
Area Tematica: Relazioni sindacali, contenzioso
Argomenti:
Dirigente scolastico: tipologia dei provvedimenti
KEYWORDS
Ho ricevuto da una legale la lettera che vi allego in cui mi si invita a produrre in udienza penale documentazione sulla frequenza di un alunno del nostro corso xxx durante la prima settimana dell’anno scolastico xxx. Per me sussistono numerosi problemi: durante la prima settimana, soprattutto di un corso xxx, la situazione è spesso fluida nella rilevazione delle presenze e nell’attribuzione alle classi; il registro elettronico, ............., comincia ad andare a regime dopo due o tre settimane, ricostruendo le settimane precedenti in base agli appunti prese dai docenti sulle presenze, il che vuol dire che si può facilmente incorrere in errori; per ...... si procede per alcune settimane con un orario ridotto, ma in genere su questo non si fanno circolari, ma si inseriscono soltanto avvisi sul sito.
Chiedo: vista l’alta probabilità di incorrere in errori e imprecisioni rispetto a quanto mi viene chiesto proprio per la prima settimana di scuola di un anno e mezzo fa in un procedimento di rilevanza penale, sono obbligato a testimoniare? In che termini posso difendere le evidenti lacune della scuola nella formalizzazione della presenza degli alunni durante la prima settimana di scuola? A che conseguenze posso andare incontro? Come cittadino prima ancora che come preside tengo in altissimo conto l’accertamento della verità da parte della magistratura, ma i dati e la testimonianza che mi si chiedono potrebbero essere veramente ad alto rischio proprio per l’accertamento della verità, oltre che per me e il mio istituto. Grazie come sempre, cordiali saluti .....
Il testimone svolge le funzioni pertinenti a un “ufficio”, ossia a un compito che ha rilievo pubblicistico nell’amministrazione della giustizia.
Egli è perciò tenuto a:
- presentarsi davanti al giudice;
- attenersi alle istruzioni impartitegli (ad esempio, non avere contatti con altre parti nel corso dell’udienza);
- prestare giuramento ai sensi dell’art.497 c.p.p.;
- rispondere alle domande rivoltegli riferendo ciò che è realmente a sua conoscenza (obbligo di dire la verità), salvo che non risulti compromessa la propria posizione; il testimone non può, infatti, essere obbligato a deporre sui fatti dai quali potrebbe emergere una sua responsabilità penale; in questi casi il soggetto può rifiutarsi di rispondere.
In questa prospettiva, il suggerimento è: dire la verità; trovare risposte “intelligenti”, spiegando le difficoltà organizzative e circoscrivendo il contenuto della deposizione allo stretto necessario. E’ peraltro evidente che il dirigente non può ricordare esattamente le presenze del soggetto (soprattutto a distanza di tempo): egli potrà quindi limitarsi a riferire su ciò che si desume dall’esame degli atti ufficiali della scuola. Che siano attendibili o meno, non spetta al dirigente dirlo (ma sarà oggetto della discussione tra le parti).
Si raccomanda di evitare di rifiutarsi espressamente di rispondere: ciò porterebbe a un conflitto manifesto con l’avvocato che conduce l’interrogatorio e potrebbe indurre il predetto (e forse anche il pubblico ministero) alternativamente a contestare la reticenza o, quanto meno, a far emergere una possibile responsabilità penale sui fatti oggetto della testimonianza (il che è proprio quello che si vuole evitare).
Comunque: il dirigente è solo chiamato a testimoniare; non è l’imputato e, con ogni probabilità, il funzionamento della scuola non è l’interesse primario del giudice.
I contenuti di questo sito sono riservati; non è ammessa la loro ulteriore comunicazione, diffusione o pubblicazione (a titolo esemplificativo e non esaustivo, la diffusione su altri siti internet o attraverso testate giornalistiche) se non dietro esplicita autorizzazione della Direzione.

Sentenza 22/05/2025 n° 58
Area: Giurisprudenza

Nella fattispecie in esame, un’insegnante di sostegno, mentre era in attesa di partecipare all’incontro per la programmazione settimanale unitamente alle altre docenti in una scuola elementare, momentaneamente si allontanava dalla sala riunioni, spostandosi nell’area attigua all’edificio scolastico, al fine di rispondere ad una telefonata: non appena si appoggiava ad un parapetto in muratura, dando le spalle allo stesso, precipitava nel terreno sottostante, dopo aver fatto un volo di 2,50 mt. circa, a causa dell’improvviso cedimento del manufatto, riportando lesioni gravissime che portavano ad una invalidità permanente dell’85%. La Corte di Appello in sede penale dichiarava estinto il giudizio per prescrizione dei reati posti a carico del Dirigente scolastico, confermando tuttavia la responsabilità civile dello stesso e del Ministero, la quale conduceva al pagamento di somme ingenti, di modo che la Procura della Corte dei Conti promuoveva l’azione per danno erariale nei confronti del Dirigente ponendo a carico dello stesso un danno pari a circa euro 270.000. I giudici hanno in primo luogo respinto l’eccezione sollevata dal convenuto di avvenuta prescrizione dell’azione di danno, ribadendo che il termine decorre dalla data in cui è avvenuto il pagamento risarcitorio in favore della parte danneggiata, essendo necessaria la compresenza di due presupposti giuridico-fattuali: il giudicato di condanna e l’emissione del mandato di pagamento in favore del danneggiato. Quanto al merito, la Corte dei Conti ha innanzitutto chiarito l’indipendenza del giudizio di responsabilità amministrativa rispetto a quelli penale e civile, essendo il primo basato su diversi presupposti giuridici, affermando che le risultanze del processo penale (in cui era stata evidenziata una responsabilità penale del dirigente scolastico) non possono essere automaticamente trasposte nel giudizio