Il Garante per la protezione dei dati personali ha recentemente sanzionato un istituto scolastico superiore del Lazio con una multa complessiva di 4.000 euro per due violazioni distinte in materia di data protection. Il provvedimento, emesso ufficialmente il 23 ottobre 2025 con il provvedimento n. 626, evidenzia come la sicurezza dei dati degli studenti non dipenda solo dal contenuto dei documenti, ma anche da elementi apparentemente trascurabili come la denominazione dei file caricati sui portali istituzionali.
L'istituto è stato colpito per la diffusione illecita di dati personali di un minore e per la mancata nomina del Responsabile della Protezione dei Dati (RPD). Il caso è scaturito dalla pubblicazione online di una circolare relativa a un procedimento disciplinare: nonostante il testo del documento fosse stato correttamente anonimizzato, il cognome dello studente rimaneva visibile nella denominazione del file PDF allegato, rendendo identificabile il minore e violando il principio di riservatezza.
Le dinamiche della violazione e il provvedimento del Garante
L'autorità garante ha accertato che la pubblicazione del cognome, pur in assenza di dati particolarmente sensibili, costituiva un trattamento illecito poiché privo di una base giuridica valida. Il Garante ha sottolineato la particolare vulnerabilità dei minori e la necessità di una governance costante della privacy, che deve essere garantita sistematicamente dalla figura del RPD, obbligatoria per tutte le autorità pubbliche, inclusi gli istituti scolastici.
L'istituto scolastico ha difeso la propria condotta definendo l'accaduto come un grave errore materiale e un fatto isolato, attribuendolo a una modalità automatica di generazione dei nomi dei file. Nonostante la tempestività della rimozione del contenuto, avvenuta immediatamente dopo la segnalazione dei genitori tramite legale, l'Autorità ha confermato la sanzione, ribadendo che la pubblicazione dell'ordinanza ingiunzione sul sito web della scuola stessa è un passaggio obbligatorio per la definizione della controversia.
Analisi della sanzione e dettagli normativi
Il provvedimento n. 626 del Garante ha determinato una sanzione totale di 4.000 euro, suddivisa equamente tra le due violazioni rilevate. La prima riguarda la violazione degli articoli 5 e 6 del GDPR e dell'articolo 2-ter del Codice Privacy, relativi alla diffusione illecita di dati personali. La seconda riguarda la violazione dell'articolo 37, paragrafo 1 del GDPR, che impone la nomina e la comunicazione ufficiale dei dati del Responsabile della Protezione dei Dati.
L'istituto ha avuto la facoltà di definire la controversia versando 2.000 euro (metà della sanzione) entro 30 giorni dal provvedimento. Questo caso sottolinea come la conformità normativa non sia solo una questione di "contenuto", ma di processo: ogni passaggio, dalla generazione del nome del file alla gestione delle piattaforme software, deve essere sottoposto a verifica umana e tecnica.
| Tipologia di Violazione | Dettaglio Normativo e Sanzione |
|---|---|
| Diffusione illecita di dati personali | Artt. 5 e 6 GDPR; Art. 2-ter Codice Privacy - 2.000 euro |
| Mancata nomina del RPD | Art. 37, par. 1 GDPR - 2.000 euro |
| Opzione di riduzione | Versamento di 2.000 euro entro 30 giorni dal provvedimento |
Impatto operativo e misure di prevenzione per le scuole
Per i dirigenti scolastici e il personale amministrativo, questo provvedimento segna un punto di svolta nella gestione delle pubblicazioni online. Non è più sufficiente verificare il testo di una circolare o di un avviso; è necessario implementare un audit sistematico sui file prima del caricamento. Questo include la verifica del titolo visibile e della denominazione del file stesso, che spesso viene generata automaticamente dai software di gestione.
