Un documento pubblicato sul sito di una Pubblica Amministrazione può trasformarsi in un problema anche diversi anni dopo la conclusione della procedura alla quale si riferisce. Basta che contenga informazioni personali non destinate alla libera consultazione e che nessuno verifichi se debbano ancora essere accessibili.
È quanto accaduto all’Agenzia per l’Italia Digitale (AgID), destinataria di una sanzione di 15mila euro per la diffusione illecita dei dati di alcuni partecipanti a un concorso pubblico.
La decisione del Garante per la protezione dei dati personali riporta al centro dell’attenzione una questione che riguarda da vicino ministeri, Comuni, enti territoriali e organismi pubblici: la trasparenza amministrativa non autorizza a rendere indiscriminatamente disponibili le informazioni dei cittadini.
Il caso presenta inoltre un aspetto particolarmente significativo. Non si è verificato un attacco informatico e non risulta alcuna sottrazione di dati da parte di soggetti esterni. A determinare la violazione è stata una pubblicazione rimasta accessibile nel tempo, nonostante l’amministrazione fosse convinta di averla già eliminata.
AgID e privacy nei concorsi pubblici: cosa è successo
La vicenda risale al 2021, quando AgID aveva avviato una selezione per assumere personale destinato al programma Smarter Italy. La procedura riguardava alcune figure amministrative, tra cui un funzionario esperto in comunicazione pubblica e relazioni istituzionali e due collaboratori con contratto a tempo determinato.
Durante lo svolgimento della selezione, sul portale istituzionale dedicato alla trasparenza era stato caricato un documento contenente nomi, cognomi e punteggi di 15 candidati ammessi alla prova orale.
Uno degli interessati aveva successivamente chiesto che le proprie informazioni venissero rimosse dal sito. L’intervento richiesto, però, non aveva prodotto il risultato atteso.
L’elenco continuava a essere disponibile online anche dopo la conclusione del concorso, rendendo consultabili dati collegati a una fase intermedia della selezione.
Il candidato ha quindi presentato un reclamo al Garante Privacy, che ha avviato gli accertamenti sulla legittimità della pubblicazione e sulla gestione della richiesta di cancellazione.
La situazione si è definitivamente risolta soltanto il 23 gennaio 2026, quando AgID ha rimosso il documento dopo aver ricevuto la comunicazione dell’Autorità.
Il documento mai cancellato e la responsabilità dell’amministrazione
Nelle osservazioni trasmesse al Garante, l’Agenzia ha ricostruito l’accaduto riconducendolo a un errore operativo occasionale.
Secondo quanto dichiarato durante l’istruttoria, la procedura normalmente seguita da AgID prevede che gli esiti intermedi dei concorsi vengano comunicati attraverso codici identificativi univoci, evitando quindi l’esposizione diretta delle generalità dei partecipanti.
Nel caso esaminato, invece, era rimasta pubblicata una versione del documento contenente i dati personali. L’Agenzia riteneva di aver provveduto alla sostituzione nel 2025, ma l’operazione non era stata completata correttamente.
Si tratta di un passaggio che assume particolare rilievo per l’organizzazione degli uffici pubblici. Disporre la cancellazione di un file non equivale necessariamente ad averlo rimosso. Occorre verificare che la modifica sia effettiva e che il materiale non continui a essere raggiungibile tramite i collegamenti presenti sul sito.
L’errore riconosciuto dall’amministrazione non è stato considerato sufficiente per escluderne la responsabilità. Il Garante ha infatti rilevato che il documento era rimasto accessibile per un periodo molto lungo, dal 2021 fino all’inizio del 2026.
Trasparenza amministrativa e GDPR: quali dati possono essere pubblicati
Il punto più importante della decisione riguarda i limiti entro i quali le amministrazioni possono diffondere informazioni relative ai concorsi.
Il principio generale è che la pubblicità degli atti deve avere una precisa base normativa. Non basta richiamare genericamente il diritto dei cittadini a conoscere l’attività della PA per giustificare la diffusione di qualsiasi dato personale.
Nel provvedimento n. 745 del 7 ottobre 2026, il Garante ha accertato la violazione degli articoli 5 e 6 del Regolamento europeo sulla protezione dei dati (GDPR), oltre che dell’articolo 2-ter del Codice Privacy.
Le disposizioni richiamate impongono che il trattamento sia legittimo e che le informazioni utilizzate risultino pertinenti e limitate alle finalità perseguite.
In termini pratici, un’amministrazione non può pubblicare dati personali soltanto perché li possiede o perché fanno parte di un procedimento pubblico.
La disciplina distingue infatti gli obblighi relativi alle graduatorie definitive dalla comunicazione degli esiti delle singole prove. Questi ultimi devono essere conoscibili dagli interessati attraverso strumenti che impediscano una diffusione indiscriminata.
Il quadro normativo è stato ulteriormente chiarito dalle indicazioni elaborate dal Garante insieme al Dipartimento della Funzione Pubblica. Come già approfondito nell’articolo dedicato al trattamento dei dati nei concorsi pubblici e alle FAQ del Garante, la pubblicazione delle graduatorie finali deve rispettare precisi limiti, mentre le comunicazioni sulle prove intermedie richiedono modalità di accesso riservate ai partecipanti.
