Sanzione del Garante Privacy al Ministero per la gestione dei dati sui licenziamenti ATA

Il Garante per la protezione dei dati personali ha sanzionato il Ministero dell’Istruzione e del Merito, nello specifico l’Ufficio Scolastico Regionale (USR) per la Lombardia, con una multa di 10.000 euro. Il provvedimento è scaturito dalla diffusione non giustificata e non necessaria di dati personali relativi al licenziamento disciplinare di una dipendente del personale ATA, comunicati tramite posta elettronica a una platea di destinatari considerata eccessivamente ampia.

L'amministrazione aveva inviato la comunicazione a tutti gli uffici scolastici regionali, agli istituti scolastici statali dell'ambito territoriale e a vari uffici amministrativi. Secondo l'Autorità, tale condotta ha violato i principi fondamentali di liceità, correttezza e trasparenza previsti dal Codice in materia di protezione dei dati personali (D.lgs. 196/2003). L'istruttoria ha evidenziato come non esistesse alcuna base giuridica specifica che obbligasse l'Ufficio procedimenti disciplinari a informare preventivamente l'intera rete scolastica sulla causa specifica del licenziamento.

Il principio di minimizzazione dei dati e la tutela della riservatezza

L'Autorità ha chiarito che, per gli adempimenti amministrativi ordinari — come ad esempio l'aggiornamento delle graduatorie o la gestione dei contratti — sarebbe stata sufficiente la sola comunicazione della cessazione del rapporto di lavoro. Non vi era alcuna necessità operativa che imponesse la divulgazione della causa disciplinare a soggetti non direttamente coinvolti nella gestione del singolo caso.

La condotta dell'amministrazione è stata definita colposa, e la sanzione è stata parametrata considerando che la violazione ha riguardato un singolo soggetto e che l'ente ha collaborato durante l'istruttoria, sospendendo la prassi contestata. Il provvedimento si inserisce in un solco di giurisprudenza già consolidato: nel 2018, il Garante aveva già sanzionato il Miur Lombardia-Bergamo per una condotta analoga, ovvero la pubblicazione sul sito istituzionale di note relative al licenziamento di un dipendente per "persistente insufficiente rendimento". In quell'occasione, l'Autorità aveva ribadito con forza che la pubblicazione online di dati personali può avvenire unicamente quando espressamente prevista da una norma di legge o di regolamento.

Autonomia delle scuole e responsabilità dei titolari del trattamento

Un punto cruciale emerso dal provvedimento riguarda lo status giuridico delle istituzioni scolastiche. Sebbene facciano parte del sistema nazionale, le scuole sono considerate autonomi titolari del trattamento dei dati personali. Ciò significa che ogni istituto ha la responsabilità diretta di gestire i dati dei propri dipendenti e di valutare criticamente la base giuridica delle informazioni ricevute dagli enti superiori.

La scuola non è un mero ricevitore passivo, ma un soggetto che deve garantire la massima riservatezza sui dati sensibili del personale. L'USR Lombardia aveva inizialmente giustificato la comunicazione di massa con la necessità di prevenire che la lavoratrice potesse inserirsi nuovamente nelle graduatorie senza dichiarare il precedente licenziamento. Tuttavia, il Garante ha ribadito che la normativa di settore prevede già controlli specifici sui requisiti dei candidati e modalità di dichiarazione dei requisiti, rendendo superflua la diffusione indiscriminata della causa disciplinare.

Cosa cambia concretamente per uffici scolastici e dirigenti

Il provvedimento determina un immediato cambio di gestione nelle comunicazioni amministrative tra Ministero, USR e istituti scolastici. Per i dirigenti e i responsabili degli uffici, le implicazioni operative sono le seguenti:

• Divieto di comunicazioni "di massa": Gli uffici scolastici e regionali non possono più inviare comunicazioni contenenti il motivo specifico del licenziamento (causa disciplinare) a tutti gli uffici e scuole del territorio.
• Limitazione delle informazioni: Per fini amministrativi, come l'aggiornamento delle graduatorie, è sufficiente comunicare la cessazione del rapporto di lavoro. La causa disciplinare deve essere trattata con massima riservatezza.
• Verifica della base giuridica: Le scuole devono prestare attenzione alla ricezione di informazioni dal Ministero, verificandone la necessità e la base normativa prima di procedere a qualsiasi trattamento o diffusione interna.
• Sospensione immediata delle prassi: L'USR Lombardia ha già provveduto a sospendere la prassi di comunicazione preventiva della causa disciplinare alla platea ampia.

In sintesi, la comunicazione della causa disciplinare deve essere limitata esclusivamente ai soggetti strettamente necessari per l'adempimento di un obbligo di legge, evitando ogni forma di diffusione che possa ledere il diritto alla riservatezza del lavoratore.

Azioni pratiche per il personale scolastico e le segreterie

Per evitare sanzioni analoghe, le segreterie scolastiche e gli uffici amministrativi devono adottare un approccio di minimizzazione dei dati. In caso di ricezione di comunicazioni dal Ministero o dagli enti regionali riguardanti il personale, occorre verificare se il contenuto contenga informazioni non strettamente necessarie alla gestione del servizio. Se la comunicazione riguarda un licenziamento, è opportuno trattare il dato relativo alla causa disciplinare come riservato, limitandone la conoscenza ai soli uffici coinvolti nel processo di gestione del personale o nelle graduatorie di competenza.

Sebbene non sia ancora chiaro se il Ministero abbia avviato una revisione strutturale delle circolari a livello nazionale, la sospensione della prassi da parte dell'USR Lombardia funge da segnale forte per tutti gli uffici scolastici italiani. È fondamentale che le scuole si adeguino tempestivamente alle indicazioni del Garante per garantire la conformità del trattamento dei dati personali dei dipendenti.

Per approfondimenti sulla normativa vigente, è possibile consultare il precedente istituzionale del Garante Privacy relativo a casi simili di pubblicazione illecita di dati personali.