Trasparenza e dati personali: cosa pubblicare all'albo e in Amministrazione Trasparente
L'ente di cristallo, ma i cittadini vestiti. Guida pratica alla pubblicazione degli atti per dirigenti e operatori della Pubblica Amministrazione
In questo articolo
- I tre attori principali: PA, Garante e ANAC
- Le due normative fondamentali: il GDPR e il D.Lgs. 33
- Quattro principi GDPR che guidano la pubblicazione
- Diffusione vs. Comunicazione: il primo distinguo cruciale
- L'Albo Online: il vecchio albo comunale, ma con regole diverse
- Amministrazione Trasparente: 5 anni, massima attenzione ai dati
- La tabella sinottica: cosa sì, cosa no, per ciascun tipo di provvedimento
- Tecniche pratiche di protezione: oscuramento, referenziazione, anonimizzazione
- Il problema della responsabilità: chi pubblica risponde
- Il problema dell'oggetto e dell'indicizzazione
- I concorsi: si pubblicano solo i vincitori
- I curricula: distinguere l'obbligo dal caso
- Documenti che arrivano da altri enti
- Le notifiche per irreperibilità: deposito o pubblicazione?
- La firma digitale e i documenti consultabili
- Lista di controllo: le domande giuste
- Ruolo della dirigenza e responsabilità nella verifica
Introduzione
La Pubblica Amministrazione italiana si trova quotidianamente di fronte a un dilemma che per molti può sembrare banale, ma che nasconde complessità notevoli: quando e come pubblicare atti, documenti e dati online?
Da un lato c'è l'obbligo di trasparenza (il diritto dei cittadini a sapere come la loro amministrazione lavora). Dall'altro c'è la protezione dei dati personali (il diritto delle persone a non veder pubblicata la propria vita privata o sensibilità). Questi due diritti devono coesistere, ma spesso entrano in conflitto.
Chi stabilisce e chi controlla le regole di pubblicazione; su quali principi si decide cosa può finire online; quali sono gli spazi in cui un ente pubblica e con quali tempi; che cosa si pubblica e che cosa si omette, categoria per categoria; chi risponde quando qualcosa va storto.
I tre attori principali: PA, Garante e ANAC
Per capire le regole di pubblicazione, bisogna innanzitutto conoscere chi le ha scritte e chi le controlla.
La Pubblica Amministrazione (PA)
È l'insieme degli enti pubblici (comuni, province, regioni, ministeri, agenzie, etc.). Ogni ente è obbligato a rispettare norme sulla trasparenza e sulla protezione dei dati. Chi lavora all'interno della PA (dirigenti, operatori, segretari generali) è responsabile di assicurare che queste norme siano rispettate.
Il Garante per la Protezione dei Dati Personali (GPDP)
È l'autorità italiana indipendente che controlla se i dati personali vengono trattati correttamente. Quando un ente pubblico pubblica dati personali senza rispettare la legge, il Garante può comminare sanzioni anche molto pesanti (fino a milioni di euro). Ha emanato linee guida (specialmente nel 2014) che spiegano come bilanciare trasparenza e privacy.
L'Autorità Nazionale Anticorruzione (ANAC)
È l'autorità che vigila sulla trasparenza amministrativa e sulla prevenzione della corruzione. Verifica che gli enti pubblichino quanto previsto dal decreto sulla trasparenza e adotta linee guida e delibere che precisano contenuti, formati e tempi degli obblighi di pubblicazione. È la fonte da consultare, insieme ai provvedimenti del Garante, quando si deve capire se un certo dato vada pubblicato e per quanto tempo.
Le due normative fondamentali: il GDPR e il D.Lgs. 33
Per capire quali dati si possono pubblicare, bisogna conoscere due norme di rango e natura diversa: un regolamento europeo, direttamente applicabile in tutti gli Stati membri, e un decreto legislativo italiano.
Il Regolamento generale sulla protezione dei dati (GDPR)
Non è una legge italiana, ma europea. Dice (semplificando molto) che i dati personali si trattano solo se c'è una "base giuridica" (una ragione legale per farlo). Se pubblicate dati personali online, la base giuridica deve essere chiara e legittima. Non potete pubblicare perché "così la gente sa" (non è una base giuridica).
