Dati vaccinali e privacy scolastica: il Garante sanziona la scuola per la comunicazione di dati sanitari a terzi

Il Garante per la protezione dei dati personali ha emesso un provvedimento sanzionatorio nei confronti di una scuola dell'infanzia, imponendo una multa di 2.000 euro per una violazione significativa delle norme sulla riservatezza. Il motivo del provvedimento risiede nella comunicazione, effettuata dall'istituto, dei dati relativi alla mancata vaccinazione di una bambina al sindaco del Comune. Tale condotta è stata giudicata dall'Autorità come una violazione dei principi fondamentali del Regolamento (UE) 2016/679 (GDPR), in particolare per quanto riguarda il trattamento di categorie particolari di dati.

L'intervento del Garante è scaturito da un reclamo formale presentato dalla madre della minore, la quale aveva segnalato l'invio di informazioni sensibili a soggetti esterni. L'Autorità ha chiaramente stabilito che l'informazione relativa all'adempimento degli obblighi vaccinali non è un semplice dato amministrativo, ma costituisce di per sé un dato sulla salute. Pertanto, richiede tutele rafforzate e non può essere condiviso liberamente con soggetti terzi senza una specifica e idonea base giuridica che ne giustifichi il trattamento.

L'assenza di base giuridica e il rigetto delle "prassi" emergenziali

Durante l'istruttoria, la scuola ha tentato di difendere la propria condotta sostenendo che il sindaco, in qualità di autorità sanitaria locale, avesse il diritto di essere informato per ragioni di tutela della salute pubblica. L'istituto ha inoltre ammesso che tale pratica fosse derivata dalle procedure adottate durante l'emergenza Covid. Tuttavia, il Garante ha rigettato queste argomentazioni, sottolineando che l'attuale scenario normativo non permette di assimilare la gestione ordinaria degli obblighi vaccinali a una situazione di emergenza sanitaria permanente.

L'Autorità ha ribadito che la trasmissione di dati sanitari a soggetti terzi è consentita solo in presenza di una specifica base giuridica prevista dalla normativa vigente, come il Codice in materia di protezione dei dati personali (D.lgs. 196/2003), artt. 2-ter e 2-sexies. Non è ammessa una giustificazione basata su abitudini consolidate o interpretazioni generiche di "funzione pubblica". Il provvedimento sottolinea inoltre la particolare protezione dei minori, classificati come soggetti vulnerabili, la cui privacy deve essere garantita con estrema attenzione da ogni ente pubblico o privato.

Precedenti sanzionatori e la linea del Garante sulla riservatezza

Questo provvedimento si inserisce in una linea di giurisprudenza consolidata del Garante, che mira a contrastare la diffusione non autorizzata di dati sensibili in ambito scolastico. Un precedente rilevante è il caso Uggiano del 2020, in cui una scuola è stata sanzionata con la medesima cifra di 2.000 euro per aver affisso sulla porta dell'istituto elenchi contenenti nomi di alunni non vaccinati, dati di nascita e contatti telefonici.

Altro caso significativo è quello di Roverbella (2025), relativo al provvedimento n. 10209089 del 4 dicembre 2025. In quell'occasione, l'Autorità ha sanzionato l'istituto per l'invio di email di sollecito vaccinale con destinatari lasciati in chiaro, rifiutando la difesa della scuola che aveva invocato un "mero errore materiale" o l'adempimento di un compito connesso all'esercizio di pubblici poteri. Questi precedenti dimostrano che l'Autorità non tollera la negligenza nella gestione delle comunicazioni digitali e della riservatezza dei dati.

Impatto operativo per le scuole e le procedure corrette

La sanzione comporta per l'istituto scolastico non solo un danno economico, ma l'obbligo di adottare misure correttive immediate. La scuola dovrà revisionare le proprie procedure interne di comunicazione e avviare percorsi di formazione specifica per il personale coinvolto nella gestione dei dati sanitari. È fondamentale che ogni trasmissione di informazioni relative agli obblighi vaccinali sia supportata da una base giuridica esplicita, che sia il consenso dell'interessato o una norma di legge specifica che autorizzi il trattamento verso quel particolare destinatario.

Per i dirigenti scolastici e il personale ATA, la lezione principale è il divieto di applicare "prassi" non aggiornate. Non è più possibile giustificare la condivisione di dati sensibili con autorità locali basandosi su abitudini passate o su interpretazioni generiche di tutela della salute pubblica. Ogni comunicazione deve essere verificata sotto il profilo della necessità e della proporzionalità, garantendo che i dati non siano accessibili a soggetti non strettamente necessari all'adempimento del compito scolastico.

Cosa cambia concretamente per il personale scolastico e i dirigenti

In termini pratici, la scuola deve implementare i seguenti passaggi per evitare sanzioni future:

• Revisione dei flussi informativi: Verificare che ogni comunicazione verso il Comune o altre autorità non contenga dati sanitari non strettamente necessari.
• Formazione obbligatoria: Istruire il personale amministrativo e docente sulla corretta gestione delle categorie particolari di dati e sulle tecniche di invio sicuro (es. uso della copia conoscenza nascosta).
• Aggiornamento del Registro dei Trattamenti: Assicurarsi che ogni modalità di comunicazione dei dati vaccinali sia correttamente documentata e autorizzata.
• Protocolli di comunicazione: Eliminare ogni pratica di invio di elenchi di alunni non vaccinati a soggetti esterni senza un mandato normativo specifico e aggiornato.

In sintesi, la scuola deve agire con massima cautela nel trattare le informazioni sanitarie, ricordando che la tutela della privacy dei minori è un pilastro non derogabile della normativa vigente. La mancanza di una base giuridica certa rende ogni comunicazione verso terzi, anche se effettuata in buona fede o per fini di pubblica sicurezza, un rischio sanzionatorio elevato.