Trasparenza e privacy nei concorsi pubblici: pubblicazione, accesso, diffusione e indicazioni operative

A cura di Rosalisa Lancia, DG Area Formazione e Consulenza di Legislazione Tecnica

La gestione dei dati personali nelle procedure concorsuali impone un equilibrio tra pubblicità legale e tutela della riservatezza. Le FAQ del Garante e i più recenti orientamenti giurisprudenziali delineano un modello di trasparenza differenziata, fondato sul principio di minimizzazione e sulla distinzione tra diffusione e accesso selettivo. Su questa base, il contributo propone anche indicazioni operative per aiutare le amministrazioni a gestire correttamente la pubblicazione e l’accesso ai dati concorsuali

Perimetro normativo e indicazioni del Garante Privacy
Le procedure concorsuali costituiscono uno degli ambiti in cui più frequentemente si confrontano due esigenze di pari rilievo costituzionale: da un lato la trasparenza e il controllo sull’azione amministrativa, dall’altro la tutela della dignità e della riservatezza dei candidati.
Il principio di buon andamento e imparzialità sancito dall’art. 97 Cost., declinato nella disciplina anticorruzione (l. 190/2012) e negli obblighi di pubblicità previsti dal d.lgs. 33/2013, impone che le procedure di reclutamento siano conoscibili e verificabili.
Al tempo stesso, il Regolamento (UE) 2016/679 (GDPR) e il Codice in materia di protezione dei dati personali impongono che ogni trattamento sia lecito, proporzionato e limitato a quanto necessario rispetto alle finalità perseguite.
Non si tratta, dunque, di scegliere tra trasparenza e privacy. Si tratta di governarne l’equilibrio.
A tale scopo vengono in rilievo le FAQ adottate dal Garante per la protezione dei dati personali, d’intesa con il Dipartimento della Funzione Pubblica, che intervengono proprio in questo spazio di tensione, offrendo un quadro sistematico di riferimento per la gestione e, soprattutto, per la pubblicazione dei dati personali nelle diverse fasi delle procedure selettive.
Le FAQ non introducono nuovi obblighi, ma svolgono una funzione interpretativa e di indirizzo: chiariscono l’ambito oggettivo degli obblighi di pubblicazione, precisano la distinzione tra diffusione e comunicazione dei dati, individuano le basi giuridiche del trattamento e richiamano le amministrazioni al rispetto dei principi di responsabilizzazione e minimizzazione.
L’obiettivo non è comprimere la trasparenza, ma ricondurla entro limiti coerenti con la disciplina europea e nazionale in materia di protezione dei dati, chiarendo che la pubblicazione online rappresenta una forma di diffusione particolarmente incisiva, non assimilabile alle tradizionali modalità di pubblicità legale.
La tesi che emerge dalle FAQ – e che la giurisprudenza recente conferma – è chiara: la trasparenza concorsuale non è monolitica, ma articolata su più livelli distinti, ciascuno con presupposti, finalità e limiti propri.

 Pubblicazione online e pubblicità legale: un equivoco da superare
Uno degli equivoci più diffusi riguarda la trasposizione automatica sul sito istituzionale di documenti che, in passato, venivano affissi all’albo o depositati presso gli uffici.
Le FAQ ricordano che la pubblicazione sul web ha caratteristiche radicalmente diverse: i dati diventano indicizzabili dai motori di ricerca, potenzialmente permanenti, riutilizzabili e aggregabili con altre informazioni disponibili in rete.
Ciò che in passato era conoscibile solo da chi si recava fisicamente presso l’amministrazione diventa così accessibile a chiunque, senza limiti territoriali o temporali. Questa trasformazione incide sulla natura stessa del trattamento: la “diffusione” online, nel lessico del GDPR, è una modalità particolarmente invasiva e richiede una base giuridica chiara e un rigoroso rispetto del principio di minimizzazione (art. 5 GDPR).
La trasparenza amministrativa, del resto, non è un diritto alla curiosità pubblica. È uno strumento funzionale al controllo sull’esercizio del potere. Quando la pubblicazione eccede tale funzione, si trasforma in esposizione indebita.
Si pensi, ad esempio, alla pubblicazione integrale di una graduatoria con l’indicazione di tutti i candidati, dei punteggi conseguiti e delle eventuali annotazioni relative a riserve o preferenze. Una volta online, tali dati possono essere acquisiti da terzi, conservati in archivi privati, utilizzati per profilazioni o valutazioni professionali del tutto estranee alla finalità del concorso.
È proprio per evitare questa deriva che il Garante richiama con forza il principio di minimizzazione: pubblicare solo ciò che è strettamente necessario rispetto alla finalità di trasparenza.

