[doc. web n. 10287373]

Provvedimento del 23 luglio 2026

Registro dei provvedimenti
n. 553 del 23 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, la Sig.ra XX, dipendente del Ministero dell’istruzione e del merito, inquadrata nel comparto del personale ATA, ha lamentato una presunta violazione della normativa in materia di protezione dei dati personali. 

In particolare, è stato rappresentato che, dopo essere stata destinataria di un provvedimento disciplinare di licenziamento, adottato dall’Ufficio Procedimenti Disciplinari (UPD) dell’Ufficio Scolastico Territoriale di Monza e Brianza, numerose articolazioni dell’Amministrazione (ovvero tutti gli uffici scolastici regionali; tutti gli istituti scolastici dell’ambito territoriale; ufficio graduatorie docenti e ATA; ufficio nomine docenti e ATA; ufficio pensioni) sarebbero state notiziate del licenziamento a mezzo posta elettronica.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni formulata ai sensi dell’art. 157 del Codice (v. nota prot. n. XX del XX), il Ministero dell’istruzione e del merito - Ufficio Scolastico Regionale per la Lombardia, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

- “l’[UPD], con provvedimento prot. n. XX del XX irrogava alla [reclamante…] la sanzione del licenziamento con preavviso di cui all’art. 25, comma 9, capo I, lett. a) e g) del CCNL Comparto Istruzione e Ricerca triennio 2019-2021”;

- il predetto Ufficio “con nota riservata prot. n. XX dell’XX […] comunicava a tutti gli Uffici Scolastici Regionali, agli Istituti Scolastici Statali dell’Ambito Territoriale di Monza e Brianza, nonché agli Uffici Graduatorie Docenti e Ata e Pensioni interni all’A.T. di Monza e Brianza, il nominativo e i dati identificativi della dipendente alla quale, all’esito del procedimento disciplinare, era stata irrogata la sanzione del licenziamento […]”;

- “gli altri Uffici Scolastici Regionali - nonché gli Uffici di Ambito Territoriale non possono in alcun modo essere qualificati come soggetti “terzi”, in quanto uffici privi di autonomia giuridica, mere articolazioni territoriali regionali e provinciali della stessa, unica Amministrazione Scolastica del Ministero […]”;

- “parimenti dicasi per le Istituzioni Scolastiche che, ancorché dotate di autonomia […,] sono funzionalmente “subordinate” al Ministero […] ed in particolare il personale della scuola si trova in rapporto organico con il Ministero”;

- “[…] la comunicazione del licenziamento […] alle articolazioni del medesimo Ministero appare doverosa affinché sia assicurata la legalità delle procedure di reclutamento presso gli Uffici Territoriali e le istituzioni scolastiche, evitando così che il dipendente licenziato, omettendo di indicare la sanzione subita, possa stipulare contratti di lavoro con l’amministrazione scolastica”;

- “poiché […] la sanzione disciplinare del licenziamento costituisce specifica condizione ostativa alla partecipazione a procedure concorsuali e all’inserimento del soggetto interessato nelle graduatorie provinciali e d’istituto per le supplenze, si inviava la comunicazione in parola ai suddetti Uffici per opportuna conoscenza e per ogni eventuale determinazione di competenza”;

- la reclamante, infatti, “[…] avrebbe potuto presentare ad un Ufficio Scolastico della Repubblica e a un’Istituzione scolastica della Repubblica domanda di inserimento nelle graduatorie, rispettivamente di I e di III fascia”;

- “la comunicazione agli Uffici […], dunque, si rendeva necessaria in quanto unica modalità per evitare che il dipendente licenziato, omettendo di aver riportato un licenziamento disciplinare, potesse inserirsi nelle Graduatorie provinciali e d’istituto in Lombardia e in altre regioni, in violazione di quanto disposto dall’art. 2, comma 7, del D.P.R. n. 487 del 9 maggio 1994 che prevede che “non possono essere assunti nelle pubbliche amministrazioni coloro che siano stati […] licenziati per […] per motivi disciplinari ai sensi della vigente normativa di legge o contrattuale””; 

- “l’O.M. n. 21 del 23 febbraio 2009 […] all’art. 7.3, lett. c), prevede che “non possono partecipare alla procedura coloro che siano incorsi nelle sanzioni disciplinari previste dal vigente CCNL del comparto scuola (licenziamento con preavviso e licenziamento senza preavviso)” e così il Decreto n. 89 del 21 maggio 2024 del Ministero dell’istruzione e del merito […] prevede che “non possono partecipare alla procedura di inserimento coloro che siano stati destituiti o dispensati dall’impiego presso una pubblica amministrazione per persistente insufficiente rendimento ovvero siano stati licenziati per giusta causa o giustificato motivo soggettivo””;

