Предписание от 16 января 2026 г. [10220288]

Provvedimento del 16 gennaio 2026 [10220288]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 16 gennaio 2026 [10220288]

Provvedimento del 16 gennaio 2026 [10220288]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10220288]

Provvedimento del 16 gennaio 2026

Registro dei provvedimenti

n. 1 del 16 gennaio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo del XX, come successivamente regolarizzato con nota del XX, la XX, docente in servizio presso l’Istituto Comprensivo Statale Alghero 2, ha lamentato presunte violazioni della normativa in materia di protezione dei dati personali con riguardo alle modalità di riscontro al reclamo trasmesso al Dirigente scolastico per il tramite dell’organizzazione sindacale delegata, che avrebbero comportato una divulgazione non autorizzata di dati relativi anche alla sua salute.

Dal reclamo emerge, in particolare, che, nel caso di specie, l’organizzazione sindacale - la quale sarebbe stata incaricata di presentare dei reclami al Dirigente Scolastico, oltre che dalla reclamante, anche da una sua collega docente - avrebbe trasmesso al Dirigente Scolastico una comunicazione a mezzo pec recante in allegato copia di due distinti reclami, l’uno per conto della reclamante e l’altro per conto dell’altra docente. Nel fare seguito ai reclami, in data XX il Dirigente Scolastico avrebbe trasmesso a mezzo pec un’unica nota di riscontro, concernente sia il reclamo presentato dalla reclamante che quello presentato dall’altra docente, esponendo all’interno di tale nota informazioni personali riguardanti l’una e l’altra interessata, ivi inclusi anche dati relativi alla salute della reclamante nonché, in particolare, informazioni su “ricoveri ospedalieri, […] assenze per motivi di salute, […] parti di quanto indicato dal medico specialista [… in una pregressa] richiesta di visita medico collegiale e indicazioni della stessa richiesta e della successiva rinuncia alla visita medico collegiale”.

2. L’attività istruttoria.

In merito alla vicenda lamentata, nell’ambito dell’istruttoria, con nota del XX, l’Istituto ha rappresentato, in particolare, che:

- “di fronte [… alle] affermazioni [contenute nel reclamo presentato dall’interessata per il tramite dell’organizzazione scolastica] che mettevano in discussione l'operato della precedente dirigenza scolastica, [… l’Istituto ha] ritenuto necessario fornire alcune informazioni fattuali a chiarimento della situazione, al fine di contestualizzare le decisioni prese in merito all'assegnazione delle classi. Le informazioni fornite erano limitate a elementi oggettivi relativi al periodo di assenza della docente (senza specificare le cause mediche o le patologie), essenziali per rispondere alle contestazioni mosse nel reclamo sindacale”;

- “la decisione di fornire un'unica risposta ai reclami presentati per conto dei due docenti […] è stata motivata dalle seguenti considerazioni: entrambi i reclami sono stati trasmessi dall'organizzazione sindacale […] attraverso un’unica mail inviata dalla [propria] casella […]; le contestazioni presentate nei due reclami erano analoghe e relative allo stesso provvedimento (decreto di assegnazione dei docenti alle classi); le comunicazioni dell'organizzazione sindacale erano sempre state inviate in forma unitaria, agendo in nome e per conto di entrambi i docenti; i due casi presentavano problematiche simili, con entrambi i docenti che esprimevano doglianze sull'assegnazione alle classi”;

- “tale scelta organizzativa, dettata da ragioni di economia procedurale, non ha forse adeguatamente tenuto conto della necessità di mantenere separate le informazioni relative ai due docenti. È tuttavia il caso di evidenziare che nessuna osservazione è stata fatta dalla rappresentanza sindacale che ha ricevuto il documento e che poteva richiedere l’invio di due documenti distinti oppure poteva inserire in quello ricevuto gli omissis per garantire la riservatezza della comunicazione ai due diversi insegnanti. In altre parole la scuola ha fornito alla rappresentanza sindacale le informazioni richieste ma è quest’ultima che doveva valutare la modalità di comunicare tali informazioni ai suoi assistiti nel rispetto del diritto alla riservatezza di ciascuno”.

Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al predetto Istituto, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che il trattamento dei dati personali della reclamante e della collega fosse stato effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota dell’XX, l’Istituto, che non ha richiesto di essere audito, ha depositato le proprie memorie difensive, rappresentando, in particolare, che:

- “non si è trattato di una divulgazione pubblica o indiscriminata di dati personali”;

- “le informazioni sanitarie erano già parzialmente note nel contesto lavorativo a causa delle assenze prolungate della docente”;

- “la violazione è da considerarsi episodica e istantanea, limitata al solo momento dell'invio della comunicazione del XX. Non si configura come violazione sistematica o protratta nel tempo”;

- “la violazione è da qualificarsi come meramente colposa, derivante da un errore di valutazione procedurale in buona fede, senza alcun intento doloso”; “il Dirigente ha agito con l’intenzione di fornire una risposta completa e tempestiva alle contestazioni sindacali”;

- “la scelta di unificare le comunicazioni è stata dettata da ragioni di economia procedurale, considerando che entrambi i reclami provenivano dalla stessa organizzazione sindacale con un'unica email”; “l’errore è derivato da una valutazione errata del principio di minimizzazione in un contesto procedurale complesso”; “l’Istituto riconosce che tale valutazione si è rivelata errata alla luce dei principi di protezione dei dati personali”;

- “immediatamente dopo la ricezione del reclamo, l'Istituto ha adottato le seguenti misure: consultazione del Responsabile della Protezione dei Dati (DPO) per valutazione del caso; analisi approfondita dell'accaduto per identificare le criticità procedurali; […] “aggiornamento delle procedure interne con introduzione di controlli specifici per comunicazioni multi-soggetto”; a tal proposito, l’Istituto ha reso noto di aver adottato una specifica circolare “con disposizioni specifiche ed esplicite per evitare il ripetersi in futuro di episodi simili”.

3. Esito dell’attività istruttoria.

All’esito dell’attività istruttoria, è emerso che, nel caso di specie, il XX l’Istituto Comprensivo Statale Alghero 2, nel fornire riscontro al reclamo formulato dalla reclamante per il tramite dell’organizzazione sindacale delegata, ha trasmesso a quest’ultima una nota contenente anche il riscontro al reclamo presentato da un’altra docente, malgrado l’organizzazione sindacale, ancorché con un’unica comunicazione pec, avesse presentato i due predetti reclami con due separate note allegate.

Considerato, in particolare, che nel riscontro ai reclami risultano essere state esplicitate anche informazioni relative alle assenze della reclamante dal servizio per ragioni di salute, a suoi ricoveri ospedalieri nonché ad una specifica richiesta di visita medica collegiale e alla successiva rinuncia ad essa da parte della stessa interessata, occorre evidenziare in via preliminare che nella ampia nozione di “dati relativi alla salute” (cfr. art. 4, n. 15) del Regolamento) “può rientrare anche una informazione relativa all’assenza dal servizio per malattia, indipendentemente dalla circostanza che sia contestualmente indicata esplicitamente la diagnosi” (v. provv.ti. 9 maggio 2024, n. 270, doc. web n. 10025870; 23 marzo 2023, n. 84, doc. web n. 9888113; 15 dicembre 2022, n. 420, doc. web n. 9853429; 25 febbraio 2021, n. 68, doc. web n. 9567429; 7 maggio 2015, n. 269, doc. web n.4167648;10 ottobre 2013, doc. web n.2753605; 7 luglio 2004, doc. web n. 1068839 e 1068917; v. anche par. 8 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, adottate in vigenza del precedente quadro normativo in materia di protezione dei dati con provv. 14 giugno 2007, n. 23, doc. web n. 1417809).

Ciò conformemente al consolidato orientamento della Corte di Giustizia dell’Unione europea, secondo il quale “occorre dare all'espressione «dati relativi alla salute» […] un'interpretazione ampia tale da comprendere informazioni riguardanti tutti gli aspetti, tanto fisici quanto psichici, della salute di una persona” (sent. C-101/01, Lindqvist, 6 novembre 2003, parr. 13 e 50). Un’interpretazione ampia delle nozioni di “categorie particolari di dati personali” e di “dati sensibili” è, infatti, “suffragata dall’obiettivo della direttiva 95/46 e del [Regolamento] […], consistente nel garantire un elevato grado di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare della loro vita privata, con riguardo al trattamento dei dati personali che li riguardano” (sent. C-184/20, Vyriausioji tarnybinės etikos komisija, del 1° agosto 2022, par. 125), considerato che i trattamenti di tali particolari categorie di dati “possono costituire un’ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti agli articoli 7 e 8 della Carta dei diritti fondamentali” (sent. C-667/21, Krankenversicherung Nordrhein, del 21 dicembre 2023, par. 41; cfr. cons. 51 del Regolamento, ai sensi del quale “meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali”).

