Prescrizioni del Garante n. 275 del 17/04/2026

Sodexo Italia S.p.A. - comunicazione illecita di dati personali nel servizio di ristorazione scolastica

Il provvedimento riguarda Sodexo Italia S.p.A., responsabile del trattamento per il Comune di Marzabotto nell’ambito del servizio di ristorazione scolastica e del recupero dei crediti verso utenti morosi. L’Autorità interviene a seguito di una segnalazione stampa relativa all’invio erroneo di un file contenente dati personali e informazioni economiche di numerose famiglie.

Origine del procedimento e attività istruttoria

Il Garante apprende che sarebbe stato trasmesso via e-mail a molte famiglie un report dettagliato, alunno per alunno, con dati identificativi e informazioni sui pagamenti e sui pasti consumati. Nell’istruttoria, Sodexo ricostruisce il rapporto contrattuale con il Comune, evidenziando di operare quale responsabile ex art. 28 GDPR, con possibilità di avvalersi di un sub-fornitore, Project S.r.l., nominato sub-responsabile.

La società afferma che l’errore deriva da indicazioni errate del servizio di assistenza del sub-fornitore; Project, a sua volta, sostiene che non vi siano state cause tecniche, ma un errore umano dell’operatore Sodexo, e descrive le funzionalità della piattaforma eCivis Solution, che prevede anteprima, simulazione dell’invio e controlli prima del lancio definitivo delle comunicazioni.

Ricostruzione del fatto

Dalle verifiche emerge che un dipendente della società ha generato un documento in PDF senza impostare correttamente i filtri di selezione, ha scaricato un documento di test sul proprio personal computer e lo ha successivamente allegato come se fosse il documento definitivo per un invio e-mail. L’invio ha coinvolto 109 utenti e ha comportato la comunicazione di dati personali di 50 intestatari del servizio mensa scolastica, tra cui:

• nomi e cognomi,
• codici fiscali,
• saldo della posizione relativa al servizio mensa,
• pagamenti effettuati in un determinato periodo,
• nome e cognome dei figli a carico,
• pasti consumati nel periodo di riferimento.

L’episodio non risulta riconducibile a un malfunzionamento della piattaforma, ma a una condotta operativa non corretta e a una mancanza di adeguata padronanza della procedura da parte dell’operatrice.

Quadro normativo richiamato

L’Autorità richiama il principio di liceità, correttezza e trasparenza e quello di minimizzazione dei dati, di cui all’art. 5, par. 1, lett. a) e c), GDPR. Richiama inoltre l’art. 6, parr. 1, lett. c) ed e), 2 e 3 GDPR e l’art. 2-ter, commi 1 e 3, del Codice privacy, precisando che nel settore pubblico la base giuridica deve essere prevista da una norma di legge, di regolamento o da atti amministrativi generali e che comunicazione e diffusione di dati personali sono ammesse solo nei casi previsti.

Viene poi richiamato l’art. 28 GDPR, in particolare:

• il dovere del responsabile di trattare i dati solo su istruzione documentata del titolare,
• l’obbligo di adottare misure tecniche e organizzative adeguate,
• la disciplina del ricorso a sub-responsabili e la responsabilità del responsabile iniziale anche per le omissioni del sub-responsabile.

Infine, è richiamato l’art. 32 GDPR sulla sicurezza del trattamento.

Valutazioni del Garante

Il Garante ritiene che la trasmissione del file abbia integrato una comunicazione illecita di dati personali, effettuata in assenza di un idoneo presupposto di liceità. La società, operando per conto dell’ente pubblico, avrebbe dovuto garantire un livello organizzativo e tecnico adeguato a prevenire l’errore, anche tramite istruzioni precise e formazione specifica del personale.

L’Autorità sottolinea che il responsabile del trattamento, specie se presta servizi a più titolari e gestisce un numero elevato di interessati, deve mantenere un ruolo attivo e propositivo nell’individuare misure di sicurezza adeguate, tenendo conto del rischio connesso al trattamento.

Misure successive e difese della società

Sodexo rappresenta di avere:

• bloccato la funzione di invio solleciti sulla piattaforma;
• avviato interlocuzioni con il sub-fornitore per chiarire l’accaduto;
• erogato una sessione formativa in presenza di 6 ore sul tema della privacy nella gestione del progetto rette;
• formato tutto il personale dell’Ufficio Rette, inclusa l’operatrice coinvolta;
• fatto erogare da Project un corso sull’utilizzo della piattaforma eCivis Solution;
• pubblicato una procedura interna sulla gestione delle rette nella intranet aziendale.

Il Garante prende atto di tali iniziative, ma ritiene che esse siano intervenute dopo il fatto e non eliminino la violazione contestata, né consentano l’archiviazione.

Esito

L’Autorità dichiara l’illiceità del trattamento effettuato da Sodexo Italia S.p.A. ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR, con violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, e 28, par. 3, GDPR, nonché dell’art. 2-ter, commi 1 e 3, del Codice privacy.

Poiché la condotta ha esaurito i propri effetti, il Garante non adotta ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. Il provvedimento indica infine la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.