Prescrizioni del Garante n. 629 del 23/10/2025

Comunicazione illecita di dati personali tramite PEC istituzionale

Il Garante per la protezione dei dati personali ha esaminato il reclamo di una dirigente scolastica che lamentava l’invio, da parte di un avvocato, di una diffida a contenuto personale alla PEC istituzionale dell’istituto scolastico presso cui presta servizio. Il procedimento è stato avviato a seguito dell’istruttoria preliminare e si è concluso con la dichiarazione di illiceità del trattamento e con l’ammonimento del titolare del trattamento.

Origine del reclamo e fatti accertati

La reclamante ha rappresentato che nella casella PEC istituzionale della scuola era pervenuta una email contenente, in allegato, una diffida ad adempiere e messa in mora riferita a vicende personali, in particolare alla ripartizione di oneri tributari connessi a una successione ereditaria. La casella risultava accessibile al personale di segreteria e ai sostituti della dirigente, con conseguente possibilità di conoscenza del contenuto da parte di soggetti terzi rispetto all’interessata.

Attività istruttoria e difese del titolare

Il Garante ha chiesto al destinatario del reclamo di chiarire il motivo dell’invio alla PEC dell’istituto e la disponibilità di altri recapiti della reclamante. Nelle difese, il mittente ha sostenuto che l’indirizzo fosse pubblicato nel curriculum vitae della dirigente e che la comunicazione fosse contenuta in un file allegato, non immediatamente visibile nel corpo della PEC. Ha inoltre richiamato precedenti giurisprudenziali in tema di notifiche via PEC e ha chiesto l’archiviazione del procedimento.

Qualificazione del trattamento e base giuridica

L’Autorità ha rilevato che l’informazione secondo cui la reclamante era destinataria di una diffida costituiva dato personale ai sensi dell’art. 4, par. 1, n. 1, GDPR. Ha inoltre ritenuto che il soggetto che aveva deciso di inviare tale comunicazione fosse titolare del trattamento ai sensi dell’art. 4, par. 1, n. 7, GDPR, in quanto determinava finalità e mezzi della comunicazione. Il Garante ha escluso che la sola pubblicazione dell’indirizzo PEC nel curriculum vitae bastasse a radicare un domicilio digitale idoneo per comunicazioni personali, richiamando gli artt. 3-bis e 6-quater del CAD e le Linee guida AgID sull’INAD.

Violazioni contestate e valutazione del Garante

Il Garante ha ritenuto che l’utilizzo della PEC istituzionale della scuola per inviare una comunicazione strettamente personale non fosse conforme alla normativa in materia di protezione dei dati personali. La comunicazione ha reso accessibili a terzi non legittimati dati personali dell’interessata, senza una base giuridica adeguata. Sono stati pertanto ritenuti violati gli articoli 5, par. 1, lett. a), e 6 del GDPR, in quanto il trattamento non è stato svolto in modo lecito, corretto e trasparente.

Esito finale: ammonimento e assenza di sanzione pecuniaria

Pur accertando l’illiceità del trattamento, il Garante ha escluso l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett. i), GDPR. Ha valorizzato, ai fini della valutazione ex art. 83 GDPR, la circostanza che la condotta aveva già esaurito i suoi effetti, che il numero dei soggetti coinvolti era limitato e che non risultavano precedenti violazioni pertinenti. In ragione di ciò, ha disposto l’ammonimento del titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Disposizioni finali

Il provvedimento dispone la pubblicazione sul sito internet dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice privacy e dell’art. 37 del regolamento del Garante n. 1/2019, nonché l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità. È inoltre richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.