[doc. web n. 10232961]

Provvedimento del 26 febbraio 2026

Registro dei provvedimenti
n. 110 del 26 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, XX, precedentemente in servizio presso il Conservatorio “XX” di XX in qualità di Direttore Amministrativo, ha lamentato una presunta violazione della normativa in materia di protezione dei dati personali relativamente alla trasmissione – da parte del Direttore di del Conservatorio, in data XX - di una comunicazione a mezzo e-mail ad oltre cento dipendenti con cui questi ultimi venivano informati della destituzione della reclamante, da parte del Ministero dell’Università e della Ricerca, per interdizione dai pubblici uffici, quale pena accessoria disposta dal Tribunale di XX nell’ambito di un procedimento penale a suo carico (“[…] limitandomi a essere il più essenziale possibile, comunico che il Direttore Amministrativo, XX non è più in servizio presso il nostro Conservatorio a seguito di provvedimento MUR di destituzione; provvedimento conseguenza di sentenza del Tribunale di XX che nelle pene accessorie ha previsto l’interdizione perpetua dai pubblici uffici […]” – v. e-mail del XX).

2. L’attività istruttoria.

In merito ai fatti lamentati, nell’ambito dell’istruttoria, il predetto Conservatorio, con nota del XX, ha dichiarato, in particolare, che:

i destinatari della predetta e-mail del XX coincidono con il “personale in servizio presso il Conservatorio di XX che aveva la reclamante come figura apicale di riferimento per competenze”;

“con apposito interpello all’Avvocatura Distrettuale dello Stato […], [… il Conservatorio ha richiesto], fra l’altro, se si ritenesse “opportuno che l’Amministrazione si adoperi per la comunicazione ai terzi della destituzione del Direttore Amministrativo ed in quali ipotesi””; con parere del XX, l’Avvocatura ha rilevato “come non pare necessario che il Conservatorio si attivi per comunicare ai terzi l’avvenuta destituzione del Direttore Amministrativo, in quanto è sufficiente che sul sito internet dell’Amministrazione risulti quale sia l’attuale soggetto titolare del predetto incarico”, aggiungendo che “si dubita che la diffusione generalizzata del provvedimento di destituzione di cui si discute contenente dati sensibili sia compatibile con la normativa dettata in materia di riservatezza dei dati personali”; l’Avvocatura ha infine concluso evidenziando che “nel caso di specie non pare sussistere alcuna norma di legge che imponga all’Amministrazione di diffondere ad una platea indeterminata di terzi potenzialmente interessati dai provvedimenti emessi da XX l’intervenuta destituzione della stessa dal suo ruolo di Direttore amministrativo del Conservatorio”;

secondo il Conservatorio, quindi, “la precisazione di “diffusione generalizzata” risulta chiarificatrice del responso che una comunicazione a terzi indiscriminati, e non individuabili a priori, come ad esempio una pubblicazione su sito internet – fattispecie espressamente citata dall’Avvocatura – potesse essere compatibile con la normativa di riservatezza dei dati personali. Non solo ma l’Avvocatura si è posta in una posizione di dubbio su tale compatibilità, quindi non si è espressa con una affermazione categorica sulla illiceità del comportamento in esame. Il parere si conclude con una formulazione particolarmente significativa e ancor più puntuale [… dall’analisi della quale] si possono trarre le seguenti considerazioni: a) L’assenza di un obbligo normativo in capo all’Amministrazione implica contestualmente anche l’assenza di un dovere giuridico di “diffusione” dell’informazione in questione. Tuttavia, ciò non esclude che l’Amministrazione possa esercitare una facoltà discrezionale – e dunque un diritto – di procedere alla diffusione, qualora ne sussistano le condizioni, valutando attentamente le circostanze del caso concreto. b) Inoltre, l’Avvocatura utilizza correttamente, e in coerenza con le premesse, il termine “diffondere” con riferimento ad una modalità informativa di carattere generale e non selettivo, ovvero priva di un controllo sui destinatari. Al contrario, l’Amministrazione scrivente ha proceduto ad una comunicazione circoscritta, indirizzata esclusivamente a soggetti individuati sulla base di criteri determinati e giustificati. c) La distinzione tra una “platea indeterminata di terzi” – richiamata nelle conclusioni dell’Avvocatura – e i reali destinatari della comunicazione appare quindi evidente. Questi ultimi, infatti, erano persone identificate, sia nel ruolo sia nelle generalità, in quanto appartenenti alla comunità accademica in servizio presso il Conservatorio, e dunque qualificabili come “persone sotto l’autorità diretta del responsabile”, ai sensi dell’art. 4, comma 1, n. 10 del Regolamento. d) Tale comunità accademica, a differenza dei soggetti genericamente interessati evocati dall’Avvocatura, era portatrice di un diritto concreto e attuale alla conoscenza dell’avvicendamento nella funzione di Direttore Amministrativo, figura di riferimento per le attività amministrative dell’Ente”;

