Con il provvedimento n. 634 del 23 settembre 2026, reso noto nella newsletter del 8 ottobre, il Garante per la protezione dei dati personali ha sanzionato con 8.000 euro la Fondazione Rome Technopole. Il motivo: aver pubblicato online un file Excel con le graduatorie di un bando di borse di studio che conteneva i dati personali completi di 480 vincitori, compreso l'IBAN. È un caso piccolo per importo, ma molto istruttivo, perché l'errore è di quelli che può commettere qualsiasi ufficio che pubblica un elenco.

Cosa è successo

La Fondazione aveva pubblicato, per un bando di borse di studio riservato ai laureati di primo livello, un file Excel con le graduatorie. Oltre ai nominativi e agli esiti, il file includeva residenza, codice fiscale, data di nascita, email, estremi del documento d'identità, carriera universitaria e coordinate bancarie. La segnalazione è partita da uno degli studenti coinvolti, che ha presentato reclamo: nessun controllo preventivo interno aveva intercettato il problema.

Il file è stato rimosso dopo circa dodici ore. La Fondazione ha spiegato la pubblicazione con un'errata interpretazione delle norme sulla trasparenza amministrativa. Il Garante ha respinto questa lettura: gli obblighi di trasparenza non giustificano la diffusione di questi dati. Ha accertato la violazione dei principi di liceità e di minimizzazione e l'assenza di una base giuridica idonea. Nel determinare l'importo ha considerato la breve durata della pubblicazione, l'assenza di precedenti e la collaborazione dell'ente. Secondo le fonti consultate non risulta accertato un uso fraudolento dei dati.

Perché l'errore è così comune

Il caso non nasce da un attacco, ma da un processo. Chi pubblica una graduatoria parte quasi sempre da un foglio di lavoro interno, pieno di colonne utili alla gestione: dati anagrafici, recapiti, IBAN per il pagamento. Il file "esterno" viene ricavato togliendo qualcosa, invece di essere costruito aggiungendo solo ciò che serve. Il risultato è la classica fuga di dati per eccesso di pubblicazione: colonne nascoste, fogli secondari, metadati del file. È la stessa dinamica di molti incidenti di data leakage, in cui il dato esce da un canale legittimo, il sito dell'ente, senza che nessuno abbia "violato" nulla.

Sul piano tecnico, un file Excel è un contenitore: oltre alle celle visibili può portare con sé fogli nascosti, colonne con larghezza zero, commenti, nomi dell'autore e cronologia. Esportare in PDF "piatto" o produrre l'elenco da una vista creata apposta riduce questi rischi, ma non sostituisce una verifica a due occhi prima della pubblicazione.

Cosa significa per le aziende e gli enti italiani

La lezione riguarda soprattutto la pubblica amministrazione, le università, le fondazioni e le società a partecipazione pubblica, che pubblicano bandi, graduatorie e esiti di selezioni e hanno obblighi di trasparenza reali. Ma il rischio vale anche per le imprese che pubblicano elenchi di partecipanti a concorsi, eventi, programmi fedeltà o assemblee.

Il ragionamento da consulente è questo: trasparenza non significa pubblicare tutto. Le norme sulla trasparenza amministrativa definiscono quali informazioni vanno rese pubbliche; per il resto resta valido il principio di minimizzazione del GDPR. Quando le due esigenze sembrano confliggere, prevale la regola più restrittiva sui dati non strettamente necessari. L'importo di 8.000 euro può sembrare modesto, ma i costi veri sono altri: il reclamo, l'istruttoria, la gestione dei contatti con 480 interessati, il rischio di phishing mirato (un IBAN associato a un nome e a un codice fiscale è materiale ideale per truffe) e il danno reputazionale.

Va ricordato che la pubblicazione non autorizzata di dati personali, anche se per poche ore, può configurare una violazione dei dati personali da valutare e, se del caso, notificare al Garante entro 72 ore (art. 33 GDPR) e comunicare agli interessati quando il rischio è elevato (art. 34). Nel caso in esame, la prontezza nella rimozione e la collaborazione sono state valorizzate dall'Autorità.

Cosa fare subito

  • Definire una procedura di pubblicazione per ogni elenco o graduatoria: chi prepara il file, chi lo controlla, chi autorizza. La verifica deve essere sempre di una seconda persona.
  • Costruire il file pubblico da zero partendo da un modello con le sole colonne necessarie (ad esempio identificativo o nominativo ed esito), invece di cancellare colonne da un file interno.
  • Pubblicare in formato non modificabile (PDF generato da una vista dedicata) e ripulire metadati, commenti, fogli nascosti e proprietà del documento prima del caricamento.
  • Valutare se il nominativo è davvero necessario: spesso bastano codici identificativi o iniziali, soprattutto per dati sensibili o per elenchi non destinati al pubblico.
  • Fissare i tempi di permanenza online e rimuovere automaticamente gli elenchi alla scadenza prevista dalla norma applicabile.
  • Preparare un piano di risposta: se un file con dati eccessivi finisce online, rimuoverlo subito, verificare se è stato indicizzato o scaricato (anche tramite cache dei motori di ricerca), documentare l'accaduto nel registro delle violazioni e valutare la notifica.
  • Formare chi pubblica sul rapporto fra trasparenza e minimizzazione, con esempi concreti come questo.

Valutazione

La sanzione è contenuta perché l'ente ha agito in fretta e collaborato. Il messaggio però vale per tutti: il maggior numero di violazioni non nasce da attacchi sofisticati, ma da file pubblicati con troppe informazioni. Un controllo di cinque minuti prima della pubblicazione costa molto meno di un reclamo.