Il Decreto Legislativo numero 33 del 2013 (Trasparenza)
È la legge italiana sulla trasparenza amministrativa. Dice che gli enti pubblici devono pubblicare molti atti (delibere, determine, bilanci, dati su incarichi, etc.) in una sezione del sito chiamata "Amministrazione Trasparente". Ma dice anche: "pubblicate nel rispetto della privacy". Questo significa che non potete pubblicare tutto e comunque, soprattutto non potete lasciare online per anni dati che non servono più.
La frase celebre del Garante riassume il concetto: "Vogliamo l'ente di cristallo, ma i suoi abitanti devono rimanere vestiti". La trasparenza riguarda l'azione amministrativa, non la vita privata delle persone.
Quattro principi GDPR che guidano la pubblicazione
Prima di guardare i casi specifici, ci sono quattro principi che la Pubblica Amministrazione deve rispettare quando pubblica:
a) Principio di proporzionalità
I dati personali pubblicati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono resi pubblici. Se la legge ti dice "pubblica il nome del beneficiario", non puoi pubblicare anche il codice fiscale, l'indirizzo di casa, il numero di telefono.
b) Principio di minimizzazione
Ove possibile, ricorri a forme di pubblicazione che riducono al minimo la diffusione di dati personali. Per esempio, mediante oscuramento (redazione o pixelatura di porzioni sensibili), referenziazione (indicare che i dati sono disponibili presso gli uffici senza pubblicarli online), o anonimizzazione (rimozione di elementi identificativi quando l'identità non è rilevante).
c) Principio di liceità
La pubblicazione deve trovare fondamento in una norma di legge che esplicitamente la preveda o la consenta. Non è sufficiente il generico obbligo di trasparenza amministrativa. Deve esserci una norma che dice: "pubblica questo dato" oppure "puoi pubblicare questo dato".
d) Principio di rispetto della dignità personale
La pubblicazione non deve esporre la persona a situazioni di stigmatizzazione, danno reputazionale o vulnerabilità ingiustificate. Se pubblicando un dato esponi qualcuno al pettegolezzo, alla discriminazione, o a danno professionale, è illegittimo (anche se la norma lo consentirebbe a titolo generale).
Diffusione vs. Comunicazione: il primo distinguo cruciale
Quando pubblicate dati online, dovete capire che il rischio è molto diverso a seconda di come lo fate.
Comunicazione
È quando trasferite un dato da un punto A a un punto B, e voi conoscete il destinatario (una persona, due persone, dieci). Se commettete un errore, potete rimediare perché sapete a chi raggiungere. L'impatto è controllato.
Esempio: mandate un messaggio di posta elettronica interno con i dati di una persona a tre colleghi. Il rischio è basso, al netto della natura delle informazioni inviate: la comunicazione riduce l'ampiezza della platea, non la delicatezza del contenuto. Se quei dati riguardano la salute o una condizione di vulnerabilità, il perimetro ristretto attenua il rischio ma non lo azzera, e restano da valutare la necessità dell'invio e la pertinenza dei destinatari.
Diffusione
È quando pubblicate un dato online, rendendolo accessibile a chiunque navighi in rete (da qualsiasi luogo, in qualsiasi momento). Il rischio è molto alto, soprattutto se il dato è sensibile.
Esempio: pubblicate un elenco di candidati a un concorso con nomi, cognomi e informazioni personali. Chiunque al mondo può leggerlo. Il rischio è molto più alto.
Non scordatelo.
L'Albo Online: il vecchio albo comunale, ma con regole diverse
Storicamente, nei comuni c'era un albo fisico (una bacheca). Gli atti venivano affissi lì, e restavano visibili per un tempo limitato (di solito 15 giorni). Era il modo di comunicare ai cittadini i provvedimenti amministrativi.
Con internet, l'albo è diventato digitale (Albo Online). Ma qui molti enti fanno un errore: confondono l'Albo Online con un archivio storico.
Le regole dell'Albo Online sono molto semplici:
- Gli atti vanno pubblicati per massimo 15 giorni (in alcuni casi 30 giorni; per i bandi matrimoniali 8 giorni)
- Base giuridica: Legge 7 agosto 2009 numero 69, articolo 32
- Dopo quel termine, devono sparire completamente
Non è un archivio. Non è "Albo Storico". È una vetrina temporanea, come la bacheca fisica.
L'errore più diffuso:
Molti enti lasciano gli atti all'Albo Online e li trasformano in "Albo Storico", prolungandone la pubblicazione per 5 anni o indefinitamente. Questo:
- Confonde due istituti diversi (Albo Online e Amministrazione Trasparente)
- Espone l'ente a rischi sulla protezione dei dati (i dati restano online troppo a lungo)
- Potrebbe violare le linee guida del Garante
Potete avere uno storico degli atti?
