Concorsi pubblici: necessario tutelare i dati dei partecipanti

Il Garante sanziona i concorsi pubblici di un’azienda ospedaliera e di una società per 140mila euro totali

Il problema della tutela dei dati personali nei concorsi pubblici non è affare da poco. Infatti, per aver trattato illecitamente i dati di oltre 2000 aspiranti infermieri, l’Azienda ospedaliera Cardarelli di Napoli si è vista applicare dal Garante per la privacy una multa di 80mila euro. Un’altra sanzione di 60mila euro ha colpito la società che gestiva la piattaforma per la raccolta online delle domande dei partecipanti.  

A seguito di una segnalazione, relativa al fatto che i dati dei candidati alla selezione – in alcuni casi anche relativi alla salute – fossero liberamente accessibili online, l’Autorità ha avviato una complessa istruttoria. Attraverso accertamenti ispettivi, sono stati scoperti numerosi e gravi inadempimenti alla disciplina di protezione dati. Collegandosi alla piattaforma per la gestione delle domande, per un’errata configurazione dei sistemi, in un determinato arco temporale era stato infatti possibile visualizzare un elenco di codici, assegnati ai candidati al momento dell’iscrizione al concorso, che attraverso semplici passaggi consentivano l’accesso a un’area del portale nella quale erano contenuti i documenti presentati dai partecipanti. Utilizzando tali codici si sarebbe perfino potuto modificare i dati personali inseriti dai concorrenti.

Di conseguenza, l’Autorità – composta dal Presidente Pasquale Stanzione, dalla Vicepresidente Ginevra Cerrina Feroni e dai Componenti Agostino Ghiglia e Guido Scorza – ha ritenuto illeciti i trattamenti di dati personali svolti dall’Azienda ospedaliera e dalla Società perché effettuati in violazione delle norme del Regolamento europeo.

La mancanza di adeguate misure di sicurezza

Entrambi i soggetti non avevano infatti adottato adeguate misure tecniche e organizzative per garantire la sicurezza e l’integrità dei dati. L’Azienda ospedaliera, oltretutto, non aveva fornito ai partecipanti una idonea informativa e aveva anche omesso di regolamentare il rapporto con la Società che gestiva la piattaforma con un contratto o con un altro atto giuridico che disciplinasse il trattamento di dati effettuato per suo conto. Il Garante infine, rilevato che la Società continuava a conservare e rendere disponibili sulla propria piattaforma i dati dei partecipanti anche dopo la cessazione della fornitura del servizio, ha vietato ogni ulteriore trattamento ad eccezione di quanto necessario per la difesa dei diritti in sede giudiziaria. Entro 30 giorni la Società dovrà comunicare all’Autorità le iniziative prese per assicurare la cessazione del trattamento. 

Nella quantificazione della sanzione, il Garante ha tenuto in particolare considerazione il fatto che le violazioni sono connesse a un trattamento iniziato subito dopo la definitiva applicazione del Regolamento.

L’Autorità, tenuto conto della particolare delicatezza dei dati diffusi, oltre alla sanzione pecuniaria ha applicato la sanzione accessoria della pubblicazione dei due provvedimenti sul proprio sito web.