Ordinanza ingiunzione o revoca n. 521 del 14/07/2026

Ammonimento a un istituto scolastico per divulgazione di indirizzi e-mail personali in una comunicazione sulle elezioni RSU

Il provvedimento riguarda il reclamo presentato da un lavoratore del personale tecnico-amministrativo nei confronti dell’Istituto Omnicomprensivo Scuola Europea di Brindisi. Il reclamo concerne l’invio di una comunicazione e-mail relativa alle elezioni delle RSU del 14-15-16 aprile 2025, effettuato indicando in chiaro gli indirizzi e-mail personali dei destinatari.

Origine del procedimento e attività istruttoria

Il reclamo è stato presentato ai sensi dell’art. 77 GDPR. A seguito della richiesta di informazioni formulata dal Garante ai sensi dell’art. 157 del Codice privacy, l’Istituto ha riconosciuto che, il 12 aprile 2025, la comunicazione era stata inviata utilizzando il campo “A:” o “Cc” anziché la funzione “Ccn”, rendendo visibili a ciascun destinatario gli indirizzi personali degli altri.

L’Istituto ha qualificato l’accaduto come una svista materiale non intenzionale, verificatasi in un contesto organizzativo complesso, caratterizzato da dimensionamento della rete scolastica, riorganizzazione degli uffici e incremento dei carichi di lavoro. Ha inoltre spiegato di avere utilizzato gli indirizzi personali per garantire la tempestiva e più ampia diffusione della comunicazione relativa alle elezioni RSU, anche considerando che una parte del personale dichiarava di controllare meno frequentemente la casella istituzionale.

A seguito dell’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, l’Istituto ha presentato memorie difensive ed è stato ascoltato in audizione il 15 giugno 2026.

Trattamento esaminato

È stato accertato che l’Istituto ha inviato una e-mail con allegata la circolare n. 564, relativa alle elezioni RSU, a sette organizzazioni sindacali e a 43 lavoratori appartenenti al personale tecnico-amministrativo. Gli indirizzi e-mail personali dei lavoratori erano riportati in chiaro nel campo destinatari, anziché essere inseriti nel campo di copia nascosta “Ccn”.

La condotta ha determinato la comunicazione a ciascun destinatario degli indirizzi e-mail personali degli altri lavoratori. Gli indirizzi e-mail personali costituiscono dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR.

Principi applicabili al trattamento dei dati dei lavoratori

Il Garante ha ricordato che i soggetti pubblici possono trattare dati personali quando il trattamento è necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR, nonché dell’art. 2-ter del Codice.

Anche nell’ambito della gestione del rapporto di lavoro il titolare deve rispettare i principi generali di protezione dei dati, tra cui:

• il principio di liceità, correttezza e trasparenza previsto dall’art. 5, par. 1, lett. a), GDPR;
• il principio di minimizzazione previsto dall’art. 5, par. 1, lett. c), GDPR;
• l’obbligo di adottare misure idonee a prevenire la conoscibilità ingiustificata dei dati da parte di terzi o di soggetti diversi dai destinatari legittimati.

Il Garante ha richiamato il punto 5.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, adottate con provvedimento del 14 giugno 2007, nonché precedenti relativi alla comunicazione errata di indirizzi e-mail nel settore pubblico.

Violazione degli articoli 5 GDPR, 6 GDPR e 2-ter del Codice

L’Autorità ha ritenuto che l’inserimento degli indirizzi in chiaro abbia comportato una comunicazione di dati personali a terzi non conforme al principio di liceità, correttezza e trasparenza.

La finalità di informare il personale sulle elezioni RSU non legittimava la divulgazione reciproca degli indirizzi e-mail personali. L’Istituto avrebbe dovuto adottare modalità tecniche e organizzative idonee a impedire che i destinatari venissero a conoscenza degli indirizzi degli altri, in particolare mediante l’uso del campo “Ccn” o mediante canali istituzionali appropriati.

Il Garante ha quindi accertato la violazione di:

• art. 5, par. 1, lett. a), GDPR;
• art. 6, par. 1, lett. c) ed e), e paragrafi 2 e 3, GDPR;
• art. 2-ter del Codice privacy.

L’Autorità ha invece ritenuto superata la contestazione originaria relativa all’art. 9, par. 2, lett. b), GDPR.

