Ordinanza ingiunzione o revoca n. 584 del 09/10/2025

Liceo Artistico Statale "Renato Cottini" - comunicazione dei curricula dei docenti candidati alle famiglie senza base giuridica

Il provvedimento riguarda il Liceo Artistico Statale "Renato Cottini" e la comunicazione, nell’ambito di una procedura di selezione per specifiche figure professionali, dei curricula di quattro docenti candidati a 44 famiglie di studenti individuati come a rischio di abbandono scolastico. Il Garante ha ritenuto che il trattamento fosse illecito per difetto di idonea base giuridica e per violazione dei principi di liceità, correttezza, trasparenza e minimizzazione.

Origine del procedimento e svolgimento dell’istruttoria

Il procedimento trae origine da un reclamo presentato da una docente che aveva partecipato alla selezione. La reclamante ha riferito che il proprio curriculum vitae, presentato per la candidatura e contenente dati personali identificativi e di contatto, nonché riferimenti a interventi formativi in ambito parrocchiale e oratoriale, era stato trasmesso integralmente alle famiglie destinatarie del progetto per consentire loro di esprimere una preferenza sui candidati.

Il Liceo ha sostenuto che:

• i candidati fossero stati informati della trasmissione dei curricula a studenti e famiglie;
• il consenso fosse stato prestato all’atto della candidatura;
• la comunicazione fosse necessaria per il perseguimento del legittimo interesse del titolare;
• l’iniziativa fosse coerente con la partecipazione di famiglie e studenti alla comunità scolastica;
• non vi fosse, nel curriculum della reclamante, alcun elemento idoneo a rivelare convinzioni religiose.

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la non conformità ai principi di cui agli artt. 5, par. 1, lett. a) e c), 6 e 9 GDPR e all’art. 2-ter del Codice.

Qualificazione del trattamento e norme richiamate

Il Garante ha inquadrato la trasmissione dei curricula alle famiglie come una "comunicazione" di dati personali ai sensi dell’art. 2-ter, comma 4, lett. a), del Codice. Ha ricordato che il trattamento dei dati nel contesto lavorativo o di reclutamento può essere lecito solo in presenza di una base giuridica idonea, individuabile nella normativa dell’Unione o dello Stato membro, proporzionata e sufficientemente specifica.

Sono stati richiamati, in particolare:

• art. 5, par. 1, lett. a) e c), e artt. 5, par. 2 e 24 GDPR;
• art. 6, parr. 1, lett. c) ed e), 2 e 3 GDPR;
• art. 9 GDPR;
• art. 25 GDPR;
• art. 88 GDPR;
• art. 2-ter del Codice.

Il provvedimento sottolinea inoltre che, in assenza di una previsione normativa di rango adeguato, non possono introdursi livelli differenziati di tutela tra amministrazioni o istituzioni scolastiche mediante meri atti amministrativi generali.

Valutazione della mancanza di base giuridica

Secondo l’Autorità, l’avviso di selezione non poteva costituire una base giuridica idonea a legittimare la comunicazione dei curricula ai terzi destinatari del progetto. Anche se l’avviso avesse previsto tale passaggio, esso non poteva derogare alla disciplina sovraordinata né sostituire una previsione legislativa o regolamentare specifica.

Il Garante ha escluso anche il richiamo alla trasparenza amministrativa:

• l’art. 15 del d.lgs. 33/2013 riguarda i soggetti già titolari di incarichi di collaborazione o consulenza;
• non si applica, quindi, ai candidati a una selezione;
• in ogni caso, la trasparenza impone la pubblicazione dei soli dati pertinenti e non eccedenti.

È stata inoltre esclusa la possibilità di fondare il trattamento sul consenso, non ritenuto di regola valido in contesti caratterizzati da asimmetria tra le parti, come il reclutamento o il rapporto di lavoro, nonché sul legittimo interesse, normalmente non invocabile dalle autorità pubbliche.

Principio di minimizzazione e possibilità di soluzioni meno invasive

Il Garante ha rilevato che la finalità perseguita dal Liceo avrebbe potuto essere realizzata in modo meno impattante sui diritti degli interessati, senza inviare i curricula in forma integrale alle famiglie. La modalità adottata è stata pertanto giudicata non necessaria e non proporzionata, in contrasto con il principio di minimizzazione dei dati.

Il fatto che il trattamento fosse connesso a una finalità socialmente apprezzabile, cioè il contrasto all’abbandono scolastico, non è stato ritenuto sufficiente a superare il difetto di base giuridica e la sproporzione della comunicazione a una pluralità di destinatari.

Profilo dei dati relativi a convinzioni religiose

La reclamante aveva evidenziato la presenza nel curriculum di riferimenti ad attività svolte in ambito parrocchiale e oratoriale, deducendo un possibile dato relativo all’orientamento religioso. Il Garante ha però concluso che, nel caso concreto, tali elementi non consentivano di desumere in modo univoco convinzioni religiose o filosofiche, mancando ulteriori elementi di contesto.

Di conseguenza, non è stata confermata la violazione dell’art. 9 GDPR limitatamente a questo profilo specifico, pur richiamando l’attenzione sulle prescrizioni del provvedimento generale 5 giugno 2019, n. 146, in materia di trattamento di categorie particolari di dati nel rapporto di lavoro.

Esito del procedimento e sanzione

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Liceo per violazione degli artt. 5, par. 1, lett. a) e c), e 6 GDPR, nonché dell’art. 2-ter del Codice. Ha ritenuto applicabile l’art. 83, par. 3, GDPR, poiché la violazione derivava da un’unica condotta, e ha richiamato la sanzionabilità ai sensi dell’art. 83, par. 5, GDPR.

Ai fini della quantificazione della sanzione, sono stati considerati:

• il numero contenuto di interessati coinvolti, quattro docenti, e di destinatari, 44 famiglie;
• la finalità di pubblico interesse perseguita;
• la colpa del titolare, anche per la mancata consultazione preventiva del DPO;
• l’assenza di dati particolari effettivamente trattati nel caso concreto;
• il livello di gravità ritenuto basso;
• la cooperazione con l’Autorità;
• l’assenza di precedenti violazioni pertinenti.

La sanzione è stata determinata in euro 3.000.

Misure accessorie, pubblicazione e rimedi

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento n. 1/2019;
• la pubblicazione del provvedimento sul sito dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019;
• l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento n. 1/2019.

È stata inoltre indicata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice, e la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni, o 60 giorni se il ricorrente risiede all’estero.