Prescrizioni del Garante n. 185 del 13/04/2023

Ammonimento per pubblicazione illecita di elenchi di alunni sul sito di un istituto scolastico

Il Garante ha esaminato il caso dell’Istituto Comprensivo Statale "Giovanni Falcone e Paolo Borsellino" di Gavorrano, destinatario di un reclamo per la pubblicazione online di un provvedimento contenente gli elenchi nominativi degli alunni ammessi al tempo pieno nella scuola primaria. La pubblicazione era avvenuta sul sito istituzionale e aveva reso accessibili i dati a una platea indeterminata di soggetti, integrando una diffusione di dati personali di minori.

Origine del reclamo e attività istruttoria

L’Autorità ha ricevuto un reclamo relativo alla pubblicazione nella sezione del sito dell’istituto della nota dirigenziale con gli elenchi degli alunni ammessi alla frequenza del tempo pieno presso il plesso di Scarlino Scalo. A seguito della richiesta di informazioni, il dirigente scolastico ha riferito di avere ritenuto la pubblicazione necessaria per adempiere a un obbligo legale e di avere considerato non arrecato un pregiudizio concreto ai diritti degli interessati. Dopo il rilievo dell’Autorità, l’istituto ha rimosso il documento dal sito e ha comunicato alle famiglie, via email e con il campo "copia conoscenza nascosta" (ccn), sia l’ammissione degli alunni sia le alternative per i non ammessi.

Normativa richiamata

Il provvedimento richiama:

• l’art. 4, par. 1, n. 1, GDPR, per la definizione di dato personale;
• l’art. 5 GDPR, in particolare i principi generali di liceità e correttezza;
• l’art. 6, par. 1, lett. c) ed e), e parr. 2 e 3 GDPR, quale base per il trattamento da parte di soggetti pubblici;
• l’art. 2-ter del Codice privacy, che consente diffusione e comunicazione solo se previste da legge, regolamento o atto amministrativo generale.

Valutazione del Garante sulla liceità della pubblicazione

L’Autorità ha osservato che, per i soggetti pubblici, la diffusione di dati personali richiede un fondamento normativo specifico e che l’istituto non aveva indicato alcuna disposizione idonea a legittimare la pubblicazione dei nominativi degli alunni e della relativa classe di assegnazione. È stata ritenuta inidonea anche l’argomentazione secondo cui la pubblicazione sarebbe stata effettuata per adempiere un obbligo legale e senza arrecare pregiudizio, perché l’obiettivo poteva essere raggiunto con modalità meno invasive.

Richiamo alle FAQ Garante-Ministero dell’Istruzione

Il Garante ha richiamato le FAQ sul trattamento dei dati personali nel contesto scolastico, elaborate in collaborazione con il Ministero dell’Istruzione, che escludono la diffusione online degli elenchi nominativi relativi alla composizione delle classi. Le FAQ indicano modalità alternative: per le classi prime, comunicazione all’indirizzo email fornito dalla famiglia; per le classi successive, eventuale disponibilità nell’area documentale riservata del registro elettronico; in caso di email, utilizzo di messaggi personalizzati o del ccn per evitare la divulgazione degli indirizzi email dei destinatari.

Esito dell’istruttoria e qualificazione della violazione

Il Garante ha concluso che la pubblicazione del provvedimento dirigenziale aveva reso conoscibili a un numero indeterminato di soggetti informazioni riferite al figlio del reclamante e ad altri alunni, determinando una diffusione illecita di dati personali in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice. Le difese del titolare non sono state ritenute sufficienti a superare i rilievi dell’avvio del procedimento.

Provvedimento finale e criteri considerati

Pur accertando l’illiceità del trattamento, il Garante ha ritenuto che il caso potesse essere qualificato come violazione minore ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie. A sostegno dell’ammonimento sono stati valorizzati:

• le ridotte dimensioni dell’istituto scolastico;
• l’errore nella convinzione di dover pubblicare il documento;
• la natura isolata dell’episodio;
• la tempestiva rimozione del contenuto;
• le misure organizzative successive, tra cui istruzioni al personale e formazione;
• la piena collaborazione con l’Autorità;
• l’assenza di precedenti violazioni o di precedenti provvedimenti ex art. 58 GDPR.

Dispositivo

Il Garante ha quindi:

• dichiarato illecita la condotta dell’istituto per violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice;
• ammonito il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• escluso ulteriori misure correttive, poiché la pubblicazione era già cessata.

Impugnazione

Il provvedimento indica la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, o sessanta giorni se il ricorrente risiede all’estero.