amministrativo per farne derivare la responsabilità amministrativa che, appunto, è di tutt’altra natura. Il Collegio è dunque giunto a respingere la domanda proposta dalla Procura nei confronti del Dirigente scolastico, ritenendo insussistente la colpa grave a carico dello stesso. Precisamente, dopo aver accertato che l’area in cui è avvenuto l’incidente non era utilizzata regolarmente in quanto di proprietà di una Asl, ha ritenuto corretta la condotta del Dirigente il quale ha interdetto l’accesso alla stessa con un apposito cartellone e non ha incluso tale area nel Documento di Valutazione dei Rischi (DVR), riponendo legittimo affidamento sulla dichiarazione di agibilità rilasciata dal Comune dopo il terremoto del 2009. In sostanza, il convenuto inibendo l’accesso all’area con adeguata cartellonistica, aveva dimostrato, comunque, una condotta orientata ad evitare eventi quali quello che, in concreto si è verificato, nonostante fosse consapevole che l’area non era adibita ad attività didattiche e non era pertinenza della scuola. Inoltre, nel rispetto della normativa sulla sicurezza, aveva nominato un Responsabile del Servizio di Prevenzione e Protezione (RSPP) che aveva redatto il DVR dell’edificio scolastico, escludendo l’area in cui è avvenuto il sinistro. Tra l’altro, nella redazione del piano di evacuazione il Dirigente Scolastico, proprio in considerazione del fatto che lo spazio non era di proprietà/disponibilità della scuola, aveva escluso la suddetta area come possibile via di fuga. Dagli accertamenti svolti nel corso del giudizio, infine, era emerso che il crollo del parapetto era stato causato da vizi occulti strutturali, accertati solo a seguito di prove di carico e analisi dei materiali. Tali vizi non erano accertabili né prevedibili, neanche con un DVR completo, contenente l’area dove è avvenuto l’incidente. Il C.T.U., interpellato nel corso del procedimento penale, ha accertato, infatti, che i parapetti erano stati costruiti senza le caratteristiche di resistenza adeguate. Nel respingere la domanda della Procura, i giudici hanno dunque ricordato che, l’elemento soggettivo della colpa grave sia delineabile unicamente quale “negligenza intollerabile” o “trascuratezza imperdonabile” o “superficialità inescusabile” rispetto ai propri doveri di servizio, per cui ciò che rileva è il non aver osservato non tanto la diligenza media, quanto la diligenza minimale che nella stessa situazione era lecito attendersi anche dal soggetto meno preparato e meno scrupoloso, caratterizzata da un errore tale che nessun agente di normale coscienziosità avrebbe commesso, in quanto derivante da una condotta inopinata e del tutto sconsiderata. In definitiva, avuto riguardo alla necessità, ai fini della responsabilità amministrativo-contabile, di riscontrare la sussistenza della colpa grave, occorre verificare, secondo un giudizio di tipo prognostico, la misura dello scostamento tra la condotta effettivamente tenuta e quella richiesta dalla norma cautelare, cui il soggetto si sarebbe dovuto attenere, elemento inerente al profilo oggettivo della colpa, considerando evidentemente pure le capacità proprie e le peculiari circostanze del caso concreto, oltre al parametro dell’agente modello nel senso sopra tratteggiato, fattori che invece identificano il profilo soggettivo o personalistico della colpa. Alla luce delle suddette valutazioni, ad avviso della Sezione, pertanto, non ricorre una grave colpevole inerzia del Dirigente, che, anzi, ha dimostrato di essersi, a più riprese, occupato del tema della sicurezza sul luogo del lavoro durante il suo periodo di dirigenza didattica.
KEYWORDS
#responsabilità amministrativa#sicurezza sul lavoro: datore di lavoro#sicurezza sul lavoro: documento di valutazione dei rischi (dvr)
Sentenza 05/05/2017 n° 10910
Area: Giurisprudenza

Va riconosciuta la natura presuntivamente vessatoria della clausola contrattuale che sanziona indiscriminatamente il recesso dell'allievo, assistito o meno da un giustificato motivo, per di più quando, come nel caso di specie, la somma dovuta dall'allievo nel caso di recesso - che viene sostanzialmente ad integrare una penale - non trovi riscontro in analoga sanzione a carico del professionista. Infatti, una simile clausola riserva implicitamente al professionista - che, in applicazione dei principi generali in materia contrattuale, risponde solo nel caso di recesso colpevole - un trattamento differenziato e migliore, in contrasto, tra l'altro, con l'art. 1469 bis c.c., n. 7, oggi corrispondente all'art. 33, lett. g), del Codice del Consumo. (Nel caso di specie, la madre di un bambino di scuola materna nel gennaio 2007 aveva iscritto il proprio figlio presso l’istituto gestito dalla Cooperativa ricorrente per l’a.s. 2007/2008, rassicurata dal responsabile della struttura dalla possibilità di revocare l’iscrizione prima dell’inizio delle lezioni al solo costo della quota di iscrizione. Manifestata la volontà di revocare l’iscrizione il successivo settembre, l’istituto richiedeva alla madre il pagamento dell’intera retta annuale, che la donna rifiutava di pagare invocando l’applicazione della normativa a tutela del consumatore e lamentando la vessatorietà della clausola contrattuale. In primo grado, il Tribunale di Busto Arsizio riteneva non vessatoria la clausola che prevedeva, nel caso di abbandono o non frequenza della scuola, l'obbligo del genitore contraente di corrispondere l'intera retta. La Corte di Appello di Milano, adita dalla donna, riformava la sentenza del primo giudice ritenendo, al contrario, la vessatorietà della previsione che poneva in capo al genitore l’obbligo di corrispondere l’intera quota nonostante la mancanza di frequenza dell’alunno, conclusione confermata dalla Corte di Cassazione con la pronuncia in analisi.)
