In sintesi
Agenzia Regionale per il Lavoro dell’Emilia Romagna ha ricevuto una sanzione di 30.000 euro dal Garante Privacy per aver pubblicato online, e reso indicizzabili dai motori di ricerca, i nomi di circa 700 candidati in una graduatoria di selezione per l'impiego pubblico, senza una base giuridica adeguata per tale diffusione.
Cosa fare
- Verificate che ogni graduatoria di selezione pubblicata online dalla vostra organizzazione abbia una base legale chiara e specifica per la diffusione sul web e la sua indicizzazione
- Controllate i documenti di selezione del personale che sono stati resi pubblici online negli ultimi anni per assicurarvi che non contengano nominativi completi di candidati per i quali non è prevista una tale diffusione
- Se i vostri processi di selezione includono categorie protette o condizioni particolari, assicuratevi che le modalità di pubblicazione online delle graduatorie non permettano di risalire a tali condizioni o valutate l'anonimizzazione
Cosa evitare
- Non date per scontato che le vecchie norme sulla trasparenza giustifichino automaticamente la pubblicazione online e l'indicizzazione di dati personali sui motori di ricerca
- Non pubblicate online le graduatorie di concorso senza una verifica attenta delle informazioni che possono indirettamente rivelare dettagli sensibili sulla vita privata dei candidati
- Non limitatevi ad affiggere un documento in sede se la norma non prevede esplicitamente la pubblicazione su internet con nomi in chiaro
Contesto
Una reclamante ha richiesto al Garante Privacy la cancellazione dei propri dati da una graduatoria di selezione per l'assunzione a tempo indeterminato presso l'Azienda ospedaliero-Universitaria di Bologna IRCCS, pubblicata online dall'Agenzia Regionale per il Lavoro dell’Emilia Romagna e indicizzata sui motori di ricerca. L'Agenzia aveva rifiutato la cancellazione, adducendo motivazioni di trasparenza. L'istruttoria del Garante ha accertato che la determinazione contenente i nominativi di circa 700 iscritti alla procedura era stata pubblicata sul sito web istituzionale dell'Agenzia e risultava indicizzata. L'Agenzia ha sostenuto che la pubblicazione era legittima in virtù di un ampio quadro normativo riguardante le procedure di avviamento a selezione per la pubblica amministrazione, equiparando il processo a una procedura concorsuale e richiamando norme sulla trasparenza e la pubblicità degli atti.
La decisione
Il Garante ha accertato che l'Agenzia Regionale per il Lavoro dell’Emilia Romagna ha effettuato una diffusione illecita di dati personali di circa 700 interessati, pubblicando 'in chiaro' i loro nominativi in una graduatoria di selezione online, con conseguente indicizzazione sui motori di ricerca. Il Garante ha stabilito che non sussisteva una specifica base giuridica che legittimasse tale modalità di diffusione online per le selezioni ex art. 16 della legge n. 56 del 1987, distinguendole dalle procedure concorsuali che prevedono espressamente la pubblicazione online delle graduatorie finali. Ha sottolineato come le forme tradizionali di 'pubblicità' previste dalla normativa di settore (come l'affissione all'albo) non autorizzino automaticamente la diffusione illimitata via web, la quale è una forma di trattamento particolarmente invasiva e sproporzionata. Ha rilevato inoltre che la partecipazione a tali selezioni può indirettamente rivelare categorie particolari di dati (es. grado di invalidità), la cui diffusione è vietata. Nonostante l'Agenzia avesse agito in buona fede e rimosso prontamente i dati e richiesto la deindicizzazione, il Garante ha rilevato l'illiceità del trattamento e ha deciso di imporre una sanzione amministrativa pecuniaria, ma senza ulteriori misure correttive vista la cessazione della condotta illecita.
Articoli GDPR violati
| Articolo | Descrizione | Rilevanza |
|---|---|---|
|
5 par.1 lett.a GDPR |
Principi di liceità, correttezza e trasparenza del trattamento. | la pubblicazione online indiscriminata dei nominativi senza una base giuridica specifica è avvenuta con modalità non trasparenti rispetto alle aspettative degli interessati. |
|
5 par.1 lett.c GDPR |
Principio di minimizzazione dei dati, che devono essere adeguati, pertinenti e limitati a quanto necessario. | sono stati diffusi più dati (nomi in chiaro, indicizzazione) di quanto necessario per la finalità di garantire pubblicità secondo le norme tradizionali, che non prevedevano la diffusione online. |
|
6 GDPR |
Liceità del trattamento, che richiede una base giuridica specifica. | mancava una base giuridica specifica e valida per la pubblicazione online dei dati personali, in particolare per la diffusione illimitata tramite motori di ricerca. |
|
9 GDPR |
Trattamento di categorie particolari di dati personali, con divieti e requisiti specifici. | la partecipazione alla procedura di selezione poteva indirettamente rivelare condizioni di disabilità o svantaggio economico, assimilabili a dati particolari, la cui diffusione è soggetta a divieti e garanzie maggiori. |
|
2-ter Codice Privacy |
Base giuridica per il trattamento di dati personali da parte di soggetti pubblici nell'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri. | la diffusione online dei dati da parte dell'agenzia regionale non trovava un fondamento specifico e proporzionato nel diritto nazionale per l'esecuzione di un compito di interesse pubblico. |
|
2-septies lett.8 Codice Privacy |
Divieto di diffusione dei dati relativi alla salute. | la pubblicazione dei nominativi rischiava di rivelare, anche indirettamente (es. tramite il 'grado di invalidità' previsto dai criteri di formazione delle graduatorie), lo stato di salute degli interessati, violando il divieto di diffusione di tali dati. |
Sanzione
Il Garante ha inflitto una sanzione amministrativa pecuniaria all'Agenzia Regionale per il lavoro dell'Emilia Romagna per la diffusione illecita dei dati personali di circa 700 interessati, contenuti in una graduatoria di selezione per l'assunzione a tempo indeterminato. La pubblicazione online sul sito istituzionale e la conseguente indicizzazione sui motori di ricerca sono avvenute in assenza di un'idonea base giuridica e in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. Nonostante la buona fede dell'Agenzia e l'errata interpretazione di norme risalenti, la condotta è stata sanzionata, anche se l'Agenzia ha prontamente rimosso i dati e cooperato con l'Autorità, motivando l'assenza di ulteriori misure correttive.
Termini: entro trenta giorni dalla notifica del presente provvedimento
Implicazioni pratiche
Le pubbliche amministrazioni devono valutare con attenzione la base giuridica specifica per la diffusione online di dati personali, anche nell'ambito di procedure di selezione del personale. Le disposizioni normative risalenti, che prevedono forme di 'pubblicità' (come l'affissione all'albo), non legittimano automaticamente la pubblicazione sul sito web istituzionale e la conseguente indicizzazione sui motori di ricerca. La diffusione online è una forma di trattamento particolarmente invasiva. Richiede un equilibrio tra le esigenze di trasparenza e i diritti degli interessati, applicando i principi di minimizzazione e proporzionalità. Quando si trattano dati che possono indirettamente rivelare categorie particolari di dati, sono necessarie misure di tutela maggiori, come l'anonimizzazione o la pseudonimizzazione, per evitare una diffusione illecita.
Azioni da fare
- Verificare la base giuridica specifica per la pubblicazione online di graduatorie e liste di selezione del personale
- Valutare l'impatto della diffusione online rispetto alle finalità di trasparenza, preferendo mezzi meno invasivi ove possibile
- Considerare l'anonimizzazione o la pseudonimizzazione dei dati nelle graduatorie pubblicate online
- Assicurare che la diffusione di dati personali non avvenga tramite indicizzazione automatica dei motori di ricerca, se non strettamente necessario e legalmente previsto
Errori da evitare
- Non interpretare estensivamente le norme sulla trasparenza per giustificare la pubblicazione online di dati personali senza una base giuridica esplicita
- Non pubblicare online dati sensibili o dati che possano indirettamente rivelare condizioni particolari degli interessati
- Non assumere che la pubblicazione su albi fisici autorizzi automaticamente la diffusione online senza un'analisi dei rischi privacy
Domande di self-assessment
- Esiste una norma di legge esplicita che impone o consente la pubblicazione online delle nostre graduatorie/liste di selezione del personale, con i nominativi in chiaro?
- Abbiamo valutato i rischi privacy della pubblicazione online dei nominativi degli interessati, inclusa l'indicizzazione sui motori di ricerca?
- Sono presenti nelle nostre graduatorie dati che possono indirettamente rivelare condizioni di disabilità o svantaggio economico dei candidati, e come li tuteliamo nella diffusione?
Riferimenti
Linee guida EDPB: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR
Normativa nazionale: d.lgs. 30 giugno 2003, n. 196 · Legge n. 56 del 1987 · Decreto del Ministero del lavoro e delle politiche sociali dell’11 gennaio 2018, n. 4 · D.lgs. 165/2001 · D.Lgs. n. 33 del 2013 · d.P.R. 445/2000 · D.P.R. 487 del 1994 · L. 68/99 · legge n. 689/1981 · d.lgs. n. 150 del 1° settembre 2011
Note
Il Garante ha riconosciuto la buona fede del titolare del trattamento e il contesto di normativa di settore risalente e di non facile interpretazione, ma ha comunque ritenuto la condotta illecita per la mancanza di una specifica base giuridica per la diffusione online e l'indicizzazione dei dati personali.