Una circolare sull’istruzione domiciliare pubblicata online ha reso identificabile un minore e ha lasciato emergere informazioni sulla sua salute. Multa da 4 mila euro e richiamo alle scuole: trasparenza sì, ma senza diffusione di dati sensibili.
Una circolare pubblicata sul sito istituzionale della scuola può trasformarsi in una violazione della privacy se, anche senza indicare il nome completo dello studente, consente di identificarlo attraverso altri elementi di contesto. È il principio ribadito dal Garante per la protezione dei dati personali nel provvedimento n. 307 del 29 aprile 2026, con cui è stata disposta una sanzione amministrativa di 4 mila euro nei confronti dell’Istituto Comprensivo Statale Montelibretti di Montelibretti, in provincia di Roma.
Il caso nasce dal reclamo presentato dalla madre di un alunno minorenne. Sul sito della scuola, nella sