Ordinanza ingiunzione o revoca n. 421 del 15/12/2022

Ordinanza ingiunzione alla Scuola Statale Secondaria di I grado "Bianco-Pascoli" di Fasano per pubblicazione di dati di alunni nel registro elettronico

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti della Scuola Statale Secondaria di I^ grado "Bianco-Pascoli" di Fasano, a seguito della pubblicazione nel registro elettronico di elenchi di alunni contenenti riferimenti idonei a rivelare dati relativi alla salute (acronimi BES, DSA e ALUNNO H). Il procedimento trae origine da un reclamo e riguarda anche il mancato riscontro a una richiesta di esercizio dei diritti degli interessati.

Fatti e origine del procedimento

Dal reclamo è emerso che la scuola aveva reso disponibile, nella sezione "comunicazioni" del registro elettronico, una circolare con l’elenco degli alunni richiedenti la frequenza in presenza o tramite DDI, riportando accanto ai nominativi di alcuni studenti indicazioni riconducibili a bisogni educativi speciali, disturbi specifici di apprendimento o disabilità. È stato anche rappresentato che l’istituto non aveva dato riscontro a un’istanza presentata dai reclamanti ai sensi degli artt. 15-22 GDPR.

Nel corso dell’istruttoria, l’istituto ha sostenuto che la pubblicazione fosse avvenuta per mero errore materiale in un contesto emergenziale legato alla pandemia da Covid-19, che l’accesso fosse limitato ai soli docenti e genitori della classe tramite password personale e che il documento fosse rimasto online per circa 18 ore prima della rimozione. Ha inoltre eccepito che la richiesta degli interessati fosse generica e priva della documentazione necessaria.

Trattamento esaminato e natura dei dati

Il Garante ha accertato che gli elenchi pubblicati contenevano dati personali e, in particolare, informazioni relative alla salute degli studenti. In questa prospettiva, ha precisato che:

• il riferimento a "ALUNNO H" è notoriamente idoneo a indicare una condizione di disabilità;
• l’acronimo "DSA" richiama disturbi specifici di apprendimento, la cui diagnosi deriva da trattamenti specialistici del SSN;
• l’acronimo "BES" rimanda a una condizione di svantaggio scolastico che comprende anche ipotesi di disabilità e disturbi evolutivi specifici.

La presenza di tali indicazioni accanto ai nominativi ha quindi consentito di ricavare informazioni sullo stato di salute dei minori interessati.

Valutazioni del Garante sulla comunicazione illecita di dati

L’Autorità ha rilevato che, pur trattandosi di un’area riservata del registro elettronico e non di una diffusione indiscriminata, i dati erano comunque conoscibili da un numero determinato di terzi, ossia da tutti i genitori degli alunni della classe di riferimento e dai docenti della stessa. Si è quindi trattato di una comunicazione di dati personali a soggetti terzi, non giustificata da una base normativa specifica.

Il Garante ha richiamato il quadro normativo applicabile al trattamento da parte di soggetti pubblici, evidenziando che:

• il trattamento deve trovare fondamento negli artt. 6, par. 1, lett. c) ed e), e 6, par. 2 e 3, GDPR;
• la comunicazione di dati personali da parte di soggetti pubblici è ammessa solo quando prevista da una norma di legge o di regolamento, ai sensi dell’art. 2-ter del Codice privacy;
• il titolare deve comunque rispettare i principi generali dell’art. 5 GDPR;
• per i dati relativi alla salute vale la disciplina rafforzata dell’art. 9 GDPR.

È stata quindi dichiarata l’illiceità del trattamento per violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-sexies del Codice privacy, nel testo applicabile ratione temporis.

Mancato riscontro alla richiesta di esercizio dei diritti

Un ulteriore profilo di illecito ha riguardato l’art. 12 GDPR. Il Garante ha accertato che l’istituto, pur avendo rimosso dal registro le informazioni, non aveva fornito alcun riscontro all’istanza con cui gli interessati chiedevano l’esercizio dei diritti di cui agli artt. 15-22 GDPR.

L’Autorità ha osservato che, qualora il titolare nutra dubbi sull’identità del richiedente, può chiedere informazioni aggiuntive ai sensi dell’art. 12, par. 6, GDPR, ma ciò non risulta essere avvenuto. Inoltre, il titolare avrebbe dovuto comunque informare gli interessati dei motivi dell’eventuale mancato riscontro e della possibilità di proporre reclamo o ricorso. La mancata risposta integra quindi violazione dell’art. 12 GDPR.

Determinazione della sanzione

Il Garante ha ritenuto che le giustificazioni difensive della scuola non fossero idonee a superare i rilievi contestati. Ha tuttavia considerato, ai fini sanzionatori:

• la particolare delicatezza dei dati relativi alla salute di 34 soggetti minori;
• il carattere di mero errore materiale della condotta;
• il periodo emergenziale Covid-19 e il conseguente aggravio organizzativo per le segreterie scolastiche;
• la visibilità limitata per circa 18 ore;
• la rimozione spontanea del documento prima dell’intervento dell’Autorità;
• la collaborazione prestata nel corso dell’istruttoria;
• l’assenza di precedenti violazioni pertinenti.

In base a tali elementi, ha determinato la sanzione amministrativa pecuniaria in euro 3.000, ritenendola effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 e 2, GDPR.

Dispositivo

Nel dispositivo il Garante:

• ha dichiarato illecito il trattamento dei dati personali effettuato dalla scuola;
• ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 3.000;
• ha precisato la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice privacy, mediante pagamento entro 30 giorni di una somma pari alla metà della sanzione;
• ha disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice;
• ha disposto l’annotazione del provvedimento nel registro interno dell’Autorità.

Non sono state applicate ulteriori misure correttive, in considerazione del fatto che la condotta contestata aveva già esaurito i propri effetti.