“la reclamante ha […] più volte differito la formalizzazione della [propria] richiesta [di collocarsi in aspettativa], generando incertezza e impedendo all’Amministrazione di adottare tempestivamente le misure organizzative necessarie, nonché di accertare con chiarezza la reale sussistenza dell’intento manifestato”; “l’inserimento, nella comunicazione del XX, della precisazione relativa all’interdizione dai pubblici uffici rispondeva ad una specifica finalità di trattamento del dato, ai sensi dell’art. 25, comma 1, del Regolamento, finalità individuabile nella tutela dell’interesse legittimo dei lavoratori del Conservatorio, i quali, in assenza di tale informazione, avrebbero potuto maturare erronee aspettative circa l’operatività e le prerogative del soggetto interdetto. L’amministrazione scrivente infatti […] ha avuto lo scopo di […] attenzionare, a tutela del Conservatorio, che tale persona non era più legittimata a svolgere il ruolo di vertice dell’organizzazione amministrativa con le correlate prerogative di direzione e di responsabilità, né a fornire pareri, informazioni o consigli attinenti al suo precedente ruolo; aspetto non equiparabile alla condizione di semplice aspettativa”;

“vi è poi da tenere in debita considerazione che la sentenza [… che ha disposto l’interdizione dai pubblici uffici della reclamante] è datata XX e, nonostante fosse risultato di un patteggiamento, non è stata mai comunicata dalla reclamante a codesta Amministrazione che ne ha preso contezza solo il XX u.s. tramite provvedimento MUR”; “gli atti posti in essere in quel frangente temporale, pur privi della sopravvenuta delegittimazione, rientrano nella fattispecie del “funzionario di fatto” i cui atti efficaci hanno però una limitazione nell’interesse del terzo che, ove leso da uno di questi atti, può insorgere negando il potere di chi li ha emessi”; “i terzi interessati, quali dipendenti del Conservatorio di XX che avevano avuto come figura di riferimento, in quanto Direttore Amministrativo, la reclamante, avevano diritto di conoscere per soppesare autonomamente l’eventualità di far valere l’annullabilità di quegli atti, qualora lesivi, posti in essere da chi non aveva titolo legittimo per perfezionarli”;

“non si è inoltrato il documento [concernente la destituzione della reclamante disposta dal Ministero dell’Università e della Ricerca o la sentenza stessa emessa dal Tribunale di XX], non si è fatto cenno alle fattispecie di reato concretizzatesi, non si è fatto minimo cenno alle pene comminate e patteggiate, con annesso riconoscimento della responsabilità da parte della reclamante, ma soltanto una parte, nemmeno tutta, della pena accessoria utile alla finalità informativa che si riteneva necessario inoltrare per le ragioni già esplicate”.

Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Conservatorio, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che il trattamento dei dati della reclamante nel caso di specie fosse stato effettuato dal predetto Conservatorio in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati” nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a) e c), 6 e 10 del Regolamento e 2-ter e 2-octies del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, il Conservatorio ha presentato una memoria difensiva, dichiarando, in particolare, che:

“una comunicazione eccessivamente “minimizzata” avrebbe potuto dare origine a richieste di chiarimenti, possibilmente aprendo la strada ad un “leakage” di contenuti della sentenza stessa”;

“il contenuto della comunicazione risponde […] a necessità organizzative, amministrative e gestionali dell’Ente, nell’ambito di un obbligo legale ai sensi dell’art. 6, par. 1, lett. c) del GDPR. E rientra altresì nei trattamenti autorizzati dall’art. 10 del GDPR, in quanto chi ha articolato il testo della comunicazione ha soppesato i dettagli di seguito elencati in quanto: il trattamento è effettuato da un soggetto pubblico […]; è necessario per garantire la trasparenza e il corretto funzionamento dell’organizzazione amministrativa; è limitato a soggetti interni legittimati a conoscere il fatto (i dipendenti dell’Ente), nel rispetto dei principi di minimizzazione e limitazione della finalità (art. 5 GDPR)”;

“la comunicazione è stata anticipata integralmente alla [… reclamante], tramite conversazione diretta con la stessa su WhatsApp, nella quale il contenuto dell’email le è stato reso noto e presentato esattamente come poi comunicato al personale interno. La [… reclamante] ha preso visione del testo senza esprimere alcuna contrarietà o riserva alla comunicazione, né ha in alcun modo chiesto di limitarla, modificarla o impedirla, né ha manifestato stupore e/o sorpresa e/o scandalo, e nemmeno ha espresso di disconoscerla. Ciò costituisce un comportamento concludente che, pur non valendo come consenso valido ex art. 10 GDPR (che, come noto, richiede base normativa), deve comunque essere considerato una circostanza esimente e/o, comunque, attenuante rilevante, in quanto: dimostra la buona fede del mittente; conferma l’assenza di sorpresa o pregiudizio nei confronti dell’interessata, con espressa sua compartecipazione ed implicita condivisione di contenuti e finalità; esclude la volontà di arrecare danno o violare la riservatezza di alcuno”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (v. verbale del XX, formalizzatosi con l’accettazione del titolare pervenuta in data XX), il predetto Conservatorio ha dichiarato, in particolare, che:

“alla luce del principio di minimizzazione dei dati, il Conservatorio ha soppesato nel caso di specie tutti gli elementi della fattispecie concreta, che presentava elementi di indubbia e particolare criticità, anche alla luce del contesto ristretto della realtà organizzativa del Conservatorio (circa un centinaio di dipendenti), in cui facilmente si può assistere ad una proliferazione incontrollata di notizie, come già avvenuto nel caso della sospensione della reclamante, quando si era deciso di non comunicare nulla al personale in servizio”.

3. Esito dell’attività istruttoria.

All’esito dell’attività istruttoria, è emerso che, con comunicazione a mezzo e-mail del XX, il Direttore del Conservatorio ha reso noto ad oltre cento dipendenti che la reclamante, che rivestiva in precedenza la posizione di Direttore Amministrativo, era stata destinataria di un provvedimento disciplinare di destituzione da parte del Ministero dell’Università e della Ricerca, specificando come lo stesso originasse dall’irrogazione della pena accessoria dell’interdizione perpetua dai pubblici uffici da parte del Tribunale di XX nell’ambito di un procedimento penale a suo carico.

Tale comunicazione, in base a quanto dichiarato dal Conservatorio anche ai sensi dell’art. 168 del Codice, è stata effettuata per informare i dipendenti che ne sono stati destinatari che la reclamante, per effetto della citata sentenza, risultava sprovvista delle prerogative precedentemente esercitate, nell’ambito della struttura organizzativa del Conservatorio medesimo, sotto il profilo amministrativo, direttivo e funzionale; ciò anche al fine di consentire agli stessi di valutare l’opportunità di far valere l’invalidità degli atti compiuti dalla reclamante nell’arco temporale compreso tra il giorno della sentenza e quello della sua successiva destituzione.

Il titolare del trattamento ha, inoltre, dichiarato che la comunicazione in questione è stata effettuata per confermare al personale la definitività della cessazione del rapporto, nell’ottica di contrastare il proliferare incontrollato di notizie e chiacchiericcio nonché, d’altra parte, di prevenire qualsivoglia equivoco o malinteso, tenuto conto in particolare che la reclamante era venuta a conoscenza della sua interdizione dai pubblici uffici già nei mesi precedenti e aveva purtuttavia continuato ad esercitare le proprie funzioni senza darne notizia.

