RISPOSTA DIRETTA Nella graduatoria finale di un concorso si pubblicano nome, cognome, posizione e, se serve, la data di nascita, ad esempio per distinguere gli omonimi. Codice fiscale, residenza, recapiti, documenti e IBAN restano fuori. Per chi agisce in ambito pubblico diffondere dati personali richiede una norma che lo preveda, e vale solo per i dati che quella norma copre.

In breve

• Chi agisce in ambito pubblico può diffondere dati personali solo se una norma lo prevede (art. 2-ter, commi 1 e 3, del Codice privacy).
• Per i concorsi l’art. 19 del d.lgs. 33/2013 prevede la pubblicazione delle graduatorie finali; il Garante ne limita il contenuto a nome, cognome, posizione ed eventualmente data di nascita.
• Le borse di studio non rientrano nell’art. 19: lo ha chiarito il Garante con il Provvedimento n. 634 del 23 settembre 2026, che ha sanzionato con 8.000 euro la pubblicazione di un file Excel con dati personali in colonne nascoste.
• Il file da pubblicare si prepara a parte, con le sole colonne ammesse, e si controlla prima del caricamento.

La regola: serve una norma che preveda la diffusione

Per chi agisce in ambito pubblico, mettere online un dato personale è una diffusione, e la diffusione è ammessa solo se una norma la prevede: è la regola dell’art. 2-ter, commi 1 e 3, del Codice in materia di protezione dei dati personali (d.lgs. 196/2003). Si sommano i principi del Regolamento (UE) 2016/679 (GDPR): liceità, correttezza e minimizzazione (art. 5, par. 1, lett. a e c), e una base giuridica nell’obbligo di legge o nel compito di interesse pubblico (art. 6, par. 1, lett. c ed e, parr. 2 e 3).

La conseguenza è meno ovvia di quanto sembri. La norma sulla trasparenza autorizza a pubblicare l’atto e i dati che essa prevede, non tutto ciò che contiene il file di lavoro da cui l’atto nasce. Ogni colonna in più è una diffusione senza base normativa.

Pubblicazione delle graduatorie: quali dati sì e quali no

La tabella vale per le graduatorie dei concorsi per il reclutamento del personale (art. 19 del d.lgs. 14 marzo 2013, n. 33).

Dato	Pubblicabile	Fonte
Nome e cognome	Sì	Provv. n. 634/2026
Posizione in graduatoria	Sì	Provv. n. 634/2026
Data di nascita	Solo se necessario, ad esempio in caso di omonimia	Provv. n. 634/2026
Punteggio complessivo	A discrezione dell’amministrazione, solo nella graduatoria finale dei vincitori	FAQ del Garante sui concorsi
Dati dei candidati non vincitori (non idonei, idonei non vincitori, assenti)	No online	FAQ del Garante sui concorsi
Esiti delle prove intermedie	No online: area riservata; esiti degli orali affissi nel luogo della prova	FAQ del Garante sui concorsi
Residenza	No	Provv. n. 634/2026
Codice fiscale	No	Provv. n. 634/2026
IBAN e banca	No	Provv. n. 634/2026
Email e telefono	No	Provv. n. 634/2026
Tipo e numero del documento	No	Provv. n. 634/2026
Titoli, atenei e voti	No	Provv. n. 634/2026

I «no» discendono dall’elenco chiuso del provvedimento: la graduatoria «deve contenere esclusivamente, per ciascun individuo, il nome, cognome, eventualmente la data di nascita (ad esempio in caso di omonimia) e posizione in graduatoria». Le FAQ del Garante sui concorsi pubblici ammettono in più il punteggio complessivo; il provvedimento non lo menziona, e la scelta prudente è pubblicarlo solo se il bando lo prevede. L’elenco riguarda i vincitori e gli idonei che diventano vincitori per scorrimento: l’art. 19 prevede graduatorie finali «aggiornate con l’eventuale scorrimento degli idonei non vincitori».

Concorsi e borse di studio non seguono la stessa norma

L’art. 19 riguarda il reclutamento del personale: bandi, criteri di valutazione, tracce delle prove, graduatorie finali. Nel Provvedimento n. 634/2026 il Garante ha escluso le borse di studio, «non rientrando, in tale casistica, le procedure per l’erogazione di borse di studio». Il provvedimento non dice quale norma si applichi al loro posto.

La nostra lettura è che le borse di studio ricadano tra i vantaggi economici degli artt. 26 e 27 del d.lgs. 33/2013. L’art. 26 riguarda gli atti di concessione superiori a 1.000 euro e fa della pubblicazione una condizione di efficacia oltre quella soglia nell’anno solare; l’art. 27 ammette, per le persone fisiche, il solo nome del beneficiario. Il comma 4 dell’art. 26 esclude però i dati identificativi «qualora da tali dati sia possibile ricavare informazioni relative allo stato di salute ovvero alla situazione di disagio economico-sociale degli interessati».

Ne discende una distinzione operativa. Una borsa di merito può comparire con il nome del beneficiario. Una borsa assegnata in base al reddito no: il nome accostato al beneficio rivela la condizione economica. Il limite di questa lettura è che molte borse combinano merito e reddito, e il testo non dice quale criterio prevalga. Nel dubbio, il dato identificativo resta fuori.

