Dipendente ATA licenziata, il provvedimento disciplinare viene inviato via e-mail a scuole e uffici di tutta Italia: il Garante Privacy multa il Ministero

Un’e-mail contrassegnata come “riservata”, ma trasmessa a una vastissima platea di uffici scolastici regionali e istituti del territorio. È l’origine della vicenda esaminata dal Garante per la protezione dei dati personali, che con il provvedimento n. 553 del 23 luglio 2026 ha accertato l’illiceità del trattamento effettuato dal Ministero dell’Istruzione e del Merito – Ufficio Scolastico Regionale per la Lombardia.

A presentare reclamo è stata una dipendente del comparto ATA, dopo che l’Ufficio Procedimenti Disciplinari (UPD) dell’Ufficio Scolastico Territoriale di Monza e Brianza le aveva irrogato la sanzione del licenziamento. La notizia della sanzione è stata poi comunicata via e-mail a tutti gli Uffici Scolastici Regionali d’Italia, alle scuole statali dell’ambito territoriale di Monza e Brianza e agli uffici graduatorie, nomine e pensioni.

Dati personali dettagliati diffusi a una vasta platea

Nella nota inoltrata figuravano il nome, il cognome, la data e il luogo di nascita, la qualifica della lavoratrice, l’espresso riferimento al licenziamento disciplinare e gli estremi di protocollo del provvedimento. Una diffusione di informazioni particolarmente delicate che, messa a disposizione di una platea indistinta di destinatari, è idonea a produrre significativi effetti pregiudizievoli nella sfera personale e professionale dell’interessata.

La difesa dell’Amministrazione scolastica

Durante l’istruttoria, l’Ufficio Scolastico Regionale per la Lombardia ha difeso il proprio operato sostenendo che la comunicazione fosse necessaria per evitare che la dipendente licenziata potesse stipulare nuovi contratti od omettere la sanzione subita all’atto dell’inserimento nelle graduatorie provinciali e d’istituto. Inoltre, l’Amministrazione ha sostenuto che le proprie articolazioni territoriali e le scuole non potessero considerarsi soggetti “terzi”, trattandosi di strutture interne o funzionalmente subordinate alla medesima Amministrazione.

I rilievi del Garante: manca la base giuridica

Tesi respinta dal Garante, che ha chiarito come non esista alcuna disposizione di legge che imponga o autorizzi la comunicazione preventiva e generalizzata dei licenziamenti disciplinari ad altri uffici o scuole. L’Autorità ha precisato che:

• Gli uffici privi di specifiche mansioni di gestione diretta del rapporto sono da considerarsi “terzi” ai fini della normativa sulla privacy.
• Le singole istituzioni scolastiche agiscono quali autonomi titolari del trattamento.
• L’ordinamento prevede già che l’accertamento dei requisiti avvenga tramite dichiarazione sostitutiva dei candidati e successivi controlli dell’Amministrazione, anche a campione.
• Nel rispetto del principio di minimizzazione dei dati, qualora fosse stato necessario aggiornare le anagrafiche, sarebbe bastato comunicare la sola cessazione del rapporto di lavoro, senza precisare la causale disciplinare.

Sanzione e pubblicazione del provvedimento

Constatata la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati (artt. 5 e 6 del GDPR e art. 2-ter del Codice Privacy), il Garante ha inflitto al Ministero dell’Istruzione e del Merito – USR Lombardia una sanzione amministrativa pecuniaria di 10.000 euro.

Nel quantificare l’importo, l’Autorità ha tenuto conto che la condotta ha riguardato una sola lavoratrice, ha avuto carattere colposo ed è stata accompagnata dalla piena cooperazione dell’Amministrazione, che ha sospeso la prassi. Disposta infine la pubblicazione dell’ordinanza sul sito internet del Garante per la delicatezza dei dati trattati e l’impatto sulla sfera privata e professionale della reclamante.