Ordinanza ingiunzione o revoca n. 273 del 29/04/2025

Comune di Bologna - comunicazione illecita di dati sanitari di minori nelle scuole dell’infanzia

Il provvedimento riguarda il Comune di Bologna, in qualità di titolare del trattamento, per l’illecita comunicazione di dati personali, anche relativi alla salute, di bambini iscritti alle scuole dell’infanzia comunali. L’istruttoria è stata avviata a seguito di un reclamo e ha riguardato un errore nell’invio di file allegati a e-mail di servizio connessi alla gestione di uno sciopero.

Fatti e origine del procedimento

Secondo il reclamo, la cooperativa Quadrifoglio avrebbe trasmesso al Comune un file Excel contenente, oltre a un foglio sulle adesioni allo sciopero, altri fogli con elenchi di bambini disabili o con bisogni speciali e relative informazioni sensibili. Il Comune ha chiarito che l’incidente si è verificato quando un ufficio dell’Area Educazione, Istruzione e Nuove Generazioni ha inoltrato una e-mail contenente disposizioni di servizio e allegati predisposti dal responsabile del trattamento per segnalare i servizi non garantiti in occasione dello sciopero.

Il Comune ha poi precisato che il file erroneamente allegato conteneva dati di 61 bambini iscritti a scuole dell’infanzia comunali, e che uno dei file è stato successivamente inoltrato da una scuola dell’infanzia a 53 indirizzi e-mail di genitori di alunni iscritti a quella scuola.

Trattamenti esaminati

L’Autorità ha esaminato due profili distinti:

• la comunicazione interna, da parte dell’UI Servizi Zerosei, di documenti contenenti dati personali e dati relativi alla salute a scuole dell’infanzia, coordinatori pedagogici e responsabili di unità territoriali;
• l’invio successivo, da parte di una collaboratrice scolastica, di uno dei file allegati ai genitori degli alunni della scuola.

Il Garante ha rilevato che nei documenti erano presenti dati quali nome, cognome, data e luogo di nascita, cittadinanza, tipologia di disabilità, specifiche patologie, codice ICD10, certificazioni possedute e indicazioni sulle risorse assegnate per l’integrazione scolastica. Tali elementi sono stati ritenuti idonei a rivelare informazioni sullo stato di salute dei minori.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha richiamato il quadro normativo applicabile ai trattamenti effettuati da soggetti pubblici, ricordando che essi sono leciti solo se necessari per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6 GDPR e dell’art. 2-ter del Codice. Per i dati particolari, è stato richiamato anche l’art. 9, par. 2, lett. g), GDPR e l’art. 2-sexies del Codice.

Nel merito, il Garante ha osservato che il personale autorizzato può trattare solo i dati pertinenti e necessari rispetto alle attività assegnate. Nel caso concreto, invece, il Comune ha trasmesso informazioni sanitarie di minori iscritti a scuole diverse da quelle di competenza dei destinatari, rendendo conoscibili tali dati a un novero ampio di soggetti interni all’organizzazione, ma non esclusivamente al personale competente per territorio e funzione.

Quanto all’invio ai genitori, il Garante ha considerato che la documentazione è stata resa conoscibile a soggetti terzi determinati o determinabili, configurando una comunicazione di dati personali, anche relativi alla salute, di minori particolarmente vulnerabili.

Violazioni contestate

Il Garante ha ritenuto integrata la violazione dei seguenti articoli:

• art. 5, par. 1, lett. a) e c), GDPR, per violazione dei principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, per assenza di idonea base giuridica;
• art. 9, parr. 1, 2, lett. g), e 4, GDPR, per il trattamento di categorie particolari di dati senza presupposti adeguati;
• art. 2-ter, commi 1 e 3, del Codice, per l’assenza di una previsione normativa idonea a legittimare la comunicazione;
• art. 2-sexies, commi 1 e 2, lett. bb), del Codice, in relazione al trattamento di dati particolari da parte di soggetti pubblici.

L’Autorità ha inoltre sottolineato che il Comune non ha adeguatamente vigilato e verificato il contenuto del documento ricevuto prima dell’inoltro, richiamando la responsabilità generale del titolare ex artt. 5, par. 2, e 24 GDPR.

Difese del Comune e misure adottate

Nel corso del procedimento il Comune ha sostenuto che l’errore fosse frutto di una condotta meramente materiale di un’operatrice della cooperativa, che non avrebbe dovuto inserire nel file dati non pertinenti. Ha inoltre evidenziato:

• l’attivazione di misure di contenimento, con contatto ai destinatari e richiesta di cancellazione dei dati;
• l’adozione di nuove istruzioni per il responsabile del trattamento;
• lo svolgimento di un audit presso la cooperativa;
• nuove istruzioni al personale della UI Servizi Zerosei;
• l’introduzione di procedure più rigorose, conversione dei file in pdf, specificazione che le comunicazioni sono interne e non divulgabili, uso di cartelle riservate e formazione del personale.

Ha anche richiamato la notifica del data breach all’Autorità e agli interessati. Il Garante, tuttavia, ha ritenuto che tali elementi non fossero sufficienti a superare i rilievi formulati e a giustificare l’archiviazione.

Sanzione, criteri di quantificazione e misure accessorie

Poiché le violazioni sono state ricondotte a un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, individuando il massimo edittale nella fascia fino a 20 milioni di euro di cui all’art. 83, par. 5. Nella quantificazione della sanzione ha considerato:

• la natura, gravità e durata della violazione, anche in relazione all’elevato numero di interessati vulnerabili;
• il profilo soggettivo, trattandosi di errore materiale indotto da una comunicazione errata del responsabile del trattamento;
• la presenza di dati particolari riferiti a minori di età.

Sono state valorizzate come attenuanti:

• le misure adottate per attenuare il danno e prevenire il ripetersi dell’evento;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione con l’Autorità.

All’esito, la sanzione è stata determinata in euro 40.000. Il Garante ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet istituzionale e l’annotazione nel registro interno dell’Autorità. Non sono state disposte ulteriori misure correttive, poiché la condotta aveva già esaurito i suoi effetti.

Impugnazione

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.