Un istituto tecnico sanzionato per 2.000 euro per aver pubblicato online gli orari di servizio dei docenti e per aver utilizzato la "Bacheca" del registro elettronico per comunicare le assenze al personale, agli alunni e ai genitori. Il provvedimento n. 112/2026 affianca quello n. 307/2026 sull'IC Montelibretti e segna una linea sempre più nitida del Garante in materia di privacy scolastica: la trasparenza organizzativa non è una base giuridica, e l'autorizzazione al trattamento deve essere mirata.

Con il provvedimento n. 112 del 26 febbraio 2026 (doc. web n. 10233242), il Garante per la protezione dei dati personali ha sanzionato un istituto tecnico — non identificato pubblicamente nelle prime cronache, ma identificabile attraverso il provvedimento integrale — per una somma di 2.000 euro. Il procedimento ha avuto origine dal reclamo di un (ex) insegnante dell'istituto, che — dopo aver tentato senza successo di risolvere la questione internamente con la dirigenza scolastica — si è rivolto direttamente all'Autorità di garanzia per contestare due distinte condotte ritenute lesive dei propri dati personali.

Le contestazioni mosse dalla docente sono di natura distinta e meritano di essere presentate separatamente, perché l'una riguarda una vera e propria diffusione (erga omnes), l'altra una comunicazione (a destinatari individuati). Sono due fattispecie giuridicamente diverse, anche se accomunate dal medesimo difetto strutturale — l'assenza di una base giuridica adeguata.

Nella home page del sito web istituzionale, l'istituto aveva pubblicato — accessibile a chiunque navigasse — l'orario di servizio dei docenti con espressa indicazione della materia di insegnamento e del nominativo del relativo insegnante, accompagnato dai turni di sorveglianza durante la ricreazione svolti dai singoli docenti nominativamente identificati. Una scelta che la scuola, in fase istruttoria, ha difeso invocando "esigenze organizzative e di semplificazione in favore dell'utenza, finalizzate a garantire continuità didattica e trasparenza verso le famiglie" e a garantire "una più facile consultazione da parte dell'utenza scolastica e dello stesso personale scolastico, poco avvezzo alla consultazione della bacheca del registro elettronico".

Secondo profilo: l'utilizzo improprio della Bacheca del registro elettronico

Il secondo profilo è tecnicamente più sottile. La scuola utilizzava il registro elettronico Classe Viva fornito da Gruppo Spaggiari Parma S.p.A. Per gestire le assenze e le relative sostituzioni dei docenti, l'istituto si serviva della funzione "Bacheca", uno strumento di comunicazione interno della piattaforma. La piattaforma, ha però chiarito il fornitore nell'istruttoria, metteva a disposizione un modulo specifico per la gestione delle sostituzioni, accessibile soltanto al personale autorizzato. L'uso della Bacheca al posto del modulo dedicato — definito dalla stessa scuola come "errore tecnico-organizzativo" — ha avuto come conseguenza che le comunicazioni di assenza-sostituzione fossero rese visibili a una platea molto ampia, includendo gli alunni della classe, i genitori e tutto il personale ATA dell'istituto.

Sul primo profilo — la pubblicazione online di orari e turni — il Garante ha articolato una motivazione che, pur applicandosi al caso concreto, fissa un principio di rilevanza generale. L'istituto non ha saputo citare l'esistenza di alcuna disposizione normativa che obblighi o anche solo legittimi la pubblicazione online degli orari di servizio dei docenti, della materia insegnata e dei turni di sorveglianza, con identificazione nominativa. Le esigenze organizzative invocate dalla scuola — pur essendo in sé legittime — non costituiscono una base giuridica ex art. 6 del GDPR per la diffusione di dati personali su un canale pubblico.

Si tratta di un punto teorico delicato. La base giuridica richiesta dall'art. 6 GDPR per ogni trattamento può essere — nel settore pubblico — il consenso (lett. a), un obbligo legale (lett. c) o l'esecuzione di un compito di interesse pubblico (lett. e). Le "esigenze organizzative" della scuola, secondo la lettura del Garante, potrebbero al limite rientrare nella lett. e (compito di interesse pubblico), ma solo se l'obiettivo organizzativo richieda necessariamente la diffusione erga omnes del dato — il che non è quasi mai vero, come si vedrà nel terzo paragrafo.

Un secondo livello argomentativo riguarda il principio di minimizzazione ex art. 5, par. 1, lett. c) GDPR. Anche assumendo l'esistenza di una base giuridica, il trattamento deve essere adeguato, pertinente e limitato a quanto necessario alle finalità. La pubblicazione sul sito web istituzionale — accessibile dai motori di ricerca, indicizzabile, archivabile, con un grado di esposizione potenzialmente illimitato — è uno strumento sproporzionato per dare informazione di orario di servizio agli alunni di una classe e alle loro famiglie.

Sul secondo profilo — la "Bacheca" del registro elettronico — il Garante ha affermato un secondo principio di portata sistematica. I dati personali dei lavoratori pubblici (e quelli dei dipendenti della scuola sono indubbiamente tali) possono essere trattati solo da chi è stato espressamente autorizzato al trattamento, in ragione delle mansioni svolte. L'autorizzazione non è un'investitura "in bianco" che copre l'intero personale ATA: è un atto puntuale, motivato e proporzionato alla specifica attività che il singolo lavoratore svolge.

La conseguenza pratica è significativa: comunicare a tutto il personale ATA (segreteria, collaboratori scolastici) le assenze di un docente significa, in assenza di un'autorizzazione mirata, fornire dati a soggetti la cui mansione non richiede oggettivamente la conoscenza di quel dato. Un collaboratore scolastico che lavora in un plesso diverso da quello del docente assente non ha alcuna necessità informativa di sapere chi è assente in altra sede, e dunque il dato non può essergli reso visibile. La logica è quella del bisogno-di-conoscere — il classico principio del «need to know» della disciplina della sicurezza informatica e della privacy aziendale.

Ancora più chiaro è il punto sui soggetti estranei al rapporto di lavoro. Genitori e studenti, in particolare, non sono datore di lavoro né autorizzati al trattamento dei dati del personale docente: l'assenza di un insegnante e l'identità del suo sostituto sono informazioni necessarie agli alunni in quanto ne deriva il fatto del cambiamento del docente (cui ovviamente vanno informati), ma non sono di per sé dati che debbano essere divulgati nella loro completezza informativa con motivazione ("malattia", "congedo", ecc.). L'alunno deve sapere che oggi farà lezione con il prof. X anziché con il prof. Y; non deve sapere se il prof. Y è in malattia o in permesso.

Va segnalata un'ulteriore sfumatura — non sempre colta dalle cronache di queste ore — sulla situazione dei collaboratori scolastici. Questi possono essere legittimamente informati delle assenze del personale del proprio plesso se la mansione lo richiede (es. apertura/chiusura aule, vigilanza specifica). La regola non è quindi che i collaboratori scolastici siano sempre tagliati fuori, ma che l'autorizzazione vada modulata sulla mansione effettiva. Una comunicazione "a tutti i collaboratori dell'istituto" — magari di plessi diversi — è invece illegittima.

Il provvedimento n. 112/2026 non è isolato. Si inserisce in un filone di provvedimenti che il Garante ha sviluppato con regolarità negli ultimi anni in materia di trattamento dei dati del personale scolastico. È utile richiamare brevemente i precedenti più significativi, perché documentano un orientamento ormai stabile dell'Autorità.

• Provvedimento Garante 2023 (sanzionatorio) su una scuola che, attraverso il registro elettronico, aveva reso visibili al personale interno informazioni dettagliate sulle assenze di colleghi, comprensive di causali (trasferimento, part-time, interdizione per maternità, fruizione benefici legge 104/92 non grave). Il Garante affermò che la condivisione, anche se limitata a un ristretto numero di soggetti, per essere legittima deve essere rivolta a chi può lecitamente conoscere tali informazioni, in quanto soggetto autorizzato al trattamento.
• Provvedimento n. 732 del 4 dicembre 2025 (IC) — sanzione di 1.000 euro per l'invio di una email sui sollecito degli adempimenti vaccinali con 37 destinatari in chiaro (Cc anziché Ccn): violazione del principio di riservatezza in comunicazioni interne.
• Provvedimento n. 160 del 12 marzo 2026 (liceo romano) — sanzione di 2.000 euro per l'uso come fogli di riciclo di stampe che recavano sul retro l'elenco degli alunni con DSA: circolazione incontrollata di dati sanitari.
• Provvedimento n. 307 del 29 aprile 2026 (IC Montelibretti, RM) — sanzione di 4.000 euro per la pubblicazione sul sito web di una circolare sull'istruzione domiciliare che, attraverso iniziali + classe + riferimento a documentazione medica, rendeva identificabile uno studente con dati sanitari.
• Provvedimento n. 112 del 26 febbraio 2026 (oggetto del presente commento) — la sentenza in esame, che estende per la prima volta l'orientamento al personale docente (i precedenti riguardavano prevalentemente alunni e famiglie).

Il filo conduttore che emerge è una sintesi della prassi del Garante in tre principi-cardine:

• Le esigenze organizzative, da sole, non sono mai base giuridica per il trattamento di dati personali. Devono trovare ancoraggio in una norma di legge, in un regolamento, o nell'esecuzione di un compito istituzionale specifico.
• Il principio di minimizzazione governa tutto: anche quando il trattamento ha una base giuridica, deve essere limitato a quanto strettamente necessario alla finalità, in termini di dati trattati, soggetti destinatari, canali utilizzati, tempi di conservazione.
• L'autorizzazione al trattamento deve essere mirata e proporzionata, non un'investitura generale: ogni soggetto autorizzato deve conoscere solo i dati necessari alla propria mansione (principio del «need to know»).

Il provvedimento, oltre a sanzionare comportamenti specifici, fornisce indicazioni operative implicite che le scuole italiane dovrebbero recepire immediatamente. Cinque sono i fronti su cui intervenire.

• Revisione dei contenuti del sito web istituzionale. Ogni scuola dovrebbe condurre un audit completo dei dati personali pubblicati sul proprio sito istituzionale: orari di servizio, turni di vigilanza, organigrammi nominativi, indirizzi email personali. Per ciascuna pubblicazione va verificata l'esistenza di una base giuridica (di norma, una norma di trasparenza ex D.Lgs. 33/2013, oppure una specifica disposizione del CCNL). In assenza, il dato va rimosso.
• Configurazione corretta del registro elettronico. Tutti i principali registri elettronici (Spaggiari Classe Viva, Argo, Axios, Mastercom, Nuvola) prevedono moduli distinti per la gestione delle assenze del personale e per le comunicazioni alla classe. Va sistematicamente verificato che la scuola stia utilizzando il modulo corretto, quello che garantisce la visibilità solo ai soggetti autorizzati. L'errore della scuola sanzionata è stato di usare la "Bacheca" (canale aperto) anziché il modulo dedicato alle sostituzioni (canale chiuso).
• Comunicazione delle sostituzioni alla classe. Gli alunni hanno diritto di sapere chi sarà il loro docente durante una determinata ora — non perché quel docente è assente. La comunicazione corretta è dunque: "Domani 28 maggio 2026, ore 9.00-10.00, la lezione di matematica sarà tenuta dal prof. Rossi" — non: "Domani la prof.ssa Bianchi sarà assente per malattia/congedo e sarà sostituita dal prof. Rossi".
• Atti di autorizzazione al trattamento mirati. I provvedimenti di autorizzazione al trattamento dei dati per il personale ATA, per i docenti referenti, per i collaboratori scolastici devono essere specifici per mansione, non generici. Va specificato quali categorie di dati ciascun autorizzato può trattare, per quale finalità, con quali limiti. Le scuole che hanno autorizzazioni "a pioggia" — "il personale ATA è autorizzato al trattamento di tutti i dati gestiti dalla scuola" — sono esposte a contestazioni.
• Coinvolgimento del DPO in fase preventiva. Il Responsabile della Protezione dei Dati (DPO) — figura obbligatoria nelle istituzioni scolastiche ex art. 37 GDPR — va consultato prima di pubblicare dati sul sito o di utilizzare nuove modalità di comunicazione interna. Il DPO esiste proprio per fornire questa consulenza ed è una figura su cui le scuole dovrebbero attingere con maggiore sistematicità.

Il provvedimento del Garante apre un tema più generale che merita di essere esplicitato. La scuola pubblica italiana è un'amministrazione fortemente improntata al principio di trasparenza, e questo è — in linea generale — un valore positivo: deriva dal D.Lgs. 33/2013 (riordino degli obblighi di pubblicità, trasparenza e diffusione di informazioni nelle pubbliche amministrazioni) e dalla cultura amministrativa post-legge 241/1990. La tendenza spontanea delle scuole — soprattutto delle dirigenze più orientate alla trasparenza — è quella di pubblicare il più possibile sul sito istituzionale, nella convinzione che si tratti di una buona pratica.

Il provvedimento n. 112/2026 ricorda che la trasparenza amministrativa non equivale alla pubblicazione di qualsiasi dato detenuto dalla scuola. Il D.Lgs. 33/2013 e i suoi allegati individuano tassativamente quali dati devono essere pubblicati (sezione "Amministrazione Trasparente" del sito, articolata in voci precise: organizzazione, personale dirigente, bandi, contratti, ecc.). Tutto ciò che eccede tali obblighi va valutato caso per caso sotto il profilo della base giuridica, della finalità e della proporzionalità. La pubblicazione di ogni dato che potrebbe in astratto interessare l'utenza — orari, assenze, valutazioni, organigrammi nominativi — non è una buona pratica ma uno scivolone giuridico.

Va detto, per onestà intellettuale, che molte scuole pubblicano orari di servizio dei docenti sui propri siti istituzionali in piena buona fede, ritenendo di adempiere a un dovere di trasparenza verso famiglie e studenti. La constatazione di una pratica diffusa, però, non vale come scriminante: il Garante ha più volte ricordato che la diffusione di un comportamento illegittimo non lo rende lecito, e che — anzi — proprio la diffusione di prassi scorrette giustifica un'azione interpretativa più incisiva da parte dell'Autorità.

Il provvedimento n. 112/2026 ha — sotto il profilo dei principi giuridici — una portata che si inserisce in un orientamento ormai consolidato del Garante in materia di privacy scolastica. La sua specificità — e la ragione per cui merita un'analisi puntuale — sta nell'aver per la prima volta esteso al personale docente i principi che il Garante aveva già applicato in più occasioni al trattamento dei dati degli studenti.

Il messaggio operativo per le scuole italiane è chiaro e va declinato su tre piani. Sul piano organizzativo, occorre una revisione sistematica delle pratiche di pubblicazione e comunicazione interna, con audit del sito web e verifica della corretta configurazione dei registri elettronici. Sul piano procedurale, occorrono atti di autorizzazione mirati per il personale, formalizzati nel Registro dei trattamenti ex art. 30 GDPR, con specificazione della mansione e dei dati trattati. Sul piano culturale, occorre acquisire il principio che la trasparenza scolastica non è la pubblicazione massiva di dati ma il rispetto rigoroso degli obblighi di pubblicità individuati dalla legge, integrato dalla cura del rapporto comunicativo diretto con i destinatari delle informazioni.

Per i docenti, c'è un secondo messaggio importante. Il provvedimento parte da un reclamo di un (ex) insegnante che — vista l'inerzia della dirigenza nel risolvere internamente la questione — si è rivolto direttamente al Garante. Il fatto che il Garante abbia accolto in pieno il reclamo, sanzionato la scuola e affermato principi di portata generale rafforza significativamente la posizione dei docenti in tutte le situazioni in cui la dirigenza scolastica trattamento dei loro dati personali in modo improprio. Lo strumento del reclamo al Garante — gratuito, accessibile, efficace — è oggi un'alternativa concreta al silenzio rassegnato o al ricorso al giudice del lavoro. Per gli studi legali che assistono il personale scolastico, è una via processuale che merita di essere sistematicamente valutata.

Una nota finale di sistema. Sommando i cinque provvedimenti recenti del Garante che abbiamo richiamato (2023, n. 732/2025, n. 160/2026, n. 307/2026, n. 112/2026), si delinea una giurisprudenza amministrativa di settore ormai sufficientemente articolata da costituire — di fatto — un "codice di condotta" implicito sulla privacy nelle scuole italiane. Sarebbe auspicabile che il Ministero dell'Istruzione e del Merito raccogliesse questa giurisprudenza in linee guida ufficiali, magari aggiornando il vademecum "La scuola a prova di privacy" (edizione 2025 del Garante) con riferimenti diretti ai casi decisi. La forza preventiva di un documento di sintesi è maggiore di quella della casistica disseminata, e ridurrebbe — concretamente — il volume delle sanzioni che ogni anno colpiscono le scuole su violazioni che, alla luce della giurisprudenza esistente, sarebbero pienamente prevenibili.