Con Provvedimento 3 settembre 2026, n. 610 (testo in calce), il Garante ha censurato l’operato di una scuola, in seguito al reclamo presentato da una docente. La docente in servizio presso l’istituto comprensivo, nonché madre di due alunni frequentanti il medesimo istituto, si è rivolta al Garante per la protezione dei dati personali, lamentando che, nel novembre 2024, l’ufficio scolastico del personale aveva inviato una richiesta di giustificazione di un’assenza dal servizio all’indirizzo e-mail aziendale del marito, anziché a quello della reclamante.
Nel corso dell’istruttoria, l’istituto aveva inizialmente ipotizzato un malfunzionamento del software, tuttavia, le verifiche tecniche condotte con il fornitore avevano poi portato all’esclusione di anomalie strutturali. Secondo quanto dichiarato dalla scuola, l’incidente era riconducibile ad un errore umano e involontario commesso da un operatore della segreteria, il quale, in occasione del travaso dei dati da un software gestionale a un altro, aveva erroneamente associato al profilo professionale della docente l’indirizzo e-mail del marito, già presente negli archivi, in quanto fornito dalla famiglia per le comunicazioni relative ai figli. La compresenza di dati utilizzati sia per la gestione del personale sia per i rapporti con le famiglie ha determinato l’utilizzo di un recapito originariamente acquisito per finalità differenti rispetto a quelle per cui è stato successivamente impiegato.
Le argomentazioni difensive della scuola
Nelle memorie difensive del 27 febbraio 2026 e del 1° luglio 2026, l’istituto aveva sostenuto che l’accaduto costituiva un episodio isolato e involontario, verificatosi durante una fase di transizione tecnologica caratterizzata da un particolare carico di lavoro, e che l’evento non aveva, in ogni caso, comportato conseguenze pregiudizievoli concrete per la docente.
La dirigente scolastica, inoltre, con la circolare n. 28, aveva già disposto la bonifica delle banche dati per eliminare le sovrapposizioni anagrafiche e aveva dichiarato di aver fornito riscontro alla docente con le proprie scuse.
A dimostrazione dell’adozione di misure correttive, l’istituto ha, altresì, dichiarato di aver introdotto specifiche procedure organizzative volte a prevenire il ripetersi di analoghi inconvenienti. Tali disposizioni prevedono che tutte le comunicazioni inerenti al rapporto di lavoro siano inviate esclusivamente agli indirizzi istituzionali del personale e che, nei casi in cui un dipendente rivesta anche il ruolo di genitore di alunni iscritti, l’individuazione dei destinatari deve essere sottoposta a una verifica manuale preventiva, escludendo il ricorso a meccanismi automatici di associazione dei recapiti.
| GDPR e Normativa Privacy Commentario, A cura di: Belisario Ernesto, Riccio Giovanni Maria, Scorza Guido, Ed. Ipsoa, 2022. Il volume offre il commento dei singoli articoli del Regolamento n. 2016/679/UE, integrato con le norme del decreto di adeguamento della normativa nazionale (d.lgs. n. 101/2018). Scarica gratuitamente l’estratto |
La decisione del Garante
Intervenendo sul punto, il Garante ha, in primo luogo, ricordato che nel contesto lavorativo, il trattamento da parte di un soggetto pubblico è lecito se necessario alla gestione del rapporto di lavoro e all’adempimento di obblighi di legge, ovvero all’esecuzione di un compito di interesse pubblico (artt. 6, par. 1, lett. c) ed e), e 88 GDPR). Il datore di lavoro, tuttavia, deve in ogni caso rispettare i principi di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), GDPR), unitamente agli obblighi di adottare misure tecniche e organizzative adeguate al rischio (artt. 24 e 32 GDPR).
Mettere i dati a disposizione di un soggetto che non ha titolo a trattarli integra una comunicazione a un “terzo” ai sensi dell’art. 4, par. 1, n. 10), GDPR. In assenza di idonea base giuridica, tale comunicazione deve ritenersi illecita, anche alla luce dell’art. 2-ter del Codice privacy. Applicando tali principi al caso di specie, l’Autorità ha osservato che
il coniuge della docente, pur se legato a lei da un rapporto familiare, può essere considerato terzo non autorizzato ad accedere a quelle informazioni, in quanto estraneo al rapporto di lavoro.
Pur rilevando, infatti, che si è trattato di un episodio del tutto isolato e straordinario, dovuto ad una mera svista operativa e, nonostante la comunicazione fosse rimasta nella cerchia familiare, l’invio dell’e-mail ad un terzo, integra in ogni caso un’ipotesi di comunicazione illecita di dati personali.
Su queste basi, il Garante ha dichiarato l’illiceità dell’operato dell’istituto e ha, di conseguenza, ammonito la scuola. Il Garante ha poi valutato la gravità concreta della condotta alla luce dei criteri dell’art. 83, par. 2, GDPR e del considerando 148, alla luce, in particolare, del carattere occasionale dell’errore, dell’assenza di conseguenze significative per l’interessata, della collaborazione prestata dall’istituto e delle misure correttive tempestivamente introdotte per prevenire il ripetersi di analoghi episodi.
Sulla base di tali elementi, e richiamando le linee guida WP 253, il Garante ha qualificato il caso come “violazione minore”, ritenendo sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, escludendo sanzioni pecuniarie.
Conclusioni
Il provvedimento conferma un orientamento ormai stabile in materia di protezione dei dati personali: ciò che assume rilievo non è esclusivamente la responsabilità del singolo soggetto che commette l’errore, bensì l’idoneità dell’assetto organizzativo predisposto dal titolare.
Anche un’imprecisione meramente accidentale, pur in assenza di un danno effettivo per l’interessato, può integrare una violazione della normativa quando evidenzia carenze nei meccanismi di controllo e nelle misure tecnico-organizzative commisurate ai rischi connessi al trattamento dei dati.
IN COLLABORAZIONE CON
>> Scopri il Corso online il trattamento dei dati personali nell’utilizzo dell’intelligenza artificiale di Altalex!
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
