Ordinanza ingiunzione o revoca n. 733 del 04/12/2025

Liceo scientifico e linguistico statale "Principe Umberto di Savoia": protocollazione ordinaria di documenti con dati sulla salute e mancata tempestiva informativa al personale

Il provvedimento riguarda un istituto scolastico pubblico e trae origine dal reclamo di un dipendente in relazione alla gestione, nel protocollo informatico, di documenti connessi a un contenzioso di lavoro e contenenti dati relativi alla salute. Il Garante ha accertato anche la tardiva consegna dell’informativa privacy ai dipendenti e delle istruzioni al personale addetto al trattamento.

Origine del reclamo e fatti contestati

Il reclamante ha segnalato che un ricorso depositato presso il Tribunale civile, relativo alla rettifica del periodo di comporto e ad altri profili del rapporto di lavoro, era stato acquisito al protocollo ordinario della piattaforma informatica dell’istituto. In tale modalità, il documento risultava consultabile da un numero ampio di addetti della segreteria amministrativa e da collaboratori della dirigenza, nonostante contenesse dati personali, inclusi dati relativi alla salute, e informazioni sulla controversia lavorativa.

Il reclamante ha anche riferito di aver diffidato l’istituto chiedendo la rimozione dei dati dal protocollo ordinario e il chiarimento sul mancato ricorso al protocollo riservato. Dopo la diffida, il dirigente scolastico ha confermato che il documento sarebbe stato acquisito al protocollo riservato e, in effetti, la documentazione è stata successivamente rimossa dal protocollo ordinario.

Attività istruttoria e posizione dell’istituto

Nel corso dell’istruttoria, l’istituto ha dichiarato di essere organizzato in una unica area organizzativa omogenea e di avere un solo registro di protocollo, accessibile al personale di segreteria e, in parte, ai collaboratori della dirigenza. Ha precisato che esiste una sezione di “protocollo riservato” destinata al dirigente e al DSGA e che, di norma, i documenti contenenti dati di cui all’art. 9 GDPR vengono protocollati in forma riservata.

L’istituto ha tuttavia ammesso che, nel caso concreto, la protocollazione della comunicazione dell’Avvocatura dello Stato era avvenuta per errore materiale nel settore ordinario, visibile agli operatori di segreteria e ai collaboratori della dirigenza, anziché nel settore riservato. Ha inoltre rappresentato che la documentazione è stata rimossa e spostata nel settore riservato a seguito della diffida del reclamante.

Sul piano organizzativo, l’istituto ha dichiarato di aver poi adottato o pianificato misure correttive, tra cui:

• l’adozione di un manuale di gestione documentale;
• la coincidenza tra consegna degli atti autorizzativi e delle istruzioni e la presa di servizio del personale;
• una più puntuale partizione degli ambiti operativi del software gestionale;
• specifici percorsi di formazione e aggiornamento per il personale.

Quadro normativo richiamato

Il Garante ha richiamato il quadro del GDPR e del Codice privacy relativo al trattamento dei dati dei lavoratori da parte di soggetti pubblici. In particolare, ha evidenziato che il trattamento è lecito quando necessario per la gestione del rapporto di lavoro o per adempiere obblighi di settore, nonché quando necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, secondo le basi giuridiche previste dagli artt. 6 e 9 GDPR e dagli artt. 2-ter e 2-sexies del Codice.

Sono stati richiamati anche:

• il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• il principio di protezione dei dati per impostazione predefinita dell’art. 25, par. 2, GDPR;
• l’obbligo di autorizzazione e istruzione di chi agisce sotto l’autorità del titolare, ai sensi degli artt. 29 e 32, par. 4, GDPR e 2-quaterdecies del Codice;
• l’obbligo informativo ex artt. 12 e 13 GDPR.

Valutazioni sul trattamento tramite protocollo informatico

L’Autorità ha ribadito che, nel contesto lavorativo, i dati dei dipendenti non possono essere messi a conoscenza di soggetti che non siano autorizzati a trattarli in ragione delle mansioni svolte. Anche all’interno dell’organizzazione del titolare, la circolazione di dati a persone non autorizzate può integrare una comunicazione illecita in assenza di base giuridica.

