Ordinanza ingiunzione o revoca n. 64 del 29/01/2026

Istituto tecnico industriale statale "Stanislao Cannizzaro" di Catania: pubblicazione online di dati relativi a studenti con disabilità e convocazioni GLO

Il provvedimento riguarda un'ordinanza ingiunzione nei confronti di un istituto scolastico pubblico, ritenuto responsabile della pubblicazione sul sito istituzionale di una circolare contenente dati personali di 51 studenti con disabilità, connessi alle convocazioni dei Gruppi di Lavoro Operativo per l'inclusione scolastica (GLO). L'istruttoria è stata avviata a seguito di reclamo; il Garante ha poi ritenuto il trattamento illecito e ha irrogato una sanzione amministrativa pecuniaria.

Origine del procedimento e svolgimento istruttorio

Il reclamo è stato presentato dalla madre di uno degli studenti coinvolti, che ha segnalato la presenza online della circolare istituzionale liberamente accessibile e indicizzata dai motori di ricerca. L'Ufficio ha accertato preliminarmente che il documento era effettivamente visibile e scaricabile dal sito web dell'istituto, e ha quindi avviato il procedimento ai sensi dell'art. 166, comma 5, del Codice privacy, contestando la diffusione illecita dei dati.

L'istituto, nelle memorie difensive, ha rappresentato che la pubblicazione era dipesa da un errore materiale: la circolare era stata inviata per la pubblicazione con una dicitura che includeva anche il riferimento al sito web, poi rivelatosi non voluto; l'addetto alla pubblicazione avrebbe quindi caricato il documento online per mero errore. La scuola ha inoltre dichiarato di aver rimosso la circolare dalla sezione "Circolari" e, successivamente, anche il file PDF rimasto archiviato nell'area media del sistema WordPress, di aver rivisto il format delle comunicazioni con il supporto del DPO e di svolgere formazione periodica al personale.

Trattamento esaminato e natura dei dati

Il trattamento scrutinato consisteva nella pubblicazione sul sito istituzionale della circolare di convocazione dei GLO, recante per ciascuno dei 51 alunni il nome e cognome, la classe di appartenenza, l'orario di convocazione e il nominativo del docente di sostegno di riferimento. Il Garante ha osservato che la convocazione del GLO, se associata nominativamente all'alunno, è informazione idonea a rivelare la sua condizione di disabilità e dunque un dato relativo alla salute ai sensi dell'art. 4, par. 1, n. 15, GDPR.

Il provvedimento sottolinea anche la particolare vulnerabilità dei minori, richiamando il considerando 38 del GDPR. In tale contesto, la diffusione dei dati sul sito istituzionale è stata considerata particolarmente delicata perché idonea a rendere conoscibile a soggetti non legittimati una condizione di salute e disabilità degli studenti.

Violazioni accertate e norme applicate

Il Garante ha ritenuto violati i principi e i presupposti di liceità del trattamento, in particolare:

• art. 5, par. 1, lett. a), GDPR, per violazione del principio di liceità, correttezza e trasparenza;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, per assenza di idonea base giuridica nel diritto dell'Unione o nazionale;
• art. 9, parr. 1, 2, lett. g), e 4, GDPR, in materia di trattamento di categorie particolari di dati;
• artt. 2-ter, commi 1 e 3, 2-sexies, commi 1 e 2, lett. bb), e 2-septies, comma 8, del Codice privacy.

Il provvedimento ribadisce che, per i soggetti pubblici, i trattamenti sono leciti solo se necessari per adempiere un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso a pubblici poteri, e che la diffusione di dati personali è ammessa solo se prevista da una norma di legge, regolamento o atto amministrativo generale. Quanto ai dati relativi alla salute, il Codice ne vieta espressamente la diffusione.

Valutazioni del Garante sulla responsabilità del titolare

Il Garante ha ricordato che il titolare del trattamento è l'ente nel suo complesso, anche quando l'errore sia imputabile a un dipendente o a un autorizzato. A sostegno di tale impostazione sono richiamate le Linee guida EDPB 07/2020 e la giurisprudenza della Corte di giustizia nel caso C-741/21.

Le memorie difensive non sono state ritenute idonee a superare i rilievi iniziali. Il procedimento non è stato archiviato e non sono emerse circostanze tali da giustificare l'adozione di misure correttive ulteriori rispetto alla sanzione, anche perché la circolare era già stata rimossa e la condotta aveva esaurito i propri effetti.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha ritenuto applicabile l'art. 83, par. 5, GDPR, richiamato dall'art. 166 del Codice privacy. Poiché le violazioni sono state ricondotte a un'unica condotta, si è applicato anche l'art. 83, par. 3, GDPR. Il massimale astratto è stato indicato fino a 20.000.000 euro, ma la sanzione effettiva è stata determinata in 10.000 euro.

Nella quantificazione sono stati considerati:

• la natura, gravità e durata della violazione, che ha riguardato 51 interessati, per lo più minorenni;
• il fatto che la violazione sia derivata da un mero errore materiale;
• la presenza di categorie particolari di dati;
• la brevità del periodo di diffusione, essendo la circolare rimossa appena rilevato l'errore;
• l'assenza di precedenti violazioni pertinenti;
• le misure adottate per attenuare il danno, tra cui la modifica del format delle circolari;
• la cooperazione prestata all'autorità di controllo.

Il livello di gravità è stato qualificato come medio, richiamando anche le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie.

Dispositivo

Il Garante:

• dichiara l'illiceità del trattamento effettuato dall'istituto;
• ordina il pagamento della sanzione amministrativa pecuniaria di 10.000 euro;
• informa della possibilità di definire la controversia pagando, entro 30 giorni, metà della sanzione comminata ai sensi dell'art. 166, comma 8, del Codice;
• dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16 del Regolamento n. 1/2019;
• dispone l'annotazione nel registro interno dell'Autorità.

È inoltre richiamata la possibilità di proporre ricorso all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.