VEDI ANCHE Newsletter dell'11 settembre 2026

[doc. web n. 10287084]

Provvedimento del 23 luglio 2026

Registro dei provvedimenti
n. 550 del 23 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, e il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento - a seguito dell’approvazione da parte dell’Agenzia Regionale per il lavoro dell’Emilia Romagna (di seguito “Agenzia Regionale”) di una graduatoria nell’ambito di una procedura avviata ai sensi dell’art.16 della legge n.56 del 1987 per l’assunzione a tempo indeterminato di operatore tecnico addetto all’accoglienza presso l’azienda ospedaliero-Universitaria di Bologna IRCCS, policlinico di Sant’Orsola - la reclamante ha rappresentato di aver richiesto la “cancellazione dei [propri] dati [presenti nella predetta graduatoria] nonché una deindicizzazione dai motori di ricerca. […in quanto] digitando il [proprio] nome e cognome su google appare la graduatoria attenzionata con relativo posizionamento. […] l'Agenzia ha rifiutato di cancellare i dati di tale proceduta, […per] presunte questioni di trasparenza imposta dalla legge”.

Sulla base delle indicazioni fornite dalla reclamante a seguito delle verifiche effettuate dall’Ufficio è stata accertata la pubblicazione online della determinazione della “REGIONE EMILIA-ROMAGNA Atti amministrativi AGENZIA LAVORO Atto del Dirigente DETERMINAZIONE Num. XX del XX BOLOGNA” contenente i nominativi degli iscritti alla predetta procedura.

2. L’attività istruttoria.

Nell’ambito dell’istruttoria, l’Agenzia Regionale, con nota del XX, ha dichiarato, in particolare, che:

- “con la determinazione n. XX del XX l’Agenzia Regionale per il Lavoro ha approvato l’“Avviso pubblico di avvio a selezione nella pubblica amministrazione ai sensi dell'art. 16 della Legge n. 56/1987 presso azienda Ospedaliero Universitaria di Bologna - IRCCS - Policlinico Sant'Orsola, per n. 10 posti di operatore tecnico addetto all'accoglienza cat. b, tempo indeterminato - tempo pieno”;

- “seguiva la determinazione n. XX del XX avente ad oggetto l’“Approvazione graduatoria per l'avvio a selezione nella pubblica amministrazione ai sensi dell'art. 16 l. 56/87 per assunzione a tempo indeterminato, orario pieno, presso l'Azienda ospedaliero-universitaria di Bologna/ IRCCS-policlinico di Sant'Orsola di n.10 posti di operatore tecnico addetto all'accoglienza (cat.b) “;

- “con comunicazione del XX l’interessata formulava istanza, ai sensi dell’art. 17 par. 1 del GDPR, di cancellazione dei dati personali di cui alla graduatoria succitata. Con comunicazione Ns Prot. XX del XX l’Agenzia forniva, nel rispetto dei tempi procedimentali, debitamente riscontro rappresentando come la pubblicazione della graduatoria fosse legittimata dall’ampio quadro normativo”;

- “il procedimento amministrativo è stato acceso ai sensi dell’art. 16 della legge n. 56/1987 recante “Norme sull'organizzazione del mercato del lavoro” il quale impone alle pubbliche amministrazioni di effettuare “le assunzioni dei lavoratori da inquadrare nei livelli retributivi per i quali non è richiesto titolo di studio superiore a quello della scuola dell’obbligo sulla base di selezioni effettuate tra gli iscritti nelle liste di collocamento e in quelle di mobilità (…) avviati numericamente alla selezione secondo l’ordine delle graduatorie risultante dalle liste delle circoscrizioni territorialmente competente “;

- “in aderenza al Decreto del Ministero del lavoro e delle politiche sociali dell’11 gennaio 2018, n. 4 recante “Linee di indirizzo triennali dell’azione in materia di politiche attive” e, in particolare, il relativo allegato B, che include la predisposizione di graduatorie per l’avviamento a selezione presso la pubblica amministrazione tra i livelli essenziali delle prestazioni in materia di politiche attive”;

- “nel rispetto dell’art. 35 co. 1 lettera b del D.lgs. 165/2001 che puntualmente distingue tale tipologia di procedimento “di avviamento degli iscritti” dalle più note e diffuse “procedure selettive” di cui alla lettera a) del medesimo articolo”;

