Prescrizioni del Garante n. 36 del 29/01/2026

Istituto superiore statale Enrico Fermi – Leonardo da Vinci di Empoli: comunicazione illecita di dati del PEI e invio di liste classe con date di nascita

Il provvedimento riguarda un istituto scolastico che, secondo quanto segnalato dai genitori di uno studente, avrebbe inviato a destinatari non autorizzati comunicazioni inerenti al Programma educativo individualizzato (PEI) del figlio e, separatamente, una lista degli alunni della classe con le rispettive date di nascita. Il Garante ha accertato due distinti trattamenti illeciti, qualificando il caso come violazione minore e disponendo un ammonimento.

Fatti e origine del procedimento

Il procedimento trae origine da un reclamo presentato dai genitori di un alunno, per il tramite del loro legale. I reclamanti hanno lamentato che:

• un’insegnante dell’istituto avrebbe inviato dal proprio indirizzo e-mail istituzionale tre comunicazioni contenenti l’invito a partecipare al PEI del figlio e l’annullamento dell’evento agli indirizzi di posta elettronica di tutti gli alunni della classe;
• l’istituto avrebbe poi inviato una comunicazione sulla composizione della classe per l’anno scolastico, riportando i nomi degli alunni e le rispettive date di nascita.

L’Autorità ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy e ha contestato la possibile violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-sexies del Codice.

Difese dell’istituto

L’istituto ha sostenuto che la prima comunicazione era stata inviata per mero errore materiale, a soggetti non titolati, per una errata selezione dei destinatari. Ha inoltre precisato che non era stata trasmessa alcuna copia del PEI né un riferimento specifico allo stesso, e che subito dopo l’accaduto aveva inviato una comunicazione di rettifica e richiesta di cancellazione ai destinatari non autorizzati.

Quanto alla lista degli alunni, l’istituto ha spiegato che la trasmissione era avvenuta nell’ambito delle attività organizzative e gestionali di inizio anno scolastico tramite il software ARGO-alunni, che genera elenchi contenenti nome, cognome e data di nascita. Ha riconosciuto che la data di nascita non era necessaria rispetto alla finalità perseguita e che ciò aveva comportato una violazione del principio di minimizzazione. Ha anche riferito di aver chiesto al fornitore software la possibilità di generare elenchi con soli nomi e cognomi e di aver avviato un percorso di sensibilizzazione del personale.

Quadro normativo richiamato

Il Garante richiama le definizioni di dato personale e dati relativi alla salute di cui all’art. 4, punti 1 e 15, GDPR. Richiama inoltre:

• l’art. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• l’art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR, per i trattamenti nel settore pubblico;
• l’art. 9, par. 2, lett. g), GDPR, per i dati particolari;
• gli artt. 2-ter e 2-sexies del Codice privacy, che disciplinano rispettivamente comunicazione/diffusione nei rapporti con il settore pubblico e i trattamenti di categorie particolari di dati in base a norme di legge o regolamento.

Viene richiamata anche la disciplina di settore sul PEI, in particolare il d.p.r. 24 febbraio 1994, art. 5, comma 1, e il d.lgs. 13 aprile 2017, n. 66, artt. 7 e 9, comma 10.

Valutazioni del Garante sul trattamento relativo al PEI

L’Autorità ha osservato che il PEI, per sua natura, riguarda alunni con disabilità e contiene informazioni idonee a rivelare dati relativi alla salute. Anche se la comunicazione non trasmetteva il documento integrale, il solo riferimento al PEI ha reso conoscibile a un novero determinato di soggetti terzi un’informazione coperta da tutela rafforzata.

Il Garante ha quindi ritenuto che l’istituto abbia reso conoscibili in modo ingiustificato dati personali, anche relativi alla salute, del figlio dei reclamanti, in violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-sexies del Codice. Non è stata ritenuta decisiva l’argomentazione secondo cui la condizione di disabilità sarebbe stata già nota a insegnanti, genitori e alunni.

Valutazioni del Garante sulla lista con date di nascita

Per quanto riguarda la comunicazione della lista degli alunni con le date di nascita, il Garante ha rilevato che tali dati erano eccedenti e non necessari rispetto alla finalità organizzativa perseguita. L’invio, pur avvenuto in ambito scolastico e per esigenze amministrative, ha dunque violato il principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR.

L’Autorità ha altresì ritenuto che la circostanza per cui gli alunni o i compagni di classe potessero conoscere le date di nascita non sia idonea a legittimare il trattamento nella forma in cui è stato effettuato.

Esito del procedimento e qualificazione come violazione minore

Pur dichiarando l’illiceità del trattamento, il Garante ha valorizzato una serie di elementi attenuanti:

• la natura di istituto scolastico e le ridotte dimensioni del titolare;
• il fatto che gli eventi siano derivati da un mero errore materiale;
• l’assenza di diffusione del contenuto integrale del PEI;
• le misure immediate adottate per attenuare il danno, tra cui la richiesta di cancellazione e la modifica del sistema di generazione degli elenchi;
• la piena collaborazione con l’Autorità;
• l’assenza di precedenti violazioni o provvedimenti rilevanti.

Alla luce di tali elementi, il Garante ha qualificato la vicenda come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie.

Provvedimenti adottati

L’Autorità ha:

• dichiarato illecita la condotta dell’Istituto d’Istruzione superiore statale Enrico Fermi – Leonardo da Vinci di Empoli, per violazione degli artt. 5, par. 1, lett. a) e c), 6 e 9 GDPR nonché degli artt. 2-ter e 2-sexies del Codice privacy;
• ammonito l’istituto ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• escluso l’adozione di ulteriori misure correttive, ritenendo che la condotta avesse già esaurito i suoi effetti;
• disposto la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Ricorso

Contro il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.