Sì, ma deve essere normato (cioè regolamentato da un regolamento interno dell'ente). Il D.Lgs. 33 consente altre modalità di trasparenza oltre all'Amministrazione Trasparente, per cui uno storico è legittimo. Ma deve essere espresso, deliberato, documentato. Non fatto "di fatto".
Due funzioni diverse: pubblicità legale e trasparenza
Alla radice di quasi tutti gli errori che vedo negli enti c'è una sola confusione: si tratta l'albo pretorio e la sezione Amministrazione Trasparente come se fossero due contenitori intercambiabili, quando invece rispondono a due finalità del tutto diverse.
L'albo pretorio assolve la pubblicità legale. Serve a produrre un effetto giuridico sull'atto (renderlo conoscibile nei modi e nei termini previsti dalla legge, far decorrere i termini per eventuali impugnazioni, in alcuni casi conferire efficacia al provvedimento). È una funzione che si esaurisce nel momento in cui il termine di pubblicazione scade: raggiunto lo scopo, l'atto esce dall'albo. Per questo l'albo non è e non può essere un archivio.
La sezione Amministrazione Trasparente assolve la trasparenza. Serve a rendere conoscibile e controllabile nel tempo l'attività dell'ente, attraverso la pubblicazione di dati, informazioni e documenti individuati dalla norma. È il luogo su cui vigila l'Autorità Nazionale Anticorruzione ed è lì che la trasparenza si esprime.
Da questa distinzione discende tutto il resto: le due sezioni hanno basi giuridiche diverse, contenuti diversi, tempi diversi e criteri diversi di trattamento dei dati personali. Un atto può legittimamente comparire in entrambe, ma in forme differenti e per ragioni differenti.
Capita spesso che consiglieri comunali, addetti ai lavori o cittadini particolarmente attenti lamentino la mancanza di un albo storico, ritenendo che la sua assenza sia una carenza di trasparenza dell'ente. L'esigenza che sta dietro alla richiesta è legittima (poter ricostruire nel tempo l'attività dell'amministrazione), ma è indirizzata allo strumento sbagliato.
Lo storico degli atti e dei documenti rilevanti dell'ente non si costruisce prolungando la permanenza in albo, perché l'albo ha già assolto la sua funzione e continuare a esporre quei documenti significa diffondere dati personali oltre il tempo consentito dalla base giuridica che li giustificava. La conoscibilità duratura si realizza nella sezione Amministrazione Trasparente, con i contenuti, i formati e i termini che la norma prevede per ciascun obbligo.
A questo si aggiungono gli altri strumenti disponibili, ciascuno con il proprio perimetro: l'accesso civico semplice, l'accesso civico generalizzato e, per i consiglieri comunali, il diritto di accesso agli atti riconosciuto dal Testo Unico degli Enti Locali, che è ben più ampio di quello del cittadino comune. Chi ha bisogno di ricostruire l'attività dell'ente ha quindi già le vie corrette per farlo: non serve (e non è consentito) forzare l'albo pretorio a fare da archivio.
In Sicilia la materia è ulteriormente complicata dalla normativa regionale, che prevede obblighi di pubblicazione propri e più ampi rispetto a quelli statali. In particolare, mentre il decreto legislativo numero 33 del 2013 costruisce la trasparenza intorno a specifici obblighi tipizzati (dati, informazioni e documenti individuati sezione per sezione), la disciplina regionale impone agli enti la pubblicazione degli atti nella loro versione integrale, con termini e modalità propri.
Il risultato è che lo stesso ente si trova a dover applicare contemporaneamente due binari normativi diversi (quello statale e quello regionale) che non coincidono né nei contenuti né nei tempi. È una materia complessa, che non si esaurisce in poche righe e che richiede un esame caso per caso: la approfondiamo nei corsi di formazione dedicati.
Amministrazione Trasparente: 5 anni, massima attenzione ai dati
La sezione "Amministrazione Trasparente" del sito di un ente pubblico è regolata dal D.Lgs. 33. È uno spazio obbligatorio dove pubblicare molti atti e dati.
