Privacy violata, 480 studenti esposti online: multa a Rome Technopole

09 Ottobre 2026 - 13:25

lentepubblica.it

La digitalizzazione dovrebbe rendere le istituzioni più efficienti, non trasformare le informazioni riservate dei cittadini in materiale liberamente consultabile su Internet. Eppure, quando la gestione dei dati personali viene affrontata con superficialità, anche una procedura ordinaria come la pubblicazione di una graduatoria può trasformarsi in un grave problema di riservatezza.

È quanto accaduto alla Fondazione Rome Technopole, sanzionata dal Garante per la protezione dei dati personali per aver diffuso online informazioni riguardanti 480 studenti beneficiari di borse di studio.

Non si trattava soltanto di nominativi o risultati di una selezione. Nel documento pubblicato comparivano codici fiscali, indirizzi di residenza, date di nascita, recapiti elettronici, estremi dei documenti d’identità e perfino coordinate bancarie. Un insieme di informazioni che, se consultato da soggetti malintenzionati, avrebbe potuto prestarsi a utilizzi illeciti.

Il caso, definito dal provvedimento n. 634 del 23 settembre 2026, si è concluso con una multa di 8.000 euro. Ma la vicenda solleva interrogativi che vanno ben oltre l’importo della sanzione: quanto sono realmente preparate le organizzazioni che amministrano risorse e opportunità pubbliche a proteggere le informazioni affidate loro?

Rome Technopole, la graduatoria che ha esposto i dati di 480 studenti

All’origine della vicenda c’è un bando destinato a laureati di primo livello, finalizzato all’assegnazione di borse di studio. La Fondazione aveva pubblicato sul proprio sito Internet un file Excel contenente le graduatorie dei beneficiari, rendendo accessibili informazioni che non avrebbero dovuto essere diffuse.

La criticità non riguardava dunque la semplice pubblicazione dell’esito della selezione, ma la quantità e la natura dei dati inseriti nel documento. Accanto agli elementi relativi alla carriera universitaria figuravano informazioni identificative, recapiti privati e dettagli finanziari degli interessati.

Un’esposizione particolarmente delicata, soprattutto considerando che i soggetti coinvolti erano giovani laureati che avevano partecipato a una procedura per ottenere un sostegno economico alla propria formazione.

A far emergere l’accaduto è stato uno degli stessi studenti, che ha presentato reclamo al Garante Privacy. L’intervento dell’Autorità ha quindi preso avvio dalla segnalazione di una persona direttamente coinvolta, non da un controllo preventivo capace di impedire la pubblicazione.

Ed è proprio questo uno degli aspetti più preoccupanti: un errore nella gestione delle informazioni personali è arrivato fino alla diffusione pubblica prima che venisse individuato e corretto.

Dodici ore online: perché la rimozione non cancella la violazione

Durante l’istruttoria, Rome Technopole ha spiegato di aver eliminato il documento dopo circa dodici ore dalla sua pubblicazione. La Fondazione ha inoltre ricondotto l’accaduto a un’interpretazione errata delle disposizioni sulla trasparenza amministrativa.

La tempestiva rimozione ha certamente limitato il periodo di esposizione. Tuttavia, la breve permanenza di un documento sul web non rende automaticamente lecita la sua diffusione.

Una volta pubblicato, infatti, un file può essere visualizzato, scaricato o copiato. Non è necessario che rimanga accessibile per giorni perché si produca una perdita di controllo sulle informazioni contenute al suo interno.

Questo non significa che nel caso specifico siano stati accertati utilizzi fraudolenti dei dati, né che vi siano prove di una loro successiva circolazione. Significa, piuttosto, che la pubblicazione ha creato un’esposizione non giustificata, indipendentemente dalla durata.

La distinzione è fondamentale: rimediare a un errore non equivale a dimostrare che quell’errore non avrebbe dovuto essere prevenuto. E quando si trattano dati bancari e identificativi di centinaia di persone, la prevenzione dovrebbe rappresentare il primo requisito organizzativo.

La trasparenza amministrativa non autorizza a pubblicare qualsiasi informazione

La giustificazione fornita dalla Fondazione introduce un problema più ampio, che interessa enti pubblici, organismi partecipati, università e strutture impegnate nella gestione di finanziamenti e procedure selettive.

Trasparenza e protezione dei dati personali non sono principi incompatibili. Al contrario, devono essere applicati congiuntamente, distinguendo ciò che serve a garantire la conoscibilità dell’azione amministrativa da ciò che appartiene alla sfera privata degli interessati.

Pubblicare gli esiti di una selezione può rispondere a precise esigenze di pubblicità, quando previste dalla normativa applicabile. Rendere accessibili indiscriminatamente IBAN, documenti d’identità e indirizzi personali costituisce invece una questione completamente diversa.

Il Garante ha accertato, nel caso Rome Technopole, la violazione dei principi di liceità e minimizzazione dei dati, rilevando anche l’assenza di un’idonea base giuridica per la diffusione delle informazioni contestate.

Il principio di minimizzazione, previsto dall’articolo 5 del Regolamento europeo 2016/679 (GDPR), impone di trattare soltanto le informazioni adeguate, pertinenti e limitate a quanto necessario rispetto alle finalità perseguite.

In termini concreti, un’organizzazione non può pubblicare tutto ciò che possiede soltanto perché deve rendere noto il risultato di una procedura. La disponibilità di un dato non coincide con il diritto di divulgarlo.

