Prescrizioni del Garante n. 583 del 09/10/2025

Ammonimento a istituto scolastico per comunicazione illecita di dati di alunni su Classroom

Il provvedimento riguarda l’Istituto Comprensivo Valmorea, destinatario di un ammonimento del Garante per la protezione dei dati personali in relazione alla pubblicazione, sulla piattaforma Classroom, di messaggi contenenti nominativi di alunni e informazioni su colloqui urgenti e provvedimenti educativi.

Fatti e origine del procedimento

La vicenda è stata avviata a seguito del reclamo di una genitrice, la quale ha segnalato che sulla classroom della classe del figlio erano stati pubblicati messaggi con la richiesta di colloqui urgenti con i genitori di tre alunni nominativamente indicati. In uno scambio successivo, la docente avrebbe risposto in modo ritenuto incompatibile con la riservatezza dovuta ai minori.

L’istituto ha riferito che la convocazione dei genitori era stata prima effettuata via e-mail in forma riservata e che la successiva pubblicazione sulla classroom era stata motivata da finalità educative. Il dirigente scolastico ha inoltre dichiarato di avere chiesto immediatamente la rimozione dei messaggi e di avere annotato l’episodio nel registro delle violazioni interno, senza però effettuare una comunicazione al Garante, ritenendo improbabile un rischio per i diritti e le libertà degli interessati.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria, l’istituto ha sostenuto che i messaggi erano destinati agli alunni della classe e che la reclamante vi aveva avuto accesso solo attraverso le credenziali del figlio. È stato altresì rappresentato che i messaggi sono stati visibili per circa 24 ore e poi definitivamente rimossi.

Il Garante ha valutato tali elementi alla luce della normativa applicabile e delle precedenti indicazioni fornite in materia di comunicazioni scolastiche.

Quadro normativo richiamato

L’Autorità ha richiamato il Regolamento (UE) 2016/679 e il Codice privacy, evidenziando che il trattamento di dati personali da parte di soggetti pubblici è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), e dei paragrafi 2 e 3 del GDPR, nonché dell’art. 2-ter del Codice.

È stato inoltre sottolineato che la comunicazione di dati personali è consentita soltanto se prevista da una norma di legge, regolamento o atto amministrativo generale. Il Garante ha ricordato anche il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Valutazione della violazione

Dagli accertamenti è emerso che una docente aveva reso disponibili sulla piattaforma messaggi che richiedevano ai genitori colloqui urgenti con riferimento a tre alunni indicati nominativamente. Tali informazioni sono state rese conoscibili a tutti i genitori degli alunni della classe, quindi a un numero determinato o determinabile di soggetti.

Pur non trattandosi di una diffusione verso chiunque, il Garante ha qualificato l’operazione come comunicazione di dati personali ai sensi dell’art. 2-ter, comma 4, lett. a), del Codice. In assenza di un idoneo presupposto di liceità, la condotta è stata ritenuta in violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché dell’art. 2-ter, commi 1 e 3, del Codice.

Tutela dei minori e comunicazioni scolastiche

L’Autorità ha ribadito che nelle comunicazioni scolastiche il diritto-dovere di informare le famiglie deve essere bilanciato con l’esigenza di tutelare la personalità dei minori. È stato richiamato il vademecum del Garante sulla scuola e privacy e le FAQ dedicate, che raccomandano di evitare l’inserimento di dati personali idonei a rendere identificabili alunni coinvolti in fatti delicati, quali episodi di bullismo o provvedimenti disciplinari.

È stato inoltre evidenziato che i minori godono di una protezione rafforzata in quanto soggetti particolarmente vulnerabili, come riconosciuto dal considerando 38 del GDPR.

Qualificazione della condotta e criteri di valutazione

Il Garante ha considerato il caso come una violazione minore ai sensi dell’art. 83, par. 2, GDPR e del considerando 148. In tale valutazione hanno inciso:

• le ridotte dimensioni dell’istituto scolastico;
• la visibilità limitata dei messaggi per circa 24 ore, grazie alla tempestiva rimozione;
• la platea ristretta dei destinatari, limitata alla classe di appartenenza;
• la piena collaborazione prestata dall’istituto nel corso dell’istruttoria;
• l’assenza di precedenti pertinenti o di precedenti provvedimenti dell’Autorità.

Provvedimento finale

Alla luce di tali elementi, il Garante ha dichiarato illecita la condotta dell’Istituto Comprensivo Valmorea e lo ha ammonito ai sensi dell’art. 58, par. 2, lett. b), GDPR per la violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché dell’art. 2-ter, commi 1 e 3, del Codice.

Poiché la condotta aveva già esaurito i propri effetti, l’Autorità ha ritenuto non necessarie ulteriori misure correttive. È stata disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Impugnazione

Contro il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.