Privacy nelle scuole: il Garante sanziona l'istituto per la diffusione di dati sensibili sul registro elettronico

Il Garante per la protezione dei dati personali ha recentemente emesso un provvedimento sanzionatorio che mette in luce le criticità legate alla gestione dei dati sensibili all'interno degli ambienti scolastici digitali. L'autorità ha inflitto una multa di 1.000 euro a un istituto comprensivo a seguito di una grave violazione della privacy avvenuta tramite il registro elettronico, strumento ormai imprescindibile per la comunicazione tra scuola e famiglie. Il caso specifico riguarda la pubblicazione non autorizzata di informazioni altamente riservate che hanno violato il diritto alla riservatezza di un minore.

L'episodio, pur essendo nato da un errore materiale di un singolo operatore, ha generato una reazione immediata da parte dei genitori, che hanno denunciato la diffusione di dati relativi allo stato di salute psicofisico di un alunno. La docente coinvolta, nel tentativo di condividere il Piano Educativo Individualizzato (PEI) con i soli soggetti interessati, ha erroneamente impostato la visibilità del documento per l'intera classe, rendendolo accessibile a tutti i genitori della sezione. Questo tipo di svista operativa evidenzia quanto la gestione dei dati sensibili richieda una precisione assoluta e protocolli di verifica rigorosi.

La responsabilità istituzionale e il principio di accountability

Uno degli aspetti più rilevanti del provvedimento del 27 febbraio 2025 (doc. web n. 10126123) risiede nella definizione della responsabilità giuridica. Il Garante ha ribadito con fermezza che la responsabilità del trattamento dei dati personali ricade sull'istituzione scolastica nel suo complesso. Ciò significa che la scuola non può limitarsi a scaricare la colpa sulla negligenza del singolo docente; l'ente scolastico è il Titolare del trattamento e deve garantire che ogni "click" effettuato dal personale sia conforme alle normative vigenti, in particolare al GDPR e al Codice Privacy.

Nonostante l'Autorità abbia riconosciuto il carattere accidentale dell'evento e la tempestiva collaborazione manifestata dalla scuola — che ha rimosso immediatamente la nota e avviato indagini interne — la sanzione è stata confermata per sottolineare la gravità della violazione. La durata della pubblicazione illecita è stata stimata in circa 22 minuti, un lasso di tempo breve che ha contribuito a mitigare l'importo della multa, ma non ha eliminato la natura illecita dell'atto. Il Garante ha infatti sottolineato come la tutela della personalità dei minori debba essere sempre prioritaria rispetto alle necessità di informazione della comunità scolastica.

Precedenti normativi e la tutela dei dati sanitari

Il provvedimento attuale si inserisce in un filone di controlli sempre più stringenti sulle comunicazioni digitali scolastiche. Un precedente fondamentale è il provvedimento del 5 marzo 2020 (doc. web n. 9365147), in cui l'Autorità aveva già contestato la pubblicazione di informazioni sulla salute (come le visite mediche) nel registro elettronico. In quel caso, era stato chiarito che i dati sanitari godono di una tutela rafforzata e non possono essere esposti, anche se parzialmente noti alla comunità scolastica, senza un consenso specifico e una gestione mirata.

Il principio cardine che emerge da queste decisioni è il bilanciamento tra il dovere della scuola di informare le famiglie e il diritto alla riservatezza degli studenti. La giurisprudenza amministrativa e i provvedimenti del Garante chiariscono che la trasparenza non può mai tradursi in una diffusione indiscriminata. Ogni comunicazione che riguardi provvedimenti disciplinari, dati identificativi o condizioni di salute deve essere gestita attraverso canali protetti o destinatari selezionati, evitando l'uso di sezioni pubbliche come l'Agenda o la Condivisione Documenti per scopi non idonei.

Impatto operativo e responsabilità per il personale scolastico

Per i docenti e il personale ATA, questo provvedimento rappresenta un segnale di allerta sulla necessità di una formazione continua e di una maggiore attenzione tecnica. La scuola è chiamata a implementare protocolli di verifica che vadano oltre la semplice buona fede dell'operatore. Non è sufficiente che il docente "voglia bene" all'alunno; è necessario che sappia navigare correttamente le interfacce software per evitare che un errore di selezione della "tendina" possa esporre dati critici.

In concreto, le istituzioni scolastiche devono rafforzare i piani di formazione sulla privacy, con particolare focus sulla gestione dei dati dei minori. È fondamentale che ogni comunicazione che coinvolga dati sensibili sia sottoposta a un doppio controllo prima della pubblicazione definitiva. Le segreterie e i dirigenti devono monitorare non solo la correttezza dei contenuti, ma anche la conformità delle impostazioni di visibilità sui vari strumenti digitali utilizzati quotidianamente.

Cosa cambia concretamente per docenti e dirigenti

A seguito di questo provvedimento, le scuole sono invitate ad adottare misure organizzative specifiche per prevenire il ripetersi di simili episodi. Ecco i passaggi chiave per una gestione sicura:

• Verifica delle impostazioni di visibilità: Prima di ogni pubblicazione su "Agenda", "Note" o "Condivisione Documenti", è obbligatorio verificare che i destinatari siano limitati esclusivamente ai soggetti autorizzati.
• Esclusione di dati sensibili: I dati relativi alla salute, ai provvedimenti disciplinari o alle situazioni familiari delicate non devono mai essere inseriti in sezioni accessibili a tutta la classe.
• Protocolli di "doppio controllo": Per documenti di particolare rilevanza, come il PEI o i PDP, è consigliabile che un secondo operatore (es. il docente di sostegno o il coordinatore) verifichi la corretta impostazione della privacy prima del "salvataggio".
• Aggiornamento dei registri di formazione: Le scuole devono documentare le attività formative svolte con il personale riguardo al trattamento dei dati personali, per dimostrare la conformità in caso di controlli dell'Autorità.

È importante ricordare che la responsabilità non è individuale ma istituzionale: la scuola risponde legalmente di ogni errore commesso dai propri dipendenti nell'esercizio delle loro funzioni. Pertanto, la prevenzione non è solo un dovere etico verso gli studenti, ma una necessità giuridica per tutelare l'istituzione stessa da sanzioni pecuniarie e danni d'immagine.

Per approfondire le linee guida ufficiali, è possibile consultare il provvedimento del Garante Privacy n. 115 del 27 febbraio 2025, che illustra nel dettaglio le motivazioni del rilascio della sanzione.

In sintesi, la scuola deve evolvere verso una cultura della privacy by design, dove la protezione dei dati non sia un pensiero dell'ultimo minuto, ma una procedura standard integrata in ogni flusso di lavoro digitale.