Il caso: il file di lavoro pubblicato al posto dell’estratto

Con il Provvedimento n. 634 del 23 settembre 2026 (doc. web n. 10302434) il Garante ha sanzionato con 8.000 euro la Fondazione Rome Technopole, che colloca tra i «soggetti che agiscono in ambito pubblico». La Fondazione aveva pubblicato in formato Excel la graduatoria dei vincitori di borse di studio. Secondo il reclamo, e per ammissione della Fondazione, i campi nascosti del file contenevano dati di numerosi interessati: tra gli altri indirizzo di residenza, codice fiscale, data di nascita, indirizzo email, tipo e numero del documento d’identità, ateneo di laurea e di iscrizione magistrale, corsi e voto di laurea, banca e IBAN.

Il file è stato rimosso, secondo la Fondazione, circa dodici ore dopo la pubblicazione, e l’errore è stato ricondotto alla predisposizione del file. Il Garante vi ha visto anche un’«errata interpretazione della disciplina in materia di trasparenza amministrativa» e ha accertato la violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), parr. 2 e 3, del GDPR, e dell’art. 2-ter, commi 1 e 3, del Codice.

La gravità è stata ritenuta media. Hanno contato la breve durata, l’assenza di precedenti, la cooperazione e l’impegno della Fondazione a rafforzare le misure organizzative interne; il provvedimento ha considerato anche il numero degli interessati, l’errore interpretativo e la presenza di dati bancari. Il provvedimento ricorda la facoltà di definire la controversia pagando la metà della sanzione entro trenta giorni (art. 166, comma 8, del Codice).

Gli errori sono due. Quello tecnico, le colonne nascoste, è il più visibile. Quello giuridico viene prima ed è quello che il Garante ha sottolineato: la lettura sbagliata della disciplina sulla trasparenza.

Come si prepara il file da pubblicare

La procedura è breve e conviene farla validare una volta dal DPO dell’ente; per molti enti è un DPO esterno PA.

1. Generare un file di pubblicazione distinto dal file di lavoro, con le sole colonne ammesse. Nascondere una colonna non la elimina.
2. Produrre il formato non modificabile dal file di pubblicazione, non da quello di lavoro.
3. Separare i ruoli: chi prepara il file non è chi lo carica, e chi lo carica apre il documento definitivo prima di pubblicarlo.
4. Lanciare, prima del caricamento, una ricerca automatica delle stringhe con la struttura di un codice fiscale o di un IBAN.
5. Fissare la data di rimozione. Per l’art. 8, comma 3, del d.lgs. 33/2013 gli atti restano online per cinque anni dal 1° gennaio dell’anno successivo all’obbligo, e comunque finché producono effetti, salvi i termini della disciplina privacy.

Sull’indicizzazione serve chiarezza. Per la sezione «Amministrazione trasparente» l’art. 9 del d.lgs. 33/2013 vieta i filtri che impediscono ai motori di ricerca di indicizzarla. La protezione si gioca quindi a monte, su cosa si pubblica, non a valle sui motori di ricerca.

Se il file sbagliato è già online

• Rimuovere subito il file, comprese le copie in altre sezioni del sito.
• Chiedere ai motori di ricerca la rimozione delle copie in cache e dei risultati che le richiamano.
• Valutare con il DPO se si tratta di una violazione da notificare al Garante e da comunicare agli interessati (artt. 33 e 34 GDPR).
• Documentare tempi, causa, dati coinvolti e misure adottate.

Domande frequenti

Si possono pubblicare nome e cognome dei vincitori di un concorso?

Sì. Nella graduatoria finale si pubblicano nome, cognome e posizione; la data di nascita solo se serve, ad esempio per distinguere omonimi. Le FAQ del Garante ammettono anche il punteggio complessivo, a discrezione dell’amministrazione.

Il codice fiscale si può pubblicare in una graduatoria?

No. Non rientra tra i dati che la graduatoria può contenere: nome, cognome, posizione ed eventualmente data di nascita.

Gli obblighi di trasparenza giustificano la pubblicazione di tutti i dati?

No. La norma sulla trasparenza autorizza a pubblicare l’atto e i dati che prevede. Il resto è diffusione senza base normativa, vietata dall’art. 2-ter del Codice privacy e contraria al principio di minimizzazione.

Le graduatorie delle borse di studio seguono le regole dei concorsi?

No. Il Garante ha escluso che rientrino nell’art. 19 del d.lgs. 33/2013. Nella nostra lettura sono vantaggi economici (artt. 26 e 27): per le persone fisiche solo il nome, e nessun dato identificativo se il beneficio rivela una situazione di disagio economico-sociale.

Un file Excel con le colonne nascoste è sicuro?

No. Una colonna nascosta resta nel file e chiunque lo scarichi può renderla visibile. Il file da pubblicare va generato con le sole colonne ammesse.

Cosa fare se è stato pubblicato il file sbagliato?

Rimuoverlo subito, chiedere ai motori di ricerca la rimozione delle copie, valutare con il DPO se notificare la violazione al Garante e comunicarla agli interessati (artt. 33 e 34 GDPR), documentare tempi, cause e misure.

Dott.ssa Giulia Innocenti

DPO e Consulente Privacy

I&P Partners S.r.l. – Sede di Firenze