Anche nell’ordinamento nazionale, la giurisprudenza di legittimità ha affermato che “non può essere messo in dubbio che un'assenza dal lavoro "per malattia" costituisca un dato personale "relativo alla salute" del soggetto cui l'informazione si riferisce” (Cass. civ., sez. I, 8 agosto 2013, n. 18980; v. anche Cass. civ., sez. I, ord. 11 ottobre 2023, n. 28417, ove si afferma che “il semplice riferimento ad un'assenza dal lavoro “per malattia” costituisc[e] un dato personale "relativo alla salute" del soggetto cui l'informazione si riferisce”).

Si fa presente, inoltre, che nella ampia definizione di “dati relativi alla salute” risultano ricomprese anche tutte quelle informazioni che possono riguardare la “prestazione di servizi di assistenza sanitaria” (cfr. art. 4, n. 15) del Regolamento), ivi incluse le visite medico collegiali che possono essere richieste dai lavoratori ai sensi della disciplina in materia di sorveglianza sanitaria e tutela della salute e della sicurezza sul luogo di lavoro (cfr., spec., art. 41, comma 2, del d. lgs. n. 81/2008), nonché, anche alla luce del considerando n. 35 del Regolamento, le “informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria o della relativa prestazione” e il mero “rischio di malattia”.

Nel quadro normativo sopra delineato, i dati personali dei dipendenti non possono, di regola, essere messi a conoscenza di coloro che non abbiano necessità di trattarli in ragione delle mansioni assegnate e dello specifico ruolo ricoperto all’interno dell’organizzazione del titolare del trattamento e che, di conseguenza, non siano stati espressamente “autorizzati” al trattamento (cfr. artt. 4, n. 10, 28, par 3, lett. b), 29 e 32, par. 4, del Regolamento nonché art. 2-quaterdecies del Codice). Ciò in quanto, come affermato in molte occasioni dal Garante, la messa a disposizione dei dati a soggetti che, ancorché facenti parte dell’organizzazione del titolare del trattamento, non siano “autorizzati” al trattamento in ragione delle funzioni esercitate all’interno di detta organizzazione, può dare luogo, anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10), del Regolamento, a una “comunicazione” di dati personali illecita in quanto sprovvista di un’idonea base giuridica (cfr. art. 2-ter, commi 1 e 3, del Codice).

Al datore di lavoro è, pertanto, richiesto di limitare l’accessibilità ai dati personali dei dipendenti ai soli soggetti che effettivamente ne necessitino in ragione delle funzioni esercitate all’interno dell’organizzazione del titolare e di ciascuna singola unità o struttura organizzativa nonché di evitare ogni occasione di superflua e ingiustificata conoscibilità dei dati da parte di soggetti non autorizzati. In tal senso, per quanto in particolare rileva ai fini del caso oggetto di reclamo, si evidenzia che - come chiarito dal Garante all’interno delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007, le quali, sebbene adottate nel contesto del previgente quadro normativo in materia di protezione dei dati personali, forniscono indicazioni e orientamenti ancora validi – “fuori dei casi in cui forme e modalità di divulgazione di dati personali siano regolate specificamente da puntuali previsioni […], l’amministrazione deve utilizzare forme di comunicazione individualizzata con il lavoratore, adottando le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali, in particolare se sensibili, da parte di soggetti diversi dal destinatario, ancorché incaricati di talune operazioni di trattamento (ad esempio, inoltrando le comunicazioni in plico chiuso o spillato; invitando l´interessato a ritirare personalmente la documentazione presso l´ufficio competente; ricorrendo a comunicazioni telematiche individuali)” (cfr. spec. punti 5.1 e 5.3 delle predette Linee Guida).

Inoltre, in special modo nei casi in cui il datore di lavoro è chiamato a trattare, per finalità di gestione del rapporto di lavoro, informazioni di dettaglio inerenti alla salute dei lavoratori o, comunque, alla sottoposizione degli stessi a visite mediche, al datore di lavoro è richiesto di osservare “cautele particolari”, dovendo lo stesso avere cura, tra l’altro, di evitare, anche in un’ottica di protezione dei dati per impostazione predefinita, ogni occasione di superflua e ingiustificata conoscibilità dei dati da parte di soggetti non autorizzati (cfr. par. 8 delle Linee Guida citate).