KEYWORDS
#parità scolastica#studenti: iscrizioni
13/03/2025 n° 134
Area: Prassi, Circolari, Note

[doc. web n. 10127792]
Provvedimento del 13 marzo 2025
Registro dei provvedimenti
n. 134 del 13 marzo 2025
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);
VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);
VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);
Vista la documentazione in atti;
Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;
Relatore il dott. Agostino Ghiglia;
PREMESSO
1. Il reclamo.
Con reclamo presentato dalla sig.ra XX è stato lamentato che l’Istituto Alberghiero Mediterraneo di Pulsano (TA) (di seguito, “l’Istituto”), avrebbe “pubblicato su YouTube [… un video] riguardante gli auguri di Natale del plesso dove figurava anche la classe” del figlio della reclamante, senza che quest’ultima avesse fornito alcun consenso affinché il figlio comparisse su una piattaforma digitale, e senza che le fosse “stata fatta firmare alcuna richiesta di autorizzazione in merito alla pubblicazione del video in questione (XX)”.
2. L’attività istruttoria.
Con nota del XX (prot. n. XX) rispondendo alla richiesta di informazioni formulata da questa Autorità, la dirigente scolastica dell’Istituto ha rappresentato, in particolare, che:
- “preliminarmente, si rappresenta che la scrivente nella sua qualità di Dirigente Scolastico dell’Istituto in intestazione, ha tempestivamente provveduto a far rimuovere il video dal canale youtube della scuola”;
- “il benessere degli alunni è, senza ombra di dubbio, un fattore che influenza non solo il modo di approcciarsi allo studio ma anche l’entusiasmo per i risultati ottenuti; proprio all’interno della classe che ha frequentato il figlio dell’odierna reclamante (frequenza conclusasi in data XX a seguito di richiesta di nulla osta), il clima creatosi tra gli alunni era caratterizzato da profonde tensioni, alimentate anche dal comportamento dell’alunno”;
- “sono state attivate azioni correttive e costruttive, anche attraverso il coinvolgimento diretto degli studenti, esortandoli a manifestare il loro pensiero in ordine alle dinamiche del gruppo-classe, così da favorire oltre che la comprensione anche il riconoscimento delle emozioni positive e/o negative dagli stessi vissute”;
- “appare doveroso evidenziare che, per quanto concerne le doglianze manifestate dalla [… reclamante], in occasione della foto che ritrae il di lei figlio insieme ad un nutrito gruppo di alunni della classe alla quale apparteneva, la docente che si è occupata di tale attività, dopo aver notiziato i ragazzi in ordine alla natura ed allo scopo dell’attività, ha chiesto loro chi volesse parteciparvi, specificando al contempo, che coloro i quali non avevano ancora compiuto i quattordici anni, avrebbero dovuto necessariamente tenere il foglio sul volto; è d’uopo evidenziare che la docente, nella scelta degli alunni, ha preferito la presenza di ragazzi che avevano già compiuto i quattordici anni (tanto al fine di poter acquisire il consenso direttamente dagli interessati così come previsto dall’art. 2 quinquies del Codice della Privacy, attuativo dell’art. 8, paragrafo 1 del Regolamento UE n. 679/2016)”;
- “in tale circostanza, il figlio della [… reclamante] ebbe a riferire alla professoressa di aver già compiuto quattordici anni e, pertanto, di voler partecipare al video”;
- “a quel punto l’insegnante, utilizzando un linguaggio particolarmente chiaro, semplice, conciso ed esaustivo, facilmente accessibile e comprensibile, ha fornito ai ragazzi tutte le informazioni necessarie, anche quella relativa alla successiva pubblicazione del video oltre che dell'identità del titolare del trattamento, così da rendere significativo il consenso prestato da ciascun alunno”;
- “l’alunno […] ribadì la volontà di prendere parte al video e di acconsentire alla successiva pubblicazione dello stesso”;
- “a conferma di quanto innanzi detto e, contrariamente a quanto riferito dalla [… reclamante], dalla visione del video si evince in maniera chiara ed incontrovertibile la volontà dell’alunno, a differenza degli altri compagni di classe, di voler mostrare il suo volto confermando così, fattivamente, la volontà di rendere visibile la propria immagine, non aderendo all’invito formulato dall’insegnate in ordine al fatto di tenere il foglio sul viso”;
- “v’è che, solo a seguito della comunicazione di cui all’oggetto, è emerso che l’alunno, contrariamente a quanto dallo stesso dichiarato, allorquando è stato effettuato il video, non aveva ancora compiuto quattordici anni anche se, per amor del vero, ciò è avvenuto a distanza di qualche giorno”;
- “tutto ciò non ha potuto in alcun modo ledere l’immagine e/o il decoro di nessuno dei partecipanti e, meno che mai, esporli a rischi di sorta, il tutto nel pieno rispetto del principio di minimizzazione dei dati personali”.
Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota del XX (prot. n. XX), all’Istituto, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5 e 6 del Regolamento e dell’art. 2-ter del Codice invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).