- “in assenza di una tempistica definita dalla norma, in analogia a quanto previsto dall’art. 8, co. 3, del D.Lgs. n. 33 del 2013 anche in ordine alle pubblicazioni di cui all’art. 19 dello stesso Decreto, l’Agenzia ha definito un tempo di diffusione di 5 anni delle graduatorie relative agli avviati alla selezione ai sensi dell'articolo 16 della Legge n. 56/1987. Seppure tale tipologia di graduatoria presenta i connotati di peculiarità descritti antea, tuttavia le esigenze di trasparenza, ovvero di assicurare un accesso totale e incondizionato ai dati e ai documenti detenuti dalle amministrazioni, al fine di tutelare i diritti dei cittadini e promuovere una partecipazione attiva degli stessi nell'ambito delle attività amministrative, coincidono con quanto espresso nel D.lgs. n. 33/2013”.

Con nota del XX l’Autorità, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Agenzia Regionale ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver pubblicato, sul proprio sito web istituzionale, nonché indicizzato sui comuni motori di ricerca, la determinazione n. XX del XX contenente i nominativi di coloro ai quali veniva riconosciuto il diritto all’avviamento a selezione ai sensi dell’art.16 della legge n.56 del 1987 per l’assunzione a tempo indeterminato di operatore tecnico addetto all’accoglienza presso l’azienda ospedaliero-Universitaria di Bologna IRCCS, policlinico di Sant’Orsola, in violazione degli artt. artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies, comma 8 del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota dell’XX, l’Agenzia Regionale, che non ha richiesto di essere audita, ha presentato una memoria difensiva, dichiarando, in particolare, che:

- con la determinazione n. XX del XX “questa Agenzia, tramite il Centro per l’impiego di Bologna, ha approvato la graduatoria definitiva per l’avvio a selezione ai sensi dell’art.16 L.56/1987 per assunzioni a tempo indeterminato presso il Policlinico Sant’Orsola di Bologna”;

- “l’Agenzia, in questa tipologia di procedura, non compie alcuna valutazione relativamente all’idoneità del lavoratore a svolgere le mansioni oggetto del bando, attività invero posta in capo dell’Ente finale che deve effettuare le assunzioni. Di contro è evidente che l’Agenzia attua una valutazione comparativa dei requisiti posseduti dai candidati non riconducibili a competenze professionali ma a condizioni autocertificate dai diversi partecipanti, che hanno una posizione di veri e propri concorrenti, come in una procedura selettiva con valutazione di soli titoli”;

- “al fine di chiarire i termini della questione è necessario ricostruire brevemente il sistema di cui all’art.16 della L.56/1987 che configura uno speciale regime giuridico delle assunzioni presso le PP.AA. del personale da adibire a qualifiche per le quali è richiesto il solo requisito della scuola dell’obbligo”;

- “per questa particolare tipologia di assunzioni le PP.AA. che intervengono sono due, il Centro per l’impiego territorialmente competente e l’Ente che deve assumere, e lo fanno attraverso due distinti procedimenti amministrativi, avviati autonomamente e che si concludono autonomamente”;

- “l’Ente che intende assumere formula la propria richiesta di personale al Centro per l’impiego [CPI], al quale spetta l’onere di costituire una graduatoria di persone per l’Ente richiedente, affinché compia la successiva verifica dell’idoneità alla mansione richiesta, e solo successivamente compie l’assunzione nei suoi ranghi giuridici”;

- a seguito dell’istanza dell’Ente richiedente, il CPI competente, dopo aver verificato la correttezza e completezza della stessa istanza, approva un apposito avviso pubblico, i cui contenuti ricalcano quelli tipici del bando di concorso pubblico. Il procedimento prosegue poi con l’acquisizione delle domande di partecipazione e l’espletamento di ulteriori attività istruttorie, quali la verifica dell’ammissibilità delle istanze dei cittadini, del possesso dei requisiti di partecipazione autodichiarati ex d.P.R. 445/2000. Infine, termina con la formazione di una graduatoria per soli titoli, redatta applicando i punteggi previsti nel bando sulla base di criteri di valutazione predeterminati, applicando anche istituti tipici dei concorsi pubblici quali titoli di preferenza”;