Caratteristiche:
- Durata: 5 anni come termine generale (con eccezioni: alcuni contenuti hanno termini diversi, in diversi casi tre anni)
- Obiettivo: trasparenza amministrativa (non trasparenza sulla persona oggetto del provvedimento)
- Criteri di pubblicazione: gli atti devono essere completi, continui, intellegibili e riutilizzabili
Se sbagliate a includere un dato sensibile, resterà online per 5 anni. Per questo motivo, l'attenzione deve essere massima.
Il termine di cinque anni è quello generale previsto dal decreto legislativo numero 33 del 2013, ma non si applica indistintamente a tutti i contenuti. Per alcune categorie di documenti, informazioni e dati il termine è diverso (in diversi casi tre anni), mentre per altre la pubblicazione resta legata alla durata dell'incarico o dell'efficacia dell'atto.
La conseguenza pratica è che non si può impostare un unico criterio automatico per l'intera sezione Amministrazione Trasparente. Occorre verificare, per ciascun obbligo di pubblicazione, il termine specifico previsto dalla norma e dalle indicazioni dell'Autorità Nazionale Anticorruzione, e programmare di conseguenza la rimozione o l'archiviazione dei contenuti alla scadenza.
Cosa significa "trasparenza amministrativa"?
Significa che volete mostrare come funziona l'amministrazione, quali decisioni prende, su quali basi. Non significa esporre la vita privata delle persone coinvolte in quei provvedimenti.
Confusione comune: Amministrazione Trasparente vs. Accesso agli atti
Molti credono che la trasparenza abbia "cancellato" l'accesso agli atti (accesso civico semplice o accesso civico generalizzato). Non è vero. Sono due istituti diversi:
- Amministrazione Trasparente: l'ente pubblica proattivamente quello che deve pubblicare (per trasparenza)
- Accesso agli atti: il cittadino chiede un documento specifico e l'ente glielo dà (o nega, se c'è un motivo)
Non usate Amministrazione Trasparente come se fosse un accesso generalizzato a tutti i dati. È uno spazio normato con regole precise.
Gli altri spazi: news e avvisi
Accanto ai due spazi normati, ogni sito istituzionale ha una sezione di notizie e avvisi. Qui non c'è un obbligo di pubblicazione né un termine prestabilito: si tratta di comunicazione, e proprio per questo serve attenzione, perché è lo spazio in cui più facilmente si ricopia un provvedimento per intero.
La regola pratica è semplice: non incollate la determina o la delibera, ma estraete e riassumete l'informazione utile al cittadino, lasciando fuori i dati personali che non servono a capire la notizia. Verificate poi su quale base giuridica state pubblicando e per quanto tempo la notizia resterà accessibile, perché una news dimenticata in archivio produce gli stessi effetti di un albo storico mai rimosso.
La tabella sinottica: cosa sì, cosa no, per ciascun tipo di provvedimento
Questo è il cuore pratico della guida. Per ogni categoria di provvedimento amministrativo, ecco cosa si pubblica e cosa si omette, secondo le linee guida del Garante.
Molti colleghi che si occupano di protezione dei dati evitano accuratamente di dire dove il Regolamento generale sulla protezione dei dati non si applica. Io vado controcorrente, perché sapere dove finisce il perimetro fa risparmiare tempo e riduce gli errori per eccesso di prudenza.
La protezione dei dati personali non si applica ai dati riferiti a una persona giuridica. Quando pubblicate un atto di liquidazione a favore di una società, denominazione, sede legale, partita IVA (Imposta sul Valore Aggiunto), codice fiscale societario e coordinate bancarie intestate alla società non sono dati personali: non dovete oscurarli per ragioni di protezione dei dati. Una società non ha una dignità personale da tutelare; potrà avere una reputazione commerciale da difendere, ma quella si protegge con altri strumenti.
Attenzione però al confine. Il perimetro si riapre quando dietro la denominazione c'è una persona fisica: imprese individuali e liberi professionisti (dove denominazione, codice fiscale e sede spesso coincidono con nome, codice fiscale e residenza), nominativi di amministratori, firmatari e referenti indicati nell'atto, coordinate bancarie intestate a una persona fisica.
