Digitare il proprio nome e cognome su Google e trovarsi associati a una graduatoria pubblica per l’assunzione presso una struttura ospedaliera: è quanto accaduto a una cittadina che, dopo aver individuato online i propri dati, ha chiesto all’Agenzia Regionale per il Lavoro dell’Emilia-Romagna la cancellazione delle informazioni e la deindicizzazione dai motori di ricerca.
L’ente ha rifiutato, richiamando presunti obblighi di trasparenza amministrativa. La vicenda è finita davanti al Garante per la protezione dei dati personali che, con recente provvedimento, ha sanzionato l’Agenzia per 30mila euro.
Al centro del caso, una determinazione dirigenziale pubblicata sul sito istituzionale dell’ente e regolarmente indicizzata dai comuni motori di ricerca, contenente i nominativi di circa 700 persone iscritte alle liste di collocamento e ammesse alla procedura di avviamento a selezione ai sensi dell’art. 16 della legge n. 56/1987, per l’assunzione a tempo indeterminato di dieci operatori tecnici addetti all’accoglienza presso l’Azienda Ospedaliero-Universitaria di Bologna, IRCCS Policlinico Sant’Orsola.
L’istruttoria del Garante, avviata a seguito del reclamo, ha confermato che i dati erano rimasti online, e quindi reperibili da chiunque tramite una semplice ricerca del nome e cognome, per un periodo prolungato, prima che l’Agenzia, una volta ricevuta la comunicazione di avvio del procedimento, provvedesse a rimuoverli e a richiederne la deindicizzazione.
Indice degli argomenti
La difesa dell’Agenzia Regionale
Nel corso dell’istruttoria, l’Agenzia Regionale ha costruito una difesa articolata, tutta incentrata sul tentativo di ricondurre la procedura di avviamento a selezione a una vera e propria procedura concorsuale, con i conseguenti obblighi di pubblicità.
Secondo l’ente, pur non compiendo alcuna valutazione sull’idoneità del lavoratore alle mansioni – attività demandata all’Ente che assume – l’Agenzia effettuerebbe comunque una valutazione comparativa dei requisiti autocertificati dai partecipanti, equiparabile a quella di “una procedura selettiva con valutazione di soli titoli”.
Su questa base, l’Agenzia ha richiamato l’art. 35, comma 3, del D.lgs. 165/2001, che elenca i principi ai quali devono conformarsi le procedure di reclutamento nella pubblica amministrazione, compreso quello di trasparenza – e da qui l’obbligo, a suo dire, di pubblicare le “graduatorie finali” ai sensi dell’art. 19 del D.lgs. 33/2013.
Per giustificare la permanenza online dei dati, l’ente ha poi richiamato in via analogica l’art. 8, comma 3, del D.lgs. 33/2013 – norma che, in assenza di una tempistica specifica prevista per questo tipo di graduatorie, ha fornito il parametro per fissare un periodo di diffusione di cinque anni.
Quanto alla pubblicazione online in sé, l’Agenzia ha invocato l’art. 26, comma 7, del DPR 487/1994, secondo cui “la graduatoria è resa pubblica con le stesse modalità previste per il bando di offerta di lavoro”: poiché il bando era stato pubblicato online, con domande di partecipazione presentabili solo tramite applicativo digitale e identificazione SPID, l’Agenzia ha ritenuto che la stessa modalità dovesse valere anche per la graduatoria definitiva.
l ragionamento in punta di diritto del Garante
Il Garante ha respinto questa ricostruzione partendo da una distinzione che il legislatore ha voluto chiara fin dall’origine.
Esistono due modi diversi con cui la pubblica amministrazione può assumere personale. Da una parte le vere e proprie procedure selettive, quelle che tutti conosciamo come concorsi pubblici, soggette a precisi obblighi di trasparenza. Dall’altra l’avviamento degli iscritti nelle liste di collocamento, un meccanismo diverso, pensato per profili che non richiedono titoli di studio superiori alla scuola dell’obbligo, e disciplinato da norme proprie che risalgono a un decreto del 1994 dedicato specificamente a questo tipo di assunzioni.
Il punto è che gli obblighi di trasparenza invocati dall’Agenzia si rivolgono esplicitamente alla prima categoria, non alla seconda.
E lo stesso vale per l’obbligo di pubblicare le graduatorie finali online, previsto dalla normativa sulla trasparenza amministrativa per le procedure concorsuali vere e proprie: il Garante chiarisce che quella norma non si estende alle liste di collocamento, richiamando anche propri precedenti già orientati in questo senso.
Cade, di conseguenza, anche il tentativo dell’Agenzia di giustificare, per analogia, una permanenza online di cinque anni: quel parametro presuppone proprio l’applicabilità di una norma che qui non si applica.
Resta un ultimo argomento difensivo, quello secondo cui la graduatoria andrebbe resa pubblica con le stesse modalità del bando che l’ha preceduta, e il bando era online.
Ma il Garante distingue nettamente due concetti che vengono spesso confusi: rendere pubblica una graduatoria, cosa che la norma effettivamente richiede per permettere agli interessati di verificare la propria posizione ed eventualmente opporsi, e diffonderla online in modo indicizzabile da chiunque tramite un motore di ricerca.
La prima esigenza si può soddisfare anche con strumenti più tradizionali, come l’affissione all’albo. La seconda è una scelta ulteriore, che va giustificata a parte, e che qui non trovava alcuna base normativa specifica.
Le Linee guida del Garante in materia, alcune risalenti già al 2007, erano d’altronde chiare sul punto: per le liste che riguardano il collocamento non è consentito diffondere i nominativi degli interessati invocando generiche esigenze di trasparenza amministrativa.
Una lista che parla anche senza dirlo
C’è poi un secondo livello di ragionamento, forse quello più interessante dal punto di vista sostanziale. Il Garante non si ferma alla mancanza di una base giuridica per la pubblicazione online, ma entra nel merito di cosa quella graduatoria comunica, anche senza dirlo apertamente.
Le liste di collocamento gestite dai centri per l’impiego si formano infatti tenendo conto di elementi che vanno oltre il semplice ordine cronologico di iscrizione. Tra i criteri previsti dalla normativa che regola la formazione di queste graduatorie compare anche il grado di invalidità del richiedente.
Questo significa che la semplice presenza di un nome in una di queste liste, a differenza di quanto accade per una graduatoria di concorso ordinaria, può portare chi la consulta a ipotizzare che quella persona rientri in una categoria protetta, o si trovi in una condizione economica o sociale di svantaggio.
Non è necessario che il documento pubblicato specifichi il motivo dell’iscrizione: la sola appartenenza alla lista, resa pubblica e associata a un nome e cognome ricercabile online, può bastare a generare quell’inferenza.
Il Garante osserva che questo non significa automaticamente che tutti i dati trattati in questo contesto rientrino tra le categorie particolari disciplinate in modo più stringente dal Regolamento, come i dati sulla salute.
Ma anche quando questo collegamento diretto non è dimostrabile, resta il fatto che si tratta comunque della diffusione di informazioni che toccano aspetti economici o sociali delicati della vita delle persone coinvolte, con un potenziale effetto pregiudizievole sulla loro dignità.
È un rischio che la stessa Agenzia Regionale sembra aver riconosciuto altrove, dal momento che per altre categorie di avviamenti, quelli riservati a particolari categorie di lavoratori tutelate dalla legge 68/1999, ha dichiarato di pubblicare le graduatorie in forma già anonimizzata proprio per il livello di tutela maggiorato che quei dati richiedono.
Il Garante ne trae una conclusione quasi inevitabile: se l’ente stesso riconosce che certe graduatorie vanno anonimizzate per la loro natura sensibile, lo stesso principio doveva valere, per coerenza, anche nel caso oggetto del reclamo.
La sanzione
Definita la questione di principio, il Garante ha dovuto quantificare la sanzione, e anche qui il ragionamento seguito è istruttivo perché mostra concretamente come funzionano i criteri previsti dal Regolamento europeo per calibrare l’importo.
Il livello di gravità della violazione è stato considerato medio. A pesare in questo senso sono stati soprattutto due elementi. Il primo è il numero di persone coinvolte, circa 700, unito al fatto che la pubblicazione si è protratta per un periodo di tempo non breve prima della rimozione. Il secondo è la natura dei dati trattati, che pur non riguardando esplicitamente informazioni sulla salute, potevano indirettamente far emergere condizioni riconducibili a categorie particolari di dati.
A bilanciare questi elementi sono intervenute però circostanze attenuanti piuttosto significative. L’Agenzia, non appena ricevuta la comunicazione dell’avvio del procedimento, ha rimosso la determinazione dal proprio sito e ha richiesto la deindicizzazione dai motori di ricerca, dimostrando una collaborazione piena con l’Autorità durante tutta l’istruttoria.
Il Garante ha inoltre riconosciuto che l’ente ha agito in buona fede, nella convinzione erronea ma non pretestuosa di doversi conformare a una normativa di settore risalente nel tempo e di lettura tutt’altro che agevole. A questo si aggiunge l’assenza di precedenti violazioni della stessa natura a carico dell’Agenzia.
Il combinato di questi fattori porta a un risultato che a prima vista può sorprendere. La violazione contestata, riguardando articoli del Regolamento che disciplinano i principi generali del trattamento e le categorie particolari di dati, esporrebbe in teoria a un massimo edittale fino a 20 milioni di euro.
Il Garante ha, invece, fissato la sanzione a 30mila euro, una cifra che riflette bene come il calcolo della sanzione non sia un automatismo legato alla sola gravità della violazione, ma il risultato di una valutazione complessiva che tiene conto anche della condotta collaborativa e riparatoria del titolare del trattamento.
La lezione pratica del caso
Il caso offre alcune indicazioni pratiche che vanno oltre la vicenda specifica e riguardano qualsiasi ente pubblico chiamato a gestire liste, elenchi o graduatorie che coinvolgono un numero significativo di persone.
La prima riguarda la necessità di verificare puntualmente quale norma impone davvero la pubblicazione di un determinato documento, prima di procedere. Il richiamo generico a esigenze di trasparenza amministrativa non basta a giustificare la diffusione online di dati personali, soprattutto quando la procedura in questione non rientra tra quelle per cui il legislatore ha effettivamente previsto quell’obbligo.
La distinzione tra concorsi pubblici in senso proprio e altre forme di reclutamento, come l’avviamento tramite liste di collocamento, non è un dettaglio formale: comporta regimi di pubblicità diversi, e va verificata caso per caso prima di replicare pratiche adottate per altre tipologie di procedure.
La seconda riguarda la differenza tra pubblicità amministrativa e pubblicazione online. Anche quando una norma impone che un atto sia reso pubblico, questo non equivale automaticamente ad autorizzarne la diffusione sul sito istituzionale con indicizzazione sui motori di ricerca.
Strumenti come l’affissione all’albo o forme di accesso riservate al singolo interessato, possono soddisfare l’esigenza di pubblicità richiesta dalla norma senza esporre i dati a una reperibilità indiscriminata e permanente nel tempo.
La terza riguarda le liste che, per la loro natura, possono associare gli interessati a condizioni di svantaggio, disabilità o fragilità economico-sociale.
In questi casi l’anonimizzazione, con la possibilità per ciascun interessato di verificare privatamente la propria posizione, non è una precauzione facoltativa ma la modalità che permette di conciliare l’esigenza di trasparenza con la tutela della dignità delle persone coinvolte.
Vale la pena ricordare che, nello stesso caso in esame, l’ente coinvolto applicava già questo criterio per altre categorie di graduatorie riconosciute come sensibili: un precedente interno che si è rivelato, in sede di istruttoria, un argomento a proprio sfavore.
Infine, la gestione della fase successiva alla contestazione ha avuto un peso concreto sull’esito sanzionatorio.
La rimozione tempestiva dei dati, la richiesta di deindicizzazione e un atteggiamento collaborativo durante l’istruttoria non cancellano la violazione, ma possono incidere in modo sostanziale sulla misura della sanzione finale.
Partecipa alla community