Introduzione
Con Provvedimento del 3 settembre 2026, il Garante per la protezione dei dati personali torna su un tema che coinvolge quotidianamente le amministrazioni scolastiche: la gestione dei dati di chi è, al tempo stesso, dipendente e genitore di alunni della medesima istituzione.
La vicenda
Una docente in servizio presso un istituto comprensivo, madre di due alunni iscritti allo stesso istituto, ha proposto reclamo al Garante. Nel novembre 2024, l’ufficio del personale aveva inviato una richiesta di giustificazione di un’assenza dal servizio all’indirizzo e-mail aziendale del marito, anziché a quello della reclamante.
L’istituto ha ricostruito l’accaduto nel corso dell’istruttoria. Una prima ipotesi di malfunzionamento del software è stata esclusa, anche grazie al confronto con il fornitore. L’evento è stato ricondotto a un errore umano, commesso dal personale di segreteria durante la migrazione dei dati da un sistema gestionale a un altro. La sovrapposizione delle schede anagrafiche aveva portato ad associare al profilo professionale della dipendente l’indirizzo del coniuge, già presente negli archivi perché fornito dalla famiglia per le sole comunicazioni scuola-famiglia.
L’istituto ha inoltre rappresentato di aver avviato una bonifica dei database, di aver fornito riscontro alla docente con le proprie scuse e di aver impartito disposizioni vincolanti. Le comunicazioni lavorative devono avvenire esclusivamente tramite l’indirizzo istituzionale, con verifica manuale obbligatoria dei destinatari per il personale che sia anche genitore, escludendo ogni automatismo.
In sede difensiva, il titolare ha sostenuto che l’evento non avesse prodotto conseguenze pregiudizievoli concrete e che la violazione fosse imputabile a colpa lievissima, aggravata da un contesto organizzativo eccezionale.
Il quadro normativo applicato
Il Garante ha ricordato che, nel contesto lavorativo, il trattamento da parte di un soggetto pubblico è lecito se necessario alla gestione del rapporto di lavoro e all’adempimento di obblighi di legge, ovvero all’esecuzione di un compito di interesse pubblico (artt. 6, par. 1, lett. c) ed e), e 88 GDPR). Il datore di lavoro, tuttavia, deve in ogni caso rispettare i principi di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), GDPR), unitamente agli obblighi di adottare misure tecniche e organizzative adeguate al rischio (artt. 24 e 32 GDPR).
Mettere i dati a disposizione di un soggetto che non ha titolo a trattarli integra una comunicazione a un “terzo” ai sensi dell’art. 4, par. 1, n. 10), GDPR. In assenza di idonea base giuridica, tale comunicazione è illecita, anche alla luce dell’art. 2-ter del Codice privacy. Il coniuge della docente, pur legato a lei da un rapporto familiare, era estraneo al rapporto di lavoro e, dunque, terzo non autorizzato ad accedere a quelle informazioni.
Il principio di separazione funzionale delle finalità
Il profilo di maggiore interesse sul piano sistematico è il richiamo del Garante alla necessità di una rigorosa separazione, anche organizzativa, tra le finalità perseguite dall’istituto come datore di lavoro e quelle perseguite come istituzione scolastica. I dati raccolti per una finalità non devono confluire, per errore o per automatismo, nell’altra.
L’indirizzo e-mail del coniuge era stato fornito per le comunicazioni scuola-famiglia, finalità del tutto distinta dalla gestione del rapporto di impiego. Il Garante rileva che la coesistenza dei due ruoli in capo allo stesso interessato è un’ipotesi tutt’altro che infrequente. Essa impone al titolare di prevedere:
- interventi di formazione e sensibilizzazione, efficaci e ripetuti, del personale autorizzato sul funzionamento degli applicativi;
- accorgimenti operativi e verifiche stringenti, volti a minimizzare il rischio di sviste ed errori materiali.
L’errore materiale non esclude la violazione
L’Autorità ha dato atto che l’episodio fosse dipeso da una svista in un contesto di difficoltà organizzative legate al passaggio a un nuovo gestionale. Ha, tuttavia, concluso che tali circostanze non valgono a escludere l’illiceità del trattamento. L’errore umano è un rischio prevedibile e proprio per questo le misure di cui agli artt. 24 e 32 GDPR devono essere dimensionate per prevenirlo e contenerne gli effetti, soprattutto nelle fasi di migrazione tra sistemi, che aumentano oggettivamente la probabilità di incidenti. Sono state quindi accertate le violazioni degli artt. 5, par. 1, lett. a), 6, 24 e 32 GDPR e dell’art. 2-ter del Codice.
La “violazione minore” e l’ammonimento
Il Garante ha poi valutato la gravità concreta della condotta alla luce dei criteri dell’art. 83, par. 2, GDPR e del considerando 148. Ha considerato, in particolare:
- il carattere isolato dell’episodio, riferito a un’unica interessata;
- l’assenza di categorie particolari di dati (art. 9 GDPR);
- la natura colposa della condotta, dovuta a una svista del personale autorizzato;
- le iniziative adottate per prevenire analoghe violazioni, anche mediante sensibilizzazione del personale;
- la piena cooperazione offerta all’Autorità;
- l’assenza di precedenti violazioni pertinenti.
Sulla base di tali elementi, e richiamando le linee guida WP 253, il Garante ha qualificato il caso come “violazione minore”. Ha ritenuto sufficiente l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, escludendo sanzioni pecuniarie. Poiché la condotta aveva ormai esaurito i suoi effetti, non sono state adottate ulteriori misure correttive.
Indicazioni operative per titolari e responsabili della protezione dei dati
Dal provvedimento si traggono alcune indicazioni di carattere generale, valide per scuole, enti pubblici e imprese.
- Mappare i ruoli multipli degli interessati. Dove una persona sia dipendente, utente e familiare di un utente, occorre prevedere rubriche e anagrafiche distinte per finalità, con contatti dedicati a ciascun contesto.
- Governare le migrazioni tra gestionali. Le fasi di travaso dati vanno presidiate con procedure di validazione, controlli a campione e, se necessario, una valutazione del rischio dedicata, nel rispetto dei principi di privacy by design e by default.
- Prevedere verifiche manuali sui casi sensibili. Per le comunicazioni riguardanti il rapporto di lavoro, è opportuno imporre un controllo del destinatario, evitando automatismi che possano associare indirizzi raccolti per altre finalità.
- Formare il personale in modo continuativo. La formazione degli autorizzati (art. 29 GDPR; art. 2-quaterdecies del Codice) è una misura organizzativa rilevante ai fini dell’accountability e va documentata.
- Cooperare e correggere. Come emerge dalla decisione, la tempestività dell’intervento correttivo e la collaborazione con l’Autorità sono elementi che incidono sensibilmente sulla scelta della misura.
Conclusioni
Il provvedimento ribadisce un principio ormai consolidato: nella disciplina della protezione dei dati rileva l’adeguatezza dell’organizzazione, non la sola colpevolezza del singolo operatore. Un errore materiale, pur privo di conseguenze concrete per l’interessato, può costituire una violazione quando derivi dall’assenza di presidi organizzativi proporzionati al rischio.
