Concorsi pubblici e Privacy: cosa si può (e non si può) pubblicare secondo il Garante

Con l’istituzione del Portale unico del reclutamento InPA, le regole sulla pubblicazione degli esiti dei concorsi pubblici sono profondamente cambiate. Dal 2023 le amministrazioni pubbliche non devono più pubblicare le graduatorie in Gazzetta Ufficiale, ma devono rispettare rigidi limiti imposti dal GDPR e dal Codice Privacy.

Il Garante per la protezione dei dati personali ha pubblicato una serie di FAQ chiare e operative per evitare violazioni e sanzioni. Di seguito la guida completa con tutte le indicazioni ufficiali.

1. Quali dati si possono pubblicare online nelle graduatorie finali?

Le amministrazioni devono pubblicare solo i dati dei vincitori (graduatoria finale), e unicamente:

• Nome e cognome

• Eventuale data di nascita (solo in caso di omonimia)

• Posizione in graduatoria

A discrezione dell’amministrazione è possibile pubblicare anche il punteggio complessivo.

Tutti gli altri dati personali (codice fiscale, indirizzo, recapiti, titoli, voti parziali, ecc.) non devono essere diffusi online. Questi dati restano trattati internamente dall’amministrazione, ma non possono essere resi pubblici per finalità di pubblicità legale o trasparenza.

La base giuridica di questo trattamento è data dagli obblighi di pubblicità legale e dal d.lgs. 33/2013 (Trasparenza), che però devono sempre rispettare il principio di minimizzazione dei dati.

La graduatoria va aggiornata solo in caso di scorrimento.

2. Come va pubblicata la graduatoria finale? (obbligo post-InPA)

Dal 2023 l’obbligo di pubblicazione in Gazzetta Ufficiale è stato eliminato.

Modalità corretta:

1. L’amministrazione pubblica la graduatoria finale (con i soli dati consentiti) sul proprio sito istituzionale (nella sezione Amministrazione Trasparente o apposita area concorsi).

2. Contestualmente inserisce sul Portale InPA un avviso di avvenuta pubblicazione della graduatoria.

Solo dalla data di pubblicazione dell’avviso su InPA decorrono i termini per eventuali impugnazioni.

Restano fermi:

• Gli obblighi di comunicazione individuale ai partecipanti

• Gli obblighi di pubblicazione previsti dalla normativa sulla trasparenza amministrativa

3. Si possono pubblicare online le graduatorie intermedie (di merito, titoli, con riserve)?

No.

Non possono essere pubblicate online:

• La graduatoria di merito

• La graduatoria risultante dall’applicazione dei titoli

• La graduatoria finale con applicazione delle riserve di legge

Queste graduatorie devono essere messe a disposizione solo dei partecipanti tramite:

• Area riservata sul Portale InPA

• Area ad accesso riservato sul sito dell’amministrazione (con credenziali o SPID/CIE)

  
  

4. Quali dati vanno comunicati ai partecipanti nell’area riservata?

Nell’area riservata (InPA + sito amministrazione) si possono rendere visibili ai soli partecipanti:

• Nome e cognome

• Posizione in graduatoria

• Punteggio derivante da prove e titoli

• Indicazione della mera esistenza di riserve, preferenze o precedenze (es. con un asterisco *), senza specificarne la natura

Vietato pubblicare informazioni che possano rivelare dati sensibili (stato di salute, situazione familiare, ecc.).

L’amministrazione deve applicare il principio di minimizzazione anche in questa fase e valutare misure ulteriori di protezione.

Non sono consultabili in questa area: verbali di commissione, elaborati dei candidati, valutazioni dei titoli di preferenza, atti endo-procedimentali.

5. Si possono pubblicare i dati dei candidati non vincitori?

No.

I dati personali dei candidati non risultati vincitori non possono essere pubblicati online, né nella graduatoria finale né in altre forme. La pubblicazione è limitata esclusivamente ai vincitori.

6. Si può pubblicare la ricorrenza di titoli di preferenza o precedenza?

No, se riferita a singoli candidati in modo visibile pubblicamente.

Nell’area riservata ai partecipanti è ammessa solo l’indicazione generica (es. asterisco) senza specificare di quale titolo si tratti, per evitare di rivelare dati sulla sfera privata o sulla salute.

7. Si possono pubblicare cause di esclusione o ammissione con riserva?

No in forma nominativa e pubblica.

Anche in questo caso vale il divieto di diffusione online di informazioni che possano rivelare dati sensibili o particolari.

8. Si possono pubblicare atti endoprocedimentali (verbali, valutazioni, ecc.)?

No.

Gli atti preparatori, i verbali delle commissioni, gli elaborati dei candidati e qualsiasi altro atto endo-procedimentale non sono pubblicabili online. Possono essere conservati internamente nei termini di legge, ma non diffusi.

9. Si possono pubblicare gli esiti delle prove orali con l’elenco dei candidati esaminati?

No, salvo che si tratti dei soli vincitori nella graduatoria finale (con i limiti già indicati).

La semplice pubblicazione dell’elenco dei candidati che hanno sostenuto la prova orale, con relativi esiti parziali, costituisce una diffusione non consentita.

10. Il bando di concorso o un regolamento interno possono prevedere la pubblicazione di dati ulteriori?

No.

Né il bando né un regolamento interno possono ampliare l’ambito dei dati pubblicabili oltre quanto previsto dalla normativa di settore e dalle indicazioni del Garante. Qualsiasi previsione in tal senso sarebbe illegittima rispetto al GDPR.

La cautela può essere rafforzata

Il filo conduttore di tutte le FAQ del Garante è il principio di minimizzazione dei dati: pubblicare il minimo indispensabile, solo dove strettamente necessario, e solo alle persone che hanno un interesse diretto e concreto. Ne deriva che le PA possono adottare misure di protezione dei dati ancora più stringenti, se le circostanze o la legge lo consentono.

Checklist operativa consigliata:

• Graduatoria finale sul sito istituzionale → solo nome, cognome, eventuale data nascita (ove ricorra omonimia), posizione (e opzionalmente punteggio)

• Avviso su InPA → obbligatorio per far decorrere i termini di impugnazione

• Graduatorie intermedie e dati dei non vincitori → solo in area riservata

• Asterischi per riserve/precedenze → senza specificare la motivazione

• Evitare sempre la pubblicazione di dati sensibili o superflui

Seguire queste indicazioni permette di assolvere correttamente agli obblighi di trasparenza e pubblicità legale riducendo drasticamente il rischio di reclami e sanzioni da parte del Garante.

Il tuo Ente ha necessità di adeguarsi al GDPR e dotarsi di un DPO qualificato? Scopri il nostro servizio di supporto e assistenza privacy per Comuni, Province e Città Metropolitane: https://www.avvgabrieledeluca.com/privacy-attuazione-del-gdpr-e-fornitura-del-dpo