Prescrizioni del Garante n. 203 del 10/04/2025

Comunicazione illecita di dati relativi al GLO e al PEI tramite registro elettronico

Il provvedimento riguarda il Liceo Artistico Statale Enrico Galvani di Cordenons, destinatario di un ammonimento per avere reso accessibile nella bacheca del registro elettronico un documento relativo alla convocazione del GLO per una specifica alunna, con riferimento al PEI. L'istruttoria è stata avviata a seguito di reclamo del genitore dell'interessata e si è conclusa con la dichiarazione di illiceità della condotta, pur in presenza di un errore materiale e di una violazione qualificata come minore.

Origine del reclamo e ricostruzione dei fatti

Il reclamante ha segnalato che un documento di convocazione del Gruppo di lavoro operativo per l'inclusione scolastica, organizzato dall'istituto per la figlia, era stato reso accessibile sulla bacheca scolastica del registro elettronico. L'istituto ha chiarito che la pubblicazione doveva essere visibile solo ai docenti e ai genitori interessati, ma per un errore dell'assistente amministrativa il documento era stato associato alla voce "tutti i genitori" anziché all'alunna interessata. La visibilità indebita è durata per un tempo limitato ed è cessata dopo la rimozione del file.

Trattamento esaminato e qualificazione dei dati

Il Garante ha ritenuto che la convocazione del GLO e il riferimento al PEI riguardino informazioni idonee a rivelare lo stato di salute dell'alunna, trattandosi di documenti previsti dalla normativa di settore in materia di disabilità. In tale quadro, i dati coinvolti sono stati qualificati come dati relativi alla salute ai sensi dell'art. 4, n. 15, GDPR, e quindi come categorie particolari di dati ai sensi dell'art. 9 GDPR.

Violazione riscontrata e norme applicate

Secondo l'Autorità, la messa a disposizione del documento in un'area riservata del registro elettronico, accessibile però a tutti i genitori della classe, ha determinato una comunicazione di dati personali a soggetti terzi non legittimati. Il trattamento è stato ritenuto privo di idoneo presupposto di liceità e in violazione di:

• art. 5, par. 1, lett. a), GDPR, per il mancato rispetto dei principi di liceità, correttezza e trasparenza;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, per assenza di un'adeguata base giuridica;
• art. 9, parr. 1, 2, lett. g), e 4, GDPR, per il trattamento di dati particolari;
• artt. 2-ter, commi 1 e 3, e 2-sexies, commi 1 e 2, lett. bb), Codice privacy.

Il Garante ha inoltre richiamato la disciplina di settore contenuta nel d.lgs. 13 aprile 2017, n. 66, osservando che le informazioni relative al GLO e al PEI possono essere comunicate solo ai genitori dell'alunno interessato, ai docenti della classe e agli altri soggetti individuati dalla normativa di settore.

Valutazione delle difese dell'istituto

L'istituto ha sostenuto che si trattasse di un mero errore materiale, avvenuto in un contesto di rilevante carico di lavoro, e ha evidenziato la tempestiva rimozione del documento, la notifica di violazione ai sensi dell'art. 33 GDPR, la collaborazione con l'Autorità e alcune misure correttive adottate successivamente. Tra queste, il rinnovo della formazione del personale amministrativo, l'audit con il DPO e la revisione della procedura di convocazione del GLO, con ipotesi di invio tramite e-mail ai genitori interessati per ridurre il rischio di errate pubblicazioni.

Il Garante ha però ritenuto che tali elementi non fossero sufficienti a superare i rilievi contestati né a consentire l'archiviazione. È stato anche escluso che rilevasse la circostanza, dedotta dal titolare, secondo cui l'informazione potesse essere già nota all'interno della comunità scolastica.

Esito del procedimento e natura della sanzione

Le circostanze concrete hanno portato a qualificare il caso come "violazione minore" ai sensi dell'art. 83, par. 2, GDPR e del considerando 148, in linea con le linee guida WP 253 sulle sanzioni amministrative pecuniarie. Sono stati valorizzati, in senso attenuante, il carattere di piccolo istituto del titolare, la natura colposa dell'errore, la breve durata della visibilità, l'adozione di misure correttive, la collaborazione con l'Autorità e l'assenza di precedenti pertinenti.

Nonostante ciò, il Garante ha ritenuto sufficiente ammonire il titolare del trattamento ai sensi dell'art. 58, par. 2, lett. b), GDPR, dichiarando l'illiceità della condotta. Non è stata applicata alcuna sanzione pecuniaria.

Ulteriori disposizioni

Poiché la condotta aveva già esaurito i propri effetti, non sono state ritenute necessarie ulteriori misure correttive ai sensi dell'art. 58, par. 2, GDPR. Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito web e l'annotazione nel registro interno dell'Autorità. Resta ferma la possibilità di ricorso all'autorità giudiziaria ordinaria nei termini di legge.