Tali principi sono stati ribaditi dal Garante, in relazione a fattispecie diversificate, in molteplici casi concreti (cfr., tra i tanti, provv.ti 27 febbraio 2025, n. 101, doc. web n. 10123227; 27 febbraio 2025, n. 92, doc. web n. 10114763; 3 febbraio 2025, n. 70, doc. web n. 10118395; 30 gennaio 2025, n. 36, doc. web n. 10112750; 16 gennaio 2025, n. 4, doc. web n. 10110716; 26 settembre 2024, n. 606, doc. web n. 10068155; 1° giugno 2023, n. 223, doc. web n. 9916798; 23 marzo 2023, n. 82, doc. web n. 9885151; 23 febbraio 2023, n. 43, doc. web n. 9868646; 28 aprile 2022, n. 146, doc. web n. 9776406; 16 settembre 2021, n. 322, doc. web n. 9711517; 27 maggio 2021, n. 214, doc. web. 9689234; 11 febbraio 2021, n. 50, doc. web n. 9562866; 18 giugno 2020, n. 105, doc. web n. 9444865; 24 marzo 2022, n. 98, doc. web n. 976305; 11 febbraio 2021, n. 50, doc. web n. 9562866; 31 luglio 2014, n. 392, doc. web n. 3399423; 3 ottobre 2013, n. 431, doc. web 2747867; 8 maggio 2013, n. 232, doc. web n. 2501216; 18 ottobre 2012, n. 296, doc. web n. 2174351 e n. 297, doc. web n. 2174582).

Quanto al caso di specie, ancorché le doglianze lamentate con i reclami delle due docenti attenessero a “problematiche simili” (cfr. nota del XX) e i reclami stessi fossero stati inviati con un’unica comunicazione pec dall’organizzazione sindacale delegata, l’Istituto, come peraltro confermato anche nelle proprie memorie difensive dell’XX, avrebbe comunque dovuto predisporre note di riscontro separate, allo scopo di prevenire ogni rischio di indebita divulgazione delle informazioni relative alla salute della reclamante, oltreché, più in generale, degli altri dati attinenti alle vicende segnalate dalle docenti per il tramite dell’organizzazione sindacale.

L’Istituto avrebbe, quindi, dovuto mettere l’organizzazione sindacale delegata nella condizione di poter notificare a ciascuna docente unicamente il riscontro al proprio reclamo e, dunque, di poter provvedere a comunicazioni di carattere individuale, non potendosi far ricadere sull’organizzazione sindacale delegata, anche in un’ottica di “responsabilizzazione” (art. 5, par. 2, del Regolamento) e diversamente da quanto sostenuto dall’Istituto nel corso dell’istruttoria, l’onere di “valutare la modalità di comunicare tali informazioni ai suoi assistiti nel rispetto del diritto alla riservatezza di ciascuno” (cfr. nota del XX).

La dichiarata e pur legittima esigenza di “economia procedurale” (cfr. memorie difensive dell’XX) non può, infatti, giustificare la circolazione nel contesto lavorativo di informazioni non necessarie, essendo richiesto al datore di lavoro, titolare del trattamento, di valutare caso per caso l’adozione di specifici accorgimenti sul piano tecnico ed organizzativo al fine di evitare qualsivoglia indebito pregiudizio alla riservatezza delle informazioni riguardanti il personale interessato, come peraltro riconosciuto anche dallo stesso Istituto in corso d’istruttoria, per cui la “valutazione [operata nel caso di specie] si è rivelata errata alla luce dei principi di protezione dei dati personali” (cfr. memorie difensive dell’XX).

Tale impostazione risulta, peraltro, trovare conferma nella stessa circostanza che, nel contesto della vicenda in esame, l’Istituto ha dato atto di aver adottato una specifica circolare “con disposizioni specifiche ed esplicite per evitare il ripetersi in futuro di episodi simili” (v. memorie difensive dell’XX).

Tutto ciò premesso, deve concludersi che, nel caso di specie, l’Istituto, nel trasmettere la predetta nota del XX, concernente il riscontro a due distinti reclami, abbia determinato le condizioni che hanno portato ciascuna delle due reclamanti ad essere reciprocamente edotta non solo della circostanza stessa della presentazione del reclamo ma anche, in particolare, delle altre informazioni personali rappresentate dall’Istituto nel riscontro e afferenti, nel caso della reclamante, anche alla sua salute. Ciò dando luogo ad una “comunicazione” di dati personali, anche relativi alla salute, a soggetti “terzi” in maniera non conforme al principio di “liceità, correttezza e trasparenza” nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice.

