La corretta gestione dei dati personali costituisce una sfida fondamentale per le istituzioni scolastiche e le amministrazioni, in particolar modo alla luce delle recenti indicazioni fornite dal Garante in materia di Privacy nei Concorsi pubblici. L’Autorità, in collaborazione con il Dipartimento della Funzione Pubblica, ha rilasciato una serie di FAQ che chiariscono come bilanciare la necessaria trasparenza amministrativa con il diritto alla riservatezza dei candidati, offrendo indicazioni operative indispensabili per evitare sanzioni e tutelare l’identità dei partecipanti.
Privacy nei Concorsi pubblici: limiti alla pubblicazione delle graduatorie (FAQ 1 e 2)
L’analisi del primo quesito affrontato dal Garante evidenzia un principio essenziale: la pubblicazione online indiscriminata dei dati è vietata.
Le amministrazioni, comprese le scuole nelle procedure di reclutamento, devono diffondere sul proprio sito istituzionale o sul Portale InPA esclusivamente le graduatorie finali contenenti i dati dei soli vincitori.
Tali informazioni devono limitarsi a nome, cognome, posizione in graduatoria e, soltanto in caso di omonimia, alla data di nascita. Ogni altro riferimento risulta eccedente e non conforme al principio di minimizzazione.
L’Autorità chiarisce, inoltre, nella seconda FAQ, che l’obbligo di pubblicità legale si intende assolto tramite la pubblicazione dell’avviso sul Portale unico del reclutamento (InPA).
Si tratta, nello specifico, di una procedura che sostituisce la pubblicazione in Gazzetta Ufficiale per gran parte delle selezioni.
Ne consegue che la diffusione dei dati personali deve avvenire unicamente attraverso questi canali ufficiali e nel rispetto delle tempistiche di legge per l’eventuale impugnativa, senza che le informazioni restino esposte in rete per un tempo indefinito o superiore alle necessità amministrative.
Accesso riservato e tutela dei dati nelle fasi intermedie (FAQ 3 e 4)
Un aspetto determinante per le segreterie scolastiche riguarda la gestione delle graduatorie di merito e di quelle provvisorie, trattate nelle FAQ 3 e 4.
Il Garante specifica che la graduatoria di merito, quella risultante dalla valutazione dei titoli e quella su cui si applicano le riserve, non devono essere rese pubbliche a tutti.
La corretta procedura prevede che tali documenti siano messi a disposizione dei soli partecipanti attraverso un’area riservata (accessibile tramite SPID o CIE) sul Portale InPA o sul sito dell’ente.
All’interno di queste aree ad accesso selettivo, l’amministrazione deve comunque garantire la protezione dei dati.
I candidati potranno visualizzare il punteggio e la posizione degli altri partecipanti, ma le informazioni relative a titoli di preferenza o riserve devono essere oscurate o indicate in modo generico (ad esempio con un asterisco).
L’obiettivo è impedire che, attraverso la consultazione della graduatoria, si possano dedurre informazioni sullo stato di salute o sulla situazione familiare dei concorrenti, in modo da garantire una Privacy nei Concorsi pubblici rigorosa anche nelle aree riservate.
La protezione dei candidati non vincitori e delle categorie protette (FAQ 5, 6 e 7)
Le FAQ 5, 6 e 7 affrontano il delicato tema degli idonei non vincitori e dei dati sensibili.
Il Garante stabilisce un divieto netto: i nominativi dei candidati che non risultano vincitori non devono essere pubblicati online.
La loro visibilità diventa lecita esclusivamente nel momento in cui l’amministrazione procede allo scorrimento della graduatoria, atto che modifica il loro status rendendoli vincitori.
Tale indicazione mira a tutelare la sfera professionale e privata di chi partecipa a un concorso, evitando l’esposizione mediatica del mancato successo.
Particolare attenzione deve essere posta ai titoli di preferenza e alle cause di esclusione.
È vietato pubblicare riferimenti che possano rivelare l’appartenenza alle categorie protette (es. Legge 68/99 o Legge 104/92), in quanto tali dati sono idonei a rivelare lo stato di salute.
Allo stesso modo, non è consentito diffondere informazioni riguardanti condanne penali o ammissioni con riserva dovute a contenziosi pendenti.
L’amministrazione deve gestire tali dati internamente per la verifica dei requisiti, senza che essi appaiano in alcun documento accessibile al pubblico, in modo da preservare la reputazione e la dignità della persona.
Gestione degli atti endoprocedimentali e prove orali (FAQ 8, 9 e 10)
Le ultime risposte del Garante si concentrano sulla gestione operativa delle prove e sulla gerarchia delle fonti. La FAQ 8 chiarisce che gli atti endoprocedimentali, ovvero tutti i documenti prodotti durante le fasi intermedie del concorso, non sono oggetto di pubblicazione online.
Informazioni come il diario delle prove o gli elenchi degli ammessi devono essere veicolate tramite le aree riservate del Portale InPA, evitando la diffusione generalizzata sul web che esporrebbe i dati a un’indicizzazione incontrollata da parte dei motori di ricerca.
Per quanto concerne gli esiti delle prove orali (FAQ 9), l’Autorità conferma la prassi tradizionale dell’affissione fisica.
I risultati, comprensivi dei voti, devono essere esposti presso la sede d’esame al termine della sessione giornaliera e rimossi alla fine della giornata stessa, senza essere trasposti sul sito internet.
Infine, la FAQ 10 ribadisce un concetto prioritario: nessun bando di concorso o regolamento interno può derogare alle norme sulla protezione dei dati. La disciplina nazionale in materia di privacy prevale su qualsiasi atto amministrativo, garantendo un livello di tutela uniforme su tutto il territorio.
Privacy nei Concorsi pubblici: le FAQ integrali del Garante della Privacy
L’elevato numero di reclami e segnalazioni pervenuti all’Autorità conferma quanto sia delicato il trattamento dei dati personali nelle procedure selettive, specialmente quando si tratta di diffusione online degli esiti.
La pubblicazione sul web, a differenza delle tradizionali affissioni all’albo fisico, espone, infatti, le informazioni a un rischio di indicizzazione permanente e indiscriminata e rende i dati reperibili ovunque e per un tempo indefinito.
Proprio per rispondere all’esigenza di bilanciare la trasparenza amministrativa con la tutela della Privacy nei Concorsi pubblici, il Garante ha elaborato — d’intesa con il Dipartimento della Funzione Pubblica — una serie di indicazioni operative.
Tali chiarimenti, che recepiscono le novità normative introdotte dalla recente legge n. 69 del 9 maggio 2025 e l’obbligo di utilizzo del Portale InPA, mirano a fornire alle amministrazioni linee guida certe per evitare violazioni.
Riportiamo di seguito il testo integrale del documento.
1) Quali dati personali devono essere oggetto di pubblicazione online nell’ambito delle procedure concorsuali e selettive?
In ossequio agli obblighi di pubblicità legale delle graduatorie di concorsi e di prove selettive anche ai fini della decorrenza del termine per l’impugnativa e nel rispetto delle disposizioni in materia di trasparenza amministrativa, le amministrazioni e gli altri soggetti obbligati sono tenuti a pubblicare online, con le modalità indicate nella successiva FAQ n. 2, le graduatorie finali recanti i dati personali dei soli partecipanti risultati vincitori da aggiornarsi solo in caso di eventuale scorrimento della graduatoria (v. FAQ n. 4).
Tali disposizioni, finalizzate a consentire agli interessati, partecipanti alle procedure concorsuali o selettive, l’attivazione delle forme di tutela dei propri diritti e di controllo della legittimità dell’azione amministrativa nonché ad assicurare la trasparenza amministrativa, definiscono, infatti, sotto il profilo della protezione dei dati, l’ambito del trattamento consentito e ne costituiscono la base giuridica, stabilendo limiti, condizioni e presupposti della pubblicazione online di dati personali nell’ambito delle procedure concorsuali.
In tale quadro e nel rispetto dei principi di protezione dei dati personali, le amministrazioni e gli altri soggetti obbligati devono pubblicare il nome e il cognome dei vincitori, oltre eventualmente alla data di nascita in caso di omonimia, nonché la posizione in graduatoria (v. anche FAQ n. 3). Ciò anche alla luce delle indicazioni di ANAC, che, ai fini dell’attuazione uniforme degli obblighi di pubblicità e trasparenza nonché secondo il principio di minimizzazione dei dati e le Linee guida del Garante in materia, ha adottato schemi standard per l’organizzazione, la codificazione e la rappresentazione dei documenti, delle informazioni e dei dati oggetto di pubblicazione obbligatoria ai sensi della normativa vigente, nonché relativamente all’organizzazione della sezione “Amministrazione trasparente”.
I dati personali diversi e ulteriori da quelli sopra menzionati sono comunque oggetto di trattamento da parte dell’amministrazione fin dall’acquisizione della domanda di partecipazione al concorso presentata da ciascun candidato e sono oggetto di conservazione nei termini di legge, ma non devono essere diffusi mediante pubblicazione online per le richiamate finalità di pubblicità legale e trasparenza degli esiti della procedura.
2) Come le amministrazioni devono assolvere all’obbligo di pubblicare i dati personali contenuti nelle graduatorie finali nell’ambito delle procedure concorsuali e selettive?
La normativa che ha istituito il Portale InPa a partire dall’anno 2023 ha stabilito che le pubbliche amministrazioni e gli enti locali sono esonerati dall’obbligo di pubblicazione delle procedure concorsuali in Gazzetta Ufficiale.
Tale obbligo è stato sostituito dalla pubblicazione sul Portale InPa dell’apposito avviso di avvenuta pubblicazione della graduatoria finale del concorso a cura dell’amministrazione procedente nel proprio sito istituzionale.
Dalla data di tale pubblicazione decorrono i termini per l’impugnativa.
Restano fermi gli obblighi di comunicazione previsti dalla normativa vigente in favore dei partecipanti alla procedura (v. FAQ n. 3), nonché gli obblighi di pubblicazione online previsti dalla disciplina in materia di trasparenza amministrativa.
3) Possono essere pubblicate online la graduatoria di merito, quella risultante dall’applicazione dei titoli sulla graduatoria di merito e quella finale sulla quale si applicano le riserve previste dal bando?
No. In base al quadro normativo vigente, tali graduatorie non sono oggetto di pubblicazione online ma sono messe a disposizione dei soli partecipanti alla procedura, anche in un unico documento, tramite il Portale InPA e in un’area del sito dell’amministrazione procedente ad accesso riservato ai soli partecipanti, nel rispetto del principio di minimizzazione dei dati (v. FAQ 4).
Resta fermo l’obbligo di pubblicazione online della graduatoria finale recante il nome e il cognome dei vincitori, oltre eventualmente alla data di nascita in caso di omonimia, nonché la posizione in graduatoria e, a discrezione dell’amministrazione, il punteggio complessivo, nel rispetto degli obblighi di pubblicità legale e trasparenza amministrativa (v. FAQ n. 1).
4) Quali dati delle graduatorie, all’esito della procedura concorsuale, sono oggetto di comunicazione ai partecipanti alla procedura tramite l’area ad accesso riservato sul Portale InPA e sul sito dell’amministrazione procedente?
In base alla normativa vigente, come recentemente modificata, la graduatoria di merito, quella risultante dall’applicazione dei titoli sulla graduatoria di merito e quella finale sulla quale si applicano le riserve previste dal bando sono messe a disposizione dei soli partecipanti alla procedura in un’area riservata, ad accesso selettivo, a cui gli stessi partecipanti alla procedura possono accedere ad esempio mediante l’utilizzo di credenziali o dispositivi di autenticazione.
In tale quadro, le pubbliche amministrazioni devono comunque assicurare il rispetto dei principi generali di protezione dei dati, in particolare quello di minimizzazione dei dati, avuto riguardo all’esigenza di assicurare la pubblicità in favore dei partecipanti alla procedura, portatori di un interesse diretto, concreto e attuale, alla consultazione dei predetti dati.
Le amministrazioni devono, quindi, mettere a disposizione dei partecipanti alla procedura alcuni dati personali essenziali di coloro che abbiano superato la prova e, comunque, i soli dati adeguati, pertinenti e limitati a quanto necessario rispetto alle predette finalità, e relativi dunque al nome, al cognome, alla posizione attribuita in graduatoria e al punteggio derivante dalle prove e dai titoli, dando conto della mera ricorrenza di eventuali riserve previste dal bando o di titoli di preferenza o precedenza, senza specificarne la natura (ad es., con l’indicazione di un asterisco). Ciò in quanto tali informazioni potrebbero rivelare dati relativi alla sfera personale degli interessati nonché condizioni di salute dei partecipanti medesimi o di propri familiari.
Spetta, in ogni caso, all’amministrazione procedente, in qualità di titolare del trattamento e, nella prospettiva del principio di responsabilizzazione, valutare in concreto la necessità di adottare specifiche misure di ulteriore minimizzazione dei dati.
Non possono, invece, essere oggetto di consultabilità, con le modalità sopra descritte, gli altri atti predisposti dalle commissioni di concorso, nonché eventuali ulteriori informazioni e documenti (quali, elaborati tecnici, verbali, valutazioni dei titoli di preferenza) ovvero tutti gli altri atti presupposti contenente elementi tenuti in conto dalle commissioni per l’adozione dei relativi atti valutativi, che pure costituiscono atti del procedimento.
5) Possono essere pubblicati i dati personali dei candidati non risultati vincitori della procedura concorsuale o selettiva?
No, le finalità di pubblicità legale e di trasparenza amministrativa della graduatoria finale sono assicurate attraverso la pubblicazione online dei dati dei soli vincitori.
I dati relativi agli idonei non vincitori dovranno essere pubblicati online, in base alla legge, solo allorquando l’amministrazione proceda all’aggiornamento delle graduatorie finali con lo scorrimento degli idonei, per l’effetto dichiarati vincitori.
Non devono invece essere pubblicati online i dati personali dei candidati non risultati vincitori (tra cui, in particolare, quelli degli idonei e dei non idonei o degli assenti).
La partecipazione a una selezione concorsuale e il relativo esito, eventualmente anche in costanza di altro rapporto di lavoro, costituiscono infatti informazioni che, anche nella prospettiva di tutelare la sfera privata della persona, meritano adeguata protezione, in particolare tenuto conto degli specifici rischi per gli interessati nonché della maggiore esposizione delle informazioni sul web, specie in presenza dell’indicizzazione e riutilizzabilità dei dati.
Sono fatti salvi gli specifici casi previsti dalla legge in ambiti particolari che, nel rispetto delle condizioni previste dall’art. 2-ter del Codice, prevedono la diffusione di altri atti e documenti delle procedure selettive che contengono anche dati personali dei candidati non risultati vincitori (v., in particolare, con riferimento alle procedure di valutazione comparativa e nomina in ruolo dei professori ordinari e associati e dei ricercatori in ambito universitario, art. 6 del d.P.R. 23 marzo 2000, n. 117).
6) Può l’amministrazione pubblicare online la ricorrenza dei titoli di preferenza o precedenza in relazione a singoli candidati?
No, l’informazione circa la ricorrenza dei titoli di preferenza o precedenza non deve essere pubblicata online. I titoli di preferenza e precedenza costituiscono, infatti, informazioni riferite alle specifiche condizioni soggettive riguardanti i candidati o i loro familiari, che devono essere trattate dall’amministrazione, in base alle norme applicabili, per la stesura della graduatoria finale e devono essere valutate dall’amministrazione per la verifica dei requisiti professionali previsti dalla legge (cfr. art. 5 del d.P.R. n. 487 del 1994).
La circostanza per cui, inoltre, talune di tali condizioni siano particolarmente delicate – come, tra le altre, quella di appartenere “alla categoria di cui alla legge n. 68 del 1999”, di essere “mutilato o invalido civile o per servizio”, “orfan[o] dei caduti o figli[o] dei mutilati, degli invalidi e degli inabili permanenti al lavoro per ragioni di servizio nel settore pubblico e privato oppure “figli[o] degli esercenti le professioni sanitarie […] deceduti in seguito all’infezione da SarsCov-2 contratta nell’esercizio della propria attività” (art. 5 del d.P.R. 9 maggio 1994, n. 487), essendo le stesse relative allo stato di salute degli interessati o di loro familiari – può comportare la possibilità di ricavare informazioni relative anche allo stato di salute del candidato o dei suoi familiari, la cui diffusione è espressamente vietata.
Peraltro, anche il mero riferimento a corpi normativi che notoriamente sono riferiti a benefici e garanzie per l’assistenza, l’integrazione sociale e lavorativa di persone disabili o di loro familiari (come la legge n. 104 del 1992 “Legge quadro per l’assistenza, l’integrazione sociale e i diritti delle persone handicappate” o la legge n. 68 del 1999 “Norme per il diritto al lavoro dei disabili”) può rivelare informazioni sullo stato di salute di una persona.
7) Può l’amministrazione pubblicare online la ricorrenza di cause di esclusione o ammissione con riserva in relazione a singoli candidati?
No. Ancorché tali informazioni possano essere trattate dall’amministrazione, in base alle norme applicabili, anche per la stesura o l’aggiornamento della graduatoria, non ricorrono tuttavia i presupposti per la diffusione online di tali dati. L’eventuale annotazione, anche attraverso l’uso di acronimi, in corrispondenza di specifici nominativi all’interno della graduatoria finale destinata alla pubblicazione online, dà luogo a una diffusione, non prevista dalla legge, di informazioni comunque non necessarie rispetto alle finalità di pubblicità legale e trasparenza amministrativa degli esiti della procedura.
Non possono essere diffuse, inoltre, informazioni relative a condanne penali e reati (cfr. artt. 10 del Regolamento e 2-octies del Codice), acquisite dall’amministrazione anche nell’ambito delle verifiche tramite il casellario giudiziario ai sensi del d.P.R. 445/2000, né l’indicazione dell’ammissione con riserva per giudizi pendenti anche di carattere amministrativo.
La diffusione di tali informazioni può, infatti, compromettere pericolosamente l’identità personale e la reputazione degli interessati, circostanza peraltro amplificata in ragione dei richiamati rischi connessi alla maggiore esposizione delle informazioni sul web, la loro indicizzazione e la potenziale riutilizzabilità anche da parte di terzi in contesti diversi.
8) Possono essere pubblicati online i dati personali contenuti negli atti endoprocedimentali dei concorsi e delle selezioni?
No, in base alla normativa vigente devono essere oggetto di pubblicazione online i soli dati personali contenuti nelle graduatorie finali (v. FAQ n. 1) e non anche quelli contenuti negli atti o nei documenti a carattere endoprocedimentale.
Resta fermo che, invece, il diario delle prove, il punteggio conseguito, l’eventuale convocazione alle prove e l’elenco dei candidati che hanno superato la prova, con i relativi punteggi, devono essere messi a disposizione dei partecipanti alla procedura in un’area ad accesso riservato, utilizzando le specifiche funzionalità del Portale InPA.
Sono fatti salvi gli specifici casi previsti dalla legge in ambiti particolari che, nel rispetto delle condizioni previste dall’art. 2-ter del Codice, prevedono la diffusione dei dati personali contenuti in taluni specifici atti endoprocedimentali (v. FAQ n. 5, ultimo periodo).
9) Può l’amministrazione pubblicare online gli esiti delle prove orali con l’elenco dei candidati esaminati?
No. Gli esiti delle prove orali, con l’elenco dei candidati esaminati, non sono oggetto di pubblicazione online ma sono affissi al termine di ogni sessione giornaliera d’esame nei luoghi fisici in cui si è svolta la prova e rimangono pubblicati fino al termine di ciascuna giornata.
10) Può l’amministrazione, attraverso il bando di concorso o un proprio regolamento, prevedere la pubblicazione di dati personali diversi ed ulteriori rispetto a quelli previsti dalla normativa di settore?
No. Seppure il bando di concorso pubblico possa considerarsi un atto amministrativo generale, tale atto non può introdurre nuovi trattamenti di dati personali, derogando o ponendosi in contrasto con il contenuto delle disposizioni normative gerarchicamente sovraordinate. Non si rinviene, infatti, nell’atto amministrativo generale, anche qualora adottato dalla singola amministrazione con proprio regolamento interno, l’attitudine ad innovare l’ordinamento in relazione al trattamento dei dati personali attraverso, ad esempio, la previsione della pubblicazione di atti e documenti diversi dalle graduatorie finali di merito contenenti dati personali dei candidati partecipanti alla procedura concorsuale, essendo le caratteristiche essenziali del trattamento già delineate dalle norme nazionali di settore.
Nel quadro di derivazione europea della disciplina di protezione dei dati, nella prospettiva della certezza del diritto, nonché del principio di non discriminazione, non sono infatti consentiti livelli differenziati di tutela della protezione dei dati personali – né su base territoriale né a livello di singola amministrazione – specie quando la materia, come nel caso della pubblicazione online delle graduatorie delle procedure concorsuali e selettive, sia già stata oggetto di bilanciamento e regolazione dal legislatore con disposizioni uniformi a livello nazionale.