| Provvedimento | Che cosa SÌ (da pubblicare) | Che cosa NO (da omettere) |
|---|---|---|
| Permesso di costruire | Notizia dell'avvenuto rilascio con indicazione: estremi dell'atto, nome e cognome del richiedente, estremi identificativi dell'immobile, tipologia di lavori | Permesso in versione integrale; dati personali ulteriori della persona (residenza, telefono, numero identificativo); informazioni del beneficiario diversi da nome e cognome |
| Ordinanza di demolizione | Notificazione al proprietario: nome, cognome, estremi identificativi dell'immobile. L'indicazione del nome e cognome è consentita in quanto non costituisce giudizio negativo sulla persona, bensì atto necessario di trasparenza | Informazioni personali ulteriori rispetto al nome e cognome; condizioni personali o familiari; informazioni sulla capacità economica della persona |
| Dati immobili abusivi | Pubblicazione in forma di elenco dei dati relativi agli immobili e alle opere realizzate abusivamente, senza contenere alcun dato personale del titolare | Dati personali dei titolari degli immobili; nome, cognome, residenza o altre informazioni identificative del proprietario |
| Collocamento a riposo | Provvedimento che indica nome e cognome del dipendente, la richiesta presentata, la decisione adottata, con rinvio alla relazione per i soli aspetti relativi alla vita professionale | Dati identificativi del dipendente diversi dal nome e cognome; informazioni sulla vita personale e professionale; dati sensibili; informazioni sulla salute |
| Curriculum vitae | Pubblicazione qualora sia stato trasmesso dall'interessato con esplicita autorizzazione alla pubblicazione di tutti i dati in esso contenuti | Data di nascita; luogo di residenza; numero di telefono; codice fiscale; informazioni sulla situazione personale; informazioni non direttamente correlate alla professionalità dichiarata |
| Affidamento incarico professionista | Provvedimento con indicazione: nome e cognome del professionista, natura dell'incarico, compenso lordo (se indicato nella legge), estremi normativi della procedura | Codice fiscale; numero IBAN; luogo e data di nascita; luogo di residenza; numero telefonico; informazioni ulteriori diversi da nome e cognome |
| Patrocinio legale | Provvedimento con indicazione: motivazioni, nome e cognome del professionista cui si conferisce l'incarico. Nel caso di causa penale, nome e cognome della controparte deve essere oscurato | Dati identificativi della controparte in materia penale; dati personali del professionista ulteriori (codice fiscale, residenza, data di nascita); informazioni sulla causa (ove riservate) |
| Risarcimento sinistro stradale | Provvedimento in forma integrale con cura di oscurare le informazioni personali, in particolare quelle che hanno dato luogo a lesioni personali | Dati personali dei soggetti coinvolti (residenza, telefono, codice fiscale); dettagli sulle lesioni; informazioni che possono rivelare l'identità di soggetti vulnerabili |
| Contributo evento calamitoso | Provvedimento nella forma integrale con indicazione esclusivamente del nome e cognome dei beneficiari | Dati personali ulteriori rispetto al nome e cognome; informazioni sulla situazione economica o sociale della persona; dettagli sulla natura del danno personale |
| Avviso di deposito per irreperibilità | Pubblicazione all'albo pretorio nei soli casi previsti dalla normativa tributaria (art. 60 DPR 600/1973 e art. 26 DPR 602/1973), con indicazione degli estremi dell'atto e nome e cognome della persona | Pubblicazione per gli atti giudiziari notificati ai sensi degli artt. 140 e 143 c.p.c. (che prevedono il deposito, non l'affissione); qualifica di "irreperibile" riportata nel testo esposto; dati identificativi ulteriori |
Come leggere questa tabella: cercate la categoria nella colonna di sinistra; al centro trovate quello che potete e dovete pubblicare, a destra quello che dovete omettere o oscurare. Per un permesso di costruire, ad esempio, potete indicare nome, cognome e immobile, ma non l'indirizzo di casa o il numero di telefono del richiedente.
Tecniche pratiche di protezione: oscuramento, referenziazione, anonimizzazione
Quando è necessario mantenere il riferimento al provvedimento ma limitare la diffusione di dati personali, ci sono tre tecniche.
Oscuramento
Consiste nel rendere illeggibili, mediante redazione o pixelatura, porzioni di documento contenenti dati sensibili. Rimane applicabile quando è necessario mantenere traccia dell'atto ma proteggere i dati sottostanti.
Esempio: Un atto nominatim deve restare rintracciabile nei vostri archivi, ma quando lo pubblicate online, pixelate il codice fiscale e il numero di telefono.
Referenziazione
Consiste nell'indicare che informazioni dettagliate sono disponibili presso gli uffici dell'ente ovvero negli atti depositati presso la sede, senza renderle pubbliche in linea.
