Ordinanza ingiunzione o revoca n. 553 del 23/07/2026

Comunicazione generalizzata di un licenziamento disciplinare nel comparto scolastico

Il provvedimento riguarda il reclamo di una dipendente del Ministero dell’Istruzione e del Merito, appartenente al personale ATA, che ha contestato la comunicazione del proprio licenziamento disciplinare a numerosi uffici e istituti scolastici. Il Garante ha concluso il procedimento con l’accertamento dell’illiceità del trattamento e con un’ordinanza ingiunzione di 10.000 euro nei confronti del Ministero – Ufficio Scolastico Regionale per la Lombardia.

Fatto e origine del procedimento

A seguito dell’adozione di un provvedimento disciplinare di licenziamento da parte dell’Ufficio Procedimenti Disciplinari dell’Ufficio Scolastico Territoriale di Monza e Brianza, l’UPD ha inviato una comunicazione riservata a:

• tutti gli Uffici Scolastici Regionali;
• gli istituti scolastici statali dell’ambito territoriale di Monza e Brianza;
• gli uffici graduatorie e nomine per docenti e personale ATA;
• l’Ufficio Pensioni.

La comunicazione riportava il nome, il cognome, il luogo e la data di nascita, la qualifica della dipendente, nonché la tipologia della sanzione disciplinare, la data e il numero di protocollo del relativo provvedimento.

Il reclamo è stato presentato ai sensi dell’art. 77 GDPR. Il Garante ha svolto un’istruttoria ai sensi dell’art. 157 del Codice privacy e ha notificato l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice.

Finalità dichiarate dall’amministrazione

L’amministrazione ha sostenuto che la comunicazione fosse necessaria per impedire l’inserimento della dipendente nelle graduatorie o la stipula di nuovi contratti di lavoro presso altre articolazioni dell’amministrazione scolastica, dato che il licenziamento disciplinare costituisce una condizione ostativa all’assunzione.

A sostegno della propria posizione, l’amministrazione ha richiamato, tra l’altro:

• l’art. 2, comma 7, del d.P.R. 9 maggio 1994, n. 487, relativo al divieto di assunzione nelle pubbliche amministrazioni di soggetti licenziati per motivi disciplinari;
• l’art. 7.3, lett. c), dell’O.M. n. 21 del 23 febbraio 2009;
• il decreto ministeriale n. 89 del 21 maggio 2024;
• la necessità di effettuare controlli rapidi e affidabili nell’ambito di graduatorie numerose e procedure di reclutamento spesso automatizzate.

L’amministrazione ha inoltre sostenuto che gli uffici destinatari fossero articolazioni interne del medesimo Ministero e non soggetti terzi. Nel corso dell’istruttoria ha dichiarato di avere sospeso la prassi di comunicazione dei licenziamenti disciplinari in attesa delle determinazioni del Garante.

Norme applicabili e base giuridica

Il Garante ha ricordato che i soggetti pubblici possono trattare dati personali dei lavoratori quando il trattamento è necessario:

• per adempiere un obbligo legale, ai sensi dell’art. 6, par. 1, lett. c), GDPR;
• per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. e), GDPR.

Gli Stati membri possono introdurre disposizioni più specifiche ai sensi dell’art. 6, par. 2, GDPR, ma la comunicazione di dati personali da parte di soggetti pubblici è comunque ammessa solo nel rispetto delle condizioni previste dall’art. 2-ter del Codice privacy.

Il trattamento deve inoltre rispettare i principi di cui all’art. 5 GDPR, in particolare:

• liceità, correttezza e trasparenza, ai sensi dell’art. 5, par. 1, lett. a);
• minimizzazione dei dati, ai sensi dell’art. 5, par. 1, lett. c).

Il Garante ha richiamato anche l’art. 88, par. 1, GDPR, che include tra le finalità del trattamento nell’ambito lavorativo la cessazione del rapporto di lavoro.

Mancanza di una specifica disposizione normativa

Il Ministero non ha indicato una disposizione dell’ordinamento scolastico che imponesse all’UPD di informare, in via preventiva e generalizzata, tutti gli Uffici Scolastici Regionali, gli istituti scolastici e gli altri uffici ministeriali dell’adozione di provvedimenti di licenziamento disciplinare.

Il Garante ha escluso che tale obbligo potesse essere desunto dall’art. 2, comma 7, del d.P.R. n. 487/1994. La disposizione stabilisce il divieto di assunzione per chi sia stato licenziato per motivi disciplinari, ma non introduce un obbligo generalizzato di comunicazione preventiva del licenziamento a tutte le articolazioni dell’amministrazione.

In particolare, l’art. 4, comma 2, lett. f), del medesimo d.P.R. prevede che il candidato dichiari, con dichiarazione sostitutiva di certificazione ai sensi dell’art. 46 del d.P.R. n. 445/2000, di non essere stato licenziato ai sensi della normativa vigente. La veridicità della dichiarazione può essere verificata dall’amministrazione procedente ai sensi dell’art. 71 del d.P.R. n. 445/2000, anche a campione e nei casi di ragionevole dubbio.

Analogamente, l’O.M. n. 21/2009 prevede la dichiarazione dei requisiti di ammissione e riserva all’amministrazione il controllo delle dichiarazioni e delle autocertificazioni. Secondo il Garante, tali strumenti risultano applicabili anche alle procedure di inserimento nelle graduatorie scolastiche.

Destinatari e nozione di terzo

Il Garante ha escluso che la mera appartenenza a una struttura amministrativa complessa renda automaticamente legittimata qualsiasi articolazione a conoscere i dati personali dei dipendenti.

