Prescrizioni del Garante n. 1 del 16/01/2026

Istituto Comprensivo Statale Alghero 2: comunicazione unificata di riscontro a reclami sindacali con divulgazione indebita di dati sulla salute

Il Garante ha esaminato il trattamento di dati personali effettuato da un istituto scolastico in occasione del riscontro a due reclami presentati da docenti tramite organizzazione sindacale. Il procedimento è stato avviato a seguito del reclamo di una docente, che lamentava la comunicazione a terzi di informazioni personali e sanitarie contenute in una nota unica inviata dall’istituto.

Fatti e origine del procedimento

La vicenda riguardava due reclami distinti, riferiti a due docenti, trasmessi dall’organizzazione sindacale all’istituto con un’unica PEC e con due allegati separati. Nel rispondere, il dirigente scolastico aveva inviato una sola nota di riscontro, contenente elementi riguardanti entrambe le interessate.

Secondo quanto emerso, la nota includeva anche informazioni sulla reclamante relative a:

• assenze dal servizio per motivi di salute;
• ricoveri ospedalieri;
• contenuti di una precedente richiesta di visita medico-collegiale;
• successiva rinuncia a tale visita.

Istruttoria e difese del titolare

L’istituto ha sostenuto che il riscontro unificato fosse stato adottato per ragioni di economia procedurale, in considerazione dell’identità del mittente, della similitudine delle contestazioni e del fatto che le comunicazioni sindacali erano sempre avvenute in forma unitaria. Ha inoltre affermato che le informazioni sanitarie inserite nel riscontro erano limitate a dati oggettivi e necessarie per contestualizzare le decisioni sull’assegnazione delle classi.

Nelle memorie difensive l’istituto ha anche rappresentato che:

• non vi sarebbe stata una divulgazione pubblica o indiscriminata;
• la violazione sarebbe stata episodica e istantanea;
• l’errore sarebbe stato meramente colposo, privo di intento doloso;
• erano state adottate misure interne correttive, tra cui consultazione del DPO, analisi dell’accaduto, aggiornamento delle procedure e una circolare specifica per evitare casi analoghi.

Valutazioni del Garante sui dati trattati

Il Garante ha ricordato che l’ampia nozione di dati relativi alla salute, ai sensi dell’art. 4, n. 15, GDPR, comprende anche l’assenza dal lavoro per malattia, indipendentemente dall’indicazione della diagnosi. Ha richiamato sul punto la giurisprudenza della Corte di giustizia dell’Unione europea e la giurisprudenza nazionale, oltre a precedenti provvedimenti e alle linee guida in materia di trattamento dei dati dei lavoratori in ambito pubblico.

L’Autorità ha inoltre ribadito che i dati dei dipendenti possono essere trattati solo da soggetti effettivamente autorizzati e nei limiti delle funzioni assegnate. In assenza di specifica base normativa, la messa a disposizione di tali dati a soggetti non autorizzati integra una comunicazione illecita. Nel caso di specie, l’istituto avrebbe dovuto predisporre risposte separate e consentire comunicazioni individualizzate, così da evitare che ciascuna docente venisse a conoscenza anche delle informazioni dell’altra.

Violazioni accertate e base normativa

Il Garante ha ritenuto che il trattamento fosse stato effettuato in violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• art. 6 GDPR, per assenza di idoneo presupposto giuridico;
• art. 9 GDPR, con riguardo ai dati relativi alla salute;
• art. 2-ter del Codice privacy.

È stato inoltre chiarito che non poteva essere addossato all’organizzazione sindacale l’onere di filtrare o separare i contenuti del riscontro, poiché spetta al titolare del trattamento predisporre modalità di comunicazione rispettose della riservatezza. La richiamata esigenza di economia procedurale non è stata considerata idonea a giustificare la circolazione di informazioni non necessarie nel contesto lavorativo.

Valutazione complessiva e qualificazione della violazione

Pur confermando l’illiceità del trattamento, il Garante ha valorizzato alcuni elementi attenuanti:

• la divulgazione ha riguardato solo due interessate;
• l’episodio è stato isolato;
• la condotta è stata colposa e non dolosa;
• l’istituto ha cooperato pienamente con l’Autorità;
• non risultano precedenti pertinenti;
• il titolare ha adottato una circolare interna per prevenire il ripetersi di episodi simili.

Per tali ragioni, la vicenda è stata qualificata come "violazione minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR, con richiamo alle linee guida del WP29 sulle sanzioni amministrative pecuniarie.

Provvedimento finale

Ritenendo che la condotta avesse ormai esaurito i suoi effetti, il Garante ha escluso l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. Ha però:

• dichiarato l’illiceità del trattamento;
• ammonito l’Istituto Comprensivo Statale Alghero 2 ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità.

Non è stata irrogata alcuna sanzione pecuniaria. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.