L’Istituto ha fatto pervenire le proprie memorie difensive, con nota con del XX (prot. n. XX), rappresentando, in particolare, che:
- “trattasi, nella fattispecie, di dati personali comuni, limitatamente all’immagine e non particolari o giudiziari, considerato che la clip video in discussione, della durata complessiva di soli 8 secondi su una durata totale del video in questione di 11 minuti e 25 secondi, non recava alcuna ulteriore indicazione relativa a nominativo, età, classe frequentata, sede o altro ancora”;
- “l’I.P.S.S.E.O.A. Mediterraneo ha provveduto con immediatezza alla rimozione del video in questione dal canale YouTube della scuola, non appena ricevuta la notifica del reclamo della [… reclamante] da parte del GPDP interpretandolo come volontà di diniego all’utilizzo dei dati personali del proprio figlio”;
- “le immagini dell’alunno […] figlio della ricorrente, sono state trattate esclusivamente nel perseguimento delle finalità istituzionali della scuola, quali orientamento, inclusione, istruzione e formazione degli alunni. Sul punto si richiama l’informativa per il trattamento dei dati personali degli alunni e degli esercenti la responsabilità genitoriale, pubblicata nella sezione privacy del sito web istituzionale e disponibile ai links riportati in appendice”;
- “nello specifico, il video in questione vede il figlio della ricorrente, insieme ad un nutrito gruppo della sua classe, mai in primo piano o con inquadratura esclusiva, impegnato in momenti «positivi» legati alle attività istituzionali della scuola, con lo scopo di documentare, testimoniare, raccontare e valorizzare il lavoro effettuato e, dunque, per scopi esclusivamente didattici, formativi, culturali e di crescita personale.”;
- “la docente referente dell’attività didattica di produzione del video in questione dopo aver notiziato gli alunni del gruppo classe in ordine alla natura ed allo scopo dell’attività, ha chiesto loro chi volesse parteciparvi, specificando al contempo che coloro i quali non avevano ancora compiuto i quattordici anni, avrebbero dovuto necessariamente tenere un foglio sul volto per la dovuta anonimizzazione”;
- “inoltre, nella scelta degli alunni che dovevano comporre il gruppo classe interessato dall’attività didattica di produzione del video in questione, la docente ha individuato alunni che avevano già compiuto i quattordici anni, al fine di poter acquisire il consenso direttamente dagli interessati, così come previsto dall’art. 2 quinquies del Codice della Privacy, attuativo dell’art. 8, paragrafo 1 del Regolamento UE n. 679/2016”;
- “in tale circostanza, il figlio della ricorrente ebbe a riferire alla docente referente di aver già compiuto quattordici anni e, pertanto, di voler partecipare al video”;
- “selezionato il gruppo classe partecipante all’attività didattica di produzione del video in questione, nel quale era incluso l’alunno […] figlio della ricorrente, la docente referente, utilizzando un linguaggio particolarmente chiaro, semplice, conciso ed esaustivo, facilmente accessibile e comprensibile, ha fornito agli alunni interessati tutte le informazioni necessarie, in particolare quelle relative alla successiva pubblicazione del video oltre che dell’identità del titolare del trattamento, così da rendere significativo il consenso prestato da ciascun alunno e chiedendo conferma del consenso, consenso ribadito dall’alunno […] a conferma della volontà della susseguente pubblicazione del video in produzione”;
- “appare rilevante che, durante le riprese del video in questione, l’alunno […] evidenzi la chiara volontà di mostrare il suo volto, durante gli otto secondi in cui è interessato dalle riprese, abbassando il foglio e confermando in tal modo fattivamente la volontà di rendere visibile la propria immagine, non aderendo all’invito formulato dalla docente referente in ordine al fatto di tenere il foglio sul viso, contrariamente a quanto fatto da tutto il resto dei compagni di classe”;
- “solo a seguito della comunicazione del GPDP del reclamo […] è emerso che l’alunno […] figlio della ricorrente, contrariamente a quanto dallo stesso dichiarato in presenza della docente referente dell’attività didattica di produzione del video e dei suoi stessi compagni di classe in occasione delle riprese avvenute in data XX (video pubblicato in data XX), non aveva ancora compiuto quattordici anni. Invero, l’alunno […] avrebbe compiuto i 14 anni a distanza di soli undici giorni, ovvero il XX”;
- “inoltre, a partire fin dalla prima comunicazione del GPDP, l’I.P.S.S.E.O.A. Mediterraneo si è adoperato per aggiornare e rendere più efficaci le proprie misure tecniche e organizzative a garanzia della sicurezza e della compliance del trattamento alle prescrizioni del Regolamento UE 679/2016 e del D. Lgs. 101/2018”;
- “Per quanto attiene il grado di cooperazione con l’Autorità, appare doveroso evidenziare in premessa che non sussistono altre precedenti violazioni in capo all’I.P.S.S.E.O.A. Mediterraneo che, peraltro, ha manifestato sin dall’inizio ampia disponibilità a cooperare, oltre ad un atteggiamento proattivo al fine di impedire la permanenza delle immagini in questione ed evitarne l’ulteriore diffusione”;
- “si rileva, inoltre, che dopo aver rimosso il video nell’immediatezza dell’avvenuta conoscenza del reclamo al GDPD, ai sensi dell’art. 77 del GDPR, prodotto dalla signora M.T., l’I.P.S.S.E.O.A. Mediterraneo ha successivamente oscurato il canale YouTube. Per questi motivi non è possibile fornire il dato certo relativamente alle visualizzazioni ottenute dal video in questione, anche se, valutata la serie storica delle visualizzazioni dei video pubblicati sul proprio canale YouTube, è possibile ipotizzare ragionevolmente un dato inferiore a 100 visualizzazioni. Tale indicatore è stato ricavato effettuando il rapporto tra i video cancellati ed il numero totale delle visualizzazioni di tali video”;
- “qualora la ricorrente […] avesse richiesto l’oscuramento delle immagini del proprio figlio, ritirato il consenso, esercitato i propri diritti, l’I.P.S.S.E.O.A. Mediterraneo si sarebbe immediatamente adoperato nel rimuovere le immagini, come ha poi prontamente fatto nell’immediatezza della notifica del reclamo in questione da parte del GPDP. Invece, la ricorrente […] ha atteso che si concludessero le procedure di trasferimento ad altra scuola del proprio figlio per poi proporre capziosamente reclamo”;
- “tutte le informazioni necessarie e preventive sono state fornite agli interessati mediante il link alla sezione Privacy del sito web istituzionale dell’I.P.S.S.E.O.A. Mediterraneo. L’informativa, in particolare, è stata redatta con un linguaggio facilmente comprensibile anche dai minori e contiene, tra l’altro, gli elementi essenziali del trattamento, le finalità perseguite, con l’evidenza che le stesse perseguono esclusivamente le funzioni istituzionali necessarie per assicurare il diritto all’istruzione e alla formazione attraverso l’erogazione dell’attività didattica”.
