Un recente provvedimento dell’Autorità Garante per la protezione dei dati personali ha messo in luce un caso di violazione della privacy avvenuto in un liceo italiano, a seguito della pubblicazione non autorizzata di informazioni sensibili all’interno del registro elettronico scolastico.
Secondo quanto riportato nel reclamo presentato al Garante, l’istituto avrebbe erroneamente diffuso un documento contenente dati personali riferiti a una studentessa con disabilità. Il documento, relativo alla convocazione del Gruppo di Lavoro Operativo per l’Inclusione scolastica (GLO), era destinato esclusivamente al nucleo familiare della studentessa, ma è stato caricato nella “bacheca scolastica”, risultando visibile a tutti i genitori della classe.
L’ammissione dell’Istituto e la ricostruzione dei fatti
Il dirigente scolastico ha confermato l’errore, spiegando che si è trattato di un’azione involontaria da parte di un’assistente amministrativa. L’errata pubblicazione è rimasta online per alcune ore, fino a quando l’Istituto non ha ricevuto una segnalazione tramite PEC. Dopo aver preso visione dell’anomalia, l’Istituto è intervenuto tempestivamente, rimuovendo il documento entro 55 minuti.
Sebbene il documento non contenesse dettagli clinici, il Garante ha rilevato che la semplice associazione con il PEI (Piano Educativo Individualizzato), previsto per l’inclusione scolastica degli studenti con disabilità, fosse sufficiente a farlo rientrare nella categoria dei dati sanitari, quindi soggetti a tutele particolarmente stringenti.
La difesa dell’Istituto
Nel corso dell’istruttoria, l’Istituto ha fornito una memoria difensiva, riconoscendo la natura colposa dell’errore e illustrando le misure adottate per contenere gli effetti della violazione. Tra queste:
- la tempestiva notifica dell’incidente all’Autorità Garante;
- la formazione del personale scolastico su privacy e trattamento dei dati;
- la modifica delle procedure interne relative alla convocazione del GLO.
Le valutazioni del Garante
L’Autorità ha ricordato che i dati sulla salute possono essere trattati solo in presenza di una base giuridica adeguata e in modo conforme ai principi di liceità, correttezza e trasparenza, sanciti dal Regolamento Generale sulla Protezione dei Dati (GDPR) e dal Codice della privacy. Anche la comunicazione involontaria di tali dati all’interno di una piattaforma digitale ad accesso riservato, se non giustificata da una norma specifica, costituisce una violazione.
Ammonimento formale e assenza di sanzioni
Pur riconoscendo l’occasionalità dell’episodio, l’assenza di precedenti e la collaborazione dell’Istituto, il Garante – con provvedimento del 10 aprile 2025 – ha ritenuto la violazione comunque significativa. Ha quindi deciso di non comminare sanzioni pecuniarie, ma ha emesso un formale ammonimento nei confronti dell’Istituto, classificando l’accaduto come una violazione minore, ma che evidenzia l’importanza di un’adeguata gestione dei dati personali, soprattutto in contesti delicati come quello scolastico.