimento n. 235 dell’11/04/2024 prende le mosse dal reclamo di un candidato della procedura concorsuale bandita dall’INPS, che lamenta la pubblicazione, sul sito web dell’INPS – alla pagina dedicata alla predetta procedura – di numerosi atti e documenti, inclusi gli elenchi degli ammessi e non ammessi alla prova scritta e prova orale e l’elenco dei partecipanti con la valutazione dei titoli e del relativo punteggio ad opera della Commissione di concorso, documenti poi condivisi sui social network ad opera di terzi e indicizzati sui motori di ricerca generalisti.

L’INPS, a seguito della notifica dell’avvio del procedimento, si è difeso in modo analogo a quanto riportato nel provvedimento n. 613 del 17/10/2024 sopra citato; in più ha invocato il proprio “Regolamento per il reclutamento del personale” e alcune clausole del bando di concorso, che prevedevano la pubblicazione sul sito istituzionale, con valore di notifica, dell’elenco dei candidati ammessi alle prove scritte, dei punteggi delle prove scritte, della sede e del luogo della prova orale, della graduatoria finale e dei vincitori. La posizione sostenuta dall’INPS si fonda sul presupposto che, con la domanda di partecipazione, il candidato esprima il consenso alla trattazione dei dati personali anche per esigenze successive all’espletamento del concorso relative alla instaurazione del rapporto di lavoro e che la ratio della disciplina di cui al “Regolamento per il reclutamento del personale” e del bando, assunti come base giuridica del trattamento, corrisponde all’esigenza dell’Ente di far decorrere subito i termini di impugnativa per tutti gli interessati che non superano le relative fasi del procedimento, in modo da ottenere quanto prima il consolidamento ed avere una graduatoria finale definitiva. Secondo l’orientamento univoco e autorevole della giurisprudenza (Cons. St., Ad. Plen., 29 gennaio 2003, n. 1), i bandi di concorso (al pari dei bandi di gara) sono atti amministrativi a carattere generale con i quali viene resa nota l’esistenza di una procedura e se ne regola lo svolgimento, rappresentando la lex specialis del procedimento, e producono effetti nei confronti di una pluralità di destinatari, non determinati nei provvedimenti, ma chiaramente determinabili; la difesa sostiene che, se la pubblicazione sul sito web istituzionale degli atti e documenti del concorso trova la sua base giuridica nel “Regolamento per il reclutamento del personale dell’INPS” e nel bando di concorso, non sarebbe configurabile una violazione degli artt. 5, 6 del Regolamento e dell’art. 2-ter del Codice.

E’ interessante notare che il Garante puntualizza che il provvedimento n. 235/2024 ha ad oggetto esclusivamente la diffusione sul sito web dell’INPS di dati personali dei partecipanti alla procedura concorsuale e non anche la condivisione dei dati da parte di terzi su social network, oggetto di distinta e autonoma istruttoria. Il Garante svolge le stesse argomentazioni di cui al provvedimento n. 613/2024, evidenziando che la consultazione degli esiti delle prove o del procedimento ai soli partecipanti alla procedura concorsuale poteva essere raggiunta tramite la messa a disposizione degli elenchi in un’area riservata, così da garantirne la consultabilità ad accesso selettivo, con credenziale, ai soli candidati della procedura, non tramite la pubblicazione online accessibile da chiunque. Il Regolamento interno, inoltre, non può contravvenire ovvero modificare le norme sovraordinate di riferimento, avendo un mero effetto integrativo dell’ordinamento, in ossequio al criterio gerarchico delle fonti del diritto. L’autorità adotta l’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie per un importo complessivo di € 20.000,00.

4. Interventi del Garante privacy: pubblicazione dei dati personali di vincitori e idonei

Il Garante torna a pronunciarsi nei confronti dell’INPS con provvedimento n. 588 del 26/09/2024: il motivo del nuovo procedimento scaturisce dalla pubblicazione, da parte dell’INPS, di due file, denominati “graduatoria finale” e “graduatoria finale – vincitori”, dove vengono indicati non solo nome e cognome dei vincitori e degli idonei, ma anche la data di nascita, il punteggio derivante dalla media dei voti conseguiti nelle prove scritte, il punteggio derivante dalla valutazione dei titoli, il punteggio conseguito nella prova orale, il punteggio totale, nonché, dato ancora più delicato, il riferimento all’eventuale presenza di titoli di precedenza, a quelli di preferenza e la specifica indicazione dell’ammissione con riserva. A sua difesa l’INPS richiama la Delibera ANAC n. 525 del 15/11/2023, che si è occupata del caso di un Comune che non ha pubblicato in chiaro i nominativi dei vincitori della procedura concorsuale, ma solo un codice ID; interpellato, il Responsabile della prevenzione della corruzione ha risposto all’ANAC che la mancata pubblicazione è stata motivata sulla base del contemperamento/bilanciamento con le disposizioni in materia di dati personali. Tale modus operandi viene contestato dall’ANAC, richiamando le disposizioni di legge che impongono espressamente la pubblicazione delle graduatorie finali, pertanto la base giuridica di trattamento dei dati in questa ipotesi sussiste.