3. Normativa applicabile.
3.1 Il quadro normativo.
Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), definisce “dato personale”, “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, punto 1 del Regolamento).
A norma del Regolamento il trattamento di dati personali è lecito solo se e nella misura in cui ricorre una delle condizioni elencate nell’art. 6 del Regolamento.
In particolare, il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) e par. 2 e 3 del Regolamento; art. 2-ter, comma 1 del Codice).
La base giuridica dei predetti trattamenti deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve perseguire “un obiettivo di interesse pubblico [e deve essere] proporzionato all'obiettivo” (art. 6, par. 3, del Regolamento).
In tale contesto, è sancito che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento).
Il Codice ha stabilito che “la base giuridica prevista dall’articolo 6, paragrafo 3, lettera b), del Regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1).
In particolare, le operazioni di trattamento che consistono nella “diffusione” e “comunicazione” di dati personali sono ammesse solo quando previste da una norma di legge, regolamento o atti amministrativi generali (art. 2-ter, comma 3 del Codice).
Il titolare del trattamento è in ogni caso tenuto a rispettare i principi in materia di protezione dei dati, tra cui quello di “liceità, correttezza e trasparenza” in base al quale i dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (art. 5, par. 1, lett. a) del Regolamento).
3.2 Il trattamento di dati personali effettuato dall’Istituto.
Dall’accertamento compiuto, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni del Dipartimento, risulta che l’Istituto ha pubblicato, sul canale YouTube della scuola, un video di auguri natalizi nel quale apparivano alcuni ragazzi della XX dell’Istituto, tra cui il figlio della reclamante (art. 4, par. 1, n. 1, del Regolamento).
Come ricordato in precedenza, inoltre, affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto pubblico, tale trattamento deve essere necessario per l’adempimento di un obbligo legale da parte del titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri e deve trovare il proprio fondamento in una disposizione che abbia le caratteristiche di cui all’art. 2-ter, c. 1, del Codice.
In tale ambito l’amministrazione pubblica è tenuta a verificare, anche per i dati comuni, l’esistenza di una norma di legge, o di regolamento o di atti amministrativi generali che legittimino la diffusione dei dati personali degli interessati.
Al riguardo si rappresenta che l’Istituto scolastico non ha indicato alcuna specifica base giuridica idonea a legittimare la diffusione, sul canale YouTube della scuola, delle immagini dei minori ripresi nel video (v. art. 2-ter, comma 3 del Codice).
Per quanto concerne l’asserito consenso (art. 7 del Regolamento) espresso dal figlio della reclamante e dalla reclamante stessa, considerato da codesto Istituto, in buona fede, quale valido fondamento del trattamento in esame - pur non ritenendo applicabile tale requisito di legittimità ai sensi dell’art. 7 del Regolamento quale base giuridica - si manifestano le seguenti osservazioni, anche al fine di valutare la condotta tenuta da codesto Istituto nel suo complesso.
In primo luogo si rappresenta che il consenso, in linea generale, deve essere espresso da un alunno maggiorenne o da un soggetto esercente la responsabilità genitoriale di un alunno minorenne; per tale ragione la convinzione, da parte dell’Istituto che l’alunno avesse compiuto quattordici anni è irrilevante.
Si osserva, altresì, che è inconferente anche il richiamo all’art. 2-quinquies del Codice che riguarda la possibilità, per i soggetti che hanno compiuto quattordici anni, di esprimere il consenso al trattamento dei propri dati personali in relazione all’offerta diretta di servizi della società dell’informazione.
Ancora, in merito alla manifestazione di volontà espressa dalla madre dell’alunno ripreso nel video, si rileva che nella richiamata informativa fornita alla reclamante nel modulo di iscrizione del figlio all’Istituto, nella sezione “Autorizzazione trattamento dell’immagine”, viene espressamente indicato che “il genitore/tutore si impegna a non sollevare eccezioni contro la pubblicazione di eventuali fotografie o riprese audio-video, effettuate esclusivamente nell’esercizio delle funzioni istituzionali. Link istituzionale: […]”. Il trattamento descritto dunque, sembra ricondursi alla pubblicazione eventuale di foto o video sul sito istituzionale dell’Istituto mentre non risulta menzionato il trattamento riguardante la pubblicazione su YouTube che si è verificato nel caso in esame.
Altresì, si osserva che in tale modulo non sembra essere presente un campo/flag attraverso il quale esprimere esplicitamente il consenso al trattamento di immagini e/o video, difformemente da quanto previsto dall’art. 7, par. 2 del Regolamento. Al riguardo, anche le “Linee guida 5/2020 sul consenso ai sensi del regolamento (UE) 2016/679”, adottate il 4 maggio 2020, prevedono che “il titolare del trattamento deve evitare ambiguità e garantire che l’azione con cui viene espresso il consenso possa essere distinta da altre azioni” (par. 84) e che “se spetta al genitore prestare il consenso, può essere necessario fornire un insieme di informazioni che consentano agli adulti di prendere una decisione informata” (par. 126).
Alla luce delle considerazioni che precedono, si deve concludere che la pubblicazione, sul canale YouTube della scuola, di un video di auguri natalizi nel quale apparivano alcuni ragazzi della XX dell’Istituto tra cui il figlio della reclamante ha dato luogo ad una diffusione dei dati personali in assenza di un idoneo presupposto di liceità, non rientrando tale trattamento tra le finalità di interesse pubblico attribuite all’Istituto e non sussistendo alcuna altra condizione di liceità, in violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e par. 3, lett. b)del Regolamento e 2-ter, commi 1 e 3, del Codice.
Si prende, comunque, favorevolmente atto dell’adozione, da parte dell’Istituto, di adeguate misure quali la cancellazione del video ritraente gli alunni, dal canale YouTube una volta avviata l’istruttoria.
4. Conclusioni.
Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dall’Istituto, avvenuto in assenza di condizioni di liceità, in violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e par. 3, lett. b), del Regolamento e 2-ter, commi 1 e 3, del Codice.
La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.
Considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, in quanto l’Istituto ha provveduto tempestivamente a rimuovere il video in cui è stato ripreso il figlio della reclamante, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art.
58, par. 2, del Regolamento.
5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).
Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).
Tenuto conto che la violazione delle disposizioni sopra citate da parte dell’Istituto ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni accertate – artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e par. 3, lett. b), del Regolamento e 2-ter, commi 1 e 3, del Codice - sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).
La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.
Si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60), tenuto conto che:
- con specifico riguardo alla natura, alla gravità e alla durata della violazione, occorre considerare che diffusione online di dati personali ha riguardato interessati minori di età (cfr. art. 83, par. 2, lett. a), del Regolamento);
- con particolare riguardo al profilo soggettivo della violazione la stessa è avvenuta nell’erroneo convincimento, da parte dell’Istituto di aver acquisito il consenso degli interessati (art. 83, par. 2, lett. b), del Regolamento);
- riguardo alle categorie di dati personali comunicati non sono comprese categorie particolari di dati (art.83, par. 2, lett. g) del Regolamento).
Nel premettere che il titolare del trattamento è un Istituto scolastico e, pertanto, un soggetto di ridotte dimensioni si devono considerare, altresì, le seguenti circostanze:
- ha provveduto a cancellare tempestivamente il video riguardante gli alunni una volta venuto a conoscenza del reclamo presentato (art. 83, par. 2, lett. c), del Regolamento);
- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);
- il grado di cooperazione manifestato dal titolare con l'autorità di controllo (art. 83, par. 2, lett. f) del Regolamento);
- l’elevata accessibilità e visibilità dello strumento utilizzato per la descritta diffusione, atteso che il canale YouTube è accessibile anche da chi non conosce e non frequenta l’Istituto e, pertanto, si presta maggiormente al rischio di perdita di controllo dei dati personali degli interessati (art. 83, par. 2, lett. k), del Regolamento).
In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila/00) per la violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e par. 3, lett. b), del Regolamento e 2-ter, commi 1 e 3, del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.
In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti la pubblicazione di un video riguardante gli minori di età sul canale YouTube in assenza di una condizione di liceità.
Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.
TUTTO CIÒ PREMESSO IL GARANTE
dichiara, ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dall’Istituto Alberghiero Mediterraneo di Pulsano (TA) nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e par. 3, lett. b), del Regolamento e 2-ter, commi 1 e 3, del Codice;
ORDINA
ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Istituto Alberghiero Mediterraneo di Pulsano, con sede legale in via Chiesa n. 49, 74026, Pulsano (TA), CF: 90264330730, di pagare la complessiva somma di euro 2.000,00 (duemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;
INGIUNGE
all’Istituto Alberghiero Mediterraneo di Pulsano (TA):
- di pagare la complessiva somma di euro 2.000,00 (duemila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;
DISPONE
ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.
Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.
Roma, 13 marzo 2025
IL PRESIDENTE
Stanzione
IL RELATORE
Ghiglia
IL SEGRETARIO GENERALE
Mattei
KEYWORDS
#privacy e trattamento dei dati personali
13/04/2023 n° 185
Area: Prassi, Circolari, Note

[doc. web n. 9902516]
Provvedimento del 13 aprile 2023
Registro dei provvedimenti
n. 185 del 13 aprile 2023
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);
VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);
VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);
Vista la documentazione in atti;
Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;
Relatore l’avv. Guido Scorza;
PREMESSO
1. Il reclamo.
L’Autorità ha ricevuto un reclamo dal sig.XX in ordine alla pubblicazione, nella sezione XX del sito web istituzionale dell’Istituto Comprensivo "Giovanni Falcone e Paolo Borsellino" di Gavorrano (GR), della nota n. XX del XX, recante gli elenchi nominativi relativi agli alunni ammessi alla frequenza del tempo pieno della scuola primaria presso il plesso di Scarlino Scalo dell’Istituto medesimo.
2. L’attività istruttoria.
Con nota del XX, rispondendo alla richiesta di informazioni formulata dall’Autorità, il dirigente scolastico dell’Istituto, ha rappresentato che:
- “La pubblicazione è avvenuta ritenendo di “adempiere un obbligo legale al quale è soggetto il titolare del trattamento”, come previsto dal Regolamento (UE) 2016/679 e ritenendo di non “arrecare un pregiudizio effettivo e concreto alla tutela dei diritti e delle libertà degli interessati” (Art. 2-ter del Codice Privacy)”;
- “preso atto della segnalata F.A.Q., in cui il Garante e il Ministero dell’Istruzione forniscono precise disposizioni operative in merito” si è tempestivamente provveduto a:
- Rimuovere la pubblicazione del documento dal sito istituzionale;
- Comunicare alle famiglie degli studenti inclusi nell’elenco in parola, tramite email individuale, utilizzando il campo “copia conoscenza nascosta” (ccn), la ammissione alla frequenza del Tempo Pieno nel plesso di Scarlino Scalo;
- Comunicare alle famiglie degli studenti non ammessi, sempre con le stesse modalità, la possibilità di iscriversi al Tempo pieno nel Plesso di Scarlino Capoluogo”.
Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota del 7 settembre, all’Istituto, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la pubblicazione sul sito istituzionale della nota n. XX del XX recante gli elenchi nominativi relativi agli alunni ammessi alla frequenza del tempo pieno della scuola primaria presso il plesso di Scarlino Scalo dell’Istituto, ha dato luogo a una “diffusione” di dati personali in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5, par. 1, lett. a) e 6, parr. 1, lett. c) ed e), 2 e 3 del Regolamento e 2-ter del Codice.
L’Ufficio ha invitato il predetto titolare a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).
L’Istituto ha fatto pervenire le proprie memorie difensive con nota del XX (prot. n. XX), ribadendo che:
- "La pubblicazione è avvenuta ritenendo di “adempiere un obbligo legale al quale è soggetto il titolare del trattamento”, come previsto dal Regolamento (UE) 2016/679 e ritenendo di non “arrecare un pregiudizio effettivo e concreto alla tutela dei diritti e delle libertà degli interessati”;
- “In data XX, a seguito della segnalazione (dell’) Autorità, si è provveduto a:
- Rimuovere tempestivamente la pubblicazione del documento dal sito istituzionale;
- Comunicare alle famiglie degli studenti inclusi nell’elenco in parola, tramite email individuale, utilizzando il campo “copia conoscenza nascosta” (ccn), la ammissione alla frequenza del Tempo Pieno nel plesso di Scarlino Scalo;
- Comunicare alle famiglie degli studenti non ammessi, sempre con le stesse modalità, la possibilità di iscriversi al Tempo pieno nel Plesso di Scarlino Capoluogo;
e specificando che:
- Al fine di prevenire eventi come quello contestato si è provveduto a impartire precise istruzioni al personale dipendente e si è programmato un corso di formazione destinato al personale di segreteria che, tenuto conto del continuo turn over del personale scolastico, si svolgerà nel mese di XX, non appena l’organico della Segreteria sarà nuovamente al completo.
- La violazione contestata non riguarda né dati “particolari” né, tantomeno, dati sensibili.
3. Esito dell’attività istruttoria.
3.1 Normativa applicabile.
Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), definisce “dato personale”, “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, n. 1, del Regolamento).
Il Regolamento prevede inoltre che il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) e paragrafo 2 e 3 del Regolamento; art 2-ter del d.lgs. n. 196 del 30 giugno 2003 - Codice in materia di protezione dei dati personali, di seguito, il “Codice”).
La disciplina nazionale ha introdotto disposizioni più specifiche per adeguare l’applicazione delle norme del Regolamento, determinando, con maggiore precisione, requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (art. 6, par. 2 del Regolamento) e, in tale ambito, ha previsto che le operazioni di trattamento che consistono nella “diffusione” di dati personali (come la pubblicazione online) e nella “comunicazione” sono ammesse solo quando previste da una norma di legge o di regolamento o da atti amministrativi generali (art. 2-ter, commi 1 e 3, del Codice).
Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi generali in materia di protezione dei dati personali (art. 5 del Regolamento).
3.2 Il trattamento di dati personali effettuato dall’Istituto.
Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, l’Istituto ha pubblicato sul sito web istituzionale, nella sezione XX e, in particolare, all’url https://..., il decreto del dirigente scolastico n. XX del XX recante l’elenco nominativo e l’indicazione della classe di riferimento degli alunni ammessi, per l’a.s. 2022/23, alla frequenza del tempo pieno della scuola primaria presso il plesso di Scarlino Scalo dell’Istituto Comprensivo.
In via preliminare si evidenzia che, affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto pubblico, tale trattamento deve essere necessario per l’adempimento di un obbligo legale da parte del titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri e deve trovare il proprio fondamento in una disposizione che abbia le caratteristiche di cui all’art. 2-ter del Codice.
In tale ambito l’amministrazione pubblica è tenuta a verificare, anche per i dati comuni, l’esistenza di una norma di legge, regolamento o di atti amministrativi generali che legittimino la pubblicazione dei dati personali degli interessati.
Al riguardo si rappresenta che l’Istituto scolastico non ha indicato alcuna specifica base giuridica idonea a legittimare la diffusione dei dati personali del reclamante.
Risultano inoltre inidonee le motivazioni addotte dall’Ufficio Scolastico in base alle quali la pubblicazione del provvedimento in esame sarebbe “avvenuta ritenendo di “adempiere un obbligo legale al quale è soggetto il titolare del trattamento”, come previsto dal Regolamento (UE) 2016/679 e ritenendo di non “arrecare un pregiudizio effettivo e concreto alla tutela dei diritti e delle libertà degli interessati” (Art. 2-ter del Codice Privacy)” ben potendo tale eventuale obiettivo essere perseguito, conformemente alle disposizioni vigenti, con modalità meno invasive per il diritto alla riservatezza degli interessati.
Con specifico riferimento alla questione prospettata con il reclamo, si evidenzia, inoltre, che il Garante, in collaborazione con il Ministero dell’Istruzione, è intervenuto con una specifica FAQ in merito alla questione relativa alla pubblicazione, sul sito internet degli istituti scolastici, di elenchi nominativi relativi alla composizione delle classi, fornendo specifiche indicazioni alle scuole in merito alle corrette modalità per assicurare la conoscibilità delle predette informazioni agli alunni e alle famiglie, nel rispetto della disciplina in materia di protezione dei dati personali (cfr. FAQ relative ai trattamenti dei dati personali nel contesto scolastico nel quadro dell’emergenza sanitaria, disponibili sul sito web dell’Autorità all’indirizzo www.gpdp.it doc. web n. 9337010, e, in particolare, FAQ n. 10, elaborata in collaborazione con il Ministero e disponibile anche in https://...).
