Diecimila euro di sanzione al Ministero dell'Istruzione e del Merito per una singola e-mail. Il Garante privacy ha punito l'USR Lombardia (Ufficio scolastico regionale) per aver comunicato il licenziamento disciplinare di una dipendente ATA a tutte le scuole e agli uffici del territorio, senza una base giuridica che lo giustificasse.
Il caso: una mail spedita a troppi destinatari
L'USR Lombardia aveva mandato la notizia del licenziamento via posta elettronica agli altri uffici scolastici regionali, agli istituti statali dell'ambito territoriale coinvolto e agli uffici amministrativi che gestiscono graduatorie, nomine e pensioni. Nell'e-mail comparivano nome, cognome, luogo e data di nascita della lavoratrice, la qualifica, la tipologia della sanzione disciplinare e gli estremi del provvedimento.
L'obiettivo dichiarato era impedire che la dipendente, tacendo il precedente licenziamento, si ricandidasse in altre graduatorie o ottenesse un altro contratto nella scuola. Per il Garante il fine non basta: la normativa già prevede autodichiarazioni dei requisiti e controlli a valle da parte degli uffici, e per gli adempimenti amministrativi sarebbe stata sufficiente la comunicazione della cessazione del rapporto di lavoro, senza specificarne la causa disciplinare.
Un errore ricorrente: le scuole nel mirino del Garante
Il ministero finisce nel capitolo che finora era stato riservato alle singole scuole. La relazione annuale 2025 del Garante privacy, pubblicata a luglio 2026, ha censito 19 provvedimenti a carico di istituti scolastici: tredici sanzioni pecuniarie e sei ammonimenti. Le violazioni più ricorrenti riguardano proprio le mail e le liste di distribuzione: comunicazioni istituzionali sugli adempimenti vaccinali con i destinatari in chiaro, allegati con patologie e disabilità di alunni inviati per errore a terzi, avvisi ai colleghi che rendono pubblici dati sanitari o disciplinari.
Nel 2025 il Garante ha adottato complessivamente 807 provvedimenti collegiali e riscosso oltre 37 milioni di euro di sanzioni, con 514 data breach notificati nel settore pubblico, dove una quota rilevante arriva da Comuni, scuole e strutture sanitarie. Il caso della dipendente ATA rientra nello stesso schema di violazione, con una differenza istituzionale importante: non è una singola scuola che sbaglia in autonomia, è la catena regionale che gestisce il personale statale. Un nodo che tocca altre partite delicate della gestione ministeriale, come il taglio delle cattedre di potenziamento nel 2026/27, dove le decisioni prese al centro ricadono su ogni istituto e sui singoli lavoratori.
Titolari autonomi: la responsabilità resta ai dirigenti scolastici
Il passaggio più operativo del provvedimento riguarda proprio le scuole. Il Garante ricorda, in linea con quanto indicato nella sezione Scuola del Garante privacy, che gli istituti sono titolari autonomi del trattamento: soggetti giuridici distinti dal MIM, che rispondono in proprio della liceità di ciò che ricevono e di ciò che rimandano indietro. Ricevere un elenco con dati eccedenti da un ufficio superiore non è mai neutro. Il dirigente scolastico che rigira una comunicazione simile ai propri collaboratori, o che la usa per una verifica anticipata su una candidatura, rischia di aggiungere una violazione a quella del mittente.
La regola operativa è netta: se una comunicazione contiene dati non necessari all'adempimento richiesto, l'istituto deve limitare l'uso a ciò che serve, cancellare il resto e valutare la segnalazione al Responsabile della protezione dei dati. Un criterio che si intreccia anche con il ruolo di altre autorità di garanzia che intervengono sulla scuola, come nella recente posizione del Garante infanzia sull'emendamento Valditara sul burqa a scuola.
Il Garante ha considerato collaborativa la risposta del ministero, che ha sospeso la prassi durante l'istruttoria; nello stesso periodo il MIM ha usato la scuola come vetrina per iniziative pubbliche di visibilità, come l'invito ai vincitori della Robocup 2026 al ministero. La lezione operativa che resta agli uffici scolastici e ai dirigenti è però scomoda: la sola comunicazione della cessazione basta, tutto il resto è un rischio patrimoniale che adesso ha un prezzo.