Ordinanza ingiunzione o revoca n. 732 del 04/12/2025

Istituto Comprensivo Statale di Roverbella - invio di e-mail in chiaro con adempimenti vaccinali

Il Garante ha esaminato un reclamo relativo all’invio, da parte di un istituto scolastico, di una e-mail di sollecito sugli adempimenti vaccinali degli alunni minori di 16 anni a una pluralità di destinatari, con indirizzi visibili in chiaro. Il caso è stato trattato come violazione dei principi e delle regole applicabili al trattamento di dati personali, incluse categorie particolari di dati, da parte di un soggetto pubblico.

Fatti e origine del procedimento

Il reclamo è stato presentato da due interessati, tramite legale, per contestare che l’Istituto avesse inviato un messaggio di posta elettronica con oggetto "Adempimenti vaccinali relativi agli alunni minori di anni 16 – SOLLECITO" a numerosi destinatari, lasciando in chiaro gli indirizzi e-mail di tutti i destinatari. Secondo la ricostruzione del Garante, i destinatari erano circa trentasette.

L’Istituto ha dichiarato che l’invio è avvenuto per mero errore materiale di un assistente amministrativo, senza intenzionalità, precisando che normalmente le comunicazioni vengono inviate con la funzione ccn. Ha inoltre comunicato di aver effettuato la notifica di violazione dei dati personali ai sensi dell’art. 33 GDPR e di aver informato gli interessati.

Trattamento esaminato e qualificazione dei dati

L’Autorità ha richiamato la definizione di dato personale e di dato relativo alla salute di cui all’art. 4, punti 1 e 15, GDPR, osservando che il riferimento agli adempimenti vaccinali ex legge n. 119/2017 è, di per sé, un’informazione idonea a rivelare lo stato di salute degli alunni cui si riferisce.

È stato quindi rilevato che l’invio della e-mail con destinatari in chiaro non ha determinato solo la comunicazione degli indirizzi e-mail degli altri destinatari, ma anche la conoscenza, da parte di ciascun destinatario, del fatto che i figli degli altri non risultassero in regola con gli adempimenti vaccinali e dovessero regolarizzare la propria posizione presso il centro vaccinale di riferimento.

Violazioni accertate e norme applicabili

Il Garante ha ritenuto che la condotta integri una comunicazione di dati personali e di categorie particolari di dati in assenza di un idoneo presupposto di liceità.

Le violazioni accertate sono state individuate negli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, e 9, parr. 1, 2, lett. g) e 4, del GDPR, nonché negli artt. 2-ter, commi 1 e 3, e 2-sexies, commi 1 e 2, lett. bb), del Codice privacy.

L’Autorità ha ricordato che, per i soggetti pubblici, il trattamento è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, e che la diffusione o comunicazione dei dati è ammessa solo in presenza di una specifica base normativa. Per i dati particolari, occorre inoltre il fondamento nell’art. 9, par. 2, lett. g), GDPR e nella disciplina nazionale di dettaglio.

Valutazioni del Garante

Le difese dell’Istituto non sono state considerate idonee a superare i rilievi contestati. In particolare, non è stata accolta l’argomentazione secondo cui il messaggio avrebbe avuto contenuto neutro e non avrebbe consentito di risalire alla mancata esecuzione di specifici vaccini.

Il Garante ha ritenuto che la condotta, sebbene dovuta a errore materiale, avesse comunque prodotto una comunicazione illecita di dati personali, inclusi dati relativi alla salute, a una pluralità di soggetti. È stata inoltre esclusa la possibilità di archiviazione del procedimento.

Sanzione e criteri di quantificazione

La violazione è stata ritenuta sanzionabile ai sensi dell’art. 83, par. 5, GDPR, con applicazione dell’art. 83, par. 3, in quanto derivante da un’unica condotta. Il massimo teorico è stato richiamato in euro 20.000.000, ma la sanzione concreta è stata determinata in euro 1.000.

Nel quantificare la sanzione, il Garante ha considerato:

• la natura, gravità e durata della violazione, con coinvolgimento di circa 36-37 destinatari;
• l’errore materiale e l’omesso uso della funzione ccn;
• la presenza di categorie particolari di dati;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’Autorità;
• l’impegno dell’Istituto a rafforzare la formazione privacy del personale.

Il Garante ha qualificato la gravità complessiva come media e ha ritenuto la sanzione effettiva, proporzionata e dissuasiva.

Dispositivo e adempimenti finali

L’Autorità ha:

• dichiarato l’illiceità del trattamento effettuato dall’Istituto;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 1.000;
• ricordato la facoltà di definizione della controversia, entro 30 giorni, mediante pagamento della metà della sanzione;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito istituzionale;
• disposto l’annotazione nel registro interno dell’Autorità.

È stata inoltre richiamata la possibilità di proporre ricorso davanti all’autorità giudiziaria ordinaria nei termini di legge.