Scuola e privacy, docente assente dal servizio: la scuola invia per errore la mail all’indirizzo aziendale del marito, il Garante ammonisce l’istituto
Un semplice invio di posta elettronica può trasformarsi in un’illecita diffusione di dati personali quando non si garantisce la netta separazione tra ruoli professionali e personali. Il Garante per la protezione dei dati personali, con il provvedimento n. 610 del 3 settembre 2026, ha dichiarato l’illiceità del trattamento effettuato dal un Istituto Comprensivo. La vicenda trae origine dal reclamo presentato da una docente che era al contempo madre di alunni frequentanti la medesima scuola. Il 30 novembre 2024, l’ufficio del personale dell’istituto ha recapitato una richiesta di giustificazione dell’assenza dal servizio della docente all’indirizzo e-mail aziendale del marito, anziché al suo recapito istituzionale.
Il cortocircuito del doppio ruolo: migrazione dati ed errore umano
Inizialmente ipotizzato come un malfunzionamento del software gestionale, l’incidente si è rivelato il frutto di un errore umano di segreteria avvenuto durante una delicata fase di migrazione da un vecchio a un nuovo sistema informatico. L’operatore, a causa della sovrapposizione delle schede anagrafiche, ha associato al profilo lavorativo della dipendente il contatto del coniuge, fornito originariamente per le sole comunicazioni scuola-famiglia relative ai figli. Come evidenziato dall’Autorità, quando un dipendente riveste la duplice veste di lavoratore e genitore, l’amministrazione è tenuta a garantire una rigorosa separazione funzionale delle banche dati ed escludere ogni automatismo improprio.
La pronuncia del Garante: violata la riservatezza del dipendente
L’Autorità ha ribadito che la trasmissione di informazioni inerenti al rapporto di lavoro a un soggetto estraneo – anche se si tratta del coniuge – costituisce una comunicazione illecita di dati a terzi. Il trattamento è stato ritenuto privo di un’idonea base giuridica e in contrasto con i principi di liceità, correttezza, trasparenza e sicurezza sanciti dal Regolamento europeo (GDPR) e dal Codice Privacy. Il datore di lavoro pubblico ha infatti l’obbligo di adottare misure tecniche e organizzative adeguate per impedire che soggetti non autorizzati accedano a dati lavorativi altrui.
Perché solo un ammonimento: le attenuanti dell’istituto
Nonostante la violazione accertata, il Garante ha deciso di non applicare sanzioni pecuniarie, limitandosi a formulare un ammonimento nei confronti dell’istituto scolastico. La decisione ha tenuto conto di diverse circostanze attenuanti: l’evento è stato isolato e colposo, non ha riguardato dati appartenenti a categorie particolari e la scuola ha offerto la massima collaborazione. Inoltre, la dirigenza scolastica si è tempestivamente attivata scusandosi con l’interessata, avviando la bonifica dei database e disponendo verifiche manuali obbligatorie sui destinatari delle comunicazioni per evitare futuri errori.