Prescrizioni del Garante n. 582 del 09/10/2025

Ministero della Giustizia – invio cumulativo di e-mail con dati sui test formativi mancanti dei dipendenti

Il Garante ha esaminato il reclamo di un funzionario della Procura della Repubblica presso il Tribunale di Milano relativo alla trasmissione, da parte della segreteria della dirigenza, di una e-mail cumulativa con allegato un prospetto contenente i nominativi dei dipendenti e i corsi/test di formazione sulla piattaforma Syllabus non ancora completati. Il trattamento è stato ricondotto al Ministero della Giustizia, quale titolare, per il tramite del Dipartimento dell’organizzazione giudiziaria, del personale e dei servizi.

Fatti e attività istruttoria

Il reclamante ha lamentato che un file xlsx, diffuso via e-mail a più destinatari, riportasse cognomi dei dipendenti associati ai test non effettuati. Il Ministero ha chiarito che l’invio era stato preceduto da solleciti individuali e da tentativi telefonici, ed era stato disposto per ragioni di tempestività, per la gestione di una scadenza amministrativa e per la carenza di personale, oltre che per favorire il recupero dei percorsi formativi da parte dei dipendenti interessati.

Difese del titolare

Secondo il Ministero, la comunicazione non riguardava un vero e proprio inadempimento formativo, ma il completamento di passaggi amministrativi preliminari all’avvio dei corsi. Il titolare ha inoltre evidenziato che, dopo le doglianze dell’interessato, la segreteria aveva fornito immediato riscontro assicurando una diversa gestione futura e che era stata adottata una circolare interna di sensibilizzazione dei responsabili di settore sull’uso di modalità di comunicazione individualizzata.

Valutazioni giuridiche del Garante

L’Autorità ha ricordato che, nel settore pubblico e nel contesto lavorativo, il trattamento dei dati dei dipendenti è lecito solo se necessario per la gestione del rapporto di lavoro, per obblighi di legge o per compiti di interesse pubblico, e che la comunicazione a terzi è consentita nei limiti dell’art. 2-ter del Codice. Ha richiamato inoltre i principi di liceità, correttezza, trasparenza e minimizzazione dei dati, nonché le linee guida del 14 giugno 2007 sui lavoratori in ambito pubblico, secondo cui vanno evitate comunicazioni superflue e riferimenti puntuali a condizioni personali di singoli dipendenti.

Illiceità della comunicazione e principio di minimizzazione

Nel caso concreto, il Garante ha ritenuto non giustificata la scelta di utilizzare una e-mail cumulativa con un file riepilogativo, poiché i destinatari sono stati resi reciprocamente edotti dello stato di avanzamento formativo dei colleghi. Secondo l’Autorità, la stessa finalità avrebbe potuto essere raggiunta con comunicazioni individualizzate, che avrebbero garantito la tutela della riservatezza e il rispetto del principio di minimizzazione. È stato altresì osservato che il contenuto della comunicazione, facendo espresso riferimento all’“effettuare/ultimare l’assessment” e al termine scaduto, poteva indurre i destinatari a ritenere che alcuni colleghi non avessero tempestivamente adempiuto agli obblighi formativi.

Esito del procedimento e criteri di graduazione della risposta

Il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e c), e 6 GDPR, nonché dell’art. 2-ter del Codice. Tuttavia, considerando che si trattava di una violazione minore, che non vi erano precedenti specifici, che il Ministero aveva collaborato nel procedimento, che aveva già adottato misure interne di sensibilizzazione e che la condotta non aveva arrecato un giudizio di disvalore esplicito né produceva ulteriori effetti, l’Autorità ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR. Non sono state disposte ulteriori misure correttive né sanzioni pecuniarie; è stata invece disposta la pubblicazione del provvedimento sul sito istituzionale.