 Dati di cui è consentita la pubblicazione
Il punto di equilibrio individuato dalla disciplina vigente – in particolare dall’art. 19 del d.lgs. 33/2013, coordinato con la normativa concorsuale (d.lgs. 165/2001 e d.P.R. 487/1994) – è chiaro: la pubblicazione online deve riguardare esclusivamente la graduatoria finale recante i dati dei soli candidati risultati vincitori.
Devono comparire il nome e il cognome del vincitore, la posizione in graduatoria e, se necessario per evitare omonimie, la data di nascita. L’indicazione del punteggio complessivo è rimessa alla discrezionalità dell’amministrazione.
Le FAQ chiariscono che tale pubblicazione trova la propria base giuridica nell’art. 6, par. 1, lett. c) ed e) del GDPR, in quanto trattamento necessario per adempiere a un obbligo legale e per l’esecuzione di un compito di interesse pubblico connesso all’esercizio di pubblici poteri.
La scelta legislativa è coerente con la finalità perseguita. La pubblicazione consente ai partecipanti di verificare l’esito della procedura e di valutare l’eventuale proposizione di ricorsi; consente altresì il controllo diffuso sulla correttezza dell’azione amministrativa, in linea con la funzione anticorruzione della trasparenza.
Non è invece funzionale alla trasparenza rendere pubblica la posizione di tutti gli altri candidati.
Un esempio chiarisce il punto. Se un concorso prevede dieci posti, la pubblicazione dei nominativi dei dieci vincitori soddisfa integralmente l’esigenza di trasparenza. Rendere pubblici i nomi dei cento idonei non vincitori, con i rispettivi punteggi, non aggiunge nulla al controllo sulla legittimità della procedura, ma espone tali soggetti a un’indebita diffusione di informazioni sulla loro carriera e sulle loro performance.

 Graduatorie intermedie e area riservata: il ruolo del Portale InPA
La riforma del reclutamento e l’introduzione del Portale InPA hanno consolidato una distinzione strutturale tra pubblicazione e messa a disposizione.
Il Portale unico del reclutamento, previsto dall’art. 35-ter del d.lgs. 165/2001 e sviluppato anche nell’ambito delle riforme collegate al PNRR, rappresenta oggi l’infrastruttura digitale centrale per la gestione delle procedure concorsuali.
La normativa prevede espressamente che la graduatoria di merito, quella risultante dall’applicazione dei titoli e quella finale sulla quale si applicano le riserve previste dal bando siano pubblicate sul Portale unico del reclutamento e sul sito dell’amministrazione procedente, anche tramite collegamento ipertestuale, ma in un’area ad accesso riservato ai partecipanti.
Le graduatorie di merito, quelle risultanti dall’applicazione dei titoli e quelle su cui incidono riserve e preferenze non devono dunque essere pubblicate in area pubblica, ma rese disponibili ai soli partecipanti attraverso il Portale InPA e un’area del sito istituzionale ad accesso riservato.
In questa sede possono essere comunicati ai candidati i dati essenziali – nome, cognome, posizione, punteggi – limitatamente ai soggetti che hanno superato le prove, dando conto dell’eventuale applicazione di riserve o titoli di preferenza senza specificarne la natura.
Le FAQ valorizzano proprio questa distinzione, chiarendo che la “messa a disposizione” in area riservata non equivale a “diffusione” indiscriminata, ma costituisce una forma di comunicazione selettiva coerente con il principio di proporzionalità.
La distinzione tra spazio pubblico e area riservata non è un tecnicismo organizzativo: è l’espressione concreta del principio di proporzionalità, che impone di graduare la conoscibilità in funzione della finalità perseguita.

