Il provvedimento n. 1 del 16 gennaio 2026 chiarisce che l'economia procedurale non giustifica la commistione di dati personali, nemmeno quando i reclami riguardano lo stesso oggetto

Due docenti di un istituto comprensivo conferiscono a un sindacato il mandato di presentare, in loro nome, distinti reclami nei confronti della scuola, aventi il medesimo oggetto: l'assegnazione delle classi. Il sindacato predispone correttamente due reclami separati e li trasmette con un'unica PEC, come allegati distinti.

Il dirigente scolastico risponde con un'unica nota di riscontro, indirizzata al sindacato, nella quale tratta congiuntamente entrambe le posizioni. All'interno di quella risposta confluiscono dati personali di entrambe le insegnanti, tra cui  informazioni relative allo stato di salute di una delle due: ricoveri ospedalieri, assenze per motivi di salute, indicazioni di un medico specialista.

Una delle due docenti, venuta a conoscenza del fatto che le proprie informazioni sanitarie erano state comunicate all'altra insegnante e al sindacato, presenta reclamo al Garante per la protezione dei dati personali.

Con il provvedimento n. 1 del 16 gennaio 2026, il Garante dichiara illecita la risposta unica del dirigente scolastico e ammonisce la scuola, senza tuttavia irrogare una sanzione pecuniaria.

La scuola si era difesa su più fronti:

• aveva invocato l'economia procedurale, sostenendo che rispondere con un'unica nota fosse una scelta ragionevole data l'identità di oggetto dei due reclami;
• aveva evidenziato che il sindacato non aveva chiesto espressamente risposte distinte;
• aveva sostenuto che fosse compito del sindacato stesso valutare le modalità di comunicazione delle risposte ai propri iscritti nel rispetto della riservatezza di ciascuno;
• aveva infine aggiunto che le informazioni sanitarie erano già parzialmente note nel contesto lavorativo, a causa delle assenze prolungate della docente interessata.

Il Garante ha respinto tutte le argomentazioni.

Quanto all'economia procedurale, l'Autorità chiarisce che essa non può in alcun caso giustificare la circolazione, nel contesto lavorativo, di informazioni non necessarie. Il risparmio organizzativo non costituisce una base giuridica idonea a legittimare il trattamento di dati personali altrui.

Quanto al ruolo del sindacato, la scuola non può trasferire su un soggetto terzo  gli obblighi che ricadono direttamente sul titolare del trattamento. Era onere dell'istituzione scolastica predisporre note di riscontro separate, ciascuna contenente esclusivamente i dati pertinenti al singolo reclamo.

Quanto alla pretesa conoscenza pregressa dei dati sanitari, il Garante ricorda che la notorietà di fatto di un'informazione all'interno di un ambiente lavorativo non equivale a legittimazione alla sua circolazione e tanto meno autorizza il titolare del trattamento a diffonderla ulteriormente.

Un aspetto di particolare interesse pratico riguarda la valutazione della comunicazione delle risposte al sindacato, anziché direttamente alle docenti. Su questo punto il Garante adotta una posizione equilibrata: la trasmissione al sindacato non è di per sé scorretta, poiché il fatto che il sindacato abbia presentato i reclami in nome e per conto delle docenti ha creato un ragionevole affidamento nell'istituto circa la sussistenza di un mandato comprensivo anche della ricezione delle risposte.

Ciò che era illecito non era quindi il destinatario della comunicazione, ma la modalità: una nota unica, anziché due distinte.

Il provvedimento, riprendendo le Linee guida del Garante del 2007, richiama le istituzioni scolastiche a una serie di cautele che valgono non solo nella comunicazione esterna, ma anche nella circolazione interna dei dati.

In pratica, ogni qualvolta un dirigente scolastico si trovi a rispondere a reclami o istanze di più soggetti anche se presentati congiuntamente o tramite lo stesso intermediario, e anche se vertono sullo stesso oggetto è tenuto a:

• predisporre risposte separate per ciascun interessato;
• verificare che ciascuna risposta contenga esclusivamente i dati pertinenti al richiedente;
• prestare particolare attenzione ai dati particolari ai sensi dell'art. 9 del Regolamento (UE) 2016/679 (GDPR), tra i quali rientrano i dati relativi alla salute, che possono emergere incidentalmente anche in contesti apparentemente ordinari come la gestione dell'organizzazione scolastica;
• non delegare al sindacato né ad alcun altro intermediario  la responsabilità di filtrare le informazioni prima di trasmetterle ai propri assistiti.

Il provvedimento n. 1/2026 offre uno spunto di riflessione importante per la gestione quotidiana delle relazioni sindacali nelle scuole. La tentazione di rispondere in modo unitario a reclami seriali magari presentati in blocco da un'organizzazione sindacale è comprensibile sul piano dell'efficienza amministrativa. Ma l'efficienza non può essere perseguita a scapito della tutela dei dati personali dei lavoratori.

Vale la pena sottolineare che la vicenda non riguardava una violazione vistosa o intenzionale: il dirigente scolastico probabilmente non ha percepito il rischio privacy insito in una risposta "di routine". È proprio questo elemento la sottovalutazione del rischio nella gestione ordinaria che rende il provvedimento particolarmente utile come strumento di formazione per tutto il personale scolastico con funzioni di direzione o di gestione del personale.

In quest'ottica, il provvedimento si inserisce in un quadro più ampio di attenzione del Garante verso il comparto scolastico: un settore nel quale i dati trattati dati di salute, dati giudiziari, informazioni su minori e su situazioni familiari sono strutturalmente sensibili, e nel quale la cultura della protezione dei dati personali deve ancora consolidarsi pienamente.