[doc. web n. 10286342]

Provvedimento del 14 luglio 2026

Registro dei provvedimenti
n. 521 del 14 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento nei confronti dell’Istituto Omnicomprensivo Scuola Europea di Brindisi (di seguito, l’“Istituto”), il Sig. XX, lavoratore facente parte del personale tecnico-amministrativo, ha lamentato una presunta violazione della normativa in materia di protezione dei dati personali.

In particolare, è stato rappresentato che l’Istituto avrebbe inviato un messaggio di posta elettronica, recante in allegato una circolare relativa alle elezioni delle RSU del 14-15-16 aprile 2025, a numerosi destinatari, i cui indirizzi di posta elettronica personali erano riportati in chiaro, con la conseguenza che ciascun destinatario è venuto a conoscenza degli indirizzi di posta elettronica personali degli altri.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni (v. nota prot. n. XX del XX), formulata ai sensi dell’art. 157 del Codice, l’Istituto, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

“[… esso] è venuto a conoscenza [dei fatti oggetto di reclamo] solo in data 20 gennaio 2026, a seguito della ricezione della [richiesta d’informazioni dell’Autorità]”;

sebbene occorresse “utilizzare la funzione “CCN” per la tutela della riservatezza dei dati dei destinatari (come da disposizioni scolastiche”, si è verificato un “errore […] ascrivibile a una svista materiale e non intenzionale, verificatasi al momento della composizione e dell'invio del messaggio e non a una mancanza di conoscenza della procedura corretta”;

“l'Istituto riconosce che l'utilizzo della modalità "Cc" (copia conoscenza) anziché "Ccn" (copia conoscenza nascosta) per l'invio della suddetta comunicazione ha determinato la reciproca conoscenza degli indirizzi di posta elettronica personali tra i destinatari”;

“l'errore materiale (non intenzionale) si è verificato in un contesto operativo particolarmente complesso e stressante per il personale amministrativo. Infatti, nel corso del precedente anno scolastico, in cui detta circolare è stata emanata, […] è stato oggetto di un significativo dimensionamento della rete scolastica, che ha comportato una notevole e improvvisa riorganizzazione degli uffici, un incremento dei carichi di lavoro e una forte pressione sul personale”;

“l'invio del messaggio […] è stato effettuato agli indirizzi di posta elettronica personali dei destinatari, in quanto vi era la necessità di effettuare una comunicazione urgente ed efficace e garantire la massimizzazione della partecipazione”;

“una parte consistente del personale (in particolare il personale A.T.A. e collaboratore scolastico) ha più volte, in modo informale, espresso la volontà di ricevere le informazioni sulla casella di posta personale, monitorando con minore frequenza quella istituzionale fornita dal Ministero dell’Istruzione e del Merito”;

“l'utilizzo degli indirizzi personali, poi, era finalizzato a garantire la massima diffusione della comunicazione e, di conseguenza, la maggiore partecipazione possibile alle procedure elettorali, agendo nell'interesse generale della rappresentanza sindacale interna”;

“una volta appresa la notizia di quanto segnalato dalla […] Autorità, [l’] Istituto scolastico ha immediatamente adottato le seguenti misure correttive: è stata inviata una circolare interna a tutto il personale amministrativo circa il rispetto delle cautele in materia di protezione dei dati; [è] stato organizzato un corso di formazione specifico per il personale amministrativo, al fine di ribadire l'obbligo di utilizzare sempre la modalità "Cnn" […]”;

inoltre, si “procederà con un'azione mirata di [rimedio] che prevede il contatto individuale di ogni destinatario della comunicazione contenente i dati personali in questione, chiedendone la cancellazione completa dei dati (indirizzi e-mail) dai loro sistemi e supporti di memorizzazione (inclusi eventuali backup). A tal fine, sarà richiesta una conferma scritta dell'avvenuta cancellazione da parte di ciascun destinatario […]”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Istituto, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver lo stesso posto in essere, ancorché a causa di un mero errore umano, una comunicazione di dati personali, anche relativi all’appartenenza sindacale, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, e 9, par. 2, lett. b), del Regolamento, nonché 2-ter del Codice. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Istituto ha presentato una memoria difensiva, dichiarando, in particolare, che:

“la vicenda trae origine dall’invio, in data 12.4.2025, di un messaggio di posta elettronica avente ad oggetto la circolare n. 564 relativa alle elezioni delle […] RSU […]. Tale [messaggio di posta] era indirizzat[o] al personale ATA e a sette organizzazioni sindacali”;

“[la] circolare […] era indirizzata a “tutto il personale scolastico”, “Ai docenti” ed “Al personale ATA”, avendo come unico scopo quello di informare il personale in merito allo svolgimento delle elezioni per le [RSU]. La comunicazione, pertanto, non era diretta ad un gruppo ristretto di attivisti sindacali, ma a tutti i dipendenti in quanto potenziali elettori (in quanto a questa tipologia di elezioni partecipa tutto il personale scolastico e tutti hanno diritto all’elettorato attivo). L’utilizzo dei suddetti indirizzi di posta elettronica nel messaggio in questione, perciò, costituisce trattamento di dati personali comuni e non di dati di cui all’art. 9 [Regolamento]”;

“[…] l’episodio si deve considerare come un fatto del tutto isolato, non riconducibile a prassi operative dell’Istituto […]”;

“l’episodio ha comportato la visibilità dei soli indirizzi e-mail personali, senza associazione ad ulteriori informazioni […]”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data 15 giugno 2026 (v. verbale prot. n. 0091652 del 16 giugno 2026), l’Istituto ha, in particolare, ribadito che “tutti i destinatari dell’email erano potenziali elettori passivi o attivi nel contesto delle elezioni e l’allegato a detta comunicazione consisteva in una circolare, rivolta a tutto il personale, relativa ad aspetti organizzativi delle elezioni” e che “pertanto […] il trattamento non ha riguardato dati personali relativi all’appartenenza sindacale”; inoltre, l’Istituto ha fatto presente di aver “impartito indicazioni all’interno della propria organizzazione per fare in modo che per il futuro vengano utilizzati esclusivamente gli indirizzi di posta elettronica istituzionale dei docenti ai fini delle comunicazioni interne”.

3. Esito dell’attività istruttoria.

In base alla disciplina di protezione dei dati, i soggetti pubblici possono trattare dati personali se il trattamento è necessario, in particolare, “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento; v. anche art. 2-ter del Codice).

Il datore di lavoro, in ogni caso, può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento).

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

In tale quadro, le amministrazioni devono adottare le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali da parte di terzi o soggetti diversi dal destinatario (cfr. punto 5.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, in www.gpdp.it, doc. web n. 1417809). Come da tempo chiarito dal Garante con provvedimenti a carattere generale e decisioni su singoli casi, i dati personali dei dipendenti, trattati per finalità di gestione del rapporto di lavoro, non possono, infatti, di regola, essere messi a conoscenza di soggetti diversi da coloro che sono parte dello specifico rapporto di lavoro (cfr. definizioni di “dato personale” e “interessato”, contenuta nell’art. 4, par. 1, n. 1, del Regolamento), ovvero di coloro che - anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10, del Regolamento - non siano legittimati a trattarli in ragione delle mansioni assegnate e delle scelte organizzative del titolare del trattamento. Diversamente, nessuna violazione della disciplina di protezione dei dati personali può essere riscontrata nelle ipotesi in cui i soggetti, cui fanno capo specifiche mansioni, vengano a conoscenza di dati personali degli interessati, quando sia necessario per lo svolgimento delle funzioni loro attribuite. A tali principi è stata data applicazione dal Garante con orientamento consolidato in numerosi casi concreti.

Ciò premesso, all’esito dell’istruttoria relativa al reclamo, risulta accerto che, in data 12 aprile 2025, l’Istituto, seppur a causa di un mero errore umano, ha inviato un messaggio di posta elettronica, recante in allegato una circolare relativa alle elezioni delle RSU del 14-15-16 aprile 2025, a numerosi destinatari, vale a dire a sette sigle sindacali e a quarantatré lavoratori appartenenti al personale tecnico-amministrativo, i cui indirizzi di posta elettronica personali erano riportati in chiaro nel campo destinatari (“A:”) anziché in quello di copia nascosta (“CCN”), con la conseguenza che ciascun destinatario è venuto a conoscenza di tali indirizzi di posta elettronica personali (cfr., con riguardo all’ambito del lavoro pubblico, provv.ti 12 marzo 2026, n. 161, doc. web n. 10238335; 23 febbraio 2023, n. 47, doc. web n. 9868646; 15 dicembre 2022, n. 419, doc. web n. 9843741).

Tale errore ha comportato una comunicazione a terzi di dati personali - vale a dire gli indirizzi di posta elettronica personali dei lavoratori destinatari del messaggio - in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, nonché 2-ter del Codice.

Deve, invece, considerarsi superata la contestazione relativa alla violazione dell’art. 9, par. 2, lett. b), del Regolamento, atteso che, come chiarito dall’Istituto con le proprie memorie difensive e in sede di audizione, la circolare in questione era indirizzata indistintamente a tutto il personale scolastico, vale a dire all’intera platea degli elettori attivi, e conteneva indicazioni operative sulle modalità di svolgimento delle elezioni delle RSU; parimenti, il messaggio di posta elettronica recante in allegato detta circolare è stata inviata a tutto il personale tecnico-amministrativo e non, invece, soltanto a un gruppo ristretto di lavoratori iscritti a sigle sindacali o candidati a dette elezioni, non essendo, pertanto, inferibili informazioni in merito all’appartenenza sindacale dei destinatari del messaggio.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva la violazione, da parte dell’Istituto, degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

Ciò premesso, considerato che il titolare del trattamento è un istituto scolastico, nonché, tenuto conto che:

la violazione ha natura episodica e si è verificata a causa di un mero errore umano in fase di invio di un messaggio di posta elettronica (cfr. art. 83, par. 2, lett. a) e b) del Regolamento);

i dati personali oggetto di comunicazione consistono esclusivamente negli indirizzi di posta elettronica personali di lavoratori, non essendo stati, pertanto, comunicati dati personali appartenenti a categorie particolari (cfr. art. 83, par. 2, lett. g), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dall’Istituto (art. 83, par. 2, lett. e), del Regolamento);

l’Istituto ha offerto un buon livello di cooperazione con l’Autorità nel corso dell’istruttoria e ha dichiarato di aver adottato o programmato iniziative per mitigare le possibili conseguenze per gli interessati, in particolare chiedendo ai destinatari del messaggio di effettuare e attestare la cancellazione dello stesso, nonché per prevenire il verificarsi di simili episodi in futuro, diramando una specifica circolare ed effettuando corsi di formazione e sensibilizzazione a beneficio del personale (art. 83, par. 2, lett. f), del Regolamento);

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del cons. 148 del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene sufficiente ammonire l’Istituto per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Istituto Omnicomprensivo Scuola Europea di Brindisi, in persona del legale rappresentante pro-tempore, con sede legale in via Nicola Brandi, 22 - 72100 Brindisi (BR), C.F. 91098150740, per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto Omnicomprensivo Scuola Europea di Brindisi, per aver violato gli artt. artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, come sopra descritto;

c) dispone, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

d) dispone, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 14 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori