Il Garante per la protezione dei dati personali ha sanzionato per 15mila euro l’Agenzia per l’Italia Digitale con il provvedimento n. 745 del 7 ottobre 2026, accogliendo il reclamo di un candidato che nel 2021 aveva partecipato a una procedura concorsuale indetta da AgID per il reclutamento di personale destinato al programma Smarter Italy. Nella sezione del sito istituzionale dedicata alla trasparenza amministrativa era rimasto pubblicato un elenco con nomi, cognomi e punteggi di quindici candidati ammessi alla prova orale, nonostante uno degli interessati ne avesse chiesto la rimozione.
Nel corso dell’istruttoria AgID ha sostenuto che si trattasse di una mera svista operativa, spiegando che la propria prassi prevede la comunicazione degli esiti concorsuali tramite codici identificativi univoci anziché tramite dati nominativi. L’Agenzia riteneva inoltre di aver già rimosso il documento nel 2025, ma l’operazione non era stata effettivamente completata: l’elenco è stato eliminato in via definitiva solo il 23 gennaio 2026, a seguito dell’intervento del Garante.
L’Autorità ha ritenuto le giustificazioni insufficienti a escludere la responsabilità dell’Agenzia, richiamando gli articoli 5 e 6 del GDPR e l’articolo 2-ter del Codice privacy: la diffusione online di dati personali nell’ambito di procedure concorsuali deve fondarsi su una specifica disposizione normativa e rispettare i principi di liceità, correttezza e minimizzazione, e non può essere giustificata genericamente dalle esigenze di trasparenza amministrativa — tanto più quando riguarda, come in questo caso, elenchi meramente intermedi della procedura. Nel quantificare la sanzione, il Garante ha considerato sia elementi aggravanti, come la durata della violazione, protrattasi per circa cinque anni, e il numero di interessati coinvolti, sia elementi attenuanti, quali la natura colposa della condotta, la tempestiva rimozione successiva alla comunicazione dell’Autorità e la collaborazione prestata da AgID durante l’istruttoria.
Non è la prima sanzione dell’anno per l’Agenzia: lo scorso 28 maggio, con il provvedimento n. 419, il Garante aveva già multato AgID per 55mila euro per il trasferimento automatico degli indirizzi PEC dei professionisti dall’INI-PEC all’Indice nazionale dei domicili digitali (INAD), avvenuto senza un’adeguata informativa agli interessati. Quella sanzione risulta però sospesa dal Tribunale di Roma dal 3 agosto 2026, con il giudizio di opposizione ancora pendente.
La vicenda conferma un orientamento ormai consolidato del Garante: la pubblicazione di elenchi concorsuali intermedi contenenti dati identificativi resta un terreno ad alto rischio sanzionatorio, indipendentemente dalla buona fede dell’ente e anche a distanza di anni dalla pubblicazione originaria.
Colpisce, al di là dell’importo contenuto della sanzione, il fatto che a incorrere nell’errore sia proprio l’Agenzia chiamata a presidiare l’infrastruttura digitale del Paese: AgID gestisce, tra l’altro, l’identità digitale e i domicili digitali di cittadini e professionisti, un ruolo che presuppone standard di governance dei dati superiori alla media. La doppia sanzione nel giro di cinque mesi, segnala meno un problema di malafede che una debolezza nei controlli interni di verifica: un ente pubblico non può limitarsi a disporre una cancellazione, ma deve accertarsi che sia stata effettivamente eseguita. È un promemoria utile per qualunque amministrazione o azienda che gestisca dati di terzi: l’intenzione dichiarata di adeguarsi al GDPR non sostituisce la prova documentale dell’avvenuta conformità.
