Ordinanza ingiunzione o revoca n. 274 del 29/04/2025

Cooperativa Sociale Quadrifoglio: trattamento illecito di dati sulla salute di minori e sanzione del Garante

Il provvedimento riguarda la cooperativa sociale Quadrifoglio, operante come responsabile del trattamento per conto del Comune di Bologna nell’ambito dei servizi educativi per l’inclusione scolastica. Il procedimento è stato avviato a seguito di un reclamo relativo all’invio, in occasione di uno sciopero, di file Excel contenenti non solo informazioni organizzative sui servizi non garantiti, ma anche dati personali e sanitari di minori con disabilità.

Origine del reclamo e istruttoria

La segnalazione lamentava che, insieme ai dati necessari per comunicare l’adesione allo sciopero e la conseguente riorganizzazione dei servizi, fossero stati trasmessi elenchi di bambini disabili e con bisogni speciali, recanti informazioni dettagliate e sensibili. L’istruttoria ha chiarito che la cooperativa era affidataria del servizio educativo per l’inclusione scolastica nel Comune di Bologna e che, secondo la prassi operativa descritta, il Comune trasmetteva periodicamente file contenenti i dati dei minori destinatari di sostegno, da utilizzare per la gestione del servizio.

In occasione dello sciopero generale, la cooperativa ha inviato una mail al Comune e ai responsabili territoriali con allegati sei file Excel, uno per ciascun quartiere. Alcuni documenti contenevano, oltre alle indicazioni sui servizi integrativi non garantiti, dati relativi alla salute dei bambini iscritti a scuole dell’infanzia, tra cui:

• nominativi dei minori;
• luogo e data di nascita;
• cittadinanza;
• tipologie di disabilità;
• specifiche patologie;
• codice ICD10;
• certificazioni possedute o meno;
• risorse per l’integrazione scolastica assegnate;
• ulteriori annotazioni.

Quadro normativo richiamato

Il Garante ha richiamato le norme del GDPR e del Codice privacy rilevanti nel caso, in particolare:

• art. 6, par. 1, lett. c) ed e), GDPR e art. 2-ter Codice, per i trattamenti da parte di soggetti pubblici;
• art. 9, par. 2, lett. g), GDPR e art. 2-sexies Codice, per il trattamento di categorie particolari di dati per motivi di interesse pubblico rilevante;
• art. 28 GDPR, sul rapporto tra titolare e responsabile del trattamento;
• art. 32 GDPR, sulle misure tecniche e organizzative adeguate al rischio;
• artt. 30, 33, par. 2, e 82 GDPR, richiamati in tema di obblighi e responsabilità del responsabile.

L’Autorità ha inoltre richiamato il considerando 38 GDPR, sottolineando che i minori sono persone fisiche vulnerabili e meritano una protezione specifica.

Valutazioni sul trattamento e sull’inquadramento dei dati

Il Garante ha ritenuto che le informazioni contenute nei file consentissero di desumere lo stato di salute dei minori e fossero quindi dati relativi alla salute ai sensi dell’art. 4, n. 15, GDPR. Ha osservato che l’invio era finalizzato alla sola comunicazione delle possibili riduzioni del servizio per sciopero, ma la cooperativa ha trasmesso documentazione eccedente e non necessaria a tale finalità.

In base al contratto con il Comune, la cooperativa era tenuta a:

• trattare i dati solo per l’esecuzione dell’oggetto contrattuale e secondo istruzioni documentate del titolare;
• informare il titolare se un’istruzione apparisse in violazione della normativa;
• adottare procedure per garantire i diritti degli interessati;
• cooperare con il titolare;
• adottare e mantenere misure di sicurezza tecniche e organizzative appropriate;
• garantire competenza e formazione del personale autorizzato.

Il Garante ha ritenuto che, pur trattandosi di un errore materiale, la cooperativa non avesse usato la perizia necessaria per evitare la divulgazione dei dati sanitari, né avesse adottato misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, discostandosi dalle istruzioni del titolare.

Violazioni accertate

L’Autorità ha quindi dichiarato l’illiceità del trattamento per violazione di:

• art. 28, par. 3, GDPR;
• art. 32, par. 1, GDPR.

Ha escluso i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, osservando che la condotta aveva ormai esaurito i propri effetti.

Sanzione amministrativa pecuniaria

Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. Ha rilevato che le violazioni contestate rientrano nell’art. 83, par. 4, GDPR, con importo massimo fino a 10.000.000 euro.

Nel determinare la sanzione, il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione, con coinvolgimento di un elevato numero di interessati vulnerabili;
• il carattere dell’errore materiale;
• la presenza di categorie particolari di dati riferiti a minori.

Sono state considerate attenuanti:

• le misure adottate dalla cooperativa, anche in collaborazione con il titolare, per attenuare il danno e prevenire episodi analoghi;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’autorità di controllo;
• il risarcimento riconosciuto a una famiglia coinvolta.

Alla luce di tali elementi, la sanzione è stata fissata in euro 20.000,00, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo finale

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dalla cooperativa;
• ordinato il pagamento di euro 20.000,00 a titolo di sanzione amministrativa pecuniaria;
• ricordato la possibilità di definizione agevolata mediante pagamento, entro 30 giorni, di una somma pari alla metà della sanzione comminata;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale del Garante;
• disposto l’annotazione del provvedimento nel registro interno dell’Autorità.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.