- “per questo primo procedimento, l’Agenzia forma una graduatoria con caratteristiche di graduatoria provvisoria poiché soggetta a revisione in autotutela, su istanza di parte, nei primi giorni dalla pubblicazione, per la sola errata trascrizione del punteggio. Tale periodo consente all’amministrazione di operare qualora dovessero esservi contestazioni in merito ai punteggi attribuiti o alle esclusioni dei partecipanti. Terminato il riesame, la graduatoria definitiva viene approvata, pubblicata e trasmessa all’Ente titolare del distinto e separato procedimento di assunzione, come previsto dagli articoli 25 e 26 del DPR 487/1994”;

- consolidata la graduatoria definitiva, l’Ente che deve assumere verifica l’idoneità alla mansione autocertificata dal soggetto inserito in graduatoria, dovendo obbligatoriamente rispettare, come ordine di chiamata al colloquio, quello fissato nella graduatoria formata dal CPI, in questo caso senza valutazione comparativa e senza formazione di ulteriori proprie graduatorie (ex art. 27 co. 3 DPR 487/1994)”;

- “considerando, pertanto, la procedura descritta nei paragrafi che precedono quale una vera e propria procedura concorsuale e comparativa, l’ARL ha ritenuto di dover conformare la propria condotta ai principi indicati nel comma 3 dell’art.35 del D.lgs. 165/2001, compreso il principio di trasparenza, e, quindi, di dover sottostare agli obblighi di pubblicità di cui all’art.19 c.1 del D.lgs. 33/2013 relativamente alle graduatorie finali”;

- “relativamente a quanto contestato riguardo alla mancata comprova da parte dell’Agenzia Lavoro di alcuna specifica norma di legge che preveda la pubblicazione on-line, si evidenzia che in applicazione dell’art. 26 DPR 487/94, riportato in nota dallo stesso GPDP, il quale prevede al co.7 che “la graduatoria è resa pubblica con le stesse modalità previste per il bando di offerta di lavoro”, essendo il bando di gara pubblicato on-line e dovendosi presentare l’istanza di partecipazione esclusivamente su un applicativo on-line, con identificazione a mezzo SPID, si è ritenuto che anche la graduatoria definitiva dovesse essere pubblicata in aderenza all’art. 19 d.lgs. 33/2013”.

3. Esito dell’attività istruttoria. La normativa applicabile.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche quando operino nello svolgimento di procedure concorsuali, selettive o comunque valutative, prodromiche all’instaurazione del rapporto di lavoro, possono trattare i dati personali degli interessati (art. 4, n. 1, del Regolamento) se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (si pensi a specifici obblighi previsti dalla normativa nazionale “per finalità di assunzione”, artt. 6, par. 1, lett. c), 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento e art. 2-ter del Codice).

Tali trattamenti devono, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro che deve perseguire un obiettivo di interesse pubblico ed essere proporzionato al perseguimento dello stesso. La finalità del trattamento deve essere necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (cfr. art. 6, par. 3, del Regolamento e 2-ter del Codice).

Con riguardo alle categorie particolari di dati personali, inclusi quelli relativi alla salute (in merito ai quali è previsto un generale divieto di trattamento, ad eccezione dei casi indicati all’art. 9, par. 2 del Regolamento e, comunque un regime di maggiore garanzia rispetto alle altre tipologie di dati (cfr., art. 9, par. 4, nonché dell’art. 2-septies, comma 8 del Codice), il trattamento è consentito ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento).

Il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, paragrafo 1, lett. a) e c) del Regolamento).

3.1. La diffusione online di dati personali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria nonché dall’accertamento compiuto sulla base degli elementi acquisiti, risulta che l’Agenzia Regionale ha pubblicato, sul proprio sito web istituzionale, nonché indicizzato sui comuni motori di ricerca, la determinazione n. XX del XX contenente i nominativi (ca. 700 soggetti) di coloro ai quali veniva riconosciuto il diritto all’avviamento a selezione ai sensi dell’art.16 della legge n.56 del 1987 per l’assunzione a tempo indeterminato di operatore tecnico addetto all’accoglienza presso l’azienda ospedaliero-Universitaria di Bologna IRCCS, policlinico di Sant’Orsola.

Con riguardo alla base giuridica che avrebbe giustificato la diffusione online dei predetti dati non è stata comprovata da parte dell’Agenzia Regionale alcuna specifica norma di legge che preveda la pubblicazione online, sul proprio sito web istituzionale e la conseguente indicizzazione sui più comuni motori di ricerca, dei nominativi dei partecipanti a una procedura selettiva di personale iscritto nelle liste dei centri per l’impiego, ai sensi dell’art.16 della legge n. 56 del 1987.

