Ordinanza ingiunzione o revoca n. 317 del 04/06/2025

Istituto scolastico: ritardo nella nomina del RPD e informative privacy incomplete

Il Garante per la protezione dei dati personali ha concluso un procedimento nei confronti dell’Istituto d’Istruzione Superiore "Carlo e Nello Rosselli" di Aprilia, a seguito di un reclamo presentato da uno studente e di ulteriori accertamenti istruttori. L’Autorità ha accertato soprattutto due profili di non conformità: il ritardo nella designazione del nuovo Responsabile della protezione dei dati e nella comunicazione dei relativi contatti, nonché l’incompletezza delle informative privacy pubblicate sul sito istituzionale.

Origine del reclamo e attività istruttoria

Il reclamo iniziale riguardava la presunta presenza di un file contenente il Piano Didattico Personalizzato dello studente su Outlook, in una sezione accessibile agli utenti. L’Istituto ha rappresentato che il PDP era custodito in modo riservato e che la condivisione temporanea avveniva solo tra i docenti del Consiglio di classe tramite credenziali personali. Tuttavia, l’istruttoria non ha consentito di accertare con certezza che il documento fosse stato effettivamente reso disponibile a soggetti terzi, anche per la presenza di versioni contrastanti dei fatti.

Ritardo nella designazione e comunicazione del RPD

Nel corso degli accertamenti è emerso che, cessato l’incarico del precedente RPD, l’Istituto non aveva provveduto tempestivamente alla nomina del nuovo responsabile. La designazione è avvenuta solo dopo un considerevole lasso di tempo, e la comunicazione dei dati di contatto all’Autorità è stata effettuata solo a seguito dell’avvio dell’istruttoria. Il Garante ha qualificato tale condotta come violazione dell’art. 37, par. 1, lett. a), e par. 7, GDPR, richiamando anche le Linee guida WP29 sui RPD e il proprio Documento di indirizzo del 29 aprile 2021, secondo cui la designazione del RPD è obbligatoria per gli istituti scolastici pubblici e i dati di contatto devono essere pubblicati e comunicati all’Autorità in modo tempestivo.

Incompletezza delle informative privacy

L’Autorità ha rilevato che le informative pubblicate sul sito dell’Istituto erano ancora impostate secondo il precedente quadro normativo e non risultavano adeguate al GDPR. In particolare, mancavano informazioni essenziali richieste dall’art. 13 GDPR, tra cui:

• i dati di contatto del RPD;
• il periodo di conservazione dei dati;
• il diritto di proporre reclamo al Garante;
• i diritti di limitazione, opposizione e portabilità.

Inoltre, dalle informative risultavano indicate in modo non corretto le figure del titolare e del responsabile del trattamento. Per tale ragione, il Garante ha ritenuto violati i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), nonché gli artt. 12 e 13 GDPR.

Valutazioni finali del Garante

Il Garante ha ritenuto che le memorie difensive dell’Istituto non fossero sufficienti a superare i rilievi contestati. Ha quindi dichiarato l’illiceità del trattamento per la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, 13, parr. 1 e 2, e 37, parr. 1 e 7, GDPR. Ha inoltre osservato che, poiché la condotta aveva esaurito i propri effetti, non erano necessari ulteriori provvedimenti correttivi ex art. 58, par. 2, GDPR.

Sanzione, criteri di quantificazione e misure accessorie

La violazione è stata sanzionata ai sensi dell’art. 83 GDPR e dell’art. 166 del Codice privacy. Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato il criterio di cui all’art. 83, par. 3, GDPR. Nella quantificazione della sanzione sono stati considerati:

• l’assenza di danni comprovati agli interessati;
• il carattere colposo della violazione;
• il fatto che i trattamenti non riguardavano categorie particolari di dati;
• le misure adottate successivamente per adeguarsi alla normativa;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione con l’Autorità.

La sanzione è stata determinata in euro 4.000. Il Garante ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito e l’annotazione del provvedimento nel registro interno dell’Autorità, richiamando la possibilità di definizione agevolata nei termini previsti dall’art. 166, comma 8, del Codice privacy.