Ordinanza ingiunzione o revoca n. 728 del 27/11/2024

Istituto Comprensivo Statale "Corso Matteotti" di Alfonsine: comunicazione indebita delle convocazioni GLO con dati idonei a rivelare lo stato di salute degli alunni

Il provvedimento riguarda un istituto comprensivo pubblico che ha inviato, in più occasioni, calendari di convocazione dei Gruppi di lavoro operativo per l’inclusione scolastica (GLO) contenenti le iniziali degli alunni interessati. Il Garante ha ritenuto che tale modalità di comunicazione abbia reso conoscibili informazioni relative allo stato di salute degli studenti coinvolti, in violazione della disciplina privacy applicabile al contesto scolastico.

Origine del procedimento e fatti contestati

Il procedimento è stato avviato a seguito di un reclamo di alcune famiglie, che lamentavano la trasmissione delle convocazioni GLO a un ampio novero di destinatari: docenti, genitori, alunni delle classi convocate e personale medico-sanitario. Secondo i reclamanti, l’inserimento delle sole iniziali di nome e cognome, unite all’indicazione della classe e del contesto di convocazione, avrebbe reso ciascun alunno immediatamente riconoscibile.

L’Istituto ha replicato che:

• erano state inserite soltanto le iniziali e non i nominativi completi;
• i destinatari erano soggetti già informati o comunque non in grado di risalire all’identità degli alunni senza conoscere gli elenchi dell’istituto;
• l’invio era avvenuto per adempiere in tempi brevi agli obblighi derivanti dalla nuova disciplina su GLO e PEI;
• le comunicazioni erano effettuate tramite registro elettronico ARGO, ritenuto idoneo a garantire adeguate cautele.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 4, nn. 1 e 15, GDPR, sulla nozione di dato personale e di dato relativo alla salute;
• l’art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• l’art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR, nonché l’art. 2-ter Codice privacy, sul trattamento in ambito pubblico e sulle condizioni di liceità delle comunicazioni di dati;
• l’art. 9, par. 2, lett. g), GDPR, e l’art. 2-sexies Codice privacy, per il trattamento di categorie particolari di dati;
• l’art. 9, comma 10, d.lgs. 66/2017, quale disposizione rilevante per la comunicazione delle informazioni relative ai GLO ai soli soggetti legittimati.

Valutazioni dell’Autorità

L’Autorità ha ritenuto che la convocazione di una riunione GLO per l’inclusione scolastica costituisca, di per sé, un’informazione idonea a rivelare dati sulla salute dell’alunno interessato. In tale prospettiva, l’indicazione delle sole iniziali non è stata considerata sufficiente ad anonimizzare il dato, poiché l’identificazione può avvenire anche indirettamente mediante il contesto, la classe di appartenenza, la platea dei destinatari e altre informazioni accessorie.

Il Garante ha richiamato la propria precedente giurisprudenza e le linee guida in tema di anonimizzazione, osservando che l’uso delle iniziali è insufficiente quando permane la possibilità di identificazione per correlazione o deduzione. Ha inoltre precisato che non assume rilievo la circostanza, dedotta dall’Istituto, secondo cui i dati sarebbero già noti in via informale nella comunità scolastica.

Illiceità del trattamento

Alla luce delle risultanze istruttorie, il Garante ha concluso che l’Istituto ha effettuato una comunicazione di dati personali, e in particolare di dati relativi alla salute, a un novero di soggetti non legittimati secondo la disciplina applicabile. Il trattamento è stato pertanto ritenuto illecito per violazione degli artt. 5, 6 e 9 GDPR nonché degli artt. 2-ter e 2-sexies Codice privacy.

L’Autorità ha escluso che le difese dell’Istituto fossero idonee a superare i rilievi contestati e ha ritenuto non sussistenti i presupposti per l’archiviazione.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni sono state ricondotte a un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. Ha quindi rilevato che la sanzione teorica massima, in base all’art. 83, par. 5, GDPR, poteva arrivare fino a 20.000.000 di euro.

Nel determinare l’importo concreto, ha considerato ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione, riferita a molteplici alunni;
• il profilo soggettivo, poiché l’Istituto ha agito nella convinzione di aver reso gli interessati non identificabili;
• la presenza di categorie particolari di dati, ossia dati relativi alla salute;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’Autorità;
• il carattere colposo dell’evento, dovuto all’urgenza organizzativa derivante dalla modifica normativa su GLO e PEI.

In base a tali elementi, ha irrogato una sanzione pecuniaria di euro 1.000, ritenuta effettiva, proporzionata e dissuasiva.

Misure accessorie, pubblicazione e rimedi

Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito Internet istituzionale, ai sensi dell’art. 166, comma 7, Codice privacy e dell’art. 16, comma 1, del Regolamento n. 1/2019. Ha inoltre ordinato l’annotazione del provvedimento nel registro interno dell’Autorità.

È stato indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, o entro sessanta giorni se il ricorrente risiede all’estero.