Ordinanza ingiunzione o revoca n. 160 del 12/03/2026

Liceo Scientifico Morgagni di Roma: comunicazione illecita di dati sulla salute di una studentessa e carenze di sicurezza

Il provvedimento riguarda un istituto scolastico pubblico destinatario di un reclamo per la circolazione, durante un’assemblea d’istituto, di fogli di carta da riciclo recanti dati identificativi di una studentessa e un riferimento ai suoi DSA. Il Garante ha ritenuto che la vicenda integrasse una comunicazione illecita di dati personali, anche relativi alla salute, e un trattamento non conforme ai principi e agli obblighi di sicurezza del GDPR.

Origine del procedimento e fatti contestati

La procedura origina dal reclamo della genitrice dell’interessata, che ha segnalato la distribuzione, nel corso di un incontro di educazione sessuo-affettiva svolto durante l’assemblea di istituto, di fogli originariamente in formato A4 e poi tagliati a metà per essere usati come carta da riciclo. Su tali fogli comparivano l’intestazione e il logo dell’istituto, la dicitura "Riepilogo alunni con disabilità per l'Anno Scolastico XX" e, in corrispondenza di una studentessa, nome e cognome con indicazione di "Disturbi specifici Apprendimento (DSA)".

L’istituto, nelle proprie difese, ha riferito di avere avviato verifiche interne, di avere convocato i genitori e vari soggetti interni alla scuola, ma di non essere riuscito a chiarire l’origine del documento. Ha anche rappresentato di aver introdotto controlli sulle stampe, codici personali per la stampa e il divieto di riutilizzo della carta. In audizione ha aggiunto che la circolazione del foglio sarebbe stata limitata a pochissimi soggetti e interrotta immediatamente alla scoperta del contenuto.

Qualificazione del dato e base giuridica

Il Garante ha innanzitutto ribadito che i minori meritano una protezione rafforzata, in ragione della loro vulnerabilità. Ha quindi ritenuto che il riferimento ai DSA costituisca, di per sé, un’informazione relativa alla salute ai sensi dell’art. 4, punti 1 e 15, GDPR.

Pur escludendo che vi sia stata una diffusione in senso tecnico, l’Autorità ha qualificato la conoscibilità dei dati da parte di un numero determinato di studenti come comunicazione di dati personali ai sensi dell’art. 2-ter, comma 4, lett. a), del Codice privacy. Tale comunicazione è stata giudicata illecita perché priva di un idoneo presupposto normativo: per i trattamenti dei soggetti pubblici la base giuridica deve rinvenirsi nell’art. 6, par. 1, lett. c) ed e), GDPR e nell’art. 2-ter del Codice, mentre per le categorie particolari di dati occorre il presupposto dell’art. 9, par. 2, lett. g), GDPR e dell’art. 2-sexies del Codice.

Violazioni accertate e valutazione del Garante

L’Autorità ha accertato che la circolazione incontrollata dei fogli all’interno dell’istituto ha comportato:

• violazione del principio di liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a), GDPR;
• violazione del principio di integrità e riservatezza, ex art. 5, par. 1, lett. f), GDPR;
• violazione degli artt. 6 e 9 GDPR e 2-ter e 2-sexies del Codice privacy, per assenza di base giuridica adeguata;
• violazione dell’art. 32 GDPR, per mancata adozione di misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato ai rischi.

Il Garante ha escluso che fosse rilevante il fatto che i soggetti che avrebbero visionato il foglio fossero già a conoscenza della situazione della studentessa, richiamando la necessità di valutare la comunicazione del dato in sé e la sua circolazione incontrollata in ambito scolastico. Ha inoltre osservato che le dichiarazioni del titolare non erano sufficienti a giustificare l’archiviazione del procedimento.

Sanzione amministrativa e criteri di quantificazione

Poiché la violazione discendeva da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, assumendo come limite massimo quello previsto per la violazione più grave, ricondotta all’art. 83, par. 5, GDPR, fino a 20 milioni di euro.

Nella quantificazione concreta della sanzione, l’Autorità ha considerato:

• la limitata platea dei destinatari effettivi della comunicazione;
• il carattere colposo della violazione;
• la natura particolare dei dati trattati;
• la collaborazione del titolare e gli accertamenti svolti;
• l’assenza di precedenti violazioni pertinenti;
• le ridotte dimensioni e risorse economiche dell’istituto.

Alla luce di tali elementi, la sanzione è stata determinata in euro 2.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo e ulteriori effetti

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal liceo e ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 2.000. Ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul sito web dell’Autorità e l’annotazione del provvedimento nel registro interno.

È stato precisato che il contravventore può definire la controversia pagando, entro 30 giorni, la metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice privacy. Contro il provvedimento è ammesso ricorso davanti all’autorità giudiziaria ordinaria nei termini di legge.