Quanto al protocollo informatico, il Garante ha sottolineato che il titolare deve adottare misure tecniche e organizzative per assicurare un accesso selettivo alla documentazione, evitando la consultabilità da parte di personale non legittimato. Ciò vale in particolare per documenti relativi al rapporto di lavoro, e ancor più se contengono dati sulla salute o informazioni valutative/disciplinari.

Nel caso concreto, la nota contenente i dati del reclamante è risultata visibile a personale di segreteria che, nella prospettazione del reclamante, non era autorizzato a trattare quei dati. Il Garante ha rilevato che non erano state dimostrate, per il momento dei fatti, misure sufficienti a limitare l’accesso anche all’interno della segreteria, soprattutto quando i dati riguardavano un collega appartenente alla medesima organizzazione.

Violazione dell’obbligo di istruzioni ai soggetti autorizzati

Un ulteriore profilo di illegittimità ha riguardato il ritardo nel conferire le istruzioni al personale addetto al trattamento. L’istruttoria ha mostrato che l’informativa e le istruzioni per gli addetti al trattamento erano state trasmesse al personale solo in un momento successivo ai fatti oggetto del reclamo.

Il Garante ha ricordato che chiunque agisca sotto l’autorità del titolare e abbia accesso a dati personali non può trattarli se non è stato istruito in tal senso. Il titolare, pertanto, deve assicurare che le persone fisiche che operano nella propria organizzazione siano non solo autorizzate, ma anche istruite in modo puntuale e tempestivo.

Mancata tempestiva e adeguata informativa ai dipendenti

L’Autorità ha ritenuto non conforme anche la gestione dell’informativa ai dipendenti. Dalle evidenze in atti è emerso che l’informativa sul trattamento dei dati personali nel rapporto di lavoro era stata inviata al personale solo in data successiva rispetto alla condotta contestata.

Il Garante ha osservato che il titolare deve fornire agli interessati, prima dell’avvio del trattamento, le informazioni di cui agli artt. 13 e 14 GDPR in forma concisa, trasparente, intelligibile e facilmente accessibile. Nel contesto lavorativo, ciò è essenziale per rendere il dipendente consapevole delle finalità e delle modalità di trattamento dei propri dati.

Poiché l’istituto non ha dimostrato in modo adeguato che l’informativa fosse effettivamente conoscibile dai dipendenti prima della richiesta di presa visione inoltrata successivamente, è stata ravvisata la violazione dell’art. 13 GDPR e del principio di trasparenza.

Esito finale: illecito, sanzione e criteri di quantificazione

Il Garante ha concluso che il trattamento era illecito per violazione degli artt. 5, par. 1, lett. a), 6, 9, par. 2, lett. b) e g), 13 e 29 GDPR, nonché degli artt. 2-ter, 2-sexies e 2-quaterdecies del Codice privacy. Ha rilevato che le violazioni relative alla protocollazione e all’informativa erano tra loro collegate, sicché trovava applicazione l’art. 83, par. 3, GDPR.

Nella quantificazione della sanzione, il Garante ha considerato:

• la natura, gravità e durata limitata della violazione, riferita a un solo lavoratore;
• la presenza di dati appartenenti a categorie particolari, inclusi dati sulla salute;
• il carattere colposo della condotta, dovuto a errore materiale;
• l’adozione di misure per attenuare il danno, mediante spostamento nel protocollo riservato dopo la diffida;
• la cooperazione con l’Autorità e la dichiarata introduzione di nuove procedure interne;
• l’assenza di precedenti violazioni pertinenti.

All’esito, la sanzione è stata determinata in euro 1.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato al liceo di pagare euro 1.000,00;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto il pagamento integrale entro 30 giorni dalla notifica in caso di mancata definizione;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• previsto l’annotazione nel registro interno delle violazioni e delle misure adottate.

È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni se il ricorrente risiede all’estero.