I dati relativi al rapporto di lavoro, inclusa la cessazione dello stesso, possono essere conosciuti soltanto da coloro che sono legittimati a trattarli in ragione delle mansioni assegnate e delle scelte organizzative del titolare. La conoscenza deve quindi essere necessaria per lo svolgimento delle funzioni attribuite, non semplicemente utile o astrattamente funzionale all’organizzazione amministrativa.

Gli istituti scolastici sono stati inoltre qualificati come soggetti giuridici distinti dal Ministero e, sotto il profilo della protezione dei dati personali, come autonomi titolari del trattamento. Gli uffici destinatari della comunicazione non avevano necessità di conoscere il licenziamento prima dell’eventuale presentazione di una candidatura o richiesta di inserimento in graduatoria.

La trasmissione generica per “opportuna conoscenza e per gli adempimenti di competenza” non individuava specifici adempimenti tali da rendere necessaria la comunicazione. Per tale ragione, i destinatari sono stati considerati terzi ai fini della disciplina privacy e non soggetti autorizzati a trattare preventivamente quelle informazioni.

Necessità e minimizzazione dei dati

Il Garante ha evidenziato che, anche nell’ipotesi in cui fosse stato necessario informare un ufficio per uno specifico adempimento, non sarebbe stata comunque giustificata la diffusione generalizzata dei dettagli relativi alla sanzione disciplinare.

Nel rispetto degli artt. 5, par. 1, lett. c), e 6, par. 1, lett. c) ed e), GDPR, avrebbe potuto essere sufficiente comunicare, ove necessario, la sola cessazione del rapporto di lavoro, senza indicare la causa della cessazione. L’informazione sul licenziamento disciplinare, pur non costituendo una categoria particolare di dati ai sensi dell’art. 9 GDPR, è stata ritenuta particolarmente delicata per i suoi possibili effetti pregiudizievoli sulla sfera personale e professionale dell’interessata.

Il Garante ha inoltre richiamato il punto 5.3 delle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, adottate con provvedimento del 14 giugno 2007, secondo cui le amministrazioni devono adottare misure idonee a prevenire la conoscibilità ingiustificata dei dati da parte di terzi o soggetti diversi dal destinatario.

Violazioni accertate

Il trattamento è stato ritenuto illecito per violazione delle seguenti disposizioni:

• art. 5, par. 1, lett. a), GDPR, per violazione dei principi di liceità, correttezza e trasparenza;
• art. 6, par. 1, lett. c) ed e), GDPR, per assenza di una valida base giuridica fondata su un obbligo legale o su un compito di interesse pubblico;
• art. 6, parr. 2 e 3, GDPR, in relazione alla necessità di una disciplina nazionale specifica per il trattamento fondato sulle lettere c) ed e);
• art. 2-ter del Codice privacy, relativo alla base giuridica del trattamento da parte di soggetti pubblici.

Il Garante ha richiamato anche il principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR, pur indicando nel dispositivo le violazioni degli artt. 5, par. 1, lett. a), e 6 GDPR e dell’art. 2-ter del Codice.

Valutazione della responsabilità e gravità

La violazione è stata qualificata come colposa. Il titolare è incorso in un errore di diritto nell’interpretazione e nell’applicazione della normativa di settore, in un contesto organizzativo complesso e con l’intento dichiarato di tutelare un interesse pubblico, ossia prevenire assunzioni non consentite.

Il livello di gravità è stato ritenuto basso ai sensi del punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, adottate il 24 maggio 2023. Sono stati considerati, in particolare:

• la comunicazione a una platea ampia di destinatari;
• la delicatezza dell’informazione relativa al licenziamento disciplinare;
• il fatto che la violazione riguardasse i dati personali di una sola interessata;
• l’esaurimento degli effetti della condotta;
• la cooperazione prestata dal titolare durante l’istruttoria;
• la sospensione della prassi operativa;
• l’assenza di precedenti violazioni pertinenti.

Sanzione amministrativa

Poiché le violazioni derivavano da un’unica condotta o da trattamenti tra loro collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui l’importo totale della sanzione non può superare quello previsto per la violazione più grave.

Le violazioni rientrano nel regime sanzionatorio dell’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice, con limite massimo di 20.000.000 euro.

La sanzione è stata fissata in 10.000 euro, ritenuti un importo effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

Il Ministero può definire la controversia mediante pagamento, entro 30 giorni, della metà della sanzione, ai sensi dell’art. 166, comma 8, del Codice. In mancanza, deve pagare l’intero importo di 10.000 euro entro 30 giorni dalla notificazione del provvedimento, secondo le modalità indicate in allegato, con possibile esecuzione ai sensi dell’art. 27 della legge n. 689/1981.

Misure correttive e pubblicazione

Il Garante ha ritenuto che non ricorressero i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta aveva esaurito i propri effetti e la prassi era stata sospesa.

Sono state invece disposte:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Implicazioni operative

Il provvedimento esclude che, nell’ambito di un’amministrazione articolata, la condivisione interna di dati disciplinari sia automaticamente lecita. La comunicazione deve essere circoscritta ai soggetti che abbiano una concreta necessità funzionale di conoscere l’informazione, sulla base di una specifica competenza e di una valida base giuridica.

Per le procedure di reclutamento e di inserimento nelle graduatorie, il Garante considera prioritario il sistema fondato sulle dichiarazioni sostitutive dell’interessato e sulle verifiche dell’amministrazione procedente ai sensi dell’art. 71 del d.P.R. n. 445/2000, anziché una trasmissione preventiva e generalizzata dei dati relativi a sanzioni disciplinari.

Impugnazione

Avverso il provvedimento è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.