Con specifico riferimento, infatti, all’ art. 35 del d.lgs. 165 del 2001, richiamato dall’Agenzia Regionale, si evidenzia che tale disposizione pone una specifica distinzione tra la tipologia di assunzione “mediante avviamento degli iscritti nelle liste di collocamento” (art.35, comma 1, lett, b) e l’assunzione “tramite procedure selettive” (art.35 comma 1 lett. a) e solo in quest’ultimo caso vi è un esplicito riferimento al comma 3 del medesimo articolo che elenca i principi a cui le procedure di reclutamento nelle pubbliche amministrazioni si devono conformare, non contemplando l’altra forma di reclutamento perché, invece, sottoposta a una disciplina diversa e più specifica.

Anche il D.P.R. 487 del 1994 prevede per questa particolare forma di assunzione un capo appositamente dedicato (v. Capo III Assunzioni mediante gli uffici circoscrizionali per l'impiego ai sensi dell'articolo 16 della legge 28 febbraio 1987, n. 56) che indica una disciplina distinta dall’assunzione tramite procedure selettive genericamente intese. Infatti in numerosi casi trattati dal Garante, aventi ad oggetto la diffusione di dati personali nell’ambito di procedure selettive, sono indicati i riferimenti normativi riguardanti le forme di reclutamento nella Pubblica Amministrazione “tramite procedure selettive” così come intese dall’art.35 comma 1 lett. a) e pertanto non applicabili a tale forma di assunzione tramite avviamento mediante gli iscritti alle liste di collocamento (cfr. provv. n.235 dell’11 aprile 2024, doc web 10019523; provv. n.116 del 26 febbraio 2026, doc, web10235715).

A tale riguardo, pertanto, si evidenzia che l’art. 19 del d.lgs. 14 marzo 2013, n. 33, nel prescrivere la pubblicazione delle sole “graduatorie finali”, si riferisce esclusivamente alle procedure concorsuali scaturite da “bandi di concorso per il reclutamento” e non anche a quelle effettuate “mediante avviamento degli iscritti nelle liste di collocamento”.

Di conseguenza il riferimento all’art. 8, co. 3, del d.lgs. n. 33 del 2013, che l’Agenzia Regionale ha indicato al fine di individuare “un tempo di diffusione” che consentirebbe la pubblicazione per cinque anni delle predette graduatorie, risulta inconferente tenuto conto che la particolare forma di assunzione prevista dall’art.16 della citata l. n.56 del 1987 per i motivi sopra esposti non può essere assimilata “a un pubblico concorso” come le procedure concorsuali alle quali si applica l’art.19 del citato decreto.

Chiarito, dunque, che nel d.lgs. 33 del 2013 non è presente alcuna norma che prescriva la pubblicazione online delle predette liste, con particolare riferimento, nello specifico, alle forme di pubblicità e trasparenza dei nominativi dei partecipanti a tale particolare forma di assunzione si evidenzia che seppure l’art. 26 comma 7 del D.P.R. 487 del 1994 preveda che tali “graduatorie” siano “rese pubbliche” al fine di garantire una tutela all’interessato nel caso ritenesse di dover proporre opposizione nei confronti della posizione in graduatoria a sé riferita, ciò non prevede che i dati personali di ognuno siano conosciuti da chiunque. Anche l’art.25 comma 2, che prescrive che la graduatoria unica sia resa pubblica “mediante affissione all’albo degli uffici e sezioni interessate” non consente che tali informazioni siano rese pubbliche online e siano indicizzati sui comuni motori di ricerca. 

In particolare, con riguardo a obblighi di pubblicazione online di dati, informazioni e documenti della p.a., previsti da specifiche disposizioni di settore diverse da quelle in materia di trasparenza – come, fra l’altro, quelli volti a garantire la conoscibilità di atti o provvedimenti amministrativi ai soggetti interessati – si evidenzia che “laddove la pubblicazione online di dati, informazioni e documenti, comporti un trattamento di dati personali, devono essere opportunamente contemperate le esigenze di pubblicità e trasparenza con i diritti e le libertà fondamentali, nonché la dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali” (cfr. “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” provv. n. 243 del 15 maggio 2014, doc. web n. 3134436).

