Ordinanza ingiunzione o revoca n. 110 del 26/02/2026

Conservatorio "XX" di XX: e-mail interna con dati sulla destituzione e condanna penale della ex Direttrice amministrativa

Il Garante ha esaminato il reclamo della precedente Direttrice amministrativa di un Conservatorio pubblico, in relazione a una e-mail inviata dal Direttore a oltre cento dipendenti. Nella comunicazione si informava il personale che la reclamante non era più in servizio per effetto di un provvedimento di destituzione del Ministero dell’Università e della Ricerca, derivante dall’interdizione perpetua dai pubblici uffici disposta dal Tribunale nell’ambito di un procedimento penale.

Fatto e origine del reclamo

La reclamante ha contestato che la comunicazione interna avesse reso noti a una platea ampia dati personali particolarmente delicati, connessi a un procedimento penale e a una condanna accessoria. Nel corso dell’istruttoria il Conservatorio ha sostenuto che i destinatari fossero solo dipendenti in servizio, interessati a conoscere l’avvicendamento nella figura apicale di riferimento, e che la comunicazione fosse necessaria per ragioni organizzative e per evitare equivoci o un proliferare di notizie informali.

Difese del titolare del trattamento

Il Conservatorio ha richiamato un parere dell’Avvocatura distrettuale dello Stato, interpretandolo nel senso che non vi fosse un obbligo di comunicazione generalizzata ma neppure un divieto assoluto di comunicare ai dipendenti l’avvenuta destituzione. Ha inoltre sostenuto che l’informazione fosse necessaria per far comprendere ai lavoratori che la reclamante non era più legittimata a esercitare le prerogative del precedente incarico e per consentire loro di valutare l’eventuale invalidità di atti posti in essere nel periodo tra la sentenza e la destituzione. In fase difensiva il titolare ha anche affermato che la reclamante fosse stata previamente informata del testo della e-mail e che non avesse manifestato opposizione.

Quadro normativo applicato

L’Autorità ha ricordato che, nel contesto lavorativo pubblico, il trattamento dei dati personali dei dipendenti è lecito quando necessario per la gestione del rapporto di lavoro o per obblighi e compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri, ai sensi degli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b) e g), 4 e 88 GDPR e dell’art. 2-ter del Codice. Per i dati relativi a condanne penali e reati si applica inoltre l’art. 10 GDPR, che consente il trattamento soltanto sotto il controllo dell’autorità pubblica o in presenza di una base normativa che preveda adeguate garanzie. In ambito di lavoro pubblico rileva anche l’art. 2-octies del Codice, che delimita il trattamento di tali dati ai casi espressamente previsti.

Valutazione di liceità e minimizzazione

Il Garante ha ritenuto che la finalità organizzativa perseguita dal Conservatorio potesse essere raggiunta senza divulgare i dettagli sulla condanna penale e sulla destituzione. Bastava, secondo l’Autorità, informare il personale che l’incarico era cessato in una certa data e che ne derivavano determinate conseguenze sul piano amministrativo, senza indicare le ragioni penali sottostanti. La comunicazione inviata, invece, ha diffuso a più di cento dipendenti informazioni direttamente collegate all’accertamento giudiziale di reati, eccedendo quanto necessario rispetto allo scopo dichiarato.

Esclusione delle giustificazioni addotte

Il Garante ha escluso che potessero rilevare come basi giuridiche o giustificazioni: la presunta tutela dell’interesse dei lavoratori, poiché l’interesse legittimo non è normalmente invocabile da un’autorità pubblica; il rischio di richieste di chiarimenti o di ulteriori fughe di notizie, perché non può contrastarsi la divulgazione con una nuova divulgazione; la mancanza di una dicitura di riservatezza nella comunicazione ricevuta dal Ministero, poiché restava in capo al Conservatorio il dovere di rispettare i principi GDPR; la presunta conoscenza informale del contenuto da parte della reclamante, che non equivale a base giuridica del trattamento.

Violazioni accertate

L’Autorità ha concluso che il Conservatorio ha trattato i dati della reclamante in modo non conforme ai principi di liceità, correttezza e trasparenza e di minimizzazione, nonché senza idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a) e c), 6 e 10 GDPR e degli artt. 2-ter e 2-octies del Codice privacy. Il trattamento è stato qualificato come illecito e riferito a un’unica condotta, consistita nell’invio della e-mail al personale.

Sanzione e criteri di quantificazione

Poiché la violazione più grave rientrava nell’art. 83, par. 5, GDPR, il massimo teorico applicabile era quello previsto per tale disposizione. Tuttavia, ai fini della quantificazione concreta, il Garante ha valorizzato: il carattere isolato dell’episodio; la buona cooperazione del titolare; l’assenza di precedenti pertinenti; la natura colposa della condotta; il fatto che la reclamante fosse stata previamente informata in modo informale; e la circostanza che l’informazione riguardasse comunque dati relativi a una condanna penale. In base a tali elementi, la sanzione è stata determinata in euro 5.000.

Dispositivo e adempimenti

Il Garante ha ordinato al Conservatorio di pagare la sanzione amministrativa pecuniaria di euro 5.000, con la possibilità di definire la controversia pagando entro 30 giorni la metà dell’importo, ai sensi dell’art. 166, comma 8, del Codice. Ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale dell’Autorità, la pubblicazione del provvedimento e l’annotazione nel registro interno delle violazioni e delle misure adottate. Non sono state adottate ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.