Ordinanza ingiunzione o revoca n. 307 del 29/04/2026

Istituto Comprensivo Statale Montelibretti: diffusione illecita online di dati personali e relativi alla salute di un alunno in una circolare sull’istruzione domiciliare

Il Garante ha esaminato il reclamo presentato dal genitore di un alunno minorenne in relazione alla pubblicazione, sul sito istituzionale dell’Istituto, di una circolare per la selezione di docenti destinati all’istruzione domiciliare. Il provvedimento conclude per l’illiceità della diffusione di dati personali e di dati relativi alla salute del minore, irrogando una sanzione amministrativa pecuniaria e disponendo la pubblicazione dell’ordinanza ingiunzione.

Origine del procedimento e accertamenti istruttori

Il reclamo segnalava che la circolare pubblicata online riportava:

• le iniziali del nome e del cognome del figlio della reclamante;
• il riferimento alla presenza di documentazione medica conservata agli atti;
• l’indicazione che la selezione era rivolta in via prioritaria ai docenti del consiglio di classe della scuola primaria di Montelibretti.

Dalla verifica preliminare dell’Ufficio è emerso che la circolare era liberamente visibile e scaricabile nella sezione "Novità/Le Circolari" del sito istituzionale.

L’Autorità ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la diffusione illecita di dati personali, anche relativi alla salute, e richiamando gli artt. 58, par. 2, del GDPR e le disposizioni nazionali pertinenti.

Difese dell’Istituto e osservazioni integrative

L’Istituto ha sostenuto che il trattamento fosse necessario per adempiere un obbligo legale e per l’esecuzione di un compito di interesse pubblico, richiamando gli artt. 6, par. 1, lett. c) ed e), GDPR e l’art. 2-ter del Codice. Ha affermato che l’indicazione della classe di appartenenza dell’alunno fosse necessaria per garantire la trasparenza del procedimento e il rispetto dei criteri di priorità previsti dalla normativa di settore.

Inoltre, ha rappresentato di avere agito in buona fede e di avere applicato il principio di minimizzazione, scegliendo di indicare solo le iniziali dello studente. Nelle osservazioni successive la dirigente scolastica ha riconosciuto l’errore, ha descritto criticità organizzative interne e ha annunciato misure di rafforzamento, tra cui formazione del personale, individuazione di un referente interno per la privacy e istituzione di un gruppo di lavoro dedicato alla valutazione di conformità delle procedure, in collaborazione con il DPO.

Quadro normativo richiamato

Il Garante ha richiamato i principi e le basi giuridiche applicabili ai trattamenti svolti da soggetti pubblici:

• artt. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, sulla base giuridica dei trattamenti pubblici;
• art. 2-ter, commi 1 e 3, del Codice, che richiede una norma di legge, regolamento o atto amministrativo generale anche per diffusione e comunicazione;
• art. 9, par. 1 e par. 2, lett. g), GDPR, nonché art. 2-sexies del Codice, per i dati appartenenti a categorie particolari;
• art. 2-septies, comma 8, del Codice, che vieta la diffusione dei dati relativi alla salute.

È stato inoltre ricordato che i minori meritano una protezione specifica, ai sensi del considerando 38 del GDPR.

Valutazione del Garante sulla natura dei dati pubblicati

Secondo l’Autorità, la combinazione delle informazioni contenute nella circolare era sufficiente a identificare l’alunno e a rivelare informazioni sul suo stato di salute. In particolare, il Garante ha ritenuto che:

• le sole iniziali non fossero idonee ad anonimizzare il soggetto;
• l’indicazione dell’istruzione domiciliare fosse di per sé evocativa di una condizione di salute;
• il riferimento alla documentazione medica e il richiamo alla classe di appartenenza rendessero il minore identificabile, soprattutto in un contesto scolastico ristretto.

L’Autorità ha richiamato il proprio orientamento consolidato e precedenti provvedimenti, sottolineando che la mera sostituzione del nome con le iniziali non elimina il rischio di identificazione quando permangono altri elementi di contesto.

Esito: illiceità del trattamento e archiviazione esclusa

Il Garante ha concluso che la pubblicazione della circolare costituiva una diffusione illecita di dati personali, anche relativi alla salute, in assenza di condizioni di liceità. Le difese dell’Istituto non sono state ritenute sufficienti a superare i rilievi dell’Ufficio e non è stata disposta l’archiviazione.

La condotta è stata ritenuta già esaurita nei suoi effetti poiché la circolare era stata rimossa; per tale ragione non sono state adottate ulteriori misure correttive ex art. 58, par. 2, GDPR, oltre alla sanzione pecuniaria e alla pubblicazione del provvedimento.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Per le violazioni accertate è stata applicata la sanzione di cui all’art. 83, par. 5, GDPR, con richiamo anche all’art. 166 del Codice. Poiché la violazione è derivata da un’unica condotta, il Garante ha considerato il limite massimo riferito alla violazione più grave e ha individuato l’importo concretamente irrogato in euro 4.000,00.

Nella determinazione dell’importo sono stati valutati i criteri dell’art. 83, par. 2, GDPR, con particolare riguardo a:

• natura, gravità e durata della violazione, tenendo conto che il trattamento riguardava un minore;
• carattere colposo della condotta, dovuta a errata interpretazione della disciplina;
• presenza di categorie particolari di dati;
• durata limitata della diffusione, per effetto della rimozione della circolare;
• assenza di precedenti violazioni pertinenti;
• collaborazione con l’Autorità;
• impegni assunti dall’Istituto per rafforzare l’organizzazione interna.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Istituto Comprensivo Statale Montelibretti;
• ordinato il pagamento della sanzione pecuniaria di euro 4.000,00;
• ricordato la facoltà di definizione agevolata mediante pagamento di un importo pari alla metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• disposto l’annotazione del provvedimento nel registro interno dell’Autorità.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.