IBAN e documenti personali in rete: rischi che non possono essere sottovalutati

La presenza delle coordinate bancarie all’interno del file rende la vicenda particolarmente significativa. Un IBAN, da solo, non consente normalmente di svuotare un conto corrente, ma rappresenta comunque un’informazione finanziaria personale che non dovrebbe essere esposta senza necessità.

Se associato ad altri elementi identificativi, può contribuire alla costruzione di comunicazioni fraudolente più credibili. Lo stesso vale per i codici fiscali, gli indirizzi, i recapiti elettronici e gli estremi dei documenti.

La disponibilità congiunta di queste informazioni può agevolare tentativi di phishing mirato, impersonificazione e altre forme di abuso dell’identità digitale. Si tratta di rischi potenziali, non di conseguenze che il provvedimento abbia necessariamente riscontrato.

Proprio per questo, la protezione dei dati non dovrebbe essere considerata una formalità burocratica da soddisfare dopo aver completato le attività operative. Deve invece orientare la progettazione delle procedure, la predisposizione dei documenti e i controlli che precedono la loro pubblicazione.

In una società nella quale università, fondazioni ed enti di ricerca gestiscono quotidianamente enormi quantità di informazioni, la competenza digitale non può essere misurata soltanto dalla capacità di utilizzare piattaforme e strumenti informatici. Conta anche la consapevolezza dei limiti entro i quali quelle tecnologie devono essere impiegate.

Una multa di 8.000 euro per 480 studenti: il problema della proporzionalità

La sanzione economica inflitta alla Fondazione ammonta a 8.000 euro. Nel determinarne l’importo, l’Autorità ha considerato alcuni elementi attenuanti: la durata relativamente breve della pubblicazione, l’assenza di precedenti violazioni e la collaborazione prestata durante l’istruttoria.

Si tratta di circostanze rilevanti ai fini della valutazione giuridica della condotta, che il Garante è tenuto a ponderare secondo i criteri previsti dalla disciplina europea.

Resta però aperta una questione di carattere generale: quanto deve essere incisiva una sanzione per produrre un reale cambiamento nelle organizzazioni?

Il dato economico, considerato isolatamente, può apparire contenuto rispetto al numero delle persone interessate e alla varietà delle informazioni divulgate. Naturalmente, l’importo non può essere giudicato soltanto dividendo la multa per il numero degli studenti coinvolti: il GDPR richiede una valutazione complessiva delle circostanze e della proporzionalità della misura.

Ciò non impedisce di interrogarsi sull’effettiva capacità deterrente delle sanzioni quando le violazioni derivano da carenze nei controlli preventivi.

Il rischio, sul piano culturale, è che la protezione dei dati venga percepita come un costo da sostenere soltanto quando interviene un’Autorità di controllo, anziché come una responsabilità permanente verso le persone.

Il vero punto debole è il controllo prima della pubblicazione

Un file Excel destinato alla gestione interna di una procedura può legittimamente contenere informazioni che risultano indispensabili agli uffici competenti. Ma un documento amministrativo interno e un contenuto destinato alla pubblicazione online non sono la stessa cosa.

Prima di rendere accessibile una graduatoria occorre verificare quali dati possano effettivamente essere divulgati, per quale finalità e sulla base di quale disposizione normativa.

La verifica dovrebbe comprendere anche l’eventuale presenza di fogli aggiuntivi, colonne non necessarie, informazioni nascoste o altri elementi che possono sfuggire a un controllo superficiale.

Non è possibile stabilire, sulla base dei soli elementi disponibili, quale specifico passaggio organizzativo abbia determinato l’errore commesso da Rome Technopole. Il caso dimostra tuttavia quanto possa essere pericoloso affidare la pubblicazione di documenti contenenti informazioni personali a procedure prive di verifiche sufficientemente efficaci.

Per le amministrazioni e gli organismi che gestiscono graduatorie, contributi, concorsi e borse di studio, la lezione è evidente: la conformità al GDPR deve essere verificata prima che un documento diventi pubblico, non soltanto quando arriva una contestazione.

Quando l’innovazione dimentica la tutela delle persone

La vicenda assume un significato ancora più emblematico perché riguarda una realtà che opera nell’ecosistema della ricerca e dell’innovazione tecnologica. Proprio in questi contesti, nei quali la trasformazione digitale rappresenta un elemento centrale, la protezione delle informazioni dovrebbe costituire una competenza imprescindibile.

Non basta promuovere nuovi strumenti, processi avanzati e collaborazioni scientifiche se poi la gestione ordinaria dei dati personali espone centinaia di cittadini a rischi evitabili.

È questa la contraddizione che il caso Rome Technopole porta alla luce: l’innovazione perde credibilità quando non è accompagnata da un’adeguata cultura della responsabilità.

La sanzione del Garante chiude il procedimento amministrativo descritto nel provvedimento, ma non esaurisce il dibattito sulle garanzie offerte a chi affida i propri dati a istituzioni e organizzazioni.

Gli studenti che partecipano a un bando devono poter confidare nel fatto che le informazioni consegnate per ottenere una borsa di studio vengano utilizzate esclusivamente per gli scopi consentiti, senza trasformarsi in contenuti pubblicamente accessibili.

Il problema, in definitiva, non è soltanto un foglio elettronico finito online per dodici ore. È il modello di gestione che consente a informazioni tanto delicate di superare il confine tra uso amministrativo e diffusione indiscriminata.

La trasparenza serve a rendere controllabile il potere, non a rendere trasparente la vita privata dei cittadini. Finché questa distinzione non diventerà una regola operativa consolidata, continueremo a parlare di innovazione digitale senza averne pienamente compreso una delle responsabilità fondamentali: proteggere le persone.