Esempio: Nel documento pubblicato scrivete: "Informazioni sulla situazione economica disponibili presso l'Ufficio Tributi della sede municipale, per accesso agli atti".
Anonimizzazione
Consiste nella rimozione di elementi identificativi in modo da non consentire l'identificazione dell'interessato. Applicabile quando l'identità della persona non è rilevante ai fini della trasparenza.
Esempio: Pubblicate un provvedimento di sanzione amministrativa, ma rimuovete il nome della persona e lo sostituite con "Persona A" o "Soggetto X" (quando l'identità non è rilevante per capire l'azione amministrativa).
Il problema della responsabilità: chi pubblica risponde
Qui c'è un punto fondamentale che molti non capiscono.
Risposta: chi pubblica.
Non chi ha mandato il documento. Non l'ente che ha creato il documento. Chi lo pubblica online è titolare del trattamento e risponde del danno.
Caso reale
Un grande comune fa una gara d'appalto da 3 milioni di euro. Nei documenti della gara, scansiona le carte d'identità dei tre professori universitari che hanno valutato il progetto. Manda tutto il dossier a un piccolo comune (dicendo "è per te, puoi pubblicarlo"). Il piccolo comune stava per pubblicare tutto online (comprese le carte d'identità scansionate) finché un operatore attento non si ferma e chiede: "Ma perché ci sono le carte d'identità?".
Chi risponde dei danni? Il piccolo comune che pubblica, non il grande comune che ha creato il dossier. Per questo bisogna controllare tutto prima di pubblicare.
Il problema dell'oggetto e dell'indicizzazione
Ecco un consiglio pratico che spesso genera controversia: evitate di inserire dati personali nell'oggetto del documento.
Perché? Perché quando un documento viene pubblicato online, i motori di ricerca (Google, etc.) lo indicizzano in base al titolo. Se l'oggetto è "Determina pagamento stipendio Mario Rossi", Google indicizzerà il documento così. Chiunque cerchi "Mario Rossi" lo troverà.
Se inserite il dato nella descrizione interna del provvedimento, il rischio è minore (il motore di ricerca non lo indicizza così facilmente). Ma nell'oggetto, il rischio è alto.
Dopo, se volete togliere il riferimento da Google, dovete andare in Google Search Console e richiedere la deindicizzazione (è facile, ma è un lavoro extra).
Scrivete gli oggetti in modo generico ("Determina di pagamento", "Atto di concessione") e mettete i dati personali solo dove necessario nel testo interno.
I concorsi: si pubblicano solo i vincitori
È il punto in cui gli enti sbagliano più spesso, ed è anche quello in cui la normativa è cambiata di più: il riferimento storico (il Decreto del Presidente della Repubblica numero 487 del 1994, che parlava di "graduatorie dei vincitori") è stato modificato nel 2023, e il quadro è stato poi ridisegnato dal Portale unico del reclutamento e dalla riforma del 2025.
La regola operativa, oggi, è questa. Sul sito dell'ente si pubblica la graduatoria finale con i dati dei soli vincitori: nome e cognome, posizione in graduatoria, data di nascita solo in caso di omonimia, eventualmente il punteggio complessivo. Le graduatorie intermedie, i dati dei non vincitori, i titoli di preferenza e le cause di esclusione non si pubblicano: vanno messi a disposizione dei soli partecipanti in un'area ad accesso riservato.
Due avvertenze che fanno la differenza. La prima: gli idonei non vincitori vanno pubblicati nel momento in cui lo scorrimento della graduatoria li dichiara vincitori, quindi il divieto non va applicato in modo meccanico. La seconda: il consenso dei candidati non è una via d'uscita, perché il bando non può introdurre trattamenti ulteriori rispetto a quanto previsto da norme sovraordinate.
La materia è più ampia di così (comunicazioni ai candidati, gestione delle prove, chiarimenti del Garante) e conviene approfondirla con calma: nei video in fondo all'articolo se ne parla in modo più disteso.
I curricula: distinguere l'obbligo dal caso
Due situazioni diverse vengono spesso confuse. Gli articoli 14 e 15 del decreto legislativo numero 33 impongono la pubblicazione del curriculum per i titolari di incarichi (organi di indirizzo politico, incarichi dirigenziali, consulenti e collaboratori). Per i candidati a un concorso, invece, vale quanto visto sopra: il curriculum non rientra tra i contenuti da diffondere per effetto della procedura.
Dove l'obbligo esiste, il curriculum si pubblica se l'interessato lo ha trasmesso con esplicita autorizzazione alla pubblicazione dei dati contenuti. Vanno comunque omessi i dati non pertinenti alla professionalità dichiarata (data di nascita, residenza, numero di telefono, codice fiscale) e rimosse le informazioni particolarmente delicate, anche quando l'interessato le ha inserite spontaneamente.
Il titolare del trattamento resta l'ente che pubblica. L'autorizzazione fornisce il presupposto per la diffusione, ma non esonera dalla verifica preventiva del documento. Chiedetela già in fase di acquisizione, per iscritto: l'interessato saprà fin dall'inizio che quel documento potrà finire sul sito.
Documenti che arrivano da altri enti
Scenario ricorrente: un altro soggetto pubblico vi trasmette un documento con l'indicazione di pubblicarlo. Tre principi vi mettono al riparo.
Verificate che l'obbligo esista ancora. Le prassi d'ufficio sopravvivono alle norme che le hanno generate. Il caso degli elenchi dei lavoratori agricoli è esemplare: per decenni l'INPS (Istituto Nazionale della Previdenza Sociale) li trasmetteva ai comuni per l'affissione all'albo, ma dal 2011 la notifica avviene mediante pubblicazione telematica sul sito dell'Istituto e l'albo comunale è uscito dalla procedura. Continuare a pubblicare in assenza di base giuridica è una diffusione illecita.
Chi pubblica risponde. Il titolare del trattamento è l'ente che diffonde il dato, non quello che lo ha prodotto o trasmesso. Se il documento ricevuto contiene dati eccedenti, la responsabilità è di chi lo mette online.
Oscurare non è manomettere. Rimuovere il codice fiscale o altri dati non necessari applica il principio di minimizzazione: l'originale resta integro nei vostri archivi e accessibile con gli strumenti dell'accesso agli atti. E se un ente vi trasmette abitualmente documenti con dati eccedenti, segnalatelo: correggere il flusso all'origine è più efficace che intervenire ogni volta.
Le notifiche per irreperibilità: deposito o pubblicazione?
Capita che la Prefettura, i Carabinieri o un altro ente chiedano al comune di pubblicare all'albo l'avviso relativo a una persona irreperibile. La risposta dipende dalla natura dell'atto, e qui si sbaglia sia per eccesso sia per difetto.
Per gli atti giudiziari si deposita, non si pubblica. Gli articoli 140 e 143 del codice di procedura civile e l'articolo 157 del codice di procedura penale prevedono il deposito nella casa comunale e ne descrivono le modalità in modo puntuale. Nessuno dei due prevede l'affissione all'albo pretorio: anzi, la previsione di affiggere copia nell'albo dell'ufficio giudiziario, contenuta in origine nell'articolo 143, è stata soppressa proprio dal Codice in materia di protezione dei dati personali.
In materia tributaria la pubblicazione è invece prevista. L'articolo 60 lettera e) del Decreto del Presidente della Repubblica numero 600 del 1973 e l'articolo 26 del Decreto del Presidente della Repubblica numero 602 del 1973 stabiliscono che l'avviso di deposito sia affisso in busta chiusa e sigillata all'albo del comune.
Ponetevi una sola domanda: la norma richiamata parla di deposito o di affissione all'albo? Se parla di deposito, depositate e basta; se chi vi ha trasmesso l'atto insiste, chiedete l'indicazione della norma che prevede la pubblicazione.
Anche quando pubblicate legittimamente, limitatevi agli estremi dell'atto e al nome e cognome del destinatario. Mai la qualificazione della persona come "irreperibile" nel testo esposto al pubblico: il danno reputazionale è reale e si estende a omonimi e familiari.
La firma digitale e i documenti consultabili
Qui c'è un altro errore frequente, soprattutto tra i tecnici informatici.
Quando pubblicate un documento sulla Amministrazione Trasparente per la mera consultazione (non come archivio legale), non serve che sia firmato digitalmente.
Perché? Perché l'obiettivo è che il cittadino legga il documento, non che scarichi l'originale firmato. Se qualcuno vuole l'originale, può chiederlo via accesso agli atti.
Pubblicare il documento con firma digitale complica solo la lettura (e contraddice l'obiettivo di trasparenza e di dati aperti).
