Ordinanza ingiunzione o revoca n. 385 del 10/07/2025

Istituto scolastico: diffusione illecita sul sito web di convocazioni GLO con dati sulla disabilità degli alunni

Il provvedimento riguarda l’Istituto Comprensivo 2 C.D. "G. Modugno" - S.M. "G. Galilei" di Monopoli, destinatario di un reclamo per la pubblicazione sul sito istituzionale di una circolare contenente l’elenco nominativo degli alunni convocati ai Gruppi di lavoro Operativo per l’inclusione scolastica (GLO). Il Garante ha ritenuto che la pubblicazione abbia reso conoscibile a soggetti non legittimati un’informazione idonea a rivelare la condizione di disabilità degli alunni, integrando una diffusione illecita di dati relativi alla salute.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato a seguito del reclamo presentato dai genitori di un alunno. L’accertamento preliminare dell’Ufficio ha confermato che la circolare era disponibile online e scaricabile, contenendo i nominativi degli alunni per i quali era stato convocato il GLO, suddivisi per classi e plessi.

L’istituto ha rappresentato che la pubblicazione era frutto di un errore materiale: il documento era stato redatto da una docente e inserito da un’assistente amministrativa nella sezione del sito "Articoli visibile e scaricabile", senza considerare la necessaria riservatezza. Ha inoltre dichiarato che la circolare è stata rimossa subito dopo la segnalazione.

Inquadramento normativo

Il Garante richiama la disciplina applicabile ai soggetti pubblici: il trattamento è lecito se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico, ai sensi dell’art. 6, par. 1, lett. c) ed e), e degli artt. 2-ter e 2-sexies del Codice privacy. La diffusione di dati personali da parte di una pubblica amministrazione è ammessa solo se prevista da una norma di legge, regolamento o atto amministrativo generale.

Per le categorie particolari di dati, il richiamo è all’art. 9, par. 2, lett. g), GDPR e all’art. 2-sexies del Codice. In particolare, i dati relativi alla salute non possono essere diffusi ai sensi dell’art. 2-septies, comma 8, del Codice.

Valutazioni del Garante sulla natura dei dati pubblicati

Il Garante qualifica la convocazione del GLO come informazione che, di per sé, può rivelare lo stato di salute dell’alunno, in quanto connessa alla normativa sull’inclusione scolastica e alla disabilità. La pubblicazione online di una circolare nominativa rivolta indistintamente a più destinatari è stata considerata incompatibile con la disciplina di settore, che consente la comunicazione solo a soggetti specificamente legittimati, come i genitori dell’alunno, i docenti della classe e gli altri soggetti coinvolti nell’intervento terapeutico e formativo.

Il Garante richiama inoltre la particolare tutela dei minori, che richiedono una protezione rafforzata nel trattamento dei dati personali.

Illiceità del trattamento e responsabilità del titolare

L’Autorità ha escluso che le memorie difensive potessero giustificare l’archiviazione. Ha ribadito che il titolare del trattamento è l’istituto nel suo complesso e che la responsabilità non viene meno per il fatto che l’errore sia stato commesso da un dipendente o da un incaricato che agisce sotto la sua autorità.

Sulla base degli elementi acquisiti, il Garante ha accertato una diffusione illecita di dati personali, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, e 9, parr. 1, 2, lett. g) e 4, GDPR, nonché degli artt. 2-ter, commi 1 e 3, 2-sexies, commi 1 e 2, lett. bb), e 2-septies, comma 8, del Codice privacy.

Misure correttive e sanzione

Poiché la circolare era stata resa non accessibile e la condotta aveva esaurito i propri effetti, il Garante ha ritenuto non necessario adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Ha invece applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR, richiamando l’art. 83, par. 3, in ragione dell’unicità della condotta. L’importo massimo astrattamente applicabile era pari a 20 milioni di euro, ma la sanzione è stata determinata in 4.000 euro.

Criteri di quantificazione della sanzione

Nella determinazione dell’importo il Garante ha considerato:

• la limitata platea degli interessati e la durata della pubblicazione, pari a circa 28 giorni;
• il carattere di mero errore materiale della condotta;
• la presenza di dati appartenenti a categorie particolari, in particolare dati relativi alla salute;
• la pronta rimozione della circolare;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione del titolare con l’Autorità.

Il Garante ha ritenuto la sanzione pari a 4.000 euro effettiva, proporzionata e dissuasiva.

Dispositivo

L’Autorità ha dichiarato l’illiceità del trattamento e ha ordinato all’istituto il pagamento della sanzione amministrativa pecuniaria di 4.000 euro. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante e l’annotazione del provvedimento nel registro interno dell’Autorità. Resta ferma la possibilità di ricorso dinanzi all’autorità giudiziaria ordinaria nei termini di legge.