Prescrizioni del Garante n. 117 del 27/02/2025

Ammonimento all’Istituto Comprensivo “Maria Grazia Cutuli” di Roma per invio erroneo di convocazioni GLO

Il Garante ha esaminato il caso di due convocazioni del Gruppo di Lavoro Operativo per l’inclusione scolastica inviate per errore a un indirizzo e-mail non legittimato, con indicazione del nominativo dell’alunno interessato. Il procedimento è stato avviato a seguito di segnalazione e si è concluso con un ammonimento al titolare del trattamento, ritenendo la condotta illecita ma qualificabile come violazione minore.

Origine del procedimento e istruttoria

La segnalazione riguardava l’invio, in due diverse date, di e-mail di convocazione al GLO da parte dell’Istituto Comprensivo “Maria Grazia Cutuli” di Roma a una persona estranea alla scuola e al gruppo di lavoro. L’istituto ha ricondotto l’episodio a un errore materiale dovuto a omonimia, sostenendo che il destinatario fosse comunque affidabile e che le convocazioni contenessero solo informazioni generiche.

Nel corso dell’istruttoria, l’istituto ha precisato che:

• si trattava di soli due invii errati;
• nelle convocazioni non erano presenti dettagli sanitari, ma solo il riferimento al GLO;
• erano state adottate misure organizzative e tecniche, tra cui controlli della rubrica, formazione del personale, uso di iniziali e avvisi standard nelle e-mail;
• il personale risultava formato e sensibilizzato in materia di protezione dei dati.

Quadro normativo richiamato

Il Garante ha richiamato le definizioni di dato personale e di dato relativo alla salute di cui all’art. 4, nn. 1 e 15, GDPR. Ha inoltre ricordato che, nel settore pubblico, il trattamento è lecito se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR e dell’art. 2-ter del Codice privacy.

Per le categorie particolari di dati, è stato richiamato l’art. 9, par. 2, lett. g), GDPR e l’art. 2-sexies del Codice privacy. In materia di comunicazione dei dati, il provvedimento richiama anche la disciplina di settore, in particolare l’art. 9, comma 10, del d.lgs. n. 66/2017, che limita i destinatari delle informazioni relative al GLO ai genitori dell’alunno, ai docenti della classe e ai soggetti coinvolti nell’intervento terapeutico e formativo.

Valutazione del Garante sulla natura dei dati comunicati

L’Autorità ha ritenuto che la convocazione del GLO, proprio perché collegata all’inclusione scolastica di un alunno con disabilità, costituisca un’informazione idonea a rivelare dati relativi alla salute. Il fatto che la convocazione riportasse in chiaro il nominativo dell’alunno ha determinato, secondo il Garante, una comunicazione di dati personali anche relativi alla salute a un soggetto non autorizzato.

Il Garante non ha accolto la tesi difensiva secondo cui l’assenza di dettagli clinici escluderebbe la qualificazione sanitaria dell’informazione: anche una comunicazione apparentemente generica può infatti far desumere dati sulla salute dell’alunno e sul suo coinvolgimento in un percorso di inclusione scolastica.

Violazioni accertate

L’Autorità ha quindi dichiarato l’illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a), GDPR, sotto il profilo di liceità, correttezza e trasparenza;
• art. 6 GDPR, per difetto di base giuridica idonea alla comunicazione al destinatario errato;
• art. 9 GDPR, per trattamento di dati relativi alla salute in assenza di una valida condizione di liceità;
• artt. 2-ter e 2-sexies del Codice privacy, per mancato rispetto delle condizioni previste per la comunicazione e il trattamento di dati in ambito pubblico e di categorie particolari di dati.

Valutazione attenuante e qualificazione come violazione minore

Pur confermando l’illecito, il Garante ha considerato alcune circostanze attenuanti:

• l’istituto scolastico è un soggetto di ridotte dimensioni;
• il personale di segreteria è limitato rispetto alla crescente complessità delle procedure per gli alunni con disabilità;
• la comunicazione ha coinvolto un numero ristretto di alunni;
• l’evento è derivato da un mero errore materiale;
• il titolare ha cooperato pienamente con l’Autorità;
• non risultano precedenti violazioni pertinenti o precedenti provvedimenti sanzionatori.

Sulla base di tali elementi, l’Autorità ha qualificato il caso come “violazione minore” ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie, ritenendo sufficiente l’ammonimento.

Provvedimento finale e effetti

Il Garante ha quindi:

• dichiarato illecita la condotta dell’Istituto Comprensivo “Maria Grazia Cutuli”;
• ammonito il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito web dell’Autorità;
• disposto l’annotazione nel registro interno del Garante.

L’Autorità ha inoltre escluso la necessità di ulteriori misure correttive, osservando che la condotta aveva già esaurito i propri effetti. È stato infine richiamato il diritto di proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.