da Il Sole 24 Ore
di Pietro Alessio Palumbo
Con il provvedimento 117/2020 il Garante per la privacy ha ben chiarito che gli istituti scolastici non possono affiggere all’ingresso qualsivoglia elenco o tabella contenente nomi degli alunni, date di nascita, indirizzi di residenza, numeri di telefono e soprattutto annotazioni del tipo «manca copia vaccino». Pena le salate sanzioni pecuniarie codificate nel Regolamento europeo sulla privacy, a nulla valendo in proposito – si badi – la brevità dell’affissione stessa ovvero il fatto che si sia trattato di errori o leggerezze materiali per le quali i responsabili diretti siano già sotto procedimento disciplinare. A ben vedere un «ravvedimento operoso» dell’istituto coinvolto può solo abbattere l’entità effettiva della sanzione, non certo evitarla.
La vicenda
A seguito di notizie apparse sulla stampa locale e disparate segnalazioni al riguardo, il Garante privacy riscontrava che un istituto comprensivo aveva messo in atto l’affissione descritta al portone d’ingresso interno della scuola. Affissione che non aveva superato i 2 o 3 giorni e per la quale oltre all’avvio di provvedimenti disciplinari avverso i responsabili, l’istituto si era tempestivamente attivato ad intraprendere, in accordo con il Dpo, un corso di formazione in tema di privacy per il personale.
Trattamento dei dati personali: i limiti
Con il provvedimento in esame il Garante ha chiarito che «dato personale» è qualsiasi informazione riguardante una persona fisica identificata o identificabile. Il trattamento di dati personali effettuato in ambito pubblico è lecito solo se strettamente necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Ebbene il suddetto trattamento dei dati personali deve avvenire nel rispetto dei principi di liceità, correttezza e trasparenza nonché di minimizzazione dei dati, secondo i quali le informazioni personali devono essere – rispettivamente – trattate in modo lecito, corretto e trasparente nei confronti dell’interessato, nonché adeguate, pertinenti e limitate a quanto necessario rispetto alle finalità per le quali sono gestite.
Dati di alunni: limiti ancora più stringenti
In relazione ai predetti elementi è stato considerato dal Garante che la rilevata condotta tenuta in violazione della disciplina in materia di protezione dei dati personali, pur essendo riferita ad un esiguo numero di soggetti e avendo avuto una durata temporale limitata (due/tre giorni), ha avuto a oggetto la diffusione di dati personali relativi a soggetti particolarmente vulnerabili quali i minori. Ciò nondimeno a ben vedere la risposta rimediale dell’Istituto è stata collaborativa e veloce con particolare riguardo oltre che alla tempestiva rimozione degli elenchi anche con l’avvio di azioni volte a implementare nuove misure formative e organizzative. Dal che l’Istituto è stato condannato a pagare, nella persona del suo rappresentante legale, la somma di «soli» 2.000 euro a titolo di sanzione amministrativa.
Versione per la stampa