Prescrizioni del Garante n. 169 del 27/03/2025

Ludum s.r.l. - comunicazione illecita di dati di un minore tramite piattaforma scolastica

Il Garante per la protezione dei dati personali ha esaminato il caso di una scuola facente capo a Ludum s.r.l., relativo alla pubblicazione per errore, sulla piattaforma SeeSaw, di due messaggi contenenti informazioni personali riguardanti un alunno. Il procedimento è stato avviato a seguito del reclamo del genitore interessato.

Origine del reclamo e fatti contestati

La reclamante ha riferito che una docente, tramite SeeSaw, avrebbe inviato un messaggio in modalità pubblica con cui segnalava l’avvenuto deposito di un questionario presso la reception della scuola e la necessità di parlare con la madre per aggiornamenti delicati sul figlio. Un successivo messaggio, sempre secondo la reclamante, conteneva ulteriori elementi riservati ed era stato anch’esso pubblicato in area visibile a tutti i genitori della classe.

Attività istruttoria e riscontri del titolare

Nel corso dell’istruttoria il DPO della società ha precisato che si era trattato di un errore materiale della docente, che aveva utilizzato in modo improprio la piattaforma pubblicando i messaggi nell’area pubblica anziché in quella privata. I messaggi sono stati rimossi tempestivamente: il primo dopo 18 minuti, il secondo dopo 1 minuto. La società ha inoltre rappresentato di aver programmato una formazione annuale in materia di privacy e data breach per tutto il personale scolastico.

Quadro normativo richiamato

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, oltre all’art. 2-ter, commi 1 e 3, del Codice privacy. È stato ribadito che, per gli istituti scolastici, pubblici e privati, i trattamenti devono trovare base giuridica in una norma di legge, regolamento o atto amministrativo generale, e che le operazioni di comunicazione e diffusione di dati personali sono ammesse solo nei casi previsti dalla legge. L’Autorità ha anche sottolineato la particolare protezione dovuta ai dati dei minori, richiamando i considerando 38 e 75 del GDPR.

Valutazione dell’illiceità del trattamento

Sebbene i messaggi non fossero accessibili a chiunque, il Garante ha ritenuto che la loro visibilità nell’area pubblica della piattaforma abbia comunque determinato una comunicazione di dati personali a un novero determinato di soggetti non legittimati a conoscerli. La circostanza che l’errore sia stato immediatamente corretto non esclude l’illiceità della comunicazione, mancando un idoneo presupposto di liceità.

Qualificazione della violazione e criteri di valutazione

L’Autorità ha qualificato il caso come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148, valorizzando una serie di elementi attenuanti:

• natura e dimensione ridotta del titolare;
• errore materiale della docente;
• brevissima permanenza online dei messaggi;
• numero limitato dei soggetti potenzialmente destinatari;
• scuse rivolte alla famiglia;
• piena collaborazione del titolare;
• assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR.

Provvedimento finale

Il Garante ha dichiarato illecita la condotta di Ludum s.r.l., per il trattamento effettuato dall’ICS Milan International School - ICS Symbiosis, e ha adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR. Ha inoltre disposto la pubblicazione del provvedimento sul sito web istituzionale e l’annotazione nel registro interno dell’Autorità. Non sono state adottate ulteriori misure correttive, ritenendo che la condotta avesse già esaurito i suoi effetti.