Con il provvedimento 610/2026 il Garante chiarisce che anche un errore della segreteria è un trattamento illecito, e ricorda la separazione tra dati del personale e dati delle famiglie
Inviare a un indirizzo sbagliato una comunicazione sull’assenza di una docente è un trattamento illecito di dati personali, anche quando all’origine c’è una semplice svista della segreteria. Lo ha stabilito il Garante per la protezione dei dati personali con il provvedimento n. 610 del 3 settembre 2026, che ha ammonito un Istituto Comprensivo per la violazione del GDPR. L’Autorità ha però riconosciuto il carattere isolato dell’episodio e le correzioni adottate dalla scuola, qualificando la violazione come minore: nessuna sanzione pecuniaria, solo un ammonimento.
L’errore durante il cambio del gestionale
I fatti risalgono al 30 novembre 2024. L’ufficio del personale ha inviato una richiesta di giustificazione di un’assenza all’indirizzo e-mail aziendale del marito di un’insegnante, invece che a quello dell’interessata. La docente era anche madre di due alunni dello stesso istituto, quindi i suoi dati erano presenti nei sistemi della scuola sia come dipendente sia come genitore.
All’inizio l’errore era stato attribuito al trasferimento dei dati da un gestionale all’altro. Le verifiche tecniche hanno però escluso malfunzionamenti del software: la causa era una svista di un operatore che, durante la migrazione degli archivi, aveva associato al profilo professionale della docente l’indirizzo del coniuge, acquisito in precedenza per le comunicazioni scuola-famiglia. L’Istituto ha parlato di un episodio eccezionale, avvenuto in un periodo di forte carico di lavoro.
Dati del personale e dati delle famiglie vanno tenuti separati
Per il Garante, il fatto che il destinatario fosse il marito non rendeva lecita la trasmissione. Il coniuge era estraneo al rapporto di lavoro e quindi un terzo non autorizzato a conoscere quelle informazioni.
L’Autorità ha ricordato che le scuole, in quanto titolari del trattamento, devono adottare misure tecniche e organizzative adeguate a garantire la riservatezza dei dati. Attenzione particolare va riservata ai casi in cui la stessa persona è al tempo stesso dipendente e genitore di alunni iscritti: serve una rigorosa separazione funzionale tra le informazioni raccolte per gestire il rapporto di lavoro e quelle acquisite per le attività rivolte alle famiglie. I recapiti forniti per le comunicazioni scuola-famiglia non possono quindi essere usati automaticamente per la gestione del personale, e viceversa.
Formazione e controlli per prevenire gli errori
Il provvedimento sottolinea anche l’importanza della formazione del personale amministrativo e della buona conoscenza degli applicativi. Quando i gestionali contengono dati di persone con ruoli diversi, secondo il Garante servono accorgimenti operativi e controlli rigorosi per ridurre il rischio di associazioni sbagliate tra dati e destinatari.
Nel caso esaminato la scuola aveva già bonificato gli archivi anagrafici e stabilito che le comunicazioni di lavoro fossero inviate solo agli indirizzi istituzionali dei dipendenti. Aveva inoltre introdotto una verifica manuale obbligatoria per il personale che è anche genitore. Misure valutate favorevolmente dall’Autorità, ma non sufficienti a escludere l’illiceità del trattamento già avvenuto.
Ammonimento senza sanzione pecuniaria
Nel determinare la misura correttiva, il Garante ha considerato il carattere isolato della violazione, la natura non particolare dei dati comunicati, l’assenza di precedenti analoghi, la collaborazione dell’Istituto durante l’istruttoria e le iniziative per prevenire nuovi incidenti. La condotta è stata così qualificata come violazione minore, con ammonimento ai sensi dell’art. 58, paragrafo 2, lettera b), del GDPR.
Cosa devono fare le scuole
La decisione richiama l’attenzione delle istituzioni scolastiche sulla gestione delle anagrafiche e sull’uso dei software amministrativi, soprattutto durante le migrazioni tra sistemi diversi. Anche un errore involontario può tradursi in una comunicazione illecita di dati personali quando procedure e controlli non sono adeguati a prevenirlo.
Le immagini presenti su questo sito sono tutte libere da copyright o generate con tecnologia AI
Segui il nostro canale
Segui la nostra pagina
Segui il nostro Canale
Segui il nostro Canale
👉 YOUTUBE
Segui il nostro Canale
👉 TELEGRAM