Al riguardo, si evidenzia in via preliminare che la disciplina di protezione dei dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; art. 2-ter del Codice).

Con specifico riguardo al trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza, si evidenzia che esso può avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati (art. 10 del Regolamento), ossia solo qualora il trattamento sia autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, che riguardi, per quanto in particolare rileva ai fini della questione in esame, “l’adempimento di obblighi e l’esercizio di diritti da parte del titolare o dell’interessato in materia di diritto del lavoro o comunque nell'ambito dei rapporti di lavoro, nei limiti stabiliti da leggi, regolamenti e contratti collettivi, secondo quanto previsto dagli articoli 9, paragrafo 2, lettera b), e 88 del regolamento” (art. 2-octies, commi 1, 3, lett. a), e 5, del Codice).

Il datore di lavoro, quale titolare del trattamento, è tenuto in ogni caso a rispettare i principi in materia di protezione dei dati, fra i quali, in particolare, quelli di “liceità, correttezza e trasparenza”, “minimizzazione dei dati” e “protezione dei dati fin dalla progettazione” e “per impostazione predefinita” (artt. 5, par. 1, lett. a) e c), e 25 del Regolamento).

In tale quadro, l’operazione di “comunicazione” di dati personali a terzi, da parte di soggetti pubblici, è ammessa, anche nel contesto lavorativo, solo al ricorre delle condizioni previste dall’art. 2-ter, commi 1, 1-bis, 2 e 4, par. 1, lett. a), del Codice.

Come da tempo chiarito dal Garante con provvedimenti a carattere generale e decisioni su singoli casi, le pubbliche amministrazioni, anche quando operino in qualità di datori di lavoro, devono adottare le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali da parte di soggetti terzi non autorizzati (cfr. punto 5.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, pubblicate in G.U. 13 luglio 2007, n. 161 e in www.garanteprivacy.it, doc. web n. 1417809). Di regola, infatti, i dati personali dei dipendenti, trattati per finalità connesse alla gestione o, comunque, anche alla cessazione del rapporto di lavoro, non possono essere messi a conoscenza di soggetti diversi da coloro che sono o sono stati parte dello specifico rapporto di lavoro (cfr. definizioni di “dato personale” e “interessato”, contenute nell’art. 4, par. 1, n. 1, del Regolamento), ovvero di coloro che - anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10, del Regolamento - non siano legittimati a trattarli in ragione delle mansioni assegnate e delle scelte organizzative del titolare del trattamento. Diversamente, nessuna violazione della disciplina di protezione dei dati personali può essere riscontrata nelle ipotesi in cui i soggetti, cui fanno capo specifiche mansioni, vengano a conoscenza di dati personali degli interessati, quando sia necessario per lo svolgimento delle funzioni loro attribuite.

Al datore di lavoro è, in ogni caso, richiesto di limitare l’accessibilità ai dati personali dei dipendenti ai soli soggetti che effettivamente ne necessitino in ragione delle funzioni esercitate all’interno dell’organizzazione del titolare e di ciascuna singola unità o struttura organizzativa nonché di evitare ogni occasione di superflua e ingiustificata conoscibilità dei dati da parte di soggetti non autorizzati. In tal senso, per quanto in particolare rileva ai fini del caso oggetto di reclamo, si evidenzia che - come chiarito dal Garante all’interno delle predette Linee Guida - “il datore di lavoro deve adottare particolari cautele anche nelle trasmissioni di informazioni personali che possono intervenire tra i medesimi incaricati o responsabili nelle correnti attività di organizzazione e gestione del personale [… ed] evitare, in linea di principio, di fare superflui riferimenti puntuali a particolari condizioni personali riferite a singoli dipendenti […] selezionando le informazioni di volta in volta indispensabili, pertinenti e non eccedenti” (cfr. spec. punti 5.1 delle predette Linee Guida).

