Una semplice email può trasformarsi in una violazione della normativa sulla privacy. È quanto emerge dal provvedimento n. 521 del 14 luglio 2026 del Garante per la protezione dei dati personali, che ha dichiarato illecito il trattamento dei dati effettuato da un istituto scolastico e ha ammonito l’amministrazione per avere comunicato a numerosi destinatari gli indirizzi di posta elettronica personali di lavoratori.
La vicenda presenta particolare interesse per il mondo della scuola perché riguarda una situazione tutt’altro che eccezionale: l’invio di una comunicazione collettiva mediante posta elettronica senza utilizzare correttamente il campo “CCN” (copia conoscenza nascosta).
Il caso dimostra, ancora una volta, come nella gestione dei dati personali in ambito scolastico non sia sufficiente che l’errore sia involontario. Anche una semplice “svista” commessa durante l’invio di una comunicazione può determinare un trattamento illecito di dati personali.
La vicenda: una comunicazione sulle elezioni RSU
Il procedimento trae origine dal reclamo presentato da un lavoratore appartenente al personale tecnico-amministrativo dell’Istituto Omnicomprensivo Scuola Europea di Brindisi.
Il 12 aprile 2025 l’istituto aveva inviato un messaggio di posta elettronica contenente in allegato una circolare relativa alle elezioni delle RSU del 14, 15 e 16 aprile 2025.
Il problema non riguardava il contenuto della circolare, bensì le modalità tecniche con le quali era stata effettuata la spedizione.
La comunicazione era stata infatti inviata a sette organizzazioni sindacali e a 43 lavoratori appartenenti al personale tecnico-amministrativo, utilizzando il campo dei destinatari in chiaro anziché la funzione “CCN”.
La conseguenza era evidente: ciascun destinatario aveva potuto visualizzare gli indirizzi di posta elettronica personali degli altri destinatari.
Il Garante ha quindi considerato tale comportamento una comunicazione a terzi di dati personali effettuata senza una valida base giuridica e in violazione dei principi fondamentali previsti dalla normativa europea sulla protezione dei dati.
L’istituto: si è trattato di un semplice errore umano
Nel corso dell’istruttoria la scuola ha riconosciuto sostanzialmente l’accaduto.
L’istituto ha spiegato che avrebbe dovuto utilizzare la funzione “CCN” per tutelare la riservatezza degli indirizzi dei destinatari, ma che si era verificata una svista materiale e non intenzionale durante la composizione e l’invio del messaggio.
La scuola ha inoltre rappresentato al Garante il particolare contesto organizzativo nel quale si era verificato l’episodio, caratterizzato da un significativo dimensionamento della rete scolastica, dalla riorganizzazione degli uffici, dall’aumento dei carichi di lavoro e da una situazione di forte pressione sul personale amministrativo.
L’istituto aveva anche spiegato di avere utilizzato gli indirizzi email personali dei lavoratori per garantire una comunicazione più efficace e una maggiore partecipazione alle elezioni RSU, evidenziando che una parte del personale, in particolare ATA e collaboratori scolastici, aveva manifestato informalmente la preferenza per ricevere le comunicazioni sulla casella personale anziché su quella istituzionale.
Queste circostanze, tuttavia, non sono state ritenute sufficienti a escludere la violazione.
Per il Garante l’errore umano non elimina la violazione
È questo uno degli aspetti più importanti del provvedimento.
Il Garante ha riconosciuto che l’episodio era stato determinato da un errore umano. Tuttavia, la circostanza che l’errore fosse involontario non è stata considerata sufficiente per escludere l’illiceità del trattamento.
La scuola, in quanto titolare del trattamento, deve infatti organizzare le proprie attività in modo tale da prevenire la conoscibilità ingiustificata dei dati personali da parte di soggetti non autorizzati.
Il provvedimento richiama in particolare i principi di “liceità, correttezza e trasparenza” e di “minimizzazione” previsti dall’articolo 5 del Regolamento (UE) 2016/679.
In base al principio di minimizzazione, i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali vengono trattati.
L’amministrazione scolastica, pertanto, non può limitarsi a sostenere che l’indirizzo email è stato reso visibile per errore. Deve dimostrare di avere adottato modalità organizzative e tecniche adeguate a evitare che tale errore possa verificarsi.
Il Garante ha accertato la violazione degli articoli 5, paragrafo 1, lettera a), e 6, paragrafi 1, lettere c) ed e), 2 e 3, del Regolamento (UE) 2016/679, nonché dell’articolo 2-ter del Codice in materia di protezione dei dati personali.
L’articolo 5 del GDPR stabilisce i principi fondamentali applicabili al trattamento dei dati personali, tra cui liceità, correttezza, trasparenza e minimizzazione.
L’articolo 6 individua invece le condizioni che rendono lecito un trattamento.
Per le amministrazioni pubbliche, il trattamento deve essere riconducibile, in particolare, all’adempimento di un obbligo legale oppure all’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.
Il Garante ha ritenuto che la comunicazione degli indirizzi personali degli interessati agli altri destinatari non trovasse una specifica base giuridica.
Il riferimento all’articolo 2-ter del Codice privacy completa il quadro normativo applicabile al trattamento effettuato da soggetti pubblici.
Attenzione: non è stato contestato il trattamento di dati relativi all’appartenenza sindacale
Il provvedimento presenta anche un passaggio particolarmente interessante.
Inizialmente l’istruttoria aveva preso in considerazione anche una possibile violazione relativa ai dati appartenenti a categorie particolari, con riferimento all’articolo 9 del GDPR e, in particolare, ai dati relativi all’appartenenza sindacale.
L’istituto aveva sostenuto che l’email fosse stata inviata a tutto il personale interessato dalle elezioni RSU e non soltanto a lavoratori iscritti a una determinata organizzazione sindacale o candidati alle elezioni.
Il Garante ha accolto questo argomento.
Secondo l’Autorità, infatti, dal semplice fatto che il messaggio fosse stato inviato a tutto il personale tecnico-amministrativo non poteva essere desunta l’appartenenza sindacale dei destinatari.
La contestazione relativa all’articolo 9, paragrafo 2, lettera b), del GDPR è stata quindi superata.
La violazione è rimasta, invece, con riferimento alla diffusione degli indirizzi email personali.
La differenza tra email istituzionale ed email personale
La vicenda mette inoltre in evidenza un tema particolarmente importante per le scuole: l’utilizzo degli indirizzi di posta elettronica personali dei dipendenti.
L’istituto aveva giustificato l’utilizzo delle caselle personali con la necessità di raggiungere rapidamente il personale e con la circostanza che alcuni lavoratori controllavano con minore frequenza la casella istituzionale.
Tuttavia, il fatto che un lavoratore preferisca ricevere le comunicazioni sulla propria email personale non significa automaticamente che l’amministrazione sia libera di utilizzare tale indirizzo senza rispettare le regole sul trattamento dei dati.
La comunicazione deve essere comunque effettuata nel rispetto dei principi stabiliti dal GDPR e delle disposizioni applicabili al rapporto di lavoro pubblico.
Nel caso esaminato dal Garante, l’istituto ha successivamente dichiarato di avere impartito indicazioni affinché, per il futuro, venissero utilizzati esclusivamente gli indirizzi di posta elettronica istituzionali dei docenti per le comunicazioni interne.
Perché il campo CCN è così importante
La vicenda può sembrare banale, ma proprio la sua semplicità rende il provvedimento particolarmente significativo.
Quando un’amministrazione deve inviare una stessa comunicazione a una pluralità di destinatari che non devono conoscere gli indirizzi email degli altri, l’utilizzo del campo “A” o “CC” può determinare la comunicazione reciproca degli indirizzi.
Il campo “CCN”, invece, consente di nascondere agli altri destinatari gli indirizzi inseriti nella comunicazione.
In altre parole, una procedura tecnica estremamente semplice costituisce una delle principali misure operative per evitare una comunicazione indebita di dati personali.
Non basta quindi conoscere astrattamente il GDPR. È necessario che il personale che gestisce quotidianamente le comunicazioni sia adeguatamente formato sulle modalità concrete di applicazione delle regole.
La scuola aveva adottato misure correttive
Un altro elemento considerato dal Garante riguarda il comportamento successivo dell’istituto.
Dopo avere appreso della vicenda, la scuola ha dichiarato di avere adottato una serie di misure correttive.
Tra queste figurano una circolare interna destinata al personale amministrativo sul rispetto delle cautele in materia di protezione dei dati e l’organizzazione di uno specifico corso di formazione per ribadire l’obbligo di utilizzare correttamente la modalità “CCN”.
L’istituto aveva inoltre programmato un’attività di rimedio nei confronti dei destinatari della comunicazione, chiedendo la cancellazione dei dati ricevuti e una conferma dell’avvenuta cancellazione.
Queste iniziative sono state valutate positivamente dal Garante nell’ambito della determinazione della misura da adottare.
Nessuna multa, ma un ammonimento
La violazione è stata comunque formalmente accertata.
Il Garante ha dichiarato illecito il trattamento dei dati personali effettuato dall’istituto, ma non ha applicato una sanzione amministrativa pecuniaria.
L’Autorità ha infatti qualificato la vicenda come “violazione minore”, tenendo conto di diversi elementi.
In particolare, sono stati considerati il carattere episodico della violazione, la circostanza che l’errore fosse stato determinato da una svista umana, la natura dei dati comunicati, costituiti esclusivamente dagli indirizzi email personali dei lavoratori, l’assenza di precedenti violazioni pertinenti, il livello di cooperazione dimostrato dall’istituto durante l’istruttoria e le misure adottate o programmate per mitigare le conseguenze e prevenire ulteriori episodi.
Per tali ragioni il Garante ha ritenuto sufficiente l’ammonimento previsto dall’articolo 58, paragrafo 2, lettera b), del GDPR.
Il provvedimento, quindi, non assolve la scuola: al contrario, stabilisce espressamente l’illiceità del trattamento. Semplicemente, alla luce delle circostanze concrete, l’Autorità ha ritenuto proporzionata la misura dell’ammonimento anziché una sanzione pecuniaria.
Il provvedimento n. 521/2026 dovrebbe rappresentare un importante richiamo per tutte le istituzioni scolastiche.
La gestione della privacy non può essere considerata un adempimento esclusivamente formale affidato al dirigente scolastico o al responsabile della protezione dei dati.
La tutela dei dati personali passa quotidianamente dalle attività svolte negli uffici di segreteria: invio delle email, gestione delle circolari, comunicazioni alle famiglie, trasmissione di documenti, pubblicazione di atti, gestione degli elenchi e utilizzo delle piattaforme digitali.
Un errore commesso da un singolo operatore può infatti tradursi in una violazione imputabile al titolare del trattamento.
Per questo motivo è fondamentale che le scuole adottino procedure interne chiare e che il personale amministrativo venga formato periodicamente non soltanto sui principi generali della privacy, ma anche sulle operazioni concrete che deve compiere.
Il provvedimento assume una particolare rilevanza per il personale ATA, spesso chiamato a gestire direttamente un’enorme quantità di dati personali.
Il principio da ricordare è semplice: prima di premere “Invia”, occorre sempre verificare con attenzione destinatari, allegati e modalità di trasmissione.
Nel caso di comunicazioni collettive, bisogna chiedersi se i destinatari debbano effettivamente conoscere gli indirizzi degli altri soggetti coinvolti.
Se la risposta è negativa, l’utilizzo del campo “CCN” diventa una misura essenziale.
La formazione del personale, quindi, non dovrebbe limitarsi alla sottoscrizione di informative o alla consegna di documenti sulla privacy, ma dovrebbe comprendere esempi pratici, simulazioni e procedure operative.
La vicenda dell’Istituto Omnicomprensivo Scuola Europea di Brindisi dimostra che la privacy nella scuola non riguarda soltanto i casi più evidenti, come la pubblicazione di fotografie degli alunni, la diffusione di certificazioni mediche o la pubblicazione di dati personali all’interno di graduatorie e documenti.
Anche un indirizzo di posta elettronica personale costituisce un dato personale e la sua comunicazione a soggetti diversi dall’interessato deve essere giustificata e avvenire nel rispetto della normativa.
L’errore umano può essere valutato ai fini della responsabilità e della scelta della misura correttiva, ma non trasforma automaticamente un trattamento illecito in un trattamento lecito.
È questa, probabilmente, la lezione più importante che tutte le scuole dovrebbero trarre dal provvedimento.
Il provvedimento del Garante
Con il provvedimento n. 521 del 14 luglio 2026, il Garante ha quindi:
* dichiarato l’illiceità del trattamento effettuato dall’istituto;
* accertato la violazione degli articoli 5 e 6 del Regolamento UE 2016/679 e dell’articolo 2-ter del Codice privacy;
* escluso, invece, la violazione relativa ai dati appartenenti a categorie particolari prevista dall’articolo 9 del GDPR;
* qualificato la vicenda come “violazione minore”;
* ammonito l’istituto ai sensi dell’articolo 58, paragrafo 2, lettera b), del GDPR;
* disposto la pubblicazione del provvedimento sul sito del Garante;
* disposto l’annotazione della violazione nel registro interno dell’Autorità.
Il provvedimento può inoltre essere impugnato davanti all’autorità giudiziaria ordinaria nei termini indicati dal Garante: trenta giorni dalla comunicazione del provvedimento, termine elevato a sessanta giorni per chi risiede all’estero.