Quanto prescritto dalla normativa poteva essere assolto dall’Agenzia Regionale ricorrendo a forme di anonimizzazione del dato personale in modo da rendere conoscibile al solo interessato la propria posizione in graduatoria. Tale accorgimento è da ritenersi indispensabile nel caso di diffusione di dati personali online, con conseguente indicizzazione degli stessi tramite i comuni motori di ricerca, come nel caso di specie, considerato che, come tradizionalmente più volte indicato dal Garante, la pubblicazione di dati personali online, a differenza delle tradizionali forme di pubblicità, costituisce una forma di diffusione di dati particolarmente invasiva poiché consente a chiunque, per effetto dei comuni motori di ricerca esterni ai siti, di reperire indiscriminatamente e in tempo reale un insieme consistente di informazioni personali rese disponibili in rete, non sempre aggiornate e di natura differente. 

Una volta pubblicati, infatti, i dati rischiano di rimanere in rete per un tempo indefinito e possono essere utilizzati, anche incrociandoli con altre informazioni presenti sul web, da chiunque.
Nell’utilizzare tale strumento di diffusione occorre, quindi, prevedere forme adeguate di selezione delle informazioni che potrebbero essere altrimenti aggregate massivamente mediante un comune motore di ricerca esterno ai siti e suscettibile di utilizzi ulteriori. Ancorché, dunque, la disciplina normativa di settore, talvolta assai risalente nel tempo, come nel caso di specie, preveda espressamente forme specifiche e circoscritte di diffusione, tali forme di pubblicazione non autorizzano, di per sé, a trasporre i dati personali degli interessati sul sito web istituzionale dell’Ente. Il titolare del trattamento deve assicurare, invece, livelli differenziati di pubblicità e trasparenza tali da modulare la conoscibilità delle informazioni a seconda dello specifico interesse sotteso in modo da evitare sproporzionate interferenze nella vita privata degli interessati (artt. 7 e 8 della Carta di Nizza; cfr. anche considerando 156 del Regolamento e “Linee guida in materia di trattamento di dati personali, di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, n.161, doc web n.1417809).

Con particolare riguardo, inoltre, alle informazioni presenti nelle predette liste si evidenzia che l’art.24 del D.P.R. 487 del 1994 prescrive che i centri per l’impiego formano “le graduatorie […] sulla base degli elementi di cui alla tabella allegata al presente decreto” in cui si fa riferimento anche a informazioni di natura particolare, quali il “grado di invalidità” (v. allegato al D.P.R. 487 del 1994 “CRITERI PER LA FORMAZIONE DELLE GRADUATORIE”). 

A tale riguardo, seppure non è possibile individuare, con riferimento all’elenco pubblicato, quale sia la ragione della partecipazione alla predetta procedura di ciascun interessato, e cioè se sia il possesso di una condizione di disabilità o di una situazione patrimoniale o reddituale sfavorevole, la sola partecipazione a tale procedura può determinare l’eventuale associazione degli interessati a una condizione di disabilità. Tali informazioni, non tutte riconducibili a categorie particolari di dati, ma riferite a specifiche condizioni soggettive dei partecipanti alla predetta procedura, devono senza dubbio essere trattate dall’amministrazione, ma, alla luce del quadro normativo di settore, non ricorrono i presupposti per la loro diffusione mediante pubblicazione online.

Con riferimento, infatti, alle selezioni che si riferiscono a particolari categorie di lavoratori (ad es. “avviamenti d'ufficio per PP. AA. Ex L. 68/99”) l’Agenzia Regionale ha dichiarato che le stesse sono “meritevoli di un livello di tutela maggiorato in termini di diffusione, essendo tali graduatorie completamente anonimizzate da parte di Agenzia Lavoro” il cui principio, per analogia, deve essere applicato a tutte le informazioni di natura particolare che potrebbero essere diffuse online, come nel caso di specie. A tale specifico riguardo si evidenzia che per selezionare le informazioni eventualmente idonee a rivelare lo stato di salute degli interessati, la cui diffusione è espressamente vietata (art.2-septies, comma 8) è sempre necessario effettuare una specifica valutazione. In particolare il Garante ha affermato, per tale particolare forma di selezione, che “non è ad esempio consentito diffondere i nominativi degli aventi diritto al collocamento obbligatorio contenuti in elenchi e graduatorie” considerato che non è possibile invocare generiche esigenze di pubblicità connesse alla trasparenza delle procedure in materia di organizzazione del personale e degli uffici (cfr.par.6 delle Linee guida del 14 giugno 2007, n. 161, sopra richiamate). 

