- I fatti: dati sensibili distribuiti durante un'assemblea
- La reazione della famiglia e il reclamo al Garante
- La decisione del Garante: trattamento illecito
- Il quadro normativo: cosa prevede la legge sulla privacy a scuola
- Un problema ricorrente negli istituti scolastici
- Domande frequenti
I fatti: dati sensibili distribuiti durante un'assemblea
Durante un'assemblea d'istituto, un istituto scolastico ha distribuito agli studenti presenti dei fogli che contenevano informazioni che non sarebbero mai dovute uscire dall'ufficio di segreteria. Sui documenti comparivano in chiaro il nome e il cognome di una studentessa e, accanto, la dicitura "Disturbi specifici di apprendimento (DSA)". Un dato sanitario, per definizione sensibile, finito sotto gli occhi di decine, forse centinaia, di compagni.
Le circostanze esatte della distribuzione, se si sia trattato di un errore materiale nella predisposizione dei documenti o di una leggerezza procedurale, non mutano la sostanza giuridica della vicenda. Il danno, per la studentessa e per la sua famiglia, si è consumato nel momento stesso in cui quei fogli sono passati di mano in mano.
La reazione della famiglia e il reclamo al Garante
Di fronte a una violazione così plateale, la famiglia della minore ha deciso di non limitarsi a un confronto con la dirigenza scolastica. Ha presentato un reclamo formale al Garante per la protezione dei dati personali, l'Autorità indipendente che in Italia vigila sul rispetto del Regolamento europeo 2016/679 (il cosiddetto GDPR) e del Codice in materia di protezione dei dati personali (d.lgs. 196/2003).
Una scelta che evidenzia un livello crescente di consapevolezza da parte delle famiglie sui diritti legati alla privacy dei propri figli, soprattutto quando sono coinvolte informazioni di natura sanitaria o relative a bisogni educativi speciali.
La decisione del Garante: trattamento illecito
L'istruttoria dell'Autorità ha confermato quanto denunciato dalla famiglia. Il Garante ha accertato il trattamento illecito dei dati personali della studentessa e ha irrogato all'istituto scolastico una sanzione amministrativa di 2.000 euro.
Può sembrare una cifra contenuta, ma va letta nel contesto. Le sanzioni del Garante nei confronti delle scuole, che sono enti pubblici con bilanci limitati, tendono a essere proporzionate alla gravità della violazione e alla capacità economica del titolare del trattamento. L'importo, in questo caso, ha un valore anzitutto simbolico e deterrente: segnala che nessun contesto, nemmeno quello scolastico, può considerarsi esente dagli obblighi di protezione dei dati.
Stando a quanto emerge dalla decisione, la scuola non ha adottato le misure tecniche e organizzative adeguate a impedire la diffusione dei dati relativi alla salute della studentessa. Un obbligo che il GDPR pone con particolare rigore quando si tratta di categorie particolari di dati, come quelli sanitari, genetici o biometrici.
Il quadro normativo: cosa prevede la legge sulla privacy a scuola
Le scuole italiane trattano quotidianamente una mole significativa di dati personali, spesso appartenenti a minori. Registri, certificati medici, diagnosi funzionali, piani didattici personalizzati: sono tutti documenti che richiedono cautele particolari.
Il Regolamento europeo classifica i dati relativi alla salute tra le "categorie particolari di dati personali" (art. 9 GDPR), il cui trattamento è vietato in linea generale, salvo specifiche basi giuridiche. Nel contesto scolastico, la base giuridica è tipicamente l'adempimento di obblighi di legge o l'esecuzione di compiti di interesse pubblico. Questo, però, non significa che tali dati possano circolare liberamente all'interno dell'istituto, tantomeno essere distribuiti in un'assemblea aperta a tutta la comunità studentesca.
Lo stesso Garante, in più occasioni, ha pubblicato linee guida specifiche per il mondo della scuola, ribadendo che:
- I dati relativi a DSA e bisogni educativi speciali devono essere trattati con la massima riservatezza.
- L'accesso a tali informazioni deve essere limitato al personale autorizzato, con specifiche istruzioni scritte.
- La diffusione, anche accidentale, di dati sanitari di uno studente costituisce una violazione di dati personali (data breach) che va gestita secondo le procedure previste dagli articoli 33 e 34 del GDPR.
La Legge 170/2010, che ha riconosciuto i disturbi specifici di apprendimento e introdotto strumenti compensativi e dispensativi nella didattica, non ha mai previsto, né potrebbe farlo, la pubblicità delle diagnosi. Al contrario, il piano didattico personalizzato (PDP) è un documento riservato.
Un problema ricorrente negli istituti scolastici
Questo episodio non è isolato. Le segnalazioni al Garante relative a violazioni della privacy in ambito scolastico sono in aumento, segno che la gestione dei dati personali resta un punto critico per molti istituti. Le cause sono spesso le stesse: formazione insufficiente del personale, procedure interne carenti, sottovalutazione del rischio.
In un sistema scolastico alle prese con molteplici sfide organizzative, come emerge anche dalle rilevazioni sugli importi dei viaggi d'istruzione che impongono nuovi obblighi di trasparenza e rendicontazione, la protezione dei dati personali non può essere relegata a un adempimento burocratico. È una responsabilità che investe direttamente la dignità degli studenti e delle loro famiglie.
Per le scuole, il messaggio è chiaro. Ogni istituto è tenuto a designare un Responsabile della protezione dei dati (DPO), a formare il proprio personale e a implementare protocolli che impediscano episodi come quello sanzionato. Perché un foglio distribuito per errore, in un'assemblea affollata di adolescenti, può trasformarsi in uno stigma difficile da cancellare.
