Ammonimento n. 610 del 03/09/2026

Ammonimento per comunicazione di dati lavorativi al coniuge di una docente

Il provvedimento n. 610 del 3 settembre 2026 riguarda l’Istituto Comprensivo Sassuolo 1 Centro Est e l’invio, per errore, a un soggetto estraneo al rapporto di lavoro di una comunicazione relativa all’assenza dal servizio di una docente. Il procedimento è stato avviato a seguito del reclamo presentato il 3 gennaio 2025 dall’interessata.

Fatto e procedimento

Il 30 novembre 2024 l’Ufficio del personale ha inviato una richiesta di giustificazione dell’assenza all’indirizzo e-mail aziendale del marito della docente, anziché alla destinataria. In una prima ricostruzione era stata ipotizzata un’anomalia dovuta al trasferimento dei dati tra gestionali. L’Istituto, con nota del 27 febbraio 2026, ha invece ricondotto l’episodio a un errore materiale e involontario del personale di segreteria, verificatosi durante la migrazione al nuovo applicativo e in presenza di schede anagrafiche sovrapposte. L’indirizzo del coniuge risultava negli archivi perché fornito dalla famiglia per le comunicazioni scuola-famiglia relative agli alunni.

L’Istituto ha riferito di avere avviato una bonifica delle banche dati, di avere risposto alla docente il 5 dicembre 2024 chiarendo l’accaduto e porgendo le proprie scuse, e di avere impartito disposizioni affinché le comunicazioni di lavoro fossero inviate esclusivamente tramite l’indirizzo istituzionale, con verifica manuale obbligatoria dei destinatari quando il dipendente rivesta anche il ruolo di genitore. In sede difensiva ha inoltre sostenuto che non si erano prodotte conseguenze pregiudizievoli concrete e misurabili e che l’errore era dovuto a colpa lievissima, aggravata dal carico di lavoro connesso alla migrazione.

Trattamenti esaminati e quadro normativo

Il trattamento esaminato consiste nell’invio di una comunicazione relativa al rapporto di lavoro della reclamante all’indirizzo e-mail aziendale del coniuge. Il Garante ha riconosciuto che i soggetti pubblici possono trattare i dati dei lavoratori quando ciò è necessario per la gestione del rapporto di lavoro e per adempiere obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri, ai sensi degli artt. 6, par. 1, lett. c), e 88 GDPR. Il trattamento può inoltre fondarsi sull’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, parr. 1, lett. e), 2 e 3, GDPR.

Tali presupposti non esonerano il titolare dal rispetto dei principi di protezione dei dati. Il Garante ha richiamato i principi di liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione e integrità e riservatezza di cui all’art. 5, par. 1, GDPR, nonché gli obblighi di responsabilizzazione e sicurezza previsti dagli artt. 24 e 32 GDPR. Ha inoltre richiamato l’art. 2-ter del Codice privacy e la definizione di terzo contenuta nell’art. 4, par. 1, n. 10), GDPR.

Valutazioni del Garante e violazioni

Il coniuge era estraneo al rapporto di lavoro e non era autorizzato ad accedere alle informazioni relative all’assenza della reclamante. La loro comunicazione al suo indirizzo e-mail ha quindi costituito una comunicazione di dati personali a un terzo priva di idonea base giuridica. L’errore materiale e il carattere involontario dell’invio non hanno escluso l’illiceità del trattamento.

Il Garante ha ritenuto che l’Istituto non avesse assicurato un’adeguata separazione tra le finalità connesse alla gestione del rapporto di lavoro e quelle perseguite in qualità di istituzione scolastica. Gli istituti scolastici devono adottare misure tecniche e organizzative che impediscano l’utilizzo, per la gestione del rapporto di lavoro, dei dati raccolti per le attività scolastiche e familiari, e viceversa. La cautela è particolarmente necessaria quando una persona riveste contemporaneamente il ruolo di dipendente e di genitore di alunni dello stesso istituto. Il Garante ha inoltre evidenziato l’esigenza di formazione e sensibilizzazione del personale e di verifiche operative specifiche per prevenire sviste e invii errati.

Il trattamento è stato dichiarato non conforme agli artt. 5, par. 1, lett. a), 6, 24 e 32 GDPR e all’art. 2-ter del Codice privacy. Le valutazioni difensive dell’Istituto e le iniziative intraprese non hanno consentito l’archiviazione del procedimento, pur essendo state considerate nella valutazione della gravità.

Gravità della violazione e misura adottata

Ai fini della valutazione ai sensi dell’art. 83, par. 2, GDPR e del considerando 148, il Garante ha considerato che l’Istituto è una scuola, che l’episodio era isolato e riguardava una sola interessata, e che i dati non rientravano nelle categorie particolari di cui all’art. 9 GDPR. Ha inoltre rilevato il carattere colposo dell’accaduto, le iniziative preventive dichiarate dall’Istituto, la piena cooperazione nel corso dell’istruttoria e l’assenza di precedenti violazioni pertinenti. Sulla base di tali circostanze, anche alla luce delle Linee guida WP 253 del 3 ottobre 2017, fatte proprie dall’EDPB con Endorsement 1/2018 del 25 maggio 2018, la violazione è stata qualificata come minore.

Il Garante ha pertanto dichiarato illecito il trattamento e ammonito l’Istituto ai sensi dell’art. 58, par. 2, lett. b), GDPR. Non è stata irrogata una sanzione pecuniaria. Poiché la condotta aveva ormai esaurito i suoi effetti, non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. È stata disposta la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice privacy e dell’art. 37 del Regolamento del Garante n. 1/2019.

Impugnazione

Il provvedimento può essere impugnato davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione oppure entro 60 giorni se il ricorrente risiede all’estero.