Con la predetta FAQ è stato chiarito che la diffusione dei dati relativi alla composizione delle classi sul sito web degli istituti scolastici non è consentita in quanto tale operazione di trattamento è lecita solo nei casi previsti dal richiamato art. 2-ter del Codice. “Pertanto, le istituzioni scolastiche che intendano garantire in via preventiva la conoscibilità di tali dati dovranno utilizzare modalità idonee ad assicurare la tutela dei dati personali e i diritti degli interessati. A tal fine i nominativi degli studenti distinti per classe potranno essere resi noti per le classi prime delle scuole di ogni ordine e grado, tramite apposita comunicazione all'indirizzo e-mail fornito dalla famiglia in fase di iscrizione all'a.s. (…), mentre per le classi successive, ove ritenuto necessario, l’elenco degli alunni potrà essere reso disponibile nell'area documentale riservata del registro elettronico a cui accedono tutti gli studenti della classe di riferimento. In caso di comunicazione tramite e-mail, dovrà essere prestata particolare attenzione a inviare la stessa a ciascun destinatario con un messaggio personalizzato oppure a inviarla utilizzando il campo denominato “copia conoscenza nascosta” (ccn) al fine di non divulgare gli indirizzi e-mail forniti dalle famiglie”.
Alla luce delle considerazioni che precedono, la pubblicazione nella sezione XX del sito web istituzionale dell’Istituto Comprensivo del provvedimento del dirigente scolastico n. XX del XX, recante l’indicazione dei nominativi degli alunni ammessi, per l’a.s. 2022/23, alla frequenza del tempo pieno della scuola primaria presso il plesso di Scarlino Scalo dell’Istituto e l’indicazione della classe di assegnazione degli stessi, ha reso conoscibili ad una pluralità indeterminata di soggetti, informazioni relative al figlio del reclamante e ad altri interessati determinando in tal modo una “diffusione” illecita di dati personali, in violazione degli artt. 5 e 6 del Regolamento nonché dell’art. 2- ter del Codice (sul punto v. anche provv. n. 383 del 6 dicembre 2012, doc. web n. 2217211 e provv. n. 170 del 19 marzo 2015, doc. web n. 4000105).
4. Conclusioni.
Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dall’Istituto, in violazione degli artt. artt. 5 e 6 del Regolamento nonché dell’art. 2- ter del Codice.
Ciò premesso, tenuto conto che:
il titolare del trattamento è un istituto scolastico e che trattasi, pertanto, di un soggetto di ridotte dimensioni
la condotta illecita è stata determinata dall’erronea convinzione che l’istituto fosse tenuto ad effettuare la pubblicazione del predetto documento per “adempiere un obbligo legale al quale è soggetto il titolare del trattamento”;
si è trattato di un caso isolato e l’Istituto ha provveduto, in tempi brevi a rimuove il provvedimento dal sito web;
l’Istituto, in conseguenza dell’episodio verificatosi, ha provveduto a impartire precise istruzioni al personale dipendente e ha programmato un corso di formazione destinato al personale di segreteria;
il titolare del trattamento ha prestato piena collaborazione all’Autorità nel corso dell’istruttoria;
non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;
si tratta di un istituto scolastico
le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.
Si ritiene, pertanto, relativamente al caso in esame, che sia sufficiente ammonire il titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per avere violato gli artt. artt. 5 e 6 del Regolamento nonché dell’art. 2- ter del Codice.
Considerato che la condotta ha esaurito i suoi effetti, atteso che la pubblicazione dei dati personali relativi al reclamante è cessata, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.
Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.
TUTTO CIÒ PREMESSO IL GARANTE
a) ai sensi dell’art. 57, par. 1, lett. f), dichiara illecita la condotta tenuta dall’Istituto Comprensivo Statale “Giovanni Falcone e Paolo Borsellino” di Gavorrano (GR) descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5 e 6 del Regolamento e 2-ter del Codice;
b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto Comprensivo Statale “Giovanni Falcone e Paolo Borsellino” di Gavorrano (GR) quale titolare del trattamento in questione, per aver violato gli artt. 5 e 6 del Regolamento e 2-ter del Codice, come sopra descritto;
c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.
Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.
Roma, 13 aprile 2023
IL PRESIDENTE
Stanzione
IL RELATORE
Scorza
IL SEGRETARIO GENERALE
Mattei
KEYWORDS
#privacy e trattamento dei dati personali
Pagina: 2
O.M. 16 febbraio 2026, n. 27
KEYWORDS

Pagina: 24
Vademecum 12 novembre 2025 (Doc. web n. 10190259)
KEYWORDS

Area Tematica: Relazioni sindacali, contenzioso
Argomenti:
Dirigente scolastico: tipologia dei provvedimenti
KEYWORDS
Gentile utente, se vede questo messaggio è possibile che ci sia un problema con l'account che sta utilizzando per accedere a Italiascuola.it.
Per verificare che il suo utente sia abilitato, selezioni l'icona del profilo in alto a destra. L'account sul quale cliccare presenterà l'icona "ITLS" sulla sinistra.
Se l'icona "ITLS" non è presente, significa che il suo utente non è abilitato. Se desidera abbonarsi oppure richiedere il nostro supporto, visiti la sezione "Abbonamenti e Contatti" presente sul sito. Grazie!