Lista di controllo: le domande giuste
Non esiste una lista precompilata "puoi/non puoi". Ma se vi fate queste domande, riuscirete a pubblicare in trasparenza rispettando i diritti delle persone:
Prima di pubblicare, fatevi questi domande:
- Su quale base giuridica publico? (Albo Online per 15 giorni? Amministrazione Trasparente per 5 anni? Accesso civico? Quale legge?)
- Quali dati sono davvero necessari? (posso togliere il codice fiscale, la data di nascita, l'indirizzo di casa?)
- Il dato è sensibile? (salute, religione, origine etnica, dati finanziari?)
- Quanto tempo resterà online? (15 giorni, 5 anni, per sempre?)
- Il cittadino/candidato ha dato consenso? (soprattutto per curricula, profili pubblici, candidature)
- Come appare su Google? (l'oggetto del documento sarà indicizzato? Vuoi proteggerlo?)
- Chi risponde se sbaglio? (io che pubblico, non chi mi ha mandato il documento)
- Qualcuno potrebbe subire danno reputazionale o discriminazione da questa pubblicazione?
Ruolo della dirigenza e responsabilità nella verifica
I dirigenti di settore e i responsabili della pubblicazione restano responsabili della conformità nella fase di trasmissione dei documenti agli uffici competenti. Prima che un documento vada online, qualcuno deve avere verificato che contenga solo i dati necessari, che le informazioni delicate siano protette, che la pubblicazione abbia una base giuridica chiara e che non produca un danno sproporzionato alle persone coinvolte.
Questa verifica non è facoltativa e non può dipendere dall'attenzione del singolo operatore in un giorno qualsiasi. Va resa una procedura: chi controlla, con quale lista, prima di quale passaggio. Se un documento pubblicato causa un danno, risponde l'ente.
Alcuni di questi temi meritano più spazio
Le casistiche più tecniche (le graduatorie concorsuali, le notifiche per irreperibilità, i curricula, i documenti che arrivano da altri enti) sono più articolate di quanto una guida generale possa contenere, e su alcune di esse la normativa è cambiata più volte negli ultimi anni.
Nei video che trovate qui sotto questi aspetti sono trattati con più calma, con esempi concreti e con il confronto tra chi si occupa di protezione dei dati e chi si occupa di trasparenza e anticorruzione.
Se preferite lavorarci sui vostri documenti
Una guida scritta arriva fino a un certo punto: le decisioni difficili nascono davanti al documento concreto, con i suoi allegati e la sua storia. Nei corsi rivolti al personale addetto alle pubblicazioni e ai responsabili di settore si lavora esattamente su quello:
- si esaminano atti reali dell'ente (con i dati opportunamente protetti) e si decide insieme cosa pubblicare, cosa oscurare e cosa referenziare
- si ricostruisce il percorso del documento dall'ufficio che lo produce a chi lo mette online, individuando dove si perde il controllo sui dati
- si mette a punto una procedura interna di verifica preventiva, così che la decisione non dipenda dall'attenzione del singolo operatore
I corsi si tengono in presenza presso la sede dell'ente oppure a distanza, e possono essere organizzati anche in forma di incontro breve su un singolo tema (per esempio le sole graduatorie concorsuali).
Per approfondire
In questo video spiego le differenze fondamentali tra Albo Online e Amministrazione Trasparente, i tempi di pubblicazione, e gli errori più comuni che fanno gli enti pubblici quando confondono questi due istituti.
Una discussione approfondita con Santo Fabiano sugli errori specifici nei concorsi pubblici, il dilemma dei curricula, la responsabilità di chi pubblica e i casi pratici dei documenti trasmessi da altri enti.
Conclusione
La trasparenza amministrativa è un diritto fondamentale, ma non assoluto: va bilanciata con la protezione dei dati e con la dignità delle persone. Non esistono scorciatoie né liste precompilate valide sempre. Esistono le domande giuste, le norme da verificare caso per caso e una procedura interna che non lasci la decisione all'improvvisazione.
Se lavorate in un ente pubblico, tenete a mente una sola cosa: quando pubblicate, il titolare del trattamento siete voi. Rispondete di quello che finisce online, anche quando il documento ve lo ha mandato qualcun altro.
DPO e Fondatore di OltreCode
Hai domande su trasparenza e protezione dei dati nella PA?
Contatta il nostro team di esperti per consulenza, formazione e verifiche di conformità al Regolamento generale sulla protezione dei dati per la Pubblica Amministrazione.
Contattaci Visita GovDPO