Le scuole che utilizzano piattaforme per la gestione automatica delle circolari devono ora procedere a una revisione tecnica dei sistemi. È fondamentale assicurarsi che tali software non inseriscano automaticamente dati identificativi, come i cognomi degli studenti, nei titoli dei file destinati alla pubblicazione. Inoltre, la nomina del RPD deve essere verificata e i relativi dati di contatto devono essere comunicati ufficialmente al Garante, poiché la sua assenza espone l'istituto a sanzioni dirette anche in assenza di violazioni specifiche.
Cosa cambia concretamente per il personale scolastico e i dirigenti
In termini pratici, il personale addetto alla segreteria e alla comunicazione deve adottare le seguenti linee guida operative:
- Controllo dei file: Verificare ogni allegato (PDF, avvisi, circolari) non solo per il contenuto, ma anche per il nome del file nel sistema operativo.
- Audit delle piattaforme: Controllare che i software di gestione non generino automaticamente nomi file contenenti dati personali.
- Verifica RPD: Accertarsi che la nomina del Responsabile della Protezione dei Dati sia attiva e correttamente registrata presso l'Autorità.
- Gestione reclami: Trattare ogni segnalazione dei genitori (specialmente se tramite legale) come un segnale di allerta immediato per la rimozione istantanea dei contenuti.
Il Garante ribadisce, attraverso il Vademecum "La scuola a prova di privacy 2025", che non esiste un regime differenziato tra scuole pubbliche e private per quanto riguarda il trattamento dei dati per finalità didattiche e istituzionali. La compliance deve essere totale e costante.
L'istituto coinvolto nel caso ha provveduto a rimuovere il documento e a procedere alla nomina del RPD solo a seguito dell'intervento dell'Autorità. Questa sequenza di eventi evidenzia come la prevenzione debba essere strutturale e non reattiva. Per evitare sanzioni simili, è fondamentale che la scuola adotti una governance della privacy che includa procedure di controllo umano prima di ogni "clic" di pubblicazione.
Scadenze e azioni immediate
L'istituto scolastico in questione deve procedere alla pubblicazione dell'ordinanza ingiunzione sul proprio sito web. Per le altre scuole, la raccomandazione è di effettuare un audit immediato delle pubblicazioni recenti e dei file caricati negli ultimi mesi per assicurarsi che non vi siano metadata o titoli che espongano i dati dei minori.
In assenza di ulteriori dettagli tecnici sul software specifico utilizzato, la lezione principale rimane la necessità di un doppio controllo: quello sul contenuto del documento e quello sulla sua "etichetta" digitale.
La sanzione di 4.000 euro conferma che il Garante non tollera più l'errore materiale derivante da automatismi tecnologici non controllati.
FAQs
Rischi legali per i file scolastici: come proteggere la privacy degli studenti
La violazione è derivata dal fatto che il cognome dello studente era visibile nella denominazione del file PDF allegato sul sito istituzionale. Il Garante considera i metadati e i titoli dei file come elementi sufficienti a identificare il minore, rendendo il trattamento illecito nonostante il contenuto interno del documento fosse corretto.
La mancata nomina e comunicazione del RPD è una violazione degli articoli 37 e 38 del GDPR, che può portare a sanzioni pecuniarie dirette. Nel caso specifico analizzato, l'istituto ha ricevuto una multa di 2.000 euro esclusivamente per questa mancanza amministrativa, indipendentemente dalle altre violazioni specifiche.
Le scuole devono effettuare audit periodici sulle piattaforme software utilizzate per la gestione delle circolari, verificando che non inseriscano automaticamente dati identificativi nei titoli dei file. È fondamentale che il personale amministrativo verifichi manualmente ogni denominazione di file prima che il documento venga reso pubblico online.
No, il Vademecum del Garante specifica che non esiste un regime differenziato tra istituti pubblici e privati per quanto riguarda il trattamento dei dati per finalità didattiche e istituzionali. Entrambe le tipologie di scuola devono garantire una governance costante della privacy e rispettare rigorosamente le norme del GDPR.