Il ruolo del portale InPA nella protezione dei candidati
La progressiva digitalizzazione del reclutamento pubblico ha reso più semplice consultare bandi, conoscere le scadenze e seguire gli esiti delle selezioni. Allo stesso tempo, ha imposto agli enti una maggiore attenzione nella scelta dei canali attraverso cui comunicare con gli aspiranti dipendenti.
Le indicazioni più recenti dell’Autorità distinguono ciò che deve essere conoscibile dalla collettività dalle informazioni destinate esclusivamente a chi partecipa alla procedura.
Per queste ultime, il Portale unico del reclutamento InPA mette a disposizione funzionalità che consentono di limitare la consultazione ai soggetti autorizzati.
Una simile impostazione permette di garantire il diritto dei candidati a conoscere i risultati senza rendere necessariamente pubblici elementi che li riguardano personalmente.
È importante precisare che le regole aggiornate non si applicano retroattivamente, in ogni loro aspetto, alla vicenda del 2021. Il Garante le ha comunque richiamate per ribadire l’orientamento che deve guidare oggi le amministrazioni nella gestione delle selezioni.
Perché il Garante ha deciso una sanzione di 15mila euro
La quantificazione della multa è stata effettuata valutando sia la gravità dell’irregolarità sia il comportamento tenuto dall’Agenzia durante il procedimento.
Tra gli elementi considerati figurano soprattutto la durata della diffusione, prossima ai cinque anni, e il coinvolgimento di 15 persone. Il Garante ha inoltre ritenuto che l’accaduto non potesse essere classificato come una violazione minore, considerata la possibilità di consultare liberamente le informazioni personali.
L’Autorità ha tuttavia riconosciuto alcune circostanze attenuanti. Il comportamento è stato giudicato colposo, quindi riconducibile a un errore e non a una condotta intenzionale. AgID ha inoltre collaborato durante l’istruttoria, provvedendo a eliminare rapidamente il documento una volta accertata la sua permanenza online.
È stata considerata anche l’assenza di precedenti violazioni pertinenti nello specifico ambito della pubblicazione dei dati relativi alle procedure concorsuali.
Alla luce di questi elementi, la sanzione è stata fissata a 15.000 euro. Non sono state disposte ulteriori misure correttive, essendo già cessata la condotta contestata.
Non è il primo provvedimento del Garante nei confronti di AgID
Il nuovo intervento si inserisce in un periodo nel quale l’Agenzia per l’Italia Digitale è già stata interessata da un’altra controversia in materia di protezione dei dati personali.
Con il provvedimento n. 419 del 28 maggio 2026, il Garante aveva infatti disposto una sanzione di 55mila euro in relazione al trasferimento automatico degli indirizzi PEC dei professionisti dall’indice INI-PEC all’Indice nazionale dei domicili digitali (INAD).
In quel caso, la contestazione riguardava principalmente le modalità con cui gli interessati erano stati informati del trattamento dei propri dati e del loro inserimento nel nuovo registro.
Occorre però distinguere le due vicende anche sotto il profilo giudiziario. L’efficacia esecutiva del provvedimento da 55mila euro è stata sospesa dal Tribunale di Roma il 3 agosto 2026 e il relativo giudizio di opposizione risulta pendente, come specificato sul sito ufficiale del Garante.
Si tratta dunque di procedimenti autonomi, fondati su circostanze differenti, che non devono essere confusi né considerati automaticamente come sanzioni definitive complessivamente dovute.
La lezione per Comuni ed enti pubblici: controllare anche ciò che è già online
La vicenda AgID suggerisce una riflessione più ampia sulla gestione quotidiana dei portali istituzionali.
Quando si parla di digitalizzazione della PA, l’attenzione si concentra spesso sulla creazione di nuovi servizi, sulla semplificazione delle procedure e sulla sicurezza delle infrastrutture. Meno evidente, ma altrettanto importante, è il lavoro necessario per mantenere correttamente aggiornati i contenuti già pubblicati.
Un documento caricato anni prima può continuare a essere accessibile anche quando le ragioni della sua pubblicazione sono venute meno. Per questo la gestione della privacy non dovrebbe esaurirsi nel controllo iniziale dei file, ma comprendere verifiche periodiche, procedure di rimozione affidabili e una chiara attribuzione delle responsabilità agli uffici competenti.
Un ruolo importante può essere svolto anche dal Responsabile della protezione dei dati (DPO), coinvolgendolo nella definizione delle procedure attraverso cui vengono pubblicate, conservate e aggiornate le informazioni personali.
La trasparenza resta un principio fondamentale dell’azione amministrativa. Deve però essere esercitata rispettando i diritti delle persone e utilizzando strumenti adeguati alle diverse esigenze informative.
Il caso AgID dimostra che un’amministrazione digitale efficiente non è soltanto quella che pubblica rapidamente i documenti, ma anche quella che sa stabilire quali informazioni rendere accessibili, per quanto tempo e a chi. È su questa capacità di governo dei dati che si misura una parte essenziale della qualità dei servizi pubblici.
Il testo del provvedimento del Garante
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