Quanto, invece, alla circostanza che l’Istituto abbia trasmesso il riscontro ai reclami delle due docenti all’organizzazione sindacale delegata dalla reclamante e non direttamente a quest’ultima, occorre prendere atto di quanto specificato all’interno del reclamo trasmesso al Dirigente Scolastico, per cui “si richiede [… alla predetta organizzazione sindacale] un intervento a tutela della scrivente insegnante […]” e “si delega[… la predetta organizzazione sindacale] all’invio all’Istituzione Scolastica del […] reclamo, sull’assegnazione dell’esponente per l’a.s. XX, con la PEC dell’Organizzazione Sindacale” (cfr. reclamo trasmesso all’Istituto il XX).

Tali specificazioni non consentono di escludere che l’organizzazione sindacale fosse stata investita, nel caso di specie, della gestione complessiva della vicenda contenziosa in questione e hanno, anzi, ingenerato il ragionevole affidamento nell’Istituto a ritenere che l’incarico conferito all’organizzazione sindacale comprendesse anche la ricezione del riscontro al reclamo; ciò tenuto conto non solo delle specifiche funzioni di tutela e rappresentanza dei lavoratori che sono proprie dei sindacati in tali contesti ma anche del fatto stesso che dal reclamo non si evince l’indicazione – da parte della reclamante - di ulteriori e alternativi recapiti cui indirizzare ogni eventuale comunicazione connessa al reclamo.

Con riguardo, poi, all’indicazione, da parte dell’Istituto, all’interno della predetta nota di riscontro, di dati anche relativi alle assenze per malattia della reclamante, ritenuti da quest’ultima eccedenti, nel rammentare che il trattamento di tali dati è comunque consentito nello svolgimento delle funzioni istituzionali dell’Amministrazione datrice di lavoro (art. 9, par. 2, lett. b) e g), del Regolamento e 2-sexies del Codice) nonché nei limiti in cui lo stesso risulti “necessario per accertare, esercitare o difendere un diritto, che sia in sede giudiziale, amministrativa o stragiudiziale” (art. 9, par. 2, lett. f), e considerando 52 del Regolamento), come nel caso di specie, si prende atto delle dichiarazioni rese anche ai sensi dell’art. 168 del Codice dall’Istituto, per cui tali informazioni sono state ritenute “essenziali per rispondere alle contestazioni mosse nel reclamo sindacale” (cfr. nota del XX).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Istituto Comprensivo Statale Alghero 2 nei termini di cui sopra.

Tanto premesso, occorre, tuttavia, tenere in considerazione taluni elementi, anche di contesto, emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta (v. cons. 148 del Regolamento).

In particolare, tenuto conto che:

ancorché le informazioni oggetto della divulgazione non autorizzata appartengano anche alla categoria dei dati relativi alla salute di cui all’art. 9 del Regolamento, la violazione ha riguardato solo due interessati e ha comportato che solo le due colleghe sono state vicendevolmente edotte delle informazioni in questione; inoltre, tale violazione rappresenta, ad ogni modo, un episodio di carattere isolato; peraltro, le contestazioni presentate nei due reclami erano analoghe e relative allo stesso provvedimento (cfr. art. 83, par. 2, lett. a) e g), del Regolamento);

la violazione presenta carattere colposo, essendo dipesa da un errore di valutazione commesso in buona fede (cfr. art. 83, par. 2, lett. b), del Regolamento);

l’Istituto ha dichiarato di aver adottato una specifica circolare nella prospettiva di prevenire il verificarsi di simili accadimenti in futuro (cfr. art. 83, par. 2, lett. c), del Regolamento);

l’Istituto ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo, con riferimento ai trattamenti effettuati in ambito lavorativo (art. 83, par. 2, lett. e), del Regolamento).

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 e dell’art. 83, par. 2, del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 e art. 83, par. 2, del Regolamento).

Considerato che la condotta ha ormai esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Istituto Comprensivo Statale Alghero 2, in persona del legale rappresentante pro-tempore, con sede legale in Via Tarragona, 16 - 07041 Alghero (SS), C.F. 92128560908, per violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce il predetto Istituto, quale titolare del trattamento in questione, per aver violato artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice, come sopra descritto;

c) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, dispone la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

d) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 gennaio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Stanzione

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10220288

Data

16/01/26

Argomenti

Pubblica Amministrazione

Dati sanitari

Assenze

Lavoro pubblico

Tipologie

Ammonimento