Prescrizioni del Garante n. 288 del 06/07/2023

Diffusione illecita online degli elenchi delle classi prime da parte di un istituto scolastico

Il Garante per la protezione dei dati personali ha esaminato la pubblicazione sul sito istituzionale dell’Istituto di Istruzione Superiore Statale "Alessandro Volta" di Sassuolo degli elenchi nominativi relativi alla composizione delle classi prime per l’anno scolastico 2022/2023. L’Autorità ha ritenuto che la condotta abbia comportato una diffusione illecita di dati personali degli studenti, in assenza di idonea base giuridica.

Fatti e origine del procedimento

Il procedimento è stato avviato a seguito di una segnalazione relativa alla pubblicazione online degli elenchi delle classi prime. Dalle verifiche è emerso che i nominativi erano stati inseriti in una sezione del sito istituzionale liberamente accessibile, non riservata tramite credenziali, con conseguente conoscibilità da parte di una pluralità indeterminata di soggetti.

Difese del titolare del trattamento

L’Istituto ha rappresentato di avere agito per rispondere alle insistenti richieste delle famiglie, che volevano conoscere rapidamente la classe di assegnazione dei figli. Ha inoltre richiamato la carenza di organico, l’impegno del personale in altre incombenze scolastiche e le difficoltà di attivazione del registro elettronico, sostenendo che la pubblicazione sul sito fosse la soluzione più rapida ed efficiente. La scuola ha anche affermato di aver rimosso il documento in tempi molto brevi e di avere rafforzato formazione e controlli interni.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 4, par. 1, n. 1, GDPR, sul concetto di dato personale;
• l’art. 5 GDPR, sui principi applicabili al trattamento;
• l’art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR, sulla liceità del trattamento da parte di soggetti pubblici;
• l’art. 2-ter del Codice privacy, che consente diffusione e comunicazione di dati personali solo se previste da una norma di legge, di regolamento o da atti amministrativi generali.

Valutazioni del Garante sulla liceità della pubblicazione

L’Autorità ha chiarito che, per le amministrazioni pubbliche, anche il trattamento di dati comuni richiede una specifica base normativa che autorizzi la diffusione. Nel caso concreto, l’Istituto non ha indicato alcuna disposizione che legittimasse la pubblicazione online degli elenchi nominativi.

Il Garante ha ritenuto irrilevanti le giustificazioni legate:

• alle pressioni delle famiglie;
• alla complessità del contesto sociale e culturale dell’utenza;
• alla carenza di personale;
• alla temporanea difficoltà nell’uso del registro elettronico.

Tali esigenze avrebbero potuto essere soddisfatte con modalità meno invasive, nel rispetto della normativa privacy.

Indicazioni specifiche per il settore scolastico

Nel provvedimento è richiamata la FAQ elaborata dal Garante con il Ministero dell’Istruzione in materia di trattamenti di dati personali nel contesto scolastico, nonché il vademecum "La scuola a prova di privacy" (edizione 2023). Secondo tali indicazioni, la diffusione online degli elenchi nominativi delle classi non è consentita. Per assicurare la conoscibilità dei dati, le scuole devono invece utilizzare canali appropriati, come:

• la comunicazione via e-mail all’indirizzo fornito dalla famiglia in fase di iscrizione, con invio personalizzato o tramite ccn;
• per le classi successive, la disponibilità degli elenchi nell’area documentale riservata del registro elettronico accessibile agli studenti della classe.

Esito dell’istruttoria e qualificazione della violazione

All’esito dell’istruttoria il Garante ha confermato l’illiceità del trattamento, qualificando la pubblicazione come diffusione di dati personali verso una pluralità indeterminata di soggetti. La condotta è stata ritenuta in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice.

Misure adottate e valutazione della gravità

Pur rilevando l’illiceità, il Garante ha ritenuto il caso una "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie, valorizzando:

• le ridotte dimensioni dell’istituto;
• la rapida rimozione dei documenti dal sito;
• l’assenza di categorie particolari di dati personali;
• l’immediato rafforzamento di procedure e formazione;
• la collaborazione prestata all’Autorità;
• l’assenza di precedenti violazioni pertinenti.

In ragione di tali elementi, il Garante ha ritenuto sufficiente un ammonimento ex art. 58, par. 2, lett. b), GDPR, senza adottare ulteriori misure correttive e senza irrogare una sanzione pecuniaria.

Dispositivo e rimedi

L’Autorità ha dichiarato illecita la condotta dell’Istituto e lo ha ammonito per la violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice. È stato inoltre richiamato il ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011, entro i termini di legge.