Concorsi: quali dati possono essere pubblicati online e quali no?

Il Garante per la protezione dei dati personali ha pubblicato con provvedimento del 9 ottobre  un articolato documento di FAQ volto a chiarire quali dati possano essere trattati e soprattutto diffusi online dalle pubbliche amministrazioni nell’ambito delle procedure dei concorsi pubblici 

Il provvedimento nasce a seguito dei numerosi reclami e segnalazioni relativi alla pubblicazione non conforme di graduatorie, elenchi di candidati, punteggi e informazioni sensibili, spesso accessibili tramite motori di ricerca e quindi potenzialmente consultabili senza limiti di tempo.

Il documento chiarisce come la diffusione sul web di informazioni personali rappresenti una forma di trattamento particolarmente invasiva, poiché consente un accesso indiscriminato a dati che possono rimanere online permanentemente ed essere riutilizzati da terzi. Per questo motivo il Garante ribadisce la necessità di adottare criteri stringenti di minimizzazione, selezionando solo i dati effettivamente necessari e autorizzati dalla normativa vigente.

Le nuove disposizioni si coordinano con la riforma del Portale InPA (art. 35-ter d.lgs. 165/2001), confermando l’obbligo di pubblicazione solo degli elementi indispensabili a garantire trasparenza e diritto di impugnazione.

Vediamo le principali indicazioni ed esempi .

1) Le norme sulla pubblicazione dei dati concorsuali

Si ricorda che con l’introduzione del Portale InPA, le amministrazioni non sono più tenute alla pubblicazione in Gazzetta Ufficiale. L’obbligo si assolve attraverso:

Le graduatorie intermedie – di merito, titoli e riserve – non possono essere pubblicate online, ma devono essere rese accessibili esclusivamente ai partecipanti tramite area riservata.

All’interno di tale spazio gli enti devono fornire:

• nome e cognome
• posizione attribuita
• punteggio complessivo
• mera indicazione dell’eventuale ricorrenza di preferenze (es. con un asterisco)

Senza specificare la natura del titolo, per evitare la diffusione indiretta di informazioni sensibili.

È inoltre vietata la pubblicazione online degli esiti delle prove orali, che devono invece essere affissi solo nei locali fisici della sede d’esame e per il tempo strettamente necessario.

Secondo il provvedimento, la base giuridica che consente alle amministrazioni pubbliche di trattare dati personali dei partecipanti ai concorsi risiede nell’adempimento di obblighi legali e nell’esercizio di funzioni di interesse pubblico (artt. 5 e 6 GDPR; artt. 2-ter e 2-sexies del Codice Privacy) 

Tuttavia, la possibilità di diffondere online tali dati è ammessa solo nei casi espressamente previsti dalla normativa di settore: si tratta principalmente della pubblicazione delle graduatorie finali dei soli vincitori, in conformità al d.lgs. 33/2013 e alle linee guida ANAC.

Dalle FAQ emergono chiaramente i dati che possono essere diffusi sul sito istituzionale dell'ente che bandisce il concorso o sul portale INPA,

2) Istruzioni operative per le amministrazioni e i consulenti

Il Garante specifica per i responsabili del trattamento, ai dirigenti delle risorse umane e ai consulenti che supportano gli enti nella gestione dei concorsi , che il principio cardine è quello della minimizzazione della diffusione dei dati.

Quindi, prima di pubblicare qualsiasi documento, l’amministrazione deve verificare se la pubblicazione è prevista dalla legge; se il dato è necessario per trasparenza e tutela giurisdizionale;  se può essere omesso o sostituito da un’indicazione sintetica.

In generale è consigliabile

•  pubblicare solo i dati dei vincitori.
• Usare la data di nascita esclusivamente per distinguere omonimi.
• Non inserire diciture quali “idoneo non vincitore”, “escluso”, “ammesso con riserva”.
• Non pubblicare riferimenti a leggi o categorie che possono rivelare condizioni sensibili (es. legge 104/1992, invalidità).

Gli atti non destinati alla diffusione online devono essere caricati:

• nell’area riservata del portale InPA;
• oppure in un’area protetta del sito istituzionale, accessibile tramite credenziali.

In quest’ambito è possibile comunicare ai candidati informazioni più dettagliate, sempre nel rispetto del principio di necessità.

Le FAQ chiariscono  infine che il bando di concorso o un regolamento interno non possono prevedere la pubblicazione di ulteriori dati personali oltre quelli stabiliti dalla normativa nazionale.

Le amministrazioni non hanno autonomia in materia di diffusione dei dati personali e non possono introdurre discipline “locali” difformi.

3) Concorsi pubblici: riepilogo dei dati pubblicabili e non

 Per praticità riepiloghiamo le indicazioni  del Garante nella tabella seguente: