Posso pubblicare i dati e le informazioni personali dei soggetti partecipanti a un concorso o a una selezione?

Le pubbliche amministrazioni non possono pubblicare qualunque dato e informazione personale per finalità di trasparenza. Diversamente, la pubblicazione deve avvenire solo se ciò è ammesso da una specifica previsione.

In generale, occorre fare riferimento alle indicazioni del Garante relative a “Trasparenza online della P.A. e privacy”.

Le pubbliche amministrazioni possono pubblicare qualunque dato e informazione personale per finalità di trasparenza?

No. Vale la regola generale per la quale i soggetti pubblici possono diffondere dati personali solo se ciò è ammesso da una specifica disposizione di legge o di regolamento.

Quali sono i limiti agli obblighi di pubblicazione online di atti e documenti contenenti dati personali?

Dopo aver verificato la sussistenza dell´obbligo di pubblicazione dell´atto o del documento nel proprio sito web istituzionale, il soggetto pubblico deve limitarsi a includere negli atti da pubblicare solo quei dati personali realmente necessari e proporzionati alla finalità di trasparenza perseguita nel caso concreto. Se sono sensibili (ossia idonei a rivelare ad esempio l´origine razziale ed etnica, le convinzioni religiose, le opinioni politiche, l´adesione a partiti o sindacati, lo stato di salute e la vita sessuale) o relativi a procedimenti giudiziari, i dati possono essere trattati solo se indispensabili, ossia se la finalità di trasparenza non può essere conseguita con dati anonimi o dati personali di natura diversa.

Cosa deve fare una P.A. prima di pubblicare un documento?

Prima di procedere alla pubblicazione sul proprio sito web la P.A. deve:

• individuare se esiste un presupposto di legge o di regolamento che legittima la diffusione del documento o del dato personale;
• verificare, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni;
• sottrarre all´indicizzazione (cioè alla reperibilità sulla rete da parte dei motori di ricerca) i dati sensibili e giudiziari, come ricordati al punto precedente.

Si possono diffondere dati ulteriori rispetto a quelli per i quali è prevista la pubblicazione obbligatoria?

No, a meno che tali dati non vengano resi effettivamente anonimi e non vi sia più la possibilità di identificare gli interessati, nemmeno indirettamente e in un momento successivo.

Come si attua l´anonimizzazione?

Per anonimizzare un documento non basta sostituire il nome e cognome con le iniziali dell´interessato ma occorre oscurare del tutto il nominativo e le altre informazioni riferite all´interessato che ne possono consentire l´identificazione anche a posteriori.

Con specifico riferimento ai concorsi e alle procedure, è intervenuta l’ Ordinanza ingiunzione del Garante per la Protezione dei Dati Personali nei confronti di Comune di Casaloldo – 3 settembre 2020

La vicenda riguarda la diffusione di dati e informazioni personali dei soggetti partecipanti a una selezione pubblica XX, fra cui il reclamante (quali dati identificativi ed esiti delle prove intermedie riferiti anche a concorrenti non vincitori, non ammessi o che si sono ritirati).

Il Garante ha rilevato l’illiceità del trattamento di dati personali effettuato dal predetto Comune, in quanto la pubblicazione integrale nella sezione “Amministrazione trasparente” del sito web istituzionale della Determina n. XX del XX – avente a oggetto «XX» – con i relativi allegati contenenti tutti i verbali della commissione esaminatrice (documenti prima identificati nel par. XX) ha causato una diffusione di dati personali dei soggetti concorrenti non vincitori, non ammessi o che si sono ritirati dal concorso, compreso il reclamante (quali dati identificativi ed esiti delle prove intermedie riferiti anche a concorrenti non vincitori, non ammessi o che si sono ritirati), in assenza di idonei presupposti normativi e, dunque, in violazione dell’art. 2-ter, commi 1 e 3, del Codice e dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del RGPD (cfr. anche la disposizione contenuta nell’art. 15, comma 6-bis, del d.P.R. 9/5/1994, n. 487).

Al medesimo Comune è stata ingiunta la sanzione  di euro 2.000,00 (duemila).