Prescrizioni del Garante n. 529 del 25/09/2025

Istituto Comprensivo San Benigno Canavese: comunicazione illecita di dati personali di una minore su Classroom

Il Garante per la protezione dei dati personali ha esaminato il caso di una nota pubblicata da una docente sulla piattaforma Classroom dell’istituto scolastico, visibile ai genitori degli alunni della classe, contenente informazioni sulle vicende familiari del reclamante e della figlia minore. Il procedimento è stato avviato a seguito di reclamo del padre della minore e si è concluso con l’ammonimento dell’istituto, ritenuto titolare del trattamento.

Origine del procedimento e fatti segnalati

Il reclamante ha lamentato che una docente avesse pubblicato un post accessibile alle famiglie della classe della figlia, nel quale venivano riportate informazioni relative:

• alla separazione in corso tra i genitori della minore;
• allo stato emotivo della stessa;
• più in generale, alle vicende personali e familiari del reclamante e dell’alunna.

L’istituto, rispondendo all’istruttoria, ha spiegato che la docente aveva commesso un errore materiale, utilizzando la Classroom visibile alle famiglie invece di quella riservata ai docenti. L’intenzione era quella di condividere la situazione con gli insegnanti della classe, anche in relazione al possibile impatto sul percorso di apprendimento della minore. La nota è stata rimossa tempestivamente dopo la segnalazione.

Base giuridica e disciplina applicabile

Il Garante ha richiamato la disciplina del trattamento da parte di soggetti pubblici, ricordando che il trattamento è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), par. 2 e 3 GDPR, e dell’art. 2-ter del Codice privacy.

L’Autorità ha sottolineato che:

• la base giuridica deve essere stabilita dal diritto dell’Unione o dello Stato membro;
• per la comunicazione e la diffusione di dati personali occorre una previsione espressa in legge, regolamento o atto amministrativo generale;
• permane comunque l’obbligo di rispettare i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Valutazione sulla natura della comunicazione

Il Garante ha escluso che vi fosse una diffusione in senso proprio, poiché l’area della piattaforma non era accessibile indiscriminatamente. Tuttavia, ha ritenuto che si fosse comunque verificata una comunicazione di dati personali a un novero determinato di soggetti terzi non legittimati alla conoscenza delle informazioni.

L’Autorità ha inoltre richiamato:

• la nozione di titolare del trattamento ex art. 4, n. 7, GDPR;
• le Linee guida EDPB 07/2020 sul titolare e responsabile del trattamento;
• la giurisprudenza della Corte di giustizia sul fatto che il titolare non può sottrarsi alla responsabilità invocando la negligenza di un dipendente.

Ne deriva che la responsabilità resta in capo all’istituto scolastico nel suo complesso, anche quando l’errore materiale è imputabile a una docente.

Minori e comunicazioni scolastiche

L’Autorità ha richiamato la particolare tutela dovuta ai minori, in ragione della loro vulnerabilità ai sensi del considerando 38 GDPR. Ha inoltre ricordato il proprio orientamento costante in materia di comunicazioni scolastiche, secondo cui il diritto-dovere di informare le famiglie deve essere bilanciato con la tutela della personalità dei minori, evitando l’inserimento di dati personali in comunicazioni non rivolte a specifici destinatari quando tali dati rendano identificabili gli alunni coinvolti in vicende delicate.

Violazioni accertate

All’esito dell’istruttoria, il Garante ha ritenuto che l’istituto avesse reso conoscibili a soggetti terzi, senza idoneo presupposto di liceità, dati personali riguardanti il reclamante e la figlia minore. Le violazioni contestate sono state individuate negli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché nell’art. 2-ter, commi 1 e 3, del Codice privacy.

Valutazione delle circostanze e qualificazione come violazione minore

Pur confermando l’illiceità del trattamento, il Garante ha qualificato il caso come "violazione minore" ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR, richiamando anche le Linee guida WP 253 sulle sanzioni amministrative pecuniarie.

La decisione è stata motivata dalla presenza di circostanze attenuanti, tra cui:

• le ridotte dimensioni del titolare, trattandosi di un istituto scolastico;
• l’errore materiale della docente;
• la finalità dichiarata di tutela della minore;
• la limitata durata della pubblicazione, inferiore a 24 ore;
• la circoscritta platea dei destinatari, limitata ai genitori della classe;
• la piena collaborazione del titolare con l’Autorità;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR.

Provvedimento finale e conseguenze

In considerazione di tali elementi, il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR. Ha quindi:

• dichiarato illecita la condotta dell’Istituto Comprensivo San Benigno Canavese;
• ammonito il titolare del trattamento per la violazione delle norme richiamate;
• escluso l’adozione di ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.

È stata inoltre disposta la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.