Ordinanza ingiunzione o revoca n. 428 del 11/06/2026

IPSEOA di Abano Terme - comunicazione illecita di dati di un minore tramite registro elettronico

Il Garante per la protezione dei dati personali ha sanzionato l'Istituto Professionale Statale Pietro d'Abano Servizi per l'Enogastronomia e l'Ospitalità Alberghiera (IPSEOA) di Abano Terme per la pubblicazione, nell'"Agenda" del registro elettronico Classeviva, di una nota contenente dati personali di un alunno, accessibile ai compagni di classe e alle rispettive famiglie. Il procedimento è stato avviato a seguito di reclamo del genitore dell'interessato.

Fatti e istruttoria

Secondo quanto ricostruito, un docente aveva inserito nel registro una nota relativa al minore senza correttamente impostare la visibilità limitata ai soli diretti interessati. La nota è rimasta visibile per alcuni giorni ed è stata poi rimossa. L'istituto ha spiegato che si è trattato di un'azione accidentale dovuta a imperizia nell'uso dello strumento, e che la cancellazione tempestiva non era possibile per la configurazione tecnica del sistema, che consentiva la rimozione solo all'autore della pubblicazione.

L'istituto ha inoltre rappresentato di avere:

• incontrato la famiglia dell'interessato;
• avviato una formazione specifica per il docente autore della violazione;
• deliberato un regolamento interno sull'uso del registro elettronico;
• erogato una sessione formativa in materia di protezione dei dati personali al personale docente.

Valutazioni del Garante sulla liceità del trattamento

L'Autorità ha richiamato il quadro normativo applicabile ai trattamenti effettuati da soggetti pubblici, in particolare gli artt. 6, par. 1, lett. c) ed e), 2 e 3, del GDPR e l'art. 2-ter del Codice privacy, ricordando che la base giuridica deve essere prevista da una norma di legge, regolamento o atto amministrativo generale. Ha inoltre ribadito che le operazioni di comunicazione e diffusione sono ammesse solo nei casi espressamente previsti.

Pur escludendo che il fatto integrasse una diffusione in senso tecnico, il Garante ha ritenuto che la nota fosse stata resa conoscibile a un gruppo determinato di soggetti terzi non legittimati alla conoscenza delle informazioni, configurando una comunicazione illecita di dati personali. È stato inoltre valorizzato il principio di tutela rafforzata dei dati dei minori, richiamando il considerando 38 del GDPR.

Responsabilità del titolare del trattamento

Il Garante ha chiarito che il titolare del trattamento è l'istituzione scolastica nel suo complesso e non il singolo docente che materialmente compie l'operazione. Anche se la violazione deriva da negligenza o errore dell'autorizzato, la responsabilità resta in capo al titolare, che deve assicurare il corretto rispetto delle proprie istruzioni operative e delle misure organizzative adottate.

Violazioni accertate

L'Autorità ha dichiarato l'illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, per assenza di idonea base giuridica;
• art. 2-ter, commi 1 e 3, Codice privacy, in quanto la comunicazione di dati personali da parte di soggetti pubblici richiede una previsione normativa specifica.

Sanzione e criteri di quantificazione

La violazione è stata considerata soggetta alla sanzione di cui all'art. 83, par. 5, GDPR, con limite teorico fino a 20 milioni di euro; tuttavia, in applicazione dei criteri dell'art. 83, par. 2, il Garante ha tenuto conto di:

• limitata estensione soggettiva della violazione, riferita a un solo interessato;
• breve durata della visibilità della nota;
• errore materiale del docente;
• assenza di categorie particolari di dati;
• rimozione del contenuto;
• assenza di precedenti violazioni pertinenti;
• cooperazione dell'istituto con l'Autorità;
• ridotte dimensioni e limitate risorse economiche del titolare.

In considerazione di tali elementi, la sanzione è stata determinata in euro 1.000,00.

Ulteriori statuizioni

Il Garante ha ordinato il pagamento della sanzione e ha ricordato la possibilità di definizione della controversia mediante il pagamento, entro 30 giorni, della metà dell'importo comminato, ai sensi dell'art. 166, comma 8, del Codice. Ha inoltre disposto:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità, in ragione anche della vulnerabilità del minore coinvolto;
• l'annotazione del provvedimento nel registro interno del Garante.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all'autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.