 Dati di cui non è consentita la diffusione
Le FAQ dedicano particolare attenzione ai dati che possono rivelare informazioni delicate sulla persona.
L’indicazione del titolo di preferenza – ad esempio l’appartenenza alle categorie protette o la fruizione di benefici connessi alla disabilità – può indirettamente rivelare condizioni di salute del candidato o dei suoi familiari. La pubblicazione di tali informazioni online è vietata, anche quando avvenga in forma abbreviata o mediante il richiamo a specifiche norme di legge.
Analogamente, non possono essere pubblicate annotazioni relative a esclusioni, ammissioni con riserva o verifiche connesse al casellario giudiziario.
La Cassazione civile, Sez. II, con ordinanza n. 33257 dell’11 novembre 2022, ha ribadito che la diffusione di dati personali è consentita unicamente quando prevista da una norma di legge o di regolamento e che non è ammissibile la pubblicazione di dati identificativi idonei a rivelare situazioni di disagio economico-sociale o altre condizioni personali non strettamente necessarie rispetto alla finalità di pubblicità.
Si pensi, ad esempio, alla pubblicazione dell’annotazione “ammesso con riserva per pendenza di giudizio”. Un’informazione di questo tipo, pur legittimamente trattata dall’amministrazione nell’ambito del procedimento, non è necessaria ai fini della pubblicità legale dell’esito del concorso. La sua diffusione online può invece generare un effetto stigmatizzante, esponendo il candidato a valutazioni negative o fraintendimenti sulla propria posizione personale o professionale.

 Gli esiti delle prove orali e gli atti endoprocedimentali
Un’ulteriore prassi diffusa riguarda la pubblicazione online degli esiti delle prove orali o dei verbali delle commissioni. Anche in questo caso le FAQ sono nette. L’art. 12 del d.P.R. 487/1994 prevede che, al termine di ciascuna seduta dedicata alle prove orali, la commissione formi l’elenco dei candidati esaminati con l’indicazione del voto riportato e lo affigga nella sede di svolgimento dell’esame. Si tratta dunque di una forma di pubblicità legale tipizzata, locale e temporanea, che non equivale alla pubblicazione sul sito istituzionale. La diffusione online, in assenza di una specifica previsione normativa, eccederebbe tale base giuridica e si tradurrebbe in una diffusione generalizzata dei dati non richiesta dalla legge.
Lo stesso vale per gli atti endoprocedimentali, quali verbali, elaborati scritti e schede di valutazione. L’art. 19 del d.lgs. 33/2013 non prevede la loro pubblicazione obbligatoria, mentre l’art. 2-ter del Codice Privacy consente la diffusione di dati personali da parte delle pubbliche amministrazioni solo quando espressamente prevista da una norma di legge o di regolamento. In assenza di tale base giuridica, la pubblicazione generalizzata di atti contenenti valutazioni individuali eccederebbe la normativa di settore e si porrebbe in contrasto con i principi di minimizzazione e proporzionalità sanciti dal GDPR.

Bando di concorso e ampliamento degli obblighi di pubblicazione
Particolarmente significativo è il chiarimento secondo cui un bando di concorso o un regolamento interno non possono introdurre obblighi di pubblicazione ulteriori rispetto a quelli previsti dalla legge.
La base giuridica del trattamento dei dati personali deve essere individuata in una norma di rango primario. Le FAQ ribadiscono che il consenso dell’interessato non costituisce base giuridica idonea a legittimare la diffusione online in ambito concorsuale, trattandosi di trattamento connesso all’esercizio di pubblici poteri.
Ammettere che ciascuna amministrazione possa ampliare autonomamente l’ambito della diffusione online significherebbe introdurre livelli differenziati di tutela della privacy sul territorio nazionale, in contrasto con il quadro costituzionale ed europeo e con l’esigenza di uniformità nella protezione dei diritti fondamentali.

