Ordinanza ingiunzione o revoca n. 626 del 23/10/2025

Istituto d’Istruzione Superiore “Statista Aldo Moro” di Fara Sabina: pubblicazione di una circolare disciplinare con cognome di uno studente e tardiva nomina del RPD

Il provvedimento riguarda un istituto scolastico pubblico e trae origine da un reclamo presentato dai genitori di uno studente minorenne. L’Autorità ha esaminato la pubblicazione sul sito istituzionale di una circolare relativa a un consiglio di classe straordinario per un procedimento disciplinare, nella cui denominazione del file compariva il cognome dell’alunno, nonché la mancata tempestiva nomina del responsabile della protezione dei dati e la mancata comunicazione dei relativi contatti al Garante.

Origine del reclamo e attività istruttoria

I reclamanti hanno segnalato che il documento era stato pubblicato sul sito della scuola e che il legale aveva diffidato l’istituto alla rimozione, senza ricevere riscontro. Nell’istruttoria l’istituto ha ammesso che il cognome dello studente risultava nella denominazione del file, precisando che si trattava di un errore materiale, poiché il testo della circolare non conteneva elementi identificativi dell’alunno. Ha inoltre riferito che la pubblicazione era rimasta online per un intervallo limitato e che il file era stato rimosso subito dopo la segnalazione.

Quadro normativo richiamato

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, e 37, parr. 1 e 7, del GDPR, nonché l’art. 2-ter, commi 1 e 3, del Codice privacy. È stato ricordato che il trattamento da parte di soggetti pubblici è lecito solo se fondato su una norma di legge, di regolamento o su atti amministrativi generali che perseguano un obiettivo di interesse pubblico e siano proporzionati; inoltre, la diffusione di dati personali è ammessa solo se espressamente prevista. In materia scolastica, è stato ribadito il principio per cui le comunicazioni rivolte a destinatari indistinti non devono rendere identificabili gli studenti coinvolti in vicende delicate, specie se minorenni.

Illiceità della pubblicazione della circolare

L’Autorità ha ritenuto che l’indicazione del cognome nella denominazione del file, pur in assenza del nominativo nel testo della circolare, abbia determinato una diffusione illecita di dati personali relativi a un procedimento disciplinare scolastico. La condotta è stata qualificata come violazione dei principi di liceità, correttezza e trasparenza e della base giuridica richiesta per la diffusione di dati in ambito pubblico. È stato inoltre valorizzato il fatto che il dato riguardasse un minore, soggetto considerato particolarmente vulnerabile ai sensi del considerando 38 del GDPR.

Mancata nomina e comunicazione del RPD

Dagli atti è emerso che l’istituto non aveva designato il RPD/DPO fino al mese indicato nel provvedimento e non aveva comunicato all’Autorità i relativi dati di contatto. Il Garante ha ricordato che per le autorità e gli organismi pubblici la designazione del RPD è obbligatoria e che i dati di contatto devono essere pubblicati e comunicati al Garante. La nomina tardiva, avvenuta solo dopo l’avvio del procedimento, integra violazione dell’art. 37, parr. 1 e 7, GDPR.

Profili archiviati

Il Garante ha archiviato solo il profilo relativo al mancato riscontro alla diffida inviata dai reclamanti, osservando che l’istituto aveva già rimosso il documento e che la diffida non era stata formalmente proposta come esercizio di diritti ai sensi dell’art. 12 GDPR. Su questo punto, l’Autorità ha ritenuto non necessario un riscontro formale ulteriore.

Sanzione e criteri di quantificazione

Le due condotte sono state valutate separatamente ai fini sanzionatori. Per la pubblicazione illecita della circolare, il Garante ha richiamato l’art. 83, par. 5, GDPR e ha considerato: durata limitata della pubblicazione, errore materiale, assenza di dati particolari, rimozione spontanea del documento, cooperazione con l’Autorità e assenza di precedenti. La gravità è stata ritenuta media e la sanzione fissata in 2.000 euro.

Per la tardiva nomina e mancata comunicazione del RPD, il Garante ha richiamato l’art. 83, par. 4, GDPR e ha considerato la colpa, il ritardo nell’adempimento, l’attivazione successiva per rimediare alla violazione, l’assenza di precedenti e le ridotte dimensioni dell’istituto. Anche in questo caso la sanzione è stata quantificata in 2.000 euro.

Dispositivo

Il provvedimento dichiara l’illiceità del trattamento effettuato dall’istituto per la pubblicazione della circolare e per la tardiva nomina/comunicazione del RPD. È stata ingiunta la complessiva somma di 4.000 euro a titolo di sanzione amministrativa pecuniaria, con facoltà di pagamento in misura ridotta nei termini di legge. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante e l’annotazione nel registro interno dell’Autorità. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dal GDPR, dal Codice privacy e dal d.lgs. 150/2011.