Il Garante per la protezione dei dati personali ha emesso un provvedimento di ammonimento nei confronti dell'Istituto Omnicomprensivo Scuola Europea di Brindisi, a seguito di una violazione della normativa sulla privacy verificatasi nell'aprile 2025. L'episodio, pur essendo stato classificato dall'Autorità come una violazione minore, evidenzia criticità strutturali nella gestione delle comunicazioni istituzionali e nella tutela dei dati dei lavoratori del personale tecnico-amministrativo (ATA).
Il fatto scatenante è stato l'invio di una comunicazione ufficiale relativa alle elezioni delle Rappresentanze Sindacali Unitarie (RSU). L'istituto ha coinvolto 43 lavoratori del personale ATA e 7 organizzazioni sindacali, ma ha commesso un errore tecnico fondamentale: gli indirizzi di posta elettronica personali dei destinatari sono stati inseriti in chiaro nel campo "A:" della mail, anziché essere gestiti tramite la funzione di copia conoscenza nascosta (CCN).
Questa svista ha permesso a ogni singolo destinatario di visualizzare gli indirizzi privati di tutti gli altri colleghi e dei rappresentanti sindacali coinvolti. La cronologia degli eventi mostra come il Garante abbia agito tempestivamente a seguito di un reclamo presentato da un lavoratore del personale ATA, richiedendo informazioni ufficiali all'istituto il 20 gennaio 2026 per accertare la natura dell'accaduto.
L'iter del provvedimento e le basi normative della violazione
Il provvedimento definitivo, identificato come Provvedimento n. 521 del 14 luglio 2026 (Registro provvedimenti n. 10286342), ha confermato che la condotta della scuola ha violato diversi pilastri del Regolamento (UE) 2016/679 (GDPR), in particolare gli articoli 5, 6 e 9, oltre all'art. 2-ter del Codice Privacy (D.Lgs. 196/2003).
Nonostante la gravità della mancata protezione dei dati, il Garante ha precisato che non vi è stata violazione dei dati sull'appartenenza sindacale (art. 9 GDPR). Tale esclusione è dovuta al fatto che la circolare era rivolta indistintamente a tutti i potenziali elettori e non a un gruppo ristretto di iscritti.
L'Autorità ha riconosciuto la natura accidentale dell'errore umano e l'assenza di precedenti violazioni pertinenti da parte dell'istituto, motivo per cui ha scelto di non applicare sanzioni pecuniarie, limitandosi all'ammonimento formale. Il Garante ha già sanzionato in passato istituti per la diffusione di indirizzi email privati su bacheche fisiche o siti web, confermando la linea di tutela del dato personale anche in contesti di comunicazione pubblica o istituzionale.
Le giustificazioni dell'istituto e il contesto operativo
L'Istituto Omnicomprensivo Scuola Europea di Brindisi ha ammesso la svista materiale e non intenzionale, fornendo spiegazioni che riflettono le difficoltà quotidiane di molte strutture scolastiche. La scuola ha giustificato l'errore con un significativo dimensionamento della rete scolastica, che ha comportato riorganizzazioni improvvise e un forte aumento dei carichi di lavoro per il personale amministrativo.
In questo scenario di stress operativo, l'uso delle caselle personali è stato motivato dall'urgenza e dalla preferenza espressa informalmente dai dipendenti, i quali spesso monitorano meno frequentemente le caselle istituzionali fornite dal Ministero. Tuttavia, il Garante ha ribadito che tali ragioni non esentano dalla responsabilità del titolare del trattamento.
La scuola, in risposta al provvedimento, ha già avviato un piano di formazione specifica per il personale amministrativo e ha emanato una circolare interna sui doveri di riservatezza. L'istituto ha inoltre stabilito l'uso esclusivo delle mail istituzionali per le comunicazioni interne a partire dal momento del provvedimento.
Cosa cambia concretamente per il personale e la gestione scolastica
Il provvedimento del Garante delinea una linea di condotta rigorosa che deve essere adottata da tutte le scuole per evitare sanzioni più severe in futuro. Per il personale ATA e amministrativo, è vietato fornire indirizzi email personali per comunicazioni di servizio o istituzionali; deve essere utilizzata esclusivamente la casella di posta elettronica istituzionale fornita dal Ministero.