Esclusione della violazione relativa all’appartenenza sindacale

L’Istituto aveva sostenuto che il trattamento riguardasse esclusivamente dati personali comuni e non dati relativi all’appartenenza sindacale.

Il Garante ha accolto tale argomentazione. La circolare era infatti rivolta a tutto il personale scolastico e conteneva indicazioni organizzative sullo svolgimento delle elezioni RSU. Anche il messaggio e-mail era stato inviato all’intero personale tecnico-amministrativo, non a un gruppo ristretto di iscritti a organizzazioni sindacali o di candidati.

Non era quindi possibile inferire, dalla ricezione della comunicazione, l’appartenenza sindacale dei destinatari. Per questa ragione non è stata confermata la contestazione relativa all’art. 9, par. 2, lett. b), GDPR.

Valutazione dell’errore umano e delle misure adottate

L’Istituto ha dichiarato che l’episodio era isolato e non riconducibile a una prassi operativa. Ha inoltre riferito di avere adottato o programmato misure correttive e preventive, tra cui:

• una circolare interna rivolta al personale amministrativo sul rispetto delle cautele in materia di protezione dei dati;
• un corso di formazione specifico sull’uso della funzione “Ccn”;
• indicazioni per utilizzare esclusivamente gli indirizzi e-mail istituzionali nelle comunicazioni interne ai docenti;
• il contatto individuale dei destinatari per chiedere la cancellazione del messaggio e degli indirizzi dai sistemi e supporti di memorizzazione, inclusi eventuali backup;
• la richiesta di una conferma scritta dell’avvenuta cancellazione.

Il Garante ha considerato tali iniziative come elementi di cooperazione e di mitigazione delle possibili conseguenze per gli interessati, pur ritenendo che non fossero sufficienti a superare l’illiceità già verificatasi.

Qualificazione della violazione e misura adottata

L’Autorità ha valutato la condotta alla luce dei criteri dell’art. 83, par. 2, GDPR. In particolare, ha considerato:

• la natura episodica della violazione e la sua riconducibilità a un errore umano, ai sensi dell’art. 83, par. 2, lett. a) e b), GDPR;
• la limitata natura dei dati comunicati, consistenti esclusivamente negli indirizzi e-mail personali e non in categorie particolari di dati, ai sensi dell’art. 83, par. 2, lett. g), GDPR;
• l’assenza di precedenti violazioni pertinenti da parte dell’Istituto, ai sensi dell’art. 83, par. 2, lett. e), GDPR;
• la buona cooperazione con l’Autorità e le iniziative adottate o programmate per ridurre le conseguenze e prevenire ulteriori episodi, ai sensi dell’art. 83, par. 2, lett. f), GDPR;
• la natura di istituto scolastico del titolare del trattamento.

Alla luce di tali elementi, il caso è stato qualificato come “violazione minore” ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR, nonché delle Linee guida WP 253 del Gruppo di Lavoro Articolo 29, fatte proprie dal Comitato europeo per la protezione dei dati con Endorsement 1/2018 del 25 maggio 2018.

Il Garante ha ritenuto sufficiente l’ammonimento previsto dall’art. 58, par. 2, lett. b), GDPR, senza applicare una sanzione amministrativa pecuniaria. Poiché la condotta aveva esaurito i propri effetti, non sono state ritenute necessarie ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Istituto per violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), paragrafi 2 e 3, GDPR, nonché dell’art. 2-ter del Codice;
• ammonito l’Istituto ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito internet dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• disposto l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Implicazioni operative

Il provvedimento conferma che, nelle comunicazioni collettive rivolte ai lavoratori, la finalità istituzionale o organizzativa dell’invio non consente di rendere visibili gli indirizzi personali degli altri destinatari. Le amministrazioni e gli istituti scolastici devono predisporre istruzioni operative, formazione e controlli tecnici per garantire l’uso del campo “Ccn” o di strumenti di invio che impediscano la divulgazione reciproca degli indirizzi.

L’errore umano può incidere sulla valutazione della gravità e sulla scelta della misura, ma non esclude di per sé l’illiceità del trattamento. La cooperazione, l’assenza di precedenti, la natura episodica dell’evento e l’adozione di misure preventive possono tuttavia giustificare, nei casi minori, un ammonimento anziché una sanzione pecuniaria.