E-mail “in chiaro” a dipendenti e sindacati, il Garante Privacy ammonisce una scuola per aver diffuso gli indirizzi di posta elettronica personali

Basta un semplice clic nel campo sbagliato del client di posta elettronica per trasformare una comunicazione di routine in una violazione della privacy. È quanto accaduto ad un Istituto Omnicomprensivo pugliese, recentemente finito sotto la lente del Garante per la protezione dei dati personali per aver inviato una e-mail istituzionale lasciando visibili a tutti i destinatari gli indirizzi di posta elettronica personali.

Il caso: e-mail “in chiaro” a dipendenti e sindacati

La vicenda ha inizio a seguito del reclamo presentato da un lavoratore del personale tecnico-amministrativo dell’istituto. Il dipendente ha segnalato che la scuola ha trasmesso via e-mail una circolare relativa alle imminenti elezioni delle RSU (previste per il 14-15-16 aprile 2025) a 43 lavoratori ATA e a 7 sigle sindacali.

L’errore formale è stato semplice quanto comune: anziché inserire i contatti nel campo della “copia conoscenza nascosta” (CCN), gli indirizzi e-mail privati dei destinatari sono stati inseriti in chiaro nel campo dei destinatari principali (“A:”). In questo modo, ciascun ricevente è venuto a conoscenza degli indirizzi privati di tutti gli altri colleghi e rappresentanti sindacali.

La difesa della scuola: stress da dimensionamento

Chiamata a fornire chiarimenti dall’Autorità, la scuola ha ammesso l’errore, definendolo una “svista materiale e non intenzionale” dovuta a un momento di forte sovraccarico operativo.

L’istituto ha spiegato che l’episodio si è verificato in un contesto di “significativo dimensionamento della rete scolastica”, che ha comportato un’improvvisa riorganizzazione interna degli uffici amministrativi, un aumento considerevole dei carichi di lavoro e un forte stress per il personale. Inoltre, l’invio alle caselle personali (anziché a quelle istituzionali fornite dal Ministero dell’Istruzione e del Merito) è stato motivato dall’estrema urgenza della comunicazione e dal fatto che molti dipendenti avevano espressamente richiesto (in via informale) di ricevere le comunicazioni sul proprio indirizzo privato, che monitorano con maggiore frequenza rispetto a quello ministeriale.

Il verdetto del Garante: violazione sì, ma “minore”

Nel provvedimento n. 521 del 14 luglio 2026, il Garante ha analizzato attentamente le memorie difensive dell’istituto.

L’Autorità ha innanzitutto fatto cadere l’ipotesi di una violazione dei dati sensibili (come l’appartenenza sindacale, tutelata dall’art. 9 del GDPR). Poiché la circolare era rivolta indistintamente a tutta la platea dei potenziali elettori ATA e non a un gruppo ristretto di iscritti o candidati di sigle sindacali, non era possibile dedurre l’orientamento o l’iscrizione sindacale dei singoli dipendenti.

Tuttavia, il Garante ha confermato l’illiceità del trattamento per quanto riguarda la diffusione ingiustificata degli indirizzi e-mail personali in assenza di idonea base giuridica, violando i principi di liceità, correttezza e trasparenza.

Niente sanzione pecuniaria, ma scatta l’ammonizione

Considerando l’episodio come del tutto isolato e privo di precedenti, il Garante ha deciso di qualificare l’accaduto come una “violazione minore”. Tra i fattori che hanno risparmiato alla scuola una multa vi sono stati:

• La natura puramente accidentale ed episodica dell’errore umano;
• L’elevato livello di cooperazione mostrato dalla scuola durante l’istruttoria;
• L’adozione immediata di misure riparatrici e preventive.

La scuola si è infatti attivata per chiedere formalmente a ciascun destinatario di cancellare l’e-mail incriminata dai propri sistemi (richiedendo una conferma scritta dell’avvenuta eliminazione), ha emanato una circolare interna sui doveri di riservatezza e ha organizzato corsi di formazione ad hoc per il personale amministrativo. Per il futuro, l’istituto ha inoltre stabilito che verranno utilizzati esclusivamente gli indirizzi di posta elettronica istituzionali per le comunicazioni interne.