Prescrizioni del Garante n. 422 del 28/09/2023

Istituto Scolastico Comprensivo Statale "Vittorino da Feltre - Nicola Zingarelli" di Foggia: comunicazione eccedente di dati personali nell’ambito di un accesso agli atti

Il Garante per la protezione dei dati personali esamina un reclamo relativo a una richiesta di accesso documentale presentata da una docente a un istituto scolastico pubblico. Nel corso della procedura, la scuola aveva trasmesso ai controinteressati non solo la copia dell’istanza di accesso, ma anche la copia integrale del documento di identità della reclamante e dati di contatto personali contenuti nell’istanza stessa.

Fatti e origine del reclamo

La reclamante aveva chiesto l’accesso alla documentazione amministrativa concernente i criteri utilizzati per la formazione delle classi prime in esubero e per l’assegnazione agli alunni di corsi potenziati. Lamentava che, nella comunicazione ai controinteressati individuati ai sensi della disciplina sull’accesso, fossero stati rivelati il suo numero di telefono e allegata la copia del documento di identità; successivamente, sarebbe stata anche contattata da soggetti non noti tramite il numero riportato nell’istanza.

Attività istruttoria e difese dell’istituto

L’istituto scolastico ha sostenuto che la comunicazione ai controinteressati fosse obbligatoria ai sensi dell’art. 3 del d.P.R. 184/2006 e che la legge imponesse l’invio della "copia" dell’istanza senza possibilità di alterazioni. Ha inoltre affermato che i dati trasmessi fossero comuni, che il documento di identità fosse illeggibile e che la scelta fosse stata dettata dalla volontà di garantire l’autenticità dell’atto e il corretto esercizio del diritto di opposizione dei controinteressati.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità precisa che non è in discussione la comunicazione dell’identità dell’istante ai controinteressati, fisiologica nel procedimento di accesso. La violazione riguarda invece la trasmissione di dati ulteriori e non necessari: i dati contenuti nel documento di identità e le informazioni di contatto presenti nell’istanza. Tali elementi non erano richiesti dalla normativa di settore e non risultavano indispensabili rispetto alla finalità di consentire ai controinteressati di presentare eventuali osservazioni o opposizioni.

Norme richiamate e violazioni accertate

Il Garante richiama il GDPR, in particolare i principi di liceità, correttezza, trasparenza e minimizzazione dei dati, nonché le basi giuridiche del trattamento da parte di soggetti pubblici. Richiama inoltre l’art. 2-ter del Codice privacy, secondo cui la comunicazione di dati personali da parte di pubbliche amministrazioni è ammessa solo se prevista da una norma di legge o di regolamento.

Le violazioni accertate riguardano:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR;
• art. 2-ter del Codice privacy.

Esito del procedimento e misura adottata

Tenuto conto che si tratta di un episodio isolato, avvenuto nel convincimento di adempiere a un obbligo normativo, e considerata la collaborazione dell’istituto e il rafforzamento dei controlli interni sui flussi documentali, il Garante qualifica il caso come violazione minore ai sensi del considerando 148 GDPR e delle linee guida del WP29 sulle sanzioni amministrative pecuniarie. In ragione di ciò, ritiene sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare sanzioni pecuniarie né ulteriori misure correttive, poiché la condotta ha già esaurito i propri effetti.