L’INPS motiva il proprio operato sulla base della pronuncia dell’ANAC, chiarendo di avere inserito un asterisco per indicare la presenza di un titolo di preferenza, ma senza dettagliare quale sia la specifica casistica che ricorre: detta modalità di redazione della graduatoria sarebbe funzionale a fornire una informazione più completa a tutti i candidati vincitori e idonei per comprendere se i concorrenti che li precedono in graduatoria abbiano soltanto riportato un punteggio migliore di loro nelle prove, oppure se vantino anche un titolo di precedenza o preferenza, pur senza conoscere quale sia il titolo specifico posseduto, così da poter valutare se e quale iniziativa eventualmente assumere a tutela dei propri interessi.

L’Autorità conferma quanto evidenziato già dall’ANAC, ovvero che la pubblicazione deve avere ad oggetto i dati identificativi degli interessati “vincitori” – atteso che i dati relativi agli idonei non vincitori dovranno essere pubblicati, in base alla legge, solo allorquando l’amministrazione proceda all’aggiornamento delle graduatorie con lo scorrimento degli idonei. Tale impostazione è stata ulteriormente confermata dal Garante nelle osservazioni contenute nel parere sugli schemi standard di pubblicazione predisposti da ANAC – riguardanti fra l’altro l’art. 19 D.Lgs. 33/2013 –, in cui è stato precisato che, anche nell’adempimento degli obblighi di pubblicazione, con riferimento ai soli vincitori di concorsi pubblici e degli idonei vincitori a seguito di scorrimento della graduatoria, devono essere indicati il nome e cognome, ed eventualmente la data di nascita (ad esempio, in caso di omonimia), nonché la posizione in graduatoria (provvedimento 22/02/2024, n. 92), con altre informazioni non necessarie come il luogo e la data di nascita, il codice fiscale, la residenza, i titoli di precedenza e preferenza). Il Garante conclude l’istruttoria nei confronti dell’INPS rilevando che, seppure il semplice asterisco non consenta di conoscere quale sia il titolo di preferenza vantato dal candidato e ancor meno se si tratti di una condizione di disabilità, o del maggior numero di figli a carico, o la minore età anagrafica o altro, l’indicazione della ricorrenza di titoli di preferenza o precedenza produce l’effetto di associare a una persona fisica una o più condizioni soggettive tra quelle enumerate dalla legge, potendo comportare la possibilità di ricavare informazioni relative anche allo stato di salute di una persona (candidato o suoi familiari). In questa fattispecie l’Autorità arriva ad irrogare una sanzione di € 50.000,00, in considerazione del gran numero di interessati coinvolti, della perdurante pubblicazione sul sito istituzionale dell’INPS, dell’indicazione di una pluralità di dati personali e particolari oggetto di specifica tutela (data di nascita, punteggio delle prove scritte e orali, punteggio derivante dalla valutazione dei titoli, presenza di titoli di precedenza, di preferenza e dell’ammissione con riserva), del notevole livello di danno subito dagli interessati che può esporli a rischi reputazionali.

5. Interventi del Garante privacy: pubblicazione della graduatoria redatta da un altro Ente

Con il provvedimento n. 696 del 14/11/2024 il Garante si occupa del reclamo presentato dal candidato di un concorso pubblico, che ha lamentato la pubblicazione, sul sito web istituzionale di un Comune, di un provvedimento con il quale l’Agenzia Regionale per il Lavoro dell’Emilia-Romagna ha approvato la graduatoria relativa ad una propria selezione, completo di dati personali del reclamante e di altri partecipanti alla selezione (nome, cognome, data di nascita, codice fiscale, indirizzo, numero di cellulare, indirizzo di posta elettronica, titolo di studio). Il Comune ha sostenuto di avere ricevuto dal Centro per l’impiego la determinazione di approvazione della graduatoria della procedura selettiva con relativi allegati, da pubblicare sul sito, ritenendo erroneamente che i documenti non contenessero dati rilevanti. L’Autorità coglie l’occasione per ribadire che, anche con riguardo alla diffusione di dati comuni, la presenza di uno specifico regime di pubblicità non possa comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali, tra i quali il principio di “minimizzazione dei dati” (art. 5, par. 1, lett. c), del Regolamento). Ne deriva l’illiceità del trattamento di dati personali effettuato dal Comune per avere diffuso online i dati personali del reclamante e di numerosi partecipanti alla predetta selezione, quantificando la sanzione pecuniaria in € 20.000,00, che viene poi ridotta a € 8.000,00, considerando come attenuanti la mancata indicizzazione sui motori di ricerca, la durata limitata della pubblicazione illecita, l’imputabilità a titolo di mero errore materiale del responsabile del procedimento, l’esclusione della ricorrenza di categorie particolari di dati, l’ampia collaborazione fornita all’Autorità, le numerose difficoltà organizzative incorse nel periodo dell’erronea pubblicazione.

Il provvedimento rileva in quanto dimostra che, anche nel caso di procedura concorsuale e graduatoria gestite da altro Ente, la responsabilità in materia di tutela dei dati personali è in capo all’Amministrazione che provvede alla pubblicazione, pertanto è opportuno che, nel caso di richiesta di pubblicazione da parte di terzi, il responsabile del procedimento della pubblicazione verifichi sempre in prima persona che questa avvenga nel rispetto dei principi di pertinenza e non eccedenza, pena responsabilità personale.