Orientamenti giurisprudenziali
La giurisprudenza degli ultimi anni si allinea con le indicazioni del Garante: le completa e le rafforza, distinguendo con nettezza tra pubblicazione, diffusione e accesso.

La Corte di Cassazione, con ordinanza n. 30030 del 21 novembre 2024, ha affermato che la pubblicazione dei nominativi dei vincitori con il punteggio complessivo non integra di per sé diffusione di dati sensibili, anche quando, in via meramente ipotetica, qualcuno potrebbe tentare di dedurre informazioni personali non esplicitamente indicate confrontando il punteggio con i criteri del bando. La trasparenza dell’esito costituisce un presidio essenziale del controllo sulla legittimità della procedura.

Di segno complementare è l’ordinanza n. 19951 del 19 luglio 2024, con cui la Cassazione ha chiarito che la motivazione individuale dell’esclusione non può essere resa indiscriminatamente accessibile online. L’esito può essere pubblicato; la valutazione analitica dei requisiti no.

Sul versante sanzionatorio, l’ordinanza n. 29049 del 6 ottobre 2022 ha confermato la legittimità della sanzione irrogata dal Garante per la diffusione online di dati sensibili, escludendo che l’amministrazione possa invocare con leggerezza l’errore scusabile.

Diverso è il piano dell’accesso documentale. Il Consiglio di Stato, con sentenza n. 3835 del 2019, ha affermato che il candidato non vincitore ha diritto di accedere ai titoli e alle valutazioni degli altri concorrenti.

Il TAR Lombardia – Milano, con sentenza n. 1650 del 2025, ha ulteriormente precisato che, quando l’accesso sia strumentale all’esercizio del diritto di difesa, esso può estendersi anche a dati sensibili, se la loro conoscenza è strettamente indispensabile.

Ancora diverso è il regime dell’accesso civico generalizzato, come chiarito dal TAR Lazio – Roma (sentenza n. 14930 del 2025), che ha sottolineato la necessità di tutelare i controinteressati e di evitare richieste massive o abusive.

Infine, un ulteriore filone giurisprudenziale riguarda il principio dell’anonimato nelle prove concorsuali. Il Consiglio di Stato, con sentenza n. 7685 del 2024, ha ribadito che la violazione dell’anonimato, quando imputabile all’amministrazione, è idonea di per sé a inficiare la legittimità dell’intera procedura. Con la sentenza n. 4926 del 2024, lo stesso Consiglio di Stato ha chiarito che, nelle procedure informatizzate, il principio dell’anonimato si declina in termini di sicurezza e affidabilità dei sistemi digitali: non più solo anonimato materiale, ma garanzia tecnica dell’imparzialità del procedimento valutativo.

Regole operative per prevenire violazioni privacy nei concorsi pubblici
L’equilibrio tra trasparenza e protezione dei dati richiede scelte organizzative consapevoli e procedure correttamente strutturate. Le indicazioni del Garante, integrate dagli orientamenti giurisprudenziali e dalla disciplina del Portale InPA, consentono di tradurre i principi di base giuridica, minimizzazione e proporzionalità in comportamenti amministrativi verificabili.
In concreto, prevenire violazioni significa interrogarsi prima di pubblicare, distinguere prima di diffondere, progettare prima di rendere accessibili i dati.
Le seguenti indicazioni costituiscono un quadro operativo di riferimento per gli uffici del personale e per le commissioni esaminatrici. 

1. Verificare sempre la base giuridica della pubblicazione

Prima di pubblicare qualsiasi dato personale sul sito istituzionale occorre accertare l’esistenza di una norma di legge o di regolamento che imponga quella specifica pubblicazione. Ai sensi dell’art. 2-ter del Codice Privacy, la diffusione di dati personali da parte delle pubbliche amministrazioni è consentita solo se prevista da una disposizione normativa. In ambito concorsuale, il consenso del candidato non costituisce una base giuridica idonea.

2. Applicare rigorosamente il principio di minimizzazione

La pubblicazione deve limitarsi ai soli dati strettamente necessari alla finalità di pubblicità legale.
In particolare:

• pubblicare esclusivamente i nominativi dei vincitori;
• evitare la pubblicazione di punteggi parziali o dettagli valutativi non indispensabili;
• non indicare la natura delle riserve o dei titoli di preferenza.

Ogni informazione ulteriore aumenta il rischio di trattamento eccedente rispetto alla finalità. 

3. Distinguere tra “pubblicazione” e “messa a disposizione”

La pubblicazione in area pubblica del sito comporta una diffusione indiscriminata dei dati.
Le graduatorie intermedie, i punteggi dettagliati e le informazioni relative a titoli e preferenze devono essere rese disponibili esclusivamente:

• tramite il Portale InPA,
• o in un’area del sito ad accesso riservato ai soli candidati.

InPA rappresenta oggi lo strumento strutturale per realizzare questa distinzione in modo conforme alla normativa, garantendo una comunicazione selettiva e non una diffusione generalizzata. 

4. Non pubblicare atti endoprocedimentali

Verbali nominativi, elaborati scritti, schede individuali di valutazione e documentazione istruttoria non rientrano tra gli obblighi di pubblicazione previsti dall’art. 19 del d.lgs. 33/2013.
Tali atti possono essere conosciuti attraverso l’accesso documentale o difensivo, ma non devono essere oggetto di pubblicazione generalizzata online. 

5. Gestire correttamente gli esiti delle prove orali

Gli esiti devono essere affissi nei luoghi di svolgimento dell’esame, secondo quanto previsto dal d.P.R. 487/1994. L’affissione costituisce una forma di pubblicità legale locale e temporanea e non equivale alla pubblicazione sul sito istituzionale. 

6. Progettare le procedure digitali secondo il principio di privacy by design

In coerenza con l’art. 25 GDPR, le amministrazioni devono configurare piattaforme e strumenti digitali in modo da limitare automaticamente la visibilità dei dati ai soli soggetti legittimati.
Ciò implica, ad esempio:

• prevedere accessi autenticati per le graduatorie intermedie;
• impostare tempi di pubblicazione proporzionati;
• evitare l’indicizzazione dei documenti non destinati alla diffusione generalizzata;
• garantire adeguati standard di sicurezza nelle procedure informatizzate.

7. Coinvolgere il Responsabile della protezione dei dati

Il RPD/DPO dovrebbe essere coinvolto non solo in fase successiva, ma sin dalla predisposizione del bando e nella definizione delle modalità di gestione e pubblicazione degli esiti.
Un confronto preventivo riduce il rischio di errori strutturali e di successive contestazioni. 

8. Standardizzare le prassi interne e formare il personale coinvolto

Molte violazioni derivano da automatismi organizzativi o da prassi consolidate non aggiornate alla disciplina vigente. È opportuno che l’amministrazione:

• adotti linee guida interne sulla gestione dei dati nei concorsi;
• definisca procedure standard per la pubblicazione e per l’uso di InPA;
• formi periodicamente il personale degli uffici del personale e i componenti delle commissioni esaminatrici sui limiti della diffusione online e sulla distinzione tra pubblicazione e accesso.

Una corretta standardizzazione delle prassi riduce in modo significativo il rischio di errori e di responsabilità sanzionatorie.

Concludendo
Un concorso pubblico conforme alla normativa privacy non è meno trasparente: è semplicemente più rigoroso nel distinguere tra controllo dell’azione amministrativa e diffusione indiscriminata di dati personali.
La chiave non è pubblicare di meno, ma pubblicare meglio, utilizzando correttamente gli strumenti normativi e digitali oggi a disposizione delle amministrazioni.