Ordinanza ingiunzione o revoca n. 753 del 07/10/2026

Sanzione all’Università degli Studi di Teramo per comunicazione e diffusione di dati di un dipendente

Il provvedimento del 7 ottobre 2026 riguarda il trattamento effettuato dall’Università degli Studi di Teramo nell’ambito della gestione e pubblicazione di un ordine del giorno del Consiglio di amministrazione. A seguito del reclamo di un dipendente, il Garante ha accertato la comunicazione interna e la diffusione online di informazioni che lo identificavano e collegavano a un contenzioso lavorativo.

Fatto e procedimento

Il reclamante aveva promosso un ricorso dinanzi al giudice del lavoro. Nel contesto della decisione del Consiglio di amministrazione di affidare la difesa dell’Ateneo a un avvocato del libero foro, l’Università ha trasmesso via email al personale e ad altri destinatari un documento denominato “Informativa CDA”, contenente il punto all’ordine del giorno relativo al ricorso. Il testo indicava il dipendente, il ricorso ex art. 414 c.p.c. e il numero di registro generale del procedimento.

Il medesimo documento è stato pubblicato sul sito istituzionale dell’Ateneo e la pagina risultava indicizzata dai motori di ricerca. Il Garante ha avviato il procedimento sanzionatorio con nota del 22 maggio 2026, ai sensi dell’art. 166, comma 5, del Codice. L’Università ha ricondotto l’accaduto a un errore materiale e a una svista esecutiva, dichiarando di aver rimosso o oscurato i dati e di aver introdotto misure organizzative per ridurre il rischio di episodi analoghi.

Trattamenti e destinatari

La comunicazione via email ha raggiunto il personale amministrativo e docente, compreso quello a contratto, il Nucleo di valutazione e il Consiglio degli studenti. Secondo i dati forniti dall’Ateneo, le liste email avevano rispettivamente 209 iscritti per il personale tecnico-amministrativo, 306 per il personale docente e 475 per il personale docente a contratto; alcuni indirizzi erano caselle di uffici o servizi e nella lista del personale a contratto risultavano account non più attivi. L’Ateneo ha stimato che l’informativa potesse essere letta da complessivamente 947 persone.

La pubblicazione online è rimasta accessibile dal 25 settembre al 14 ottobre 2025. Oltre al nome e cognome, il documento riportava il tribunale presso cui era pendente il ricorso e il numero di registro generale, elementi che avrebbero potuto consentire l’identificazione anche in assenza del nominativo.

Norme e valutazioni del Garante

Il Garante ha ricordato che il datore di lavoro può trattare i dati dei dipendenti quando ciò sia necessario per gestire il rapporto di lavoro e per adempiere obblighi o compiti previsti dalla legge, secondo gli artt. 6, par. 1, lett. c) ed e), 9, parr. 2, lett. b) e 4, e 88 GDPR. Per i trattamenti fondati sull’art. 6, par. 1, lett. c) o e), la base normativa deve essere sufficientemente chiara e precisa e prevedibile; nel diritto nazionale, l’art. 2-ter, comma 1, del Codice individua la base giuridica in una norma di legge o di regolamento o in atti amministrativi generali.

La comunicazione e la diffusione di dati personali da parte di soggetti pubblici sono ammesse solo alle condizioni previste dall’art. 2-ter del Codice. Inoltre, l’art. 5, par. 1, lett. a) e c), GDPR impone il rispetto dei principi di liceità, correttezza e trasparenza e di minimizzazione. I dati dei lavoratori non devono essere resi conoscibili a soggetti diversi da quelli legittimati in ragione delle mansioni e delle scelte organizzative del titolare, salvo che la conoscenza sia necessaria per lo svolgimento delle funzioni attribuite. Il Garante ha richiamato, sul punto, il paragrafo 5.3 delle Linee guida sul trattamento dei dati dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, adottate con provvedimento del 14 giugno 2007.

L’invio dell’ordine del giorno senza oscurare gli elementi identificativi ha costituito una comunicazione a terzi priva di base giuridica e non conforme ai principi di liceità, correttezza e trasparenza. La pubblicazione sul sito ha determinato un’ulteriore diffusione illecita, senza che fosse individuata una disposizione di settore che la giustificasse.

Il Garante ha inoltre chiarito che gli obblighi di pubblicazione per finalità di trasparenza sono quelli specificamente previsti dal d.lgs. 14 marzo 2013, n. 33 o da altra specifica norma. Anche quando esiste un obbligo di pubblicazione, l’amministrazione deve selezionare i dati da inserire e valutare caso per caso l’oscuramento delle informazioni non necessarie, in attuazione del principio di minimizzazione. È stato richiamato il provvedimento del Garante del 15 maggio 2014, n. 243, recante le Linee guida sulla pubblicità e trasparenza sul web.

Il Garante ha escluso che la documentazione dimostrasse il trattamento di categorie particolari di dati ai sensi dell’art. 9 GDPR o di dati giudiziari ai sensi dell’art. 10 GDPR e dell’art. 2-octies del Codice. Le garanzie relative a questi ultimi riguardano informazioni su condanne penali, reati e connesse misure di sicurezza, non le informazioni relative a un contenzioso civile.

Violazioni accertate e misure correttive

Le difese dell’Ateneo, fondate sulla buona fede, sul carattere meramente materiale dell’errore e sulla durata limitata della pubblicazione, non hanno superato i rilievi. Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR, nonché dell’art. 2-ter del Codice.

Poiché la diffusione online era cessata, il Garante ha ritenuto esauriti gli effetti della condotta e non ha disposto ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione e criteri di quantificazione

Considerato che le violazioni derivavano da un’unica condotta o da trattamenti tra loro collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, facendo riferimento alla sanzione prevista per la violazione più grave dall’art. 83, par. 5. Nel quantificare l’importo ai sensi dell’art. 83, par. 2, ha valutato la comunicazione a diverse centinaia di destinatari e la diffusione online, sia pure per un periodo limitato; il carattere colposo della violazione, dovuta a un errore umano; e la possibile rilevanza pregiudizievole, nell’ambiente lavorativo, della conoscibilità del contenzioso con il datore di lavoro. Il livello di intensità della violazione è stato ritenuto medio, anche alla luce delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, del 24 maggio 2023, punto 60.

A favore dell’Ateneo sono stati considerati la buona cooperazione con l’Autorità, le misure organizzative dichiarate per prevenire episodi analoghi, l’assenza di precedenti violazioni pertinenti e le dimensioni contenute dell’istituzione, con circa 4.700 studenti iscritti. In applicazione dei criteri di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR, è stata irrogata una sanzione amministrativa pecuniaria di 4.000 euro.

Pagamento, pubblicazione e impugnazione

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice, l’Ateneo è stato ingiunto a pagare 4.000 euro. In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, il pagamento deve essere effettuato entro 30 giorni dalla notificazione, a pena dell’avvio degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981. Resta possibile definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 per la proposizione del ricorso.

Il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul proprio sito, nonché l’annotazione delle violazioni nel registro interno dell’Autorità. È possibile proporre opposizione all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni per chi risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.