Ordinanza ingiunzione o revoca n. 112 del 26/02/2026

Istituto Tecnico Statale "L. Einaudi" di Correggio: diffusione illecita di dati dei docenti tramite sito web e registro elettronico

Il provvedimento riguarda un istituto scolastico che, secondo quanto accertato dal Garante, ha diffuso dati personali dei docenti sul sito istituzionale e reso conoscibili informazioni sulle assenze e sostituzioni tramite una funzione del registro elettronico non correttamente utilizzata. Il procedimento è stato avviato a seguito di più reclami presentati dal docente interessato e riuniti per connessione oggettiva.

Origine dei reclami e ricostruzione dei fatti

Il reclamante ha segnalato due distinti profili di trattamento:

• la pubblicazione nella home page del sito dell’istituto degli orari di servizio e dei turni di sorveglianza dei docenti, con indicazione del proprio nominativo;
• la visibilità, nel registro elettronico "Spaggiari Classe Viva", delle proprie assenze, consultabili da altri docenti, dagli alunni e dalle famiglie.

Nel corso dell’istruttoria, l’istituto ha precisato che sul sito venivano pubblicati orari con cognome e iniziale del nome, materie insegnate e turni di assistenza alla ricreazione; ha inoltre spiegato che il sistema di gestione delle assenze faceva parte del pacchetto ClasseViva e che la comunicazione delle sostituzioni veniva effettuata tramite la funzione "Bacheca". La società fornitrice ha chiarito che il modulo corretto per la gestione delle sostituzioni era invece "Sostituzioni di Classeviva", con accesso ristretto al personale autorizzato.

Quadro normativo richiamato

Il Garante ha richiamato il regime applicabile ai trattamenti effettuati da soggetti pubblici, in particolare:

• art. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6 GDPR, sul fondamento di liceità del trattamento;
• art. 6, par. 3, GDPR e art. 2-ter Codice privacy, che richiedono una base normativa che persegua un obiettivo di interesse pubblico e sia proporzionata;
• art. 29 GDPR e art. 2-quaterdecies Codice privacy, sul trattamento da parte di persone autorizzate;
• art. 83 GDPR, per il regime sanzionatorio.

Diffusione online di orari e turni dei docenti

Il Garante ha accertato che sul sito istituzionale erano stati pubblicati per circa quattro mesi gli orari di servizio dei docenti e i turni di assistenza/sorveglianza durante la ricreazione, con indicazione nominativa e della materia insegnata. L’istituto ha giustificato la scelta con esigenze organizzative e di semplificazione per l’utenza scolastica e per il personale.

L’Autorità ha ritenuto che tali esigenze non bastassero a legittimare la diffusione online di dati personali, in mancanza di una disposizione normativa che imponesse quella pubblicazione. Ne è derivata una violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter Codice privacy, per trattamento privo di base giuridica e non conforme ai principi di liceità, correttezza, trasparenza e minimizzazione.

Uso improprio della funzione "Bacheca" del registro elettronico

Quanto alle assenze e sostituzioni dei docenti, l’istruttoria ha evidenziato che l’istituto non aveva utilizzato il modulo dedicato "Sostituzioni di Classeviva", ma la funzione "Bacheca", accessibile anche a studenti, genitori e altro personale non autorizzato. Secondo il Garante, ciò ha reso conoscibili a terzi informazioni che avrebbero dovuto restare confinate al personale autorizzato e ai soggetti effettivamente coinvolti nella gestione del rapporto di lavoro.

L’Autorità ha ribadito il principio per cui i dati dei dipendenti non possono essere diffusi o comunicati a soggetti estranei al rapporto di lavoro, richiamando anche la propria precedente giurisprudenza e le linee guida sul trattamento dei dati dei lavoratori in ambito pubblico. La circostanza che non fossero indicate le causali specifiche dell’assenza non ha escluso la violazione, poiché la conoscibilità delle informazioni era comunque estesa a un numero ampio di soggetti non autorizzati.

Esito delle difese dell’istituto

L’istituto ha sostenuto che la condotta fosse dovuta a un errore tecnico-organizzativo, non doloso, e ha evidenziato:

• la rimozione dei dati dal sito istituzionale;
• l’allineamento delle procedure con il fornitore;
• l’adozione di misure per limitare a 48 ore la permanenza delle comunicazioni in "Bacheca";
• l’assenza di dati particolarmente delicati o di specifiche causali di assenza.

Il Garante ha ritenuto tali elementi non idonei a superare i rilievi contestati, pur tenendoli in considerazione ai fini sanzionatori.

Valutazione finale dell’illiceità del trattamento

All’esito del procedimento, il Garante ha dichiarato l’illiceità del trattamento effettuato dall’istituto per violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter Codice privacy, sia per la pubblicazione sul sito degli orari e dei turni, sia per la comunicazione delle assenze e sostituzioni mediante una funzione del registro elettronico non correttamente impiegata.

Il Garante ha inoltre escluso l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, rilevando che la condotta aveva esaurito i propri effetti e che i dati erano stati rimossi, mentre il modulo corretto era stato reso operativo.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. Ha richiamato la soglia dell’art. 83, par. 5, GDPR, ma ha determinato la sanzione in misura ridotta, tenendo conto dei criteri dell’art. 83, par. 2, GDPR:

• durata del trattamento per circa quattro mesi;
• natura accidentale dell’errore tecnico-organizzativo;
• assenza di dati sulla salute o di altre informazioni particolarmente sensibili;
• rimozione tempestiva dei dati;
• collaborazione con il fornitore e con l’Autorità;
• assenza di precedenti violazioni pertinenti.

La sanzione amministrativa pecuniaria è stata fissata in euro 2.000.

Disposizioni accessorie e impugnazione

Il provvedimento dispone:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno dell’Autorità.

È stato inoltre ricordato che il destinatario può definire la controversia pagando entro 30 giorni la metà della sanzione, ai sensi dell’art. 166, comma 8, Codice privacy. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.