- “la comunicazione agli altri Uffici della mera cessazione del rapporto di lavoro della dipendente, senza fare specifico riferimento al provvedimento del licenziamento disciplinare, non può ritenersi idonea a soddisfare la finalità di legge sopra indicata - segnatamente finalità preclusiva, per l’interessato, a nuova assunzione - in quanto la cessazione del rapporto di lavoro costituisce una categoria molto ampia nella quale sono ricomprese, ad esempio, anche le dimissioni volontarie che non precludono al dipendente di presentare domanda per l’inserimento nelle graduatorie di qualsiasi Provincia o Istituzione scolastica, con eventuale successiva stipula di contratti di lavoro con l’amministrazione. La comunicazione contestata è necessaria al datore di lavoro anche al fine di fronteggiare dichiarazioni non veritiere in ordine al possesso dei requisiti prescritti dalla normativa di settore”.

Con nota dell’XX (prot. n. XX), l’Ufficio del Garante, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Ministero dell’istruzione e del merito - Ufficio Scolastico Regionale per la Lombardia, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver posto in essere un trattamento di dati personali, relativi al provvedimento disciplinare, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), e parr. 2 e 3 del Regolamento, nonché 2-ter del Codice. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota dell’XX (prot. n. XX), il Ministero dell’istruzione e del merito - Ufficio Scolastico Regionale per la Lombardia ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “[…] la principale attività degli Ambiti Territoriali è rappresentata dal reclutamento del personale scolastico per garantire il corretto avvio dell’anno scolastico, utilizzando [, in particolare…] le graduatorie “24 mesi” per il personale ATA […]. Lo stesso dicasi per le istituzioni scolastiche che conferiscono supplenze sui posti vacanti e disponibili, nonché per sostituire personale assente a vario titolo durante l’anno scolastico, utilizzando […] per il personale ATA le Graduatorie d’istituto di III fascia”;

- occorre “evita[re…] che il dipendente licenziato, omettendo di indicare la sanzione subita, ostativa all’assunzione, possa stipulare contratti di lavoro con l’amministrazione scolastica […]. Per consentire il rapido reperimento di tali informazioni, gli Uffici del Ministero dell’istruzione e del merito si scambiano le contestate comunicazioni, atti interni alle articolazioni territoriali del MIM, nel rispetto della normativa sulla privacy, inviandole anche alle istituzioni scolastiche, anch’esse articolazioni del MIM”;

- “gli uffici graduatorie/nomine […], seppure facenti parte della medesima amministrazione, hanno il compito di verificare i requisiti ex art. 2, comma 7, DPR n. 487/1994”;

- “l’ordinamento prevede una pluralità convergente di fonti che stabiliscono il divieto di assunzione per chi è stato licenziato per motivi disciplinari, creando un obbligo implicito ma stringente e tempestivo di comunicazione interna […]. Tali disposizioni, lette sistematicamente, prevedono che la sola autocertificazione del candidato non risulti sufficiente […]”;

- “[…] gli Uffici destinatari della comunicazione hanno specifiche mansioni istituzionali che richiedono la conoscenza del licenziamento disciplinare […]”;

- “[…] gli UU.SS.RR. e gli UU.SS.TT. necessitano di conoscere i licenziamenti disciplinari al fine di evitare nelle operazioni di reclutamento che il personale licenziato possa reinserirsi tramite autocertificazione omettendo di dichiarare la causa della cessazione del precedente rapporto di lavoro, così come i Dirigenti scolastici che si occupano del reclutamento dei docenti e del personale ATA attingendo dalle graduatorie d’istituto. Allo stesso modo gli Uffici Graduatorie Docenti e ATA dell’Ambito Territoriale di Monza e Brianza che si occupano rispettivamente del reclutamento da GAE e GPS per i docenti e da Graduatoria “24 mesi” per il personale ATA, necessitano di conoscere i licenziamenti disciplinari al fine di evitare il fraudolento inserimento di personale licenziato. Inoltre, la comunicazione veniva trasmessa all’Ufficio Pensioni dell’AT di Monza per l’espletamento di tutte le pratiche conseguenti alla cessazione del rapporto di lavoro […;] gli uffici destinatari hanno bisogno dell'informazione non per gestire il rapporto di lavoro già cessato, ma per impedire inserimenti illegittimi in graduatorie di altre province, impedire nomine in ruolo di soggetto privo dei requisiti legali e adempiere all'obbligo di verifica imposto dall'art. 2, comma 7, del D.P.R. 487/1994”;

- “il controllo ex art. 71 non è strutturalmente idoneo nel settore scolastico in quanto gli Uffici dell’Amministrazione e le scuole effettuano controlli "anche a campione" e "nei casi di ragionevole dubbio". In particolare, le graduatorie provinciali (GAE, GPS e Graduatorie 24 mesi) e le graduatorie d'istituto (I e II fascia per il personale docente e III fascia per il personale ATA) per le supplenze coinvolgono decine di migliaia di candidati per ciascuna provincia; le nomine avvengono in tempi strettissimi, spesso automaticamente tramite algoritmo, difficilmente compatibili con controlli preventivi capillari; il "ragionevole dubbio" presuppone che l'amministrazione procedente disponga già di un'informazione relativa al candidato che il sistema autocertificatorio, per definizione, non fornisce se l'interessato dichiara il falso. Inoltre, il controllo a campione è, per definizione, probabilistico, e non garantisce l'individuazione di ogni singola dichiarazione mendace”;

- “un Ufficio dell'Amministrazione scolastica che dispone di una informazione relativa ad un proprio dipendente, in particolare ad una condizione ostativa all’impego, ha l’obbligo ex art. 97 Cost. di renderla disponibile agli altri Uffici della medesima Amministrazione […]; non esiste una banca dati nazionale automatizzata delle sanzioni disciplinari del personale scolastico accessibile a tutti gli Uffici Territoriali e alle scuole che gestiscono graduatorie e assunzioni. È necessario, quindi, che gli Uffici adempiano all'obbligo di legge di non assumere/inserire in graduatoria licenziati per motivi disciplinari […]”;

- “l’AT di Monza e Brianza ha [comunque] provveduto a sospendere ogni comunicazione relativa ai licenziamenti disciplinari […] in attesa delle determinazioni che saranno assunte”.

3. Esito dell’attività istruttoria.

All’esito dell’istruttoria relativa al reclamo, è stato accertato che, dopo aver adottato un provvedimento disciplinare di licenziamento nei confronti della reclamante, l’Ufficio Procedimenti Disciplinari dell’Ambito Territoriale di Monza e Brianza, con messaggio di posta elettronica del XX (prot. n. XX), avente ad oggetto “RISERVATO_Comunicazione dei provvedimenti di licenziamento disciplinare”, ha trasmesso, in allegato a detto messaggio, la nota prot. n. XX dell’XX, con oggetto “Comunicazione dei provvedimenti di licenziamento disciplinare a carico del personale in servizio presso Istituzioni Scolastiche ricadenti nella competenza dell’AT di Monza e Brianza - A.S. 2024-2025”, indirizzata “agli Uffici Scolastici Regionali”, ai “DD.SS. degli Istituti Scolastici Statali di ogni ordine e grado – Ambito Territoriale di Monza e Brianza”, nonché “agli Uffici Graduatorie Docenti e ATA” e “Nomine Docenti e ATA” e “Pensioni”.

Con tale nota, si rendevano edotti i destinatari della stessa “per opportuna conoscenza e per gli adempimenti di competenza, [del] nominativo della dipendente alla quale, all’esito del procedimento disciplinare, questo Ambito Territoriale ha irrogato la sanzione del licenziamento con preavviso […]”; la reclamante veniva ivi identificata mediante riferimento al nome, al cognome, al luogo e alla data di nascita, alla qualifica, e veniva fatto espresso riferimento alla tipologia di sanzione disciplinare subita e alla data e numero di protocollo del provvedimento disciplinare in questione. 

Ciò premesso, deve evidenziarsi che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri; il trattamento è, inoltre, lecito quando sia necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento (art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di “comunicazione” di dati personali a terzi, da parte di soggetti pubblici, è ammessa solo al ricorre delle condizioni previste dall’art. 2-ter del Codice.

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

In tale quadro, le amministrazioni devono adottare le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali da parte di terzi o soggetti diversi dal destinatario (cfr. punto 5.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, in www.gpdp.it, doc. web n. 1417809).

Nel caso di specie, il Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia non ha indicato alcuna disposizione dell’ordinamento scolastico, idonea per rango e qualità, che espressamente preveda l’obbligo per l’UPD di informare altri Uffici Scolastici Regionali o gli Istituti Scolastici Statali di ogni ordine e grado del medesimo ambito territoriale o altri Uffici del Ministero in merito adozione di provvedimenti disciplinari del licenziamento nei confronti di docenti o di appartenenti al personale amministrativo. 

Non può accogliersi, a tal riguardo, il prospettato argomento difensivo, in base al quale detta comunicazione di dati personali si sarebbe resa necessaria in ragione di quanto previsto dall’art. 2, comma 7, del D.P.R. n. 487 del 9 maggio 1994, ai sensi del quale “non possono essere assunti nelle pubbliche amministrazioni coloro che siano stati […] licenziati per […] per motivi disciplinari ai sensi della vigente normativa di legge o contrattuale”. Ciò in quanto lo stesso decreto, al successivo art. 4, comma 2, lett. f), prevede che, nell’ambito della procedura di partecipazione a una procedura concorsuale tramite il Portale InPA, il candidato debba soltanto dichiarare, “con valore di dichiarazione sostitutiva di certificazione ai sensi dell'articolo 46 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445 […] di non essere stato […] licenziato ai sensi della vigente normativa di legge o contrattuale”. La veridicità di tale dichiarazione potrà poi essere verificata dall’Amministrazione procedente con le modalità di cui all’art. 71 del d.P.R. 28 dicembre 2000, n. 445, vale a dire, “anche a campione […] e nei casi di ragionevole dubbio”. 

Parimenti, l’Ordinanza Ministeriale n. 21 del 23 febbraio 2009, pure invocata per sostenere la liceità della condotta tenuta nel caso oggetto di reclamo, prevede che “non possono partecipare alla procedura […] coloro che […] siano incorsi nelle sanzioni disciplinari previste dal vigente contratto collettivo nazionale del comparto “Scuola” (licenziamento con preavviso e licenziamento senza preavviso)” (art. 7.3, lett. c)), essendo disposto, a tal proposito, che “nel modello di domanda devono essere dichiarati, ai sensi del decreto del Presidente della Repubblica 28 dicembre 2000 n. 445, i requisiti di ammissione al concorso […]” e che “l’Amministrazione si riserva di effettuare il controllo delle dichiarazioni e delle autocertificazioni“ (art. 8.8). 

Pertanto, essendo soltanto meramente eventuale la possibilità che un lavoratore che abbia subito un licenziamento disciplinare possa candidarsi ad altra procedura concorsuale o chiedere l’inserimento nelle graduatorie scolastiche, ed avendo la disciplina di settore, anche in tale eventualità, approntato specifiche modalità di attestazione dei requisiti di partecipazione e di effettuazione dei relativi controlli, il trattamento oggetto di reclamo non trova riscontro nella disciplina di settore che regola la materia e risulta essere, pertanto, non supportato da una base giuridica. 

Quanto alla circostanza che, come sostenuto nel corso dell’istruttoria, i destinatari del messaggio di posta elettronica in questione non possano considerarsi soggetti terzi, trattandosi di mere articolazioni interne del Ministero, deve farsi presente che, come da tempo chiarito dal Garante con provvedimenti a carattere generale e decisioni su singoli casi, i dati personali dei dipendenti, trattati per finalità di gestione del rapporto di lavoro, incluse le informazioni che riguardano la cessazione dello stesso (cfr. art. 88, par. 1, del Regolamento, che menziona espressamente la “finalità di cessazione del rapporto di lavoro”) non possono, infatti, di regola, essere messi a conoscenza di soggetti diversi da coloro che sono parte dello specifico rapporto di lavoro (cfr. definizioni di “dato personale” e “interessato”, contenuta nell’art. 4, par. 1, n. 1, del Regolamento), ovvero di coloro che - anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10, del Regolamento - non siano legittimati a trattarli in ragione delle mansioni assegnate e delle scelte organizzative del titolare del trattamento. Ciò anche nell’ambito di organizzazioni particolarmente complesse e articolate su base territoriale, come quella del Ministero in questione. Diversamente, nessuna violazione della disciplina di protezione dei dati personali può essere riscontrata nelle ipotesi in cui i soggetti, cui fanno capo specifiche mansioni, vengano a conoscenza di dati personali degli interessati, quando sia necessario per lo svolgimento delle funzioni loro attribuite.  A tali principi è stata data applicazione dal Garante con orientamento consolidato in numerosi casi concreti.

Peraltro, gli istituti scolastici, che pure figuravano tra i destinatari di detta nota, sono da considerarsi soggetti giuridici distinti dal Ministero e, pertanto, sotto il profilo della protezione dei dati personali, essi agiscono quali autonomi titolari del trattamento. 

I soggetti destinatari della nota inviata dall’Ufficio Procedimenti Disciplinari (tutti gli Uffici Scolastici Regionali sull’intero territorio nazionale; gli Istituti Scolastici Statali di ogni ordine e grado nell’ambito territoriale; gli Uffici Graduatorie Docenti e Ata, Nomine Docenti e Ata, e Pensioni) non avevano necessità di venire ex ante a conoscenza dell’adozione del provvedimento disciplinare di licenziamento adottato nei confronti della reclamante, vale a dire indipendentemente da un’eventuale nuova candidatura o richiesta a ricoprire una posizione lavorativa, non potevano, pertanto, gli stessi considerarsi autorizzati al trattamento, venendo conseguentemente in rilievo la loro qualificazione di “terzi” ai fini della normativa in materia di protezione dei dati personali; tanto che la comunicazione in questione è stata loro indirizzata in maniera generica “per opportuna conoscenza e per gli adempimenti di competenza”, senza che sia stata specificata - nemmeno nel corso dell’istruttoria - la natura degli specifici adempimenti in capo ai predetti Uffici suscettibili di rendere necessario il trattamento delle informazioni in questione per lo svolgimento dei rispettivi compiti istituzionali. Anche in attuazione dei principi di necessità del trattamento e minimizzazione dei dati (v. artt. 6, par. 1, lett. c) e 5, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento), sarebbe stato, d’altra parte, sufficiente, ai fini degli eventuali adempimenti di competenza, fornire la sola informazione dell’avvenuta cessazione del rapporto di lavoro, senza dettagli sulla causa che ha determinato l’interruzione dello stesso. 

Ciò anche considerando che l’informazione relativa al licenziamento disciplinare, ancorché non rientrante nelle categorie particolari di dati di cui all’art. 9 del Regolamento, costituisce, in ogni caso, un’informazione particolarmente delicata, che, se messa a disposizione, come è avvenuto nel caso di specie, di una vasta platea di destinatari, può produrre significativi effetti pregiudizievoli nella sfera giuridica personale e professionale dell’interessata.

Alla luce delle considerazioni che precedono, deve concludersi che, ponendo in essere la comunicazione dei dati personali della reclamante nel caso oggetto di reclamo, il Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia ha agito in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), e parr. 2 e 3 del Regolamento, nonché 2-ter del Codice. 

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio del Garante e si rileva l’illiceità del trattamento di dati personali effettuato dal Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia, per aver trattato i dati personali della reclamante in violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), e parr. 2 e 3 del Regolamento, nonché 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.
La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- ancorché i dati siano stati comunicati a una vasta platea di destinatari e il trattamento abbia avuto ad oggetto dati delicati, in quanto afferenti a un provvedimento disciplinare, la violazione accertata ha riguardato i dati personali di una sola interessata (cfr. art. 83, par. 2, lett. a) e g) del Regolamento);

- la violazione ha carattere colposo, essendo il titolare incorso in un errore in diritto nell’interpretazione della normativa di settore e nell’applicazione della stessa nello specifico e complesso contesto organizzativo dell’istruzione, comunque con l’intenzione di tutelare l’interesse pubblico (cfr. art. 83, par. 2, lett. b), del Regolamento);
si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un Ministero (ancorché la violazione si sia verificata nell’ambito di una specifica articolazione dello stesso), si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- il titolare ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, altresì, sospeso la prassi operativa fino ad ora seguita (cfr. art. 83, par. 2, lett. f), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 10.000 (diecimila) per la violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), e parr. 2 e 3 del Regolamento, nonché 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione della delicatezza dei dati oggetto di comunicazione a una vasta platea di soggetti terzi e delle possibili conseguenze pregiudizievoli per la sfera privata e professionale della reclamante. 

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato daL Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia) per la violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), e parr. 2 e 3 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

al Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia), in persona del legale rappresentante pro-tempore, con sede legale in Viale Trastevere, 76/a - 00153 Roma, C.F. 80185250588, di pagare la somma di euro 10.000 (diecimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Ministero - Ufficio Scolastico Regionale per la Lombardia, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Stanzione 

IL SEGRETARIO GENERALE
Montuori