Sanzione di 30.000 euro per l'Agenzia regionale per il lavoro dell’Emilia Romagna (Garante per la protezione dei dati personali, 11 settembre 2026, n. 551).

L’Agenzia regionale per il lavoro dell’Emilia Romagna è stata sanzionata al pagamento di 30.000 euro per l'avvenuta pubblicazione online dei nominativi contenuti in una graduatoria riferita agli iscritti ai centri per l’impiego. In particolare, a questi soggetti veniva riconosciuto il diritto all’avviamento a selezione nell’ambito di una procedura per l’assunzione di un operatore addetto all’accoglienza presso un’azienda ospedaliera.

Tuttavia, nel rispetto delle disposizioni in materia di trasparenza amministrativa, le amministrazioni e gli altri soggetti obbligati sono tenuti a pubblicare online le graduatorie finali recanti i dati personali dei soli partecipanti risultati vincitori della procedura concorsuale.

In assenza di una specifica base giuridica, il Garante per la privacy ha precisato che la normativa che prescrive la pubblicazione delle sole “graduatorie finali”, si riferisce, esclusivamente alle procedure concorsuali scaturite da “bandi di concorso per il reclutamento” e non anche a quelle effettuate “mediante avviamento degli iscritti nelle liste di collocamento”, considerato che la sola partecipazione a tale procedura può determinare l’eventuale associazione degli interessati a una condizione di disabilità o comunque rivelare informazioni personali riguardanti aspetti economici o sociali delicati, che potrebbero determinare effetti pregiudizievoli per gli stessi, compromettendone la dignità.

In questo caso l’Agenzia regionale avrebbe potuto ricorrere a forme di anonimizzazione del dato personale, in modo da rendere conoscibile al solo interessato la propria posizione in graduatoria, evitando la pubblicazione di dati personali online, particolarmente invasiva poiché consente a chiunque, mediante i motori di ricerca esterni, di reperire un insieme consistente di informazioni personali disponibili in rete.

Nel definire la sanzione in 30.000 euro il Garante ha tenuto conto del considerevole numero di interessati coinvolti (circa 700 persone) e del protrarsi dell’illecito per un notevole lasso di tempo, ma anche della buona fede e dell’atteggiamento collaborativo dell’Agenzia, che ha rimosso dal sito e deindicizzato le informazioni personali in questione, nonché dell’assenza di precedenti violazioni pertinenti.