A tali principi è stata data applicazione dal Garante con orientamento consolidato, in relazione a fattispecie varie e tra loro diversificate, in numerosi casi concreti (cfr., tra i tanti, provv.ti 27 febbraio 2025, n.  101, doc. web n. 10123227; 27 febbraio 2025, n. 92, doc. web n. 10114763; 3 febbraio 2025, n. 70, doc. web n. 10118395; 30 gennaio 2025, n. 36, doc. web n. 10112750; 26 settembre 2024, n. 606, doc. web n. 10068155; 1° giugno 2023, n. 223, doc. web n. 9916798; 23 marzo 2023, n. 82, doc. web n. 9885151; 23 febbraio 2023, n. 43, doc. web n. 9868646; 16 settembre 2021, n. 322, doc. web n. 9711517; 27 maggio 2021, n. 214, doc. web. 9689234; 18 giugno 2020, n. 105, doc. web n. 9444865; 24 marzo 2022, n. 98, doc. web n. 976305; 11 febbraio 2021, n. 50, doc. web n. 9562866; 31 luglio 2014, n. 392, doc. web n. 3399423; 3 ottobre 2013, n. 431, doc. web 2747867; 8 maggio 2013, n. 232, doc. web n. 2501216; 18 ottobre 2012, n. 296, doc. web n. 2174351 e n. 297, doc. web n. 2174582).

Quanto al caso di specie, si rileva che la specificazione in ordine al fatto che la reclamante è stata destinataria della pena accessoria dell’interdizione dai pubblici uffici, che ha comportato la sua destituzione dall’incarico ricoperto, è stata oggetto di “comunicazione” a soggetti che, in ragione del ruolo rivestito, delle mansioni svolte nonché delle prerogative esercitate all’interno dell’organizzazione del Conservatorio, non potevano ritenersi tutti legittimati ad accedervi. Ciò in quanto, nel caso di specie, la finalità di trattamento poteva essere utilmente perseguita anche omettendo qualsiasi riferimento alla pena accessoria dell’interdizione perpetua dai pubblici uffici disposta dal Tribunale di XX e al conseguente provvedimento di destituzione disposto dal Ministero dell’Università e della Ricerca, quali informazioni direttamente ed inequivocabilmente afferenti all’accertamento giudiziale della commissione di uno più reati da parte della reclamante e in quanto tali configurabili alla stregua di dati relativi a condanne penali o reati ai sensi dell’art. 10 del Regolamento.

Al riguardo, infatti, come evidenziato anche dalla Corte di Giustizia dell’Unione Europea, “le informazioni relative ad un procedimento giudiziario a carico di una persona fisica, come quelle riferentisi all’apertura di un’indagine o al processo, ed eventualmente alla condanna che ne è risultata, costituiscono dati relativi alle «infrazioni» e alle «condanne penali» ai sensi dell’articolo 8, paragrafo 5, primo comma, della direttiva 95/46 e dell’articolo 10 del regolamento 2016/679, e ciò indipendentemente dal fatto che, nel corso di tale procedimento giudiziario, sia stata effettivamente dimostrata o meno la commissione del reato per il quale la persona era perseguita” (sent. C 136/17, “GC e a. contro Commission nationale de l'informatique et des libertés (CNIL)”, Grande Sezione, 24 settembre 2019). Le informazioni relative alla commissione di reati o a procedimenti penali, che interessano una persona fisica, costituiscono, pertanto, ai fini della normativa in materia di protezione dei dati personali, “dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza” ai sensi e per gli effetti di cui all’art. 10 del Regolamento, senza che rilevi la circostanza che tali informazioni non contengano riferimenti espressi agli specifici reati commessi (v., sul punto, provv.ti 24 marzo 2022, n. 97, doc. web n. 9760883, e 10 marzo 2022, n. 82, doc. web n. 9761383, nonché provv.ti ivi citati).

