Prescrizioni del Garante n. 403 del 04/07/2024

Ammonimento al Liceo Statale "Duca degli Abruzzi" di Treviso per comunicazione illecita di dati sulla salute di uno studente

Il provvedimento riguarda un istituto scolastico che, tramite registro elettronico, ha trasmesso ai genitori dei compagni di classe informazioni sulla positività al Covid-19 di uno studente, allegando anche il provvedimento dei Servizi di Igiene e Sanità Pubblica. Il Garante ha ritenuto che si trattasse di una comunicazione illecita di dati relativi alla salute, in assenza di un idoneo presupposto di liceità.

Origine del procedimento e istruttoria

L’Autorità è intervenuta a seguito di un reclamo del genitore dello studente interessato. Dalle informazioni acquisite è emerso che una docente avrebbe inviato la comunicazione tramite registro elettronico ai genitori della classe, rendendo noto il contenuto del provvedimento sanitario e lo stato di positività del minore.

L’istituto ha risposto spiegando di non essere inizialmente a conoscenza dell’operato della docente, di averla poi identificata all’esito di un’indagine interna e di aver avviato un procedimento disciplinare. Ha inoltre rappresentato che il protocollo adottato con il SISP prevedeva la trasmissione del provvedimento anonimo ai membri della classe e ai genitori, e che l’episodio era dovuto a un errore materiale, in un contesto organizzativo complesso legato all’emergenza Covid-19.

Trattamento esaminato e qualificazione dei dati

Il Garante ha qualificato la positività al Covid-19 come informazione rientrante nei dati relativi alla salute, ai sensi dell’art. 4, par. 1, n. 15, GDPR. La trasmissione del messaggio ai genitori dei compagni di classe non è stata considerata diffusione verso un numero indeterminato di soggetti esterni, ma una comunicazione di dati personali a un novero determinato o determinabile di destinatari.

La comunicazione, proprio perché avente a oggetto dati sanitari di un minore, richiedeva una base giuridica adeguata nel quadro del trattamento svolto da un soggetto pubblico.

Norme applicate e violazioni accertate

L’Autorità ha richiamato il quadro normativo relativo ai trattamenti effettuati da soggetti pubblici:

• art. 6 GDPR, in particolare la necessità che il trattamento sia fondato su obbligo legale o su compito di interesse pubblico;
• art. 9 GDPR, per il trattamento di categorie particolari di dati;
• art. 2-ter del Codice privacy, che consente comunicazione e diffusione solo nei casi previsti da legge, regolamento o atti amministrativi generali;
• art. 2-sexies del Codice privacy, per i trattamenti di dati particolari fondati su motivi di interesse pubblico rilevante.

Il Garante ha quindi ritenuto che la comunicazione fosse avvenuta in violazione:

• dell’art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• degli artt. 6 e 9 GDPR;
• degli artt. 2-ter e 2-sexies del Codice privacy.

Le giustificazioni dell’istituto, basate su finalità organizzative, stress del personale e contesto emergenziale, non sono state considerate idonee a superare l’illiceità del trattamento.

Valutazione delle circostanze del caso

Pur confermando la violazione, il Garante ha valorizzato alcuni elementi attenuanti:

• il titolare è un istituto scolastico di dimensioni ridotte;
• il trattamento ha riguardato un solo interessato;
• l’episodio è stato isolato;
• l’istituto ha adottato misure interne di sensibilizzazione del personale;
• non risultano precedenti violazioni pertinenti o precedenti provvedimenti correttivi;
• il titolare ha collaborato pienamente nel corso dell’istruttoria.

In ragione di tali circostanze, il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni amministrative pecuniarie.

Provvedimento finale

Il Garante ha:

• dichiarato illecita la condotta dell’Istituto Statale "Duca degli Abruzzi";
• ammonito il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• escluso l’adozione di ulteriori misure correttive, poiché la condotta aveva già esaurito i suoi effetti.

Non è stata irrogata una sanzione pecuniaria. Il provvedimento richiama infine la possibilità di ricorrere all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.