Per i dirigenti scolastici, l'obbligo principale è quello di garantire che le comunicazioni di massa utilizzino la funzione CCN e che il personale sia adeguatamente formato sulle procedure di trattamento dei dati. In termini pratici, la scuola deve ora assicurarsi che ogni invio di massa sia verificato da un responsabile della privacy o da un referente interno che controlli la corretta impostazione dei campi dei destinatari.
| Elemento di Riferimento | Dettaglio del Provvedimento |
|---|---|
| Soggetto Ammonito | Istituto Omnicomprensivo Scuola Europea di Brindisi |
| Data Violazione | Aprile 2025 |
| Numero Destinatari | 43 lavoratori ATA e 7 organizzazioni sindacali |
| Tipo di Violazione | Diffusione di indirizzi email personali in chiaro (campo "A:") |
| Riferimento Normativo | GDPR (Reg. UE 2016/679) e Codice Privacy (D.Lgs. 196/2003) |
| Esito Autorità | Ammonimento (Provvedimento n. 521 del 14 luglio 2026) |
In sintesi, il caso evidenzia come la gestione delle comunicazioni interne debba essere standardizzata per proteggere la sfera privata dei lavoratori. L'uso delle caselle personali, sebbene possa apparire più rapido o immediato in contesti di urgenza, rappresenta un rischio legale significativo per l'istituto scolastico. La scuola deve quindi promuovere una cultura della cyber-security e della privacy che non lasci spazio a "sviste materiali", garantendo che ogni dato personale sia trattato secondo i più alti standard di riservatezza previsti dalla normativa vigente.
Per approfondire i dettagli tecnici del provvedimento, è possibile consultare il registro dei provvedimenti del Garante Privacy, dove sono riportate le specifiche motivazioni dell'Autorità.
Azioni correttive immediate per le scuole
- Verifica sistematica delle impostazioni di invio per ogni comunicazione di massa.
- Utilizzo obbligatorio della funzione CCN (Copia Conoscenza Nascosta) per le comunicazioni a più destinatari.
- Divieto assoluto di inserire indirizzi email privati dei dipendenti in comunicazioni istituzionali.
- Aggiornamento dei protocolli interni sulla gestione delle comunicazioni elettroniche.
L'istituto di Brindisi ha già avviato la richiesta di cancellazione dei dati ai destinatari interessati, un passaggio fondamentale per mitigare gli effetti della violazione già avvenuta.
FAQs
Privacy e gestione delle comunicazioni scolastiche: il Garante ammonisce un istituto per la diffusione di email personali ATA
L'istituto ha violato il GDPR e il Codice Privacy inviando una comunicazione relativa alle elezioni RSU inserendo gli indirizzi email personali di 43 lavoratori ATA e 7 sindacati nel campo "A:" invece di usare la copia conoscenza nascosta (CCN). Questo errore ha permesso a tutti i destinatari di visualizzare i dati privati degli altri colleghi.
No, il Garante ha deciso di non applicare sanzioni pecuniarie poiché ha riconosciuto la natura accidentale e non intenzionale dell'errore umano. Il provvedimento n. 521 del 14 luglio 2026 si limita a un ammonimento formale a causa della mancanza di precedenti violazioni pertinenti.
Il Garante ha stabilito che la circolare era rivolta indistintamente a tutti i potenziali elettori e non a un gruppo ristretto di iscritti. Di conseguenza, la diffusione degli indirizzi non ha esposto informazioni sensibili specifiche sull'appartenenza sindacale dei singoli lavoratori.
I dirigenti devono garantire che le comunicazioni di massa utilizzino esclusivamente la funzione CCN e che il personale amministrativo sia formato sulle procedure di trattamento dati. È inoltre vietato l'uso di email personali per comunicazioni istituzionali, dovendo essere utilizzate solo le caselle fornite dal Ministero.