Sebbene dalle dichiarazioni del Conservatorio emerga che i predetti destinatari dell’e-mail dovessero essere resi edotti di questioni che, per propria natura, erano destinate ad avere un impatto sull’assetto organizzativo del Conservatorio medesimo o che comunque potevano determinare la nullità degli atti medio tempore posti in essere dalla reclamante nell’esercizio del ruolo dal quale è stata poi destituita, deve ritenersi che il Conservatorio avrebbe dovuto perseguire la medesima finalità, anche nel rispetto del principio di “minimizzazione dei dati” (art. 5, par. 1, lett. c), del Regolamento), riportando nella comunicazione esclusivamente le informazioni necessarie, senza specificare i dettagli sopra richiamati e afferenti, in particolare, ai dati personali di natura penale dell’interessata. Ciò ad esempio, limitandosi a rappresentare che l’incarico doveva ritenersi cessato a far data da uno specifico giorno, dando evidenza delle sole conseguenze di tale circostanza sul piano amministrativo, senza alcun riferimento alle ragioni sottese alla cessazione del rapporto, a nulla rilevando il dichiarato “particolare ed equivoco contesto di rapporto relazionale instaurato da questa con il Conservatorio ed il personale di riferimento” (v. memorie difensive del XX).

Tanto, anche tenuto conto dei possibili rischi per i diritti e le libertà dell’interessata nel contesto di una vicenda tanto delicata, nel rispetto di quanto nel tempo chiarito dal Garante in merito al fatto che devono essere selezionate e impiegate modalità di trasmissione delle informazioni di servizio che ne garantiscano la ricezione e il relativo trattamento da parte dei soli uffici o strutture organizzative competenti e del solo personale autorizzato.

Tale impostazione avrebbe, infatti, ugualmente assicurato ai dipendenti destinatari della comunicazione, ricorrendone i presupposti alla luce della disciplina amministrativa applicabile ed avvalendosi degli specifici istituti previsti dalla legge anche relativi all’accessibilità dei documenti amministrativi, la facoltà di “soppesare autonomamente l’eventualità di far valere l’annullabilità di quegli atti, qualora lesivi, posti in essere da chi non aveva titolo legittimo per perfezionarli”, ossia, appunto, la reclamante (cfr. nota del XX), in pari tempo evitando di dare corso a forme indebite di circolazione nel contesto lavorativo di informazioni particolarmente delicate, quali quelle di rilievo penale che hanno interessato la reclamante medesima. Né, in tale quadro, rileva, ai fini del caso di specie, che la Dirigenza del Ministero dell’Università e della Ricerca avesse omesso di indicare la dicitura “riservato” nella comunicazione relativa alla trasmissione del provvedimento di destituzione, considerato che spetta in ogni caso al Conservatorio, nell’ottica della “responsabilizzazione” (art. 5, par. 2, del Regolamento), assicurare il rispetto dei principi di protezione dei dati ed essere in grado di comprovarlo con riguardo alle ulteriori operazioni di trattamento poste in essere nell’ambito della propria realtà organizzativa e per le finalità da esso perseguite.

Né, in un’analoga prospettiva, risulta sostenibile l’affermazione per cui la predetta comunicazione e-mail fosse preordinata ad assicurare la “tutela dell’interesse legittimo dei lavoratori del Conservatorio, i quali, in assenza di tale informazione, avrebbero potuto maturare erronee aspettative circa l’operatività e le prerogative del soggetto interdetto”, posto che la base giuridica dell’interesse legittimo non può di regola trovare applicazione “al trattamento di dati effettuato dalle autorità pubbliche” (cfr. art. 6, par. 1, lett. f), del Regolamento).

Ancora, per le medesime ragioni, non è sufficiente a giustificare il riferimento espresso alla condanna penale a carico della reclamante neppure la dichiarata circostanza che una comunicazione priva di tali dettagli avrebbe verosimilmente provocato molteplici “richieste di chiarimenti”, altresì “aprendo la strada ad un “leakage” di contenuti della sentenza stessa” (v. memorie difensive del XX), non potendo il rischio di una divulgazione incontrollata di notizie essere contrastato proprio con la scelta consapevole di divulgare queste stesse informazioni; ciò anche tenuto conto, peraltro, che, in genere, nei contesti lavorativi, la circolazione di informazioni ben può essere occasionata o alimentata da iniziative individuali e dinamiche interpersonali occorse nell’ambito di relazioni non riconducibili alla responsabilità del titolare o ad una sua autonoma determinazione, al contrario di quanto invece è avvenuto nel caso di specie, ove l’iniziativa è stata assunta proprio dal Conservatorio.

Più in generale, diversamente da quanto affermato dal Conservatorio, per cui l’assenza di obblighi normativi di diffusione delle informazioni in questione “non esclude che l’Amministrazione possa esercitare una facoltà discrezionale – e dunque un diritto – di procedere alla diffusione, qualora ne sussistano le condizioni, valutando attentamente le circostanze del caso concreto”, né, dunque, a maggior ragione esclude la possibilità di procedere ad una comunicazione dei dati medesimi ad un novero di soggetti individuati, quali i dipendenti del Conservatorio (cfr. nota del XX), si fa presente quanto segue.

Nel prevedere che “la base su cui si fonda il trattamento dei dati di cui al[l’art. 6,] paragrafo 1, lettere c) ed e), deve essere stabilita: a) dal diritto dell'Unione; o b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento” (art. 6, par. 3, del Regolamento; v. anche art. 2-ter del Codice), in ambito pubblico la disciplina di protezione dei dati esclude di regola che una lacuna normativa possa ritenersi sufficiente a giustificare il trattamento di dati personali nell’esercizio di dichiarati diritti o facoltà che non rinvengano alcun fondamento positivo nell’ordinamento giuridico e richiede invece di valutare di volta in volta la sussistenza o meno, entro la cornice normativa di riferimento, di una disposizione espressa che prevede e disciplina il trattamento.

Per le ragioni che precedono, la comunicazione ad oltre un centinaio di dipendenti dei dati afferenti alla vicenda penale che ha interessato la reclamante e alla conseguente sua destituzione dall’incarico rivestito risulta essere stata effettuata dal Conservatorio in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati” nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a) e c), 6 e 10 del Regolamento e 2-ter e 2-octies del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Conservatorio “XX” di XX, per aver trattato dati personali della reclamante, in violazione degli artt. 5, par. 1, lett. a) e c), 6 e 10 del Regolamento e 2-ter e 2-octies del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5, par. 1, lett. a) e c), 6 e 10 del Regolamento e 2-ter e 2-octies del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

la vicenda in questione ha riguardato una sola interessata e ha rappresentato, ad ogni modo, un evento a carattere isolato; inoltre, in base alle dichiarazioni rese dal Conservatorio ai sensi dell’art. 168 del Codice, il contenuto della comunicazione e-mail del XX, indirizzata al personale del Conservatorio, era stato preventivamente reso noto in via informale alla reclamante, che in tale occasione non aveva manifestato contrarietà o particolari riserve (art. 83, par. 2, lett. a), del Regolamento);

la violazione presenta carattere colposo, essendo la comunicazione stata trasmessa al fine di consentire ai dipendenti che ne sono stati destinatari di valutare l’opportunità di far valere l’invalidità degli atti compiuti dalla reclamante nell’arco temporale compreso tra il giorno della sentenza e quello della sua successiva destituzione nonché nell’ottica di contrastare il proliferare incontrollato di notizie e chiacchiericcio (art. 83, par. 2, lett. b), del Regolamento);

il trattamento, ancorché non abbia riguardato dati particolari appartenenti alle categorie particolari di cui all’art. 9 del Regolamento, ha avuto ad oggetto informazioni comunque afferenti alla condanna penale adottata dal Tribunale di XX nei confronti della reclamante (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il titolare ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal titolare (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila/00) per la violazione degli artt. 5, par. 1, lett. a) e c), 6 e 10 del Regolamento e 2-ter e 2-octies del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che la comunicazione, effettuata in assenza di un’idonea base giuridica, è stata indirizzata ad oltre cento individui e ha riguardato un dato relativo ad una condanna penale della reclamante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Conservatorio “XX” di XX per violazione degli artt. 5, par. 1, lett. a) e c), 6 e 10 del Regolamento e 2-ter e 2-octies del Codice, nei termini di cui in motivazione;

ORDINA

al Conservatorio “XX” di XX, in persona del legale rappresentante pro-tempore, con sede legale in XX - XX, C.F. XX, di pagare la somma di euro 5.000,00 (cinquemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Conservatorio, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 5.000,00 (cinquemila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori