Concorsi disabili e divieto di pubblicazione delle graduatorie: quadro normativo e tutela della privacy
Il tema dei concorsi disabili e del divieto di pubblicazione delle graduatorie tocca un punto di tensione fondamentale nel diritto del lavoro pubblico: da un lato, il principio di trasparenza amministrativa impone agli enti pubblici di rendere accessibili gli atti concorsuali; dall’altro, la normativa sulla protezione dei dati personali vieta categoricamente la diffusione online di informazioni attinenti alla salute e alla condizione di disabilità dei candidati. Comprendere dove si colloca il confine tra questi due valori è essenziale per amministrazioni, candidati e professionisti del settore.
Il provvedimento del Garante Privacy: cosa è vietato pubblicare
Il Garante per la protezione dei dati personali ha stabilito che è vietata, relativamente ai concorsi riservati ai disabili, la pubblicazione delle graduatorie online nei termini in cui questa era avvenuta presso alcune Province e una Regione. I nominativi di centinaia di persone disabili, spesso associati a data e luogo di nascita, risultavano immediatamente visibili in rete tramite l’inserimento delle rispettive generalità nei più diffusi motori di ricerca. Nei documenti erano riportate in chiaro anche informazioni ritenute eccedenti o non pertinenti, quali:
- il reddito del candidato;
- la percentuale di invalidità civile;
- il punteggio derivante dall’anzianità di servizio;
- il numero di familiari a carico.
La diffusione di tali dati costituisce una violazione grave, poiché le informazioni sulla salute rientrano tra le categorie particolari di dati personali che godono di una protezione rafforzata sia sotto il previgente Codice Privacy sia, oggi, ai sensi del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 come novellato dal D.Lgs. 101/2018.
Il fondamento giuridico del divieto: GDPR, Codice Privacy e normativa sulla trasparenza
Il divieto di pubblicazione delle graduatorie dei concorsi per disabili non è una mera indicazione di buona prassi amministrativa, bensì un obbligo giuridico fondato su più livelli normativi.
Il GDPR e i dati sulla salute
L’art. 9 del Regolamento UE 2016/679 (GDPR) qualifica i dati relativi alla salute come «categorie particolari di dati personali», il cui trattamento è in linea di principio vietato salvo specifiche eccezioni tassativamente elencate. La condizione di disabilità, la percentuale di invalidità civile e qualsiasi altra informazione che riveli lo stato di salute di un individuo rientrano pienamente in questa categoria. La pubblicazione online di tali dati in graduatorie concorsuali non trova alcuna base giuridica idonea tra quelle previste dall’art. 9, par. 2, GDPR.
Il Codice della trasparenza e i suoi limiti
Il D.Lgs. 33/2013 (c.d. Decreto Trasparenza), pur imponendo la pubblicazione di numerosi atti amministrativi sui siti istituzionali, non può essere interpretato come una deroga generalizzata alla protezione dei dati sensibili. L’art. 7-bis del medesimo decreto stabilisce espressamente che la pubblicazione di dati personali diversi da quelli strettamente necessari è vietata. Le Linee guida del Garante in materia di trasparenza specificano che, nel caso di graduatorie concorsuali, gli enti devono limitarsi a pubblicare le informazioni indispensabili all’identificazione del candidato e al suo punteggio, escludendo qualsiasi dato attinente alla salute.
→ Leggi anche: La violazione dell'obbligo di accomodamenti ragionevoli nel reclutamento: profili di discriminazione per disabilità e rimedi giuridici
La Legge 68/1999 sul collocamento mirato dei disabili
La Legge 12 marzo 1999, n. 68, che disciplina il diritto al lavoro dei disabili e i concorsi riservati alle categorie protette, non prevede né autorizza la pubblicazione di dati sanitari nelle graduatorie. La riserva di posti nei concorsi pubblici è uno strumento di inclusione lavorativa che deve essere gestito nel pieno rispetto della dignità e della riservatezza dei beneficiari.
Le conseguenze per le pubbliche amministrazioni inadempienti
Il Garante ha dichiarato illeciti i trattamenti di dati effettuati dagli enti territoriali coinvolti, in quanto non conformi alla normativa sulla protezione dei dati personali, che non consente la diffusione di informazioni sulla salute, tanto più attraverso canali online accessibili a chiunque. Le misure adottate dall’Autorità hanno incluso:
- Provvedimento di divieto: ordine immediato di cessare la pubblicazione delle graduatorie nelle forme ritenute illecite;
- Prescrizioni per il futuro: obbligo per le Province e la Regione interessate di conformarsi alle disposizioni normative e alle Linee guida del Garante in materia di trasparenza, adottando ogni cautela per evitare la diffusione di dati sanitari;
- Valutazione di sanzioni amministrative: l’Autorità si è riservata di valutare, con separato provvedimento, gli estremi per contestare alle pubbliche amministrazioni la violazione amministrativa prevista per l’infrazione della normativa privacy.
Nel quadro attuale del GDPR, le sanzioni per il trattamento illecito di categorie particolari di dati possono raggiungere fino a 20 milioni di euro o il 4% del fatturato mondiale annuo, con le necessarie modulazioni per gli enti pubblici previste dal diritto nazionale.
Il ruolo del Garante e le iniziative di sistema
I casi sanzionati non rappresentano episodi isolati, ma si inseriscono in un fenomeno più ampio di pubblicazione indiscriminata di dati personali sensibili sui siti web degli enti pubblici. Per questa ragione, il Garante per la protezione dei dati personali ha intrapreso iniziative di sistema, rivolgendosi alla Conferenza delle Regioni e delle Province autonome per richiamare l’attenzione sulla preoccupante prassi di pubblicare atti e documenti contenenti dati personali estremamente delicati — in particolare quelli riferiti alla salute e alla disabilità — senza le necessarie cautele.
L’Autorità ha chiesto di valutare la possibilità di assumere specifiche iniziative affinché i trattamenti di dati effettuati da soggetti pubblici siano sempre rispettosi delle norme in materia di tutela della riservatezza, promuovendo la formazione del personale amministrativo e l’adozione di procedure standardizzate per la pubblicazione degli atti concorsuali.
Come devono comportarsi le amministrazioni: indicazioni operative
Per le pubbliche amministrazioni che gestiscono concorsi riservati ai disabili, il rispetto del divieto di pubblicazione delle graduatorie in forma integrale richiede l’adozione di misure concrete e verificabili. In particolare, gli enti devono:
→ Leggi anche: Discriminazione per stato di salute: obblighi di accomodamento ragionevole e limiti della selezione nel 2026
- Selezionare i dati da pubblicare: nelle graduatorie online devono comparire esclusivamente le informazioni strettamente necessarie (nome, cognome, punteggio complessivo, posizione in graduatoria), escludendo percentuali di invalidità, diagnosi, reddito e qualsiasi altro dato eccedente;
- Adottare misure tecniche di minimizzazione: predisporre versioni anonimizzate o parzialmente oscurate dei documenti prima della pubblicazione sul sito istituzionale;
- Formare il personale: garantire che i responsabili del procedimento concorsuale conoscano gli obblighi derivanti dal GDPR e dalle Linee guida del Garante;
- Effettuare una valutazione d’impatto (DPIA): per i trattamenti che coinvolgono categorie particolari di dati su larga scala, il GDPR impone la redazione di una Data Protection Impact Assessment prima dell’avvio del trattamento;
- Nominare il Responsabile della Protezione dei Dati (DPO): gli enti pubblici sono obbligati per legge a designare un DPO che supervisioni la conformità dei trattamenti, inclusa la pubblicazione delle graduatorie concorsuali.
Diritti dei candidati disabili: come tutelarsi
I candidati che partecipano a concorsi pubblici riservati ai disabili e che riscontrano la pubblicazione illecita dei propri dati sanitari nelle graduatorie online hanno a disposizione diversi strumenti di tutela:
- Reclamo al Garante Privacy: è possibile presentare un reclamo all’Autorità Garante per la protezione dei dati personali, che ha il potere di ordinare la rimozione immediata dei dati e di irrogare sanzioni all’ente responsabile;
- Esercizio dei diritti GDPR: il candidato può esercitare il diritto alla cancellazione (art. 17 GDPR), il diritto di opposizione (art. 21 GDPR) e il diritto alla limitazione del trattamento (art. 18 GDPR) direttamente nei confronti dell’amministrazione;
- Ricorso al giudice ordinario: in caso di danno derivante dal trattamento illecito, il candidato può agire in giudizio per il risarcimento del danno ai sensi dell’art. 82 GDPR e dell’art. 2050 c.c.
(Fonte: Garante Privacy)
FAQ — Domande frequenti sui concorsi disabili e il divieto di pubblicazione delle graduatorie
È sempre vietato pubblicare le graduatorie dei concorsi per disabili?
No, non è vietata la pubblicazione in sé, ma la pubblicazione in forma integrale con dati sanitari, percentuali di invalidità e altre informazioni eccedenti. Le amministrazioni possono e devono pubblicare le graduatorie, ma in forma minimizzata, escludendo tutti i dati attinenti alla salute dei candidati.
Quali dati non possono mai comparire in una graduatoria pubblicata online?
Non possono comparire: la percentuale di invalidità civile, la diagnosi o la patologia del candidato, il reddito, informazioni sul nucleo familiare non strettamente necessarie e qualsiasi altro dato che riveli lo stato di salute dell’interessato.
Cosa rischia un ente pubblico che pubblica dati sanitari nelle graduatorie?
L’ente rischia un provvedimento di divieto del Garante, l’obbligo di rimozione immediata dei dati, sanzioni amministrative e, in caso di danno al candidato, azioni risarcitorie in sede civile. Nel quadro del GDPR, le sanzioni per il trattamento illecito di categorie particolari di dati sono particolarmente severe.
Come può tutelarsi un candidato disabile che trova i propri dati sanitari pubblicati online?
Può presentare un reclamo al Garante Privacy, esercitare i diritti di cancellazione e opposizione direttamente nei confronti dell’amministrazione e, se ha subito un danno, agire in giudizio per il risarcimento ai sensi del GDPR e del Codice civile.
Il principio di trasparenza amministrativa prevale sulla privacy nei concorsi per disabili?
No. La giurisprudenza e le indicazioni del Garante sono univoche nel ritenere che la trasparenza non giustifica la diffusione di dati sulla salute. I due principi devono essere bilanciati attraverso la pubblicazione di graduatorie che garantiscano la verificabilità del procedimento senza esporre i dati sanitari dei candidati.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