In ogni caso il trattamento in esame, anche quando non si riferisca direttamente a un dato relativo alla salute degli interessati, consistendo comunque nella diffusione di informazioni personali che rivelano aspetti economici o sociali delicati, potrebbe determinare effetti pregiudizievoli per gli stessi, compromettendone la propria dignità.

Pur tenendo conto della formulazione del testo normativo risalente nel tempo e dell’assenza di indicazioni operative puntuali, circostanze che possono aver determinato un’errata interpretazione da parte dell’Agenzia Regionale riguardo alla pubblicazione dei predetti nominativi, deve ritenersi che il trattamento posto in essere abbia comportato una diffusione illecita di dati personali in quanto effettuata in assenza di una adeguata base giuridica.

Alla luce delle considerazioni che precedono la pubblicazione online sul sito web istituzionale dell’Agenzia Regionale e la conseguente indicizzazione sui motori di ricerca della determinazione n. XX del XX contenente i nominativi “in chiaro” degli iscritti alle liste di collocamento (ca. 700) è stata effettuata in assenza di un’idonea base giuridica e in modo non conforme ai principi di “liceità, correttezza trasparenza”, nonché di “minimizzazione dei dati”, in violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice.

3.2. Conclusioni. 

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi del combinato disposto di cui agli artt. 11 e 14 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento in relazione alla diffusione dei dati personali di oltre settecento interessati, contenuti nella determinazione n. XX del XX, nell’ambito della selezione effettuata ai sensi dell’art.16 della legge n.56 del 1987 per l’assunzione a tempo indeterminato di operatore tecnico addetto all’accoglienza presso l’azienda ospedaliero-Universitaria di Bologna IRCCS, policlinico di Sant’Orsola, in violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In ogni caso, considerando che la condotta ha esaurito i relativi effetti - atteso che l’Agenzia Regionale appena ricevuta la comunicazione dell’avvio dell’istruttoria, ha provveduto a rimuovere dal proprio sito web istituzionale la determinazione n. XX del XX, provvedendo anche alla richiesta di deindicizzazione - non ricorrono i presupposti per l’adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento. 

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60), tenuto conto che:   

- il trattamento in questione, che si è protratto da XX fino a XX, ha riguardato la pubblicazione di dati personali di circa 700 interessati (art. 83, par. 2, lett. a), del Regolamento);

- la violazione è avvenuta in buona fede nella erronea convinzione di agire conformemente alla disciplina di settore applicabile considerando che l’Agenzia Regionale ha operato nell’errata convinzione di poter perseguire finalità di pubblicità e trasparenza dell’azione amministrativa, considerato anche che la normativa di settore applicabile è risalente nel tempo e non di facile interpretazione alla luce della normativa di protezione dei dati personali, ma non tenendo conto delle indicazioni fornite nel tempo dal Garante a tutti i soggetti pubblici in materia (art. 83, par. 2, lett. b), del Regolamento); 

- la pubblicazione ha riguardato, seppure indirettamente, anche dati personali appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento).

Ciò premesso, si devono considerare, le seguenti circostanze attenuanti:

- l’Agenzia Regionale, ha adottato specifiche misure rimuovendo i predetti dati personali dal relativo sito web istituzionale e deindicizzando gli stessi sui motori di ricerca e ha dichiarato di aver assunto iniziative, sul piano tecnico e organizzativo, finalizzate a conformarsi alla normativa applicabile e alle indicazioni del Garante (art. 83, par. 2, lett. c) del Regolamento);

- l’Agenzia Regionale ha offerto una piena cooperazione con l’Autorità art.83, par.2, lett. f), del Regolamento);

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 30.000,00 (trentamila/00) per la violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione dei numerosi dati personali, anche di natura particolare, di circa settecento interessati che sono stati pubblicati online e indicizzati sui motori di ricerca.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato dall’Agenzia Regionale nei termini di cui in motivazione, per la violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento all’Agenzia Regionale per il lavoro dell’Emilia Romagna, in persona del legale rappresentante pro-tempore, con sede in Viale Aldo Moro, 38 - 40127 Bologna (BO), C.F. 91388210378, di pagare la somma di euro 30.000,00 (trentamila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi all’Agenzia Regionale di pagare la predetta somma di euro 30.000,00 (trentamila/00)secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

a) ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

b) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori