Una mail alla persona sbagliata non è soltanto una svista

Quando la stessa anagrafica contiene ruoli diversi, separare finalità e recapiti diventa una misura di sicurezza

Una scuola ha inviato al marito di una docente una richiesta di giustificazione per un’assenza dal lavoro. Non c’era una scelta deliberata di comunicare quel dato e non c’era un malfunzionamento del software. C’era una migrazione tra gestionali, la stessa persona censita sia come dipendente sia come genitore e un indirizzo del coniuge già presente per le comunicazioni scuola-famiglia. È bastato selezionare il recapito sbagliato perché una procedura ordinaria diventasse una violazione della protezione dei dati.

 

In breve

Il Garante per la protezione dei dati personali ha ammonito l’istituto perché una comunicazione relativa al rapporto di lavoro è arrivata a un soggetto estraneo a quel rapporto. Il fatto che il destinatario fosse il coniuge non lo rendeva autorizzato a conoscere l’informazione. L’Autorità ha considerato il caso una violazione minore. Ha valutato, tra l’altro, il carattere isolato e colposo dell’episodio, il coinvolgimento di una sola interessata, l’assenza di categorie particolari di dati, le misure correttive e la cooperazione dell’istituto. Ha inoltre ribadito che, nella scuola, i ruoli, le finalità e i recapiti devono restare separati anche quando convivono nello stesso archivio.

 

Il caso: due ruoli, un’anagrafica e il destinatario sbagliato

La vicenda riguarda una docente che era anche madre di due alunni dello stesso istituto. Durante il passaggio da un gestionale a un altro, l’indirizzo aziendale del marito, raccolto per le comunicazioni riguardanti i figli, è stato associato al profilo professionale della dipendente. La segreteria ha così inviato a quell’indirizzo una richiesta di giustificazione per un’assenza dal servizio.

In un primo momento l’errore era stato ricondotto al trasferimento dei dati. Le verifiche successive hanno escluso un difetto strutturale del software e lo hanno attribuito a una svista del personale, avvenuta in una fase di particolare carico di lavoro. Questa precisazione, però, non ha cambiato la sostanza: per il Garante, anche un errore umano involontario può produrre una comunicazione illecita quando l’organizzazione non ha predisposto controlli adeguati.

 

Il coniuge resta un terzo

È il passaggio più semplice da capire e, proprio per questo, più facile da sottovalutare. Una relazione familiare non crea un’autorizzazione generale a ricevere informazioni sul lavoro dell’altra persona. Il marito della docente era legittimamente presente negli archivi della scuola come genitore, ma non aveva alcun ruolo nella gestione del rapporto di lavoro della moglie.

Il Garante ha quindi considerato il messaggio una comunicazione di dati personali a un terzo senza una base giuridica. La richiesta di giustificare un’assenza non conteneva dati appartenenti alle categorie particolari, come quelli relativi alla salute, ma riguardava comunque la vita professionale della docente. La limitata portata dell’episodio e il fatto che non coinvolgesse categorie particolari di dati non hanno reso lecito l’invio, ma hanno contribuito, insieme agli altri elementi valutati dall’Autorità, alla scelta dell’ammonimento.

 

Il problema non è soltanto chi preme “Invia”

Fermarsi alla distrazione dell’operatore sarebbe rassicurante, ma incompleto. Se lo stesso archivio contiene recapiti raccolti per finalità diverse, l’errore diventa prevedibile e il rischio aumenta quando i dati vengono migrati, uniti o deduplicati, perché campi simili possono finire nel profilo sbagliato.

Per questo il provvedimento richiama sia la responsabilità organizzativa del titolare sia la sicurezza del trattamento. La scuola avrebbe dovuto mantenere una separazione funzionale tra i dati usati come datore di lavoro e quelli usati per il rapporto con le famiglie, prevedendo controlli più stringenti per le persone presenti con un doppio ruolo. Formazione e attenzione restano necessarie, ma devono essere sostenute da scelte tecniche che rendano più difficile sbagliare.

 

Le migrazioni dei dati sono un momento di rischio

Quando si cambia gestionale, il lavoro non consiste soltanto nel trasferire record da una piattaforma all’altra. Bisogna verificare che ogni dato conservi la propria origine, la finalità per cui è stato raccolto e il contesto nel quale può essere utilizzato. Un indirizzo corretto, se collocato nel profilo sbagliato, diventa un dato inaffidabile.

La migrazione dovrebbe quindi prevedere regole di corrispondenza documentate, test su casi anomali e controlli a campione prima dell’uso operativo. I profili con più ruoli — dipendente e genitore, professionista e fornitore, amministratore e utente — meritano verifiche specifiche. Non serve moltiplicare i passaggi per ogni messaggio: serve intervenire nei punti in cui un errore può esporre informazioni a chi non deve riceverle.

 

Cosa può fare un ente

La prima misura è distinguere chiaramente i recapiti in base alla finalità. Il campo usato per le comunicazioni di lavoro non dovrebbe essere alimentato automaticamente da un indirizzo raccolto per altri rapporti, e l’interfaccia dovrebbe mostrare all’operatore il ruolo al quale quel recapito appartiene.

La seconda è introdurre un controllo rafforzato nei casi di omonimia, doppio ruolo o migrazione recente. Può bastare una conferma esplicita del destinatario, purché non diventi un gesto automatico privo di attenzione. Per comunicazioni delicate è utile che l’oggetto e il contenuto non espongano più informazioni del necessario già nell’anteprima.

La terza riguarda la qualità dei dati. Bonificare le anagrafiche non significa cancellare indiscriminatamente, ma correggere associazioni errate, eliminare duplicazioni e documentare quale fonte alimenta ciascun recapito. A ciò vanno aggiunti la formazione del personale, la tracciabilità delle modifiche e una procedura per gestire rapidamente gli invii sbagliati.

 

L’ammonimento non riduce la lezione

Il Garante non ha applicato una sanzione pecuniaria. Ha tenuto conto del carattere isolato e colposo dell’episodio, del numero limitato di persone coinvolte, della cooperazione dell’istituto e delle misure adottate dopo il reclamo. La scuola aveva infatti avviato la bonifica degli archivi, disposto l’uso esclusivo dell’indirizzo istituzionale per le comunicazioni di lavoro e introdotto una verifica manuale nei casi di personale che fosse anche genitore.

Queste circostanze hanno giustificato l’ammonimento, non l’archiviazione. La differenza è importante: l’Autorità ha riconosciuto l’illiceità del trattamento e ha poi calibrato la risposta sulla gravità concreta. Per gli enti, dunque, la collaborazione e le misure adottate contano, ma non sostituiscono i controlli che avrebbero dovuto prevenire l’errore.

 

Una regola utile anche fuori dalla scuola

Il caso nasce in un istituto comprensivo, ma il rischio è comune a molte organizzazioni. Un Comune può avere la stessa persona come dipendente e cittadino, un’azienda può censirla come lavoratore e cliente e un ente del terzo settore può registrarla come volontario, beneficiario e donatore. Quando i sistemi collegano quei ruoli senza conservarne i confini, un dato raccolto correttamente può essere usato nel contesto sbagliato.

La protezione dei dati passa anche da questa cura quotidiana: sapere non soltanto quale informazione si possiede, ma perché la si possiede e in quale relazione può essere impiegata. Nel momento in cui la finalità scompare dall’anagrafica, l’errore diventa non soltanto possibile, ma anche difficile da riconoscere prima che il messaggio parta.

 

Fonti

• Garante per la protezione dei dati personali, provvedimento n. 610 del 3 settembre 2026
• Federprivacy, sintesi del 16 ottobre 2026

 

Nota di trasparenza. Questo articolo è stato predisposto con il supporto di strumenti di intelligenza artificiale generativa. La responsabilità editoriale dei contenuti è di iSimply.