Ordinanza ingiunzione o revoca n. 4 del 16/01/2026

Liceo Classico e Scientifico Alessandro Volta di Como: pubblicazione illecita di esiti ed elenchi relativi agli esami di Stato

Il provvedimento riguarda un istituto scolastico pubblico che ha pubblicato sul proprio sito istituzionale, in area accessibile a tutti, atti e informazioni relativi agli esami di Stato. Il procedimento è stato avviato a seguito di un reclamo e di autonomi accertamenti dell’Ufficio.

Origine del procedimento e fatti contestati

Una studentessa ha segnalato la pubblicazione sul sito web del liceo degli esiti delle prove intermedie di tutte le classi e degli esiti finali per le commissioni che avevano già concluso gli esami. Dalle verifiche dell’Autorità è emerso inoltre che risultava pubblicato anche il diario dei colloqui orali, con la data prevista per il colloquio e i nominativi degli alunni divisi per classe.

Istruttoria e difese del titolare

A seguito della richiesta di informazioni, il dirigente scolastico ha riferito che la pubblicazione non era stata voluta e che si era verificata per un fraintendimento operativo tra dirigenza, collaboratrice vicaria e assistente amministrativa. L’istituto ha dichiarato di avere rimosso immediatamente i contenuti dall’area pubblica del sito una volta appresa la contestazione. Ha inoltre rappresentato che il personale era stato formato e che era stata richiesta al DPO una specifica formazione su pubblicità legale, albo online e amministrazione trasparente.

Quadro normativo richiamato

Il Garante ha richiamato i principi generali del GDPR, in particolare:

• art. 5, par. 1, lett. a), sul principio di liceità, correttezza e trasparenza;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, sulla liceità del trattamento per soggetti pubblici;
• art. 2-ter del Codice privacy, che richiede una base giuridica in norma di legge, regolamento o atto amministrativo generale e consente diffusione e comunicazione solo nei casi previsti.

È stata inoltre richiamata la disciplina di settore sugli esami di Stato, secondo cui i punteggi e gli esiti devono essere pubblicati all’albo dell’istituto sede della commissione e, per alcuni profili, nell’area documentale riservata del registro elettronico, non nel sito pubblico dell’istituto.

Valutazioni del Garante

L’Autorità ha chiarito che il titolare del trattamento è l’istituto nel suo complesso, non il singolo dipendente o collaboratore che abbia materialmente posto in essere l’operazione. Ha quindi escluso che l’errore materiale potesse escludere la responsabilità del titolare.

Nel merito, il Garante ha ritenuto che la pubblicazione degli esiti delle prove intermedie, degli esiti finali e del diario dei colloqui orali sul sito istituzionale abbia integrato una diffusione illecita di dati personali, in assenza di idonea base normativa. Le informazioni pubblicate riguardavano dati comuni, come nome, cognome ed esito, senza coinvolgere dati particolari ex art. 9 o dati relativi a reati ex art. 10 GDPR.

Esito del procedimento e sanzione

Il Garante ha dichiarato l’illiceità del trattamento e ha ritenuto applicabile la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR. Ai fini della quantificazione ha considerato:

• la natura, gravità e durata della violazione;
• il carattere di errore materiale;
• l’assenza di categorie particolari di dati;
• la rimozione tempestiva dei contenuti;
• l’assenza di precedenti;
• la cooperazione del titolare;
• le ridotte dimensioni e limitate risorse dell’istituto.

La sanzione è stata determinata in 2.000 euro. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione del provvedimento nel registro interno dell’Autorità.

Termini e rimedi

L’istituto, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, deve versare l’importo entro trenta giorni dalla notifica. Avverso il provvedimento è proponibile ricorso all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.