Ordinanza ingiunzione o revoca n. 549 del 23/07/2026

Sanzione all’istituto scolastico per comunicazione al sindaco di dati vaccinali relativi a una minore

Il provvedimento del 23 luglio 2026, n. 549, riguarda il trattamento effettuato dall’Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento in relazione alla comunicazione al sindaco del Comune di una nota concernente l’esclusione di una minore dalla scuola dell’infanzia per mancato adempimento dell’obbligo vaccinale previsto dalla legge 31 luglio 2017, n. 119. Il procedimento è stato avviato a seguito del reclamo presentato dalla madre della minore.

Reclamo e attività istruttoria

La reclamante ha riferito che l’Istituto le aveva comunicato l’esclusione della figlia dalla frequenza scolastica nonostante fosse stato avviato un percorso informativo con l’ASL sulla situazione vaccinale. Ha inoltre lamentato che la comunicazione fosse stata inviata anche al sindaco, il quale avrebbe successivamente informato il padre della minore presso il luogo di lavoro.

Nel corso dell’istruttoria, l’Istituto ha riconosciuto l’invio della comunicazione e ha sostenuto che il trattamento fosse fondato sulla legge n. 119/2017 e sull’art. 6, par. 1, lett. c), GDPR. Ha affermato di avere agito per coordinare la frequenza scolastica, tutelare la salute pubblica e proteggere un altro alunno ritenuto fragile per ragioni sanitarie.

L’Istituto ha spiegato di avere considerato il sindaco quale autorità sanitaria locale e di avere seguito una prassi formatasi durante l’emergenza COVID-19. Ha tuttavia riconosciuto che la segnalazione non era necessaria e che si trattava di un episodio unico e isolato. Ha inoltre precisato che, durante l’emergenza COVID-19, al Comune venivano comunicati dati aggregati e non informazioni personali o sanitarie individuali.

L’Istituto ha dichiarato di avere coinvolto il responsabile della protezione dei dati e di avere adottato o avviato misure correttive, tra cui la revisione delle procedure interne, attività formative aggiuntive, nuove linee guida operative e un meccanismo di autorizzazione preventiva del DPO per le comunicazioni di dati sanitari a soggetti esterni.

Trattamento esaminato e qualificazione dei dati

La condotta contestata consiste nella comunicazione al sindaco di informazioni riferite a una specifica minore e, in particolare, alla sua esclusione dalla frequenza scolastica per mancato adempimento dell’obbligo vaccinale.

Il Garante ha richiamato il considerando 38 GDPR, secondo cui i minori meritano una specifica protezione in ragione della loro particolare vulnerabilità e della potenziale minore consapevolezza dei rischi e delle conseguenze del trattamento.

Ai sensi dell’art. 4, punti 1 e 15, GDPR, sono dati relativi alla salute le informazioni concernenti la salute fisica o mentale di una persona che rivelano informazioni sul suo stato di salute. Secondo il Garante, il riferimento al mancato adempimento dell’obbligo vaccinale previsto dalla legge n. 119/2017 costituisce, di per sé, un’informazione relativa alla salute della minore.

Normativa applicabile

Il Garante ha richiamato:

• l’art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• l’art. 6, par. 1, lett. c) ed e), GDPR, relativo ai trattamenti necessari per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri;
• l’art. 6, paragrafi 2 e 3, GDPR, in merito alla necessità che la base giuridica sia stabilita dal diritto dell’Unione o dello Stato membro e sia proporzionata all’obiettivo di interesse pubblico perseguito;
• l’art. 9, par. 1, GDPR, che vieta in via generale il trattamento delle categorie particolari di dati;
• l’art. 9, par. 2, lett. g), GDPR, sul trattamento necessario per motivi di interesse pubblico rilevante, sulla base del diritto dell’Unione o degli Stati membri;
• l’art. 9, par. 4, GDPR;
• l’art. 2-ter, commi 1 e 3, del Codice, secondo cui la base giuridica dei trattamenti effettuati per obbligo legale o compito di interesse pubblico deve essere costituita da una norma di legge, regolamento o atto amministrativo generale e le operazioni di comunicazione e diffusione devono essere specificamente previste da tali fonti;
• l’art. 2-sexies, commi 1 e 2, lett. bb), del Codice, in materia di trattamento delle categorie particolari di dati per motivi di interesse pubblico rilevante.

Violazione accertata

Il Garante ha ritenuto che l’Istituto abbia effettuato una comunicazione a terzi di dati personali, inclusi dati relativi alla salute, in assenza di un idoneo presupposto di liceità.

La legge n. 119/2017 può costituire il presupposto per i trattamenti necessari alla gestione degli obblighi vaccinali e dell’accesso scolastico, ma non legittima automaticamente la comunicazione individuale di informazioni sanitarie a qualsiasi soggetto pubblico. In particolare, il fatto che il sindaco sia autorità sanitaria locale non dimostra, da solo, l’esistenza di una norma che autorizzi la scuola a trasmettergli il dato individuale relativo alla mancata vaccinazione di una minore.

La finalità di tutela della salute pubblica e il precedente costituito dalle comunicazioni effettuate durante l’emergenza COVID-19 non sono stati ritenuti sufficienti. In quel diverso contesto, secondo quanto riferito dallo stesso Istituto, venivano trasmessi dati aggregati relativi al numero degli alunni interessati, non informazioni personali o sanitarie riferite a singoli studenti.

Il Garante ha pertanto confermato la violazione degli artt. 5, par. 1, lett. a), 6, paragrafi 1, lett. c) ed e), 2 e 3, e 9, paragrafi 1, 2, lett. g), e 4, GDPR, nonché degli artt. 2-ter, commi 1 e 3, e 2-sexies, commi 1 e 2, lett. bb), del Codice.

Valutazione delle difese

L’Istituto ha sostenuto che la condotta fosse frutto di un errore interpretativo commesso in buona fede, con carattere esclusivamente colposo e senza intento di violare la normativa privacy. Ha inoltre evidenziato:

• il coinvolgimento di una sola interessata;
• l’invio a un solo destinatario istituzionale;
• l’assenza di diffusione pubblica;
• la natura puntuale e non sistematica della comunicazione;
• l’assenza di controllo sull’eventuale successivo utilizzo dei dati da parte del sindaco;
• il processo di dimensionamento scolastico e il conseguente aggravio organizzativo;
• l’adozione di misure formative e organizzative dopo l’episodio.

Il Garante ha considerato tali elementi ai fini della quantificazione della sanzione, ma li ha ritenuti insufficienti a escludere l’illiceità del trattamento o a giustificare l’archiviazione del procedimento. La finalità perseguita dall’Istituto, pur orientata alla tutela della salute della comunità scolastica, non sostituiva la necessità di una specifica base giuridica per la comunicazione dei dati individuali.

Sanzione amministrativa

La violazione è stata sanzionata ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166, comma 2, del Codice.

Poiché le violazioni derivavano da un’unica condotta e risultavano soggette alla sanzione prevista dall’art. 83, par. 5, GDPR, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui l’importo complessivo non può superare quello previsto per la violazione più grave. Il limite astratto applicabile è stato individuato in 20.000.000 di euro.

Ai fini della quantificazione, il Garante ha considerato i criteri dell’art. 83, par. 2, GDPR:

• la comunicazione riguardava una sola interessata;
• la violazione aveva carattere colposo;
• erano coinvolte categorie particolari di dati, in quanto dati relativi alla salute;
• il livello di gravità è stato valutato medio, anche alla luce del punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, adottate il 24 maggio 2023;
• l’Istituto era un soggetto di ridotte dimensioni e dotato di limitate risorse economiche;
• l’Istituto aveva adottato corsi di formazione e misure organizzative di rafforzamento;
• non risultavano precedenti violazioni pertinenti;
• era stato manifestato un adeguato grado di cooperazione con l’autorità di controllo.

Alla luce di tali circostanze, la sanzione è stata determinata in 2.000 euro, ritenuti un importo effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

Misure accessorie e assenza di ulteriori misure correttive

Il Garante ha ritenuto che la condotta avesse esaurito i propri effetti e non ha quindi adottato ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

È stata invece disposta la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019. La pubblicazione è stata ritenuta opportuna anche perché la comunicazione riguardava i dati personali di una minore.

È stata inoltre disposta l’annotazione del provvedimento nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Pagamento e ricorso

L’Istituto deve pagare 2.000 euro entro trenta giorni dalla notifica del provvedimento, salvo la definizione agevolata prevista dall’art. 166, comma 8, del Codice, mediante pagamento entro trenta giorni di un importo pari alla metà della sanzione, ossia 1.000 euro.

In caso di mancato pagamento, il provvedimento prevede l’adozione degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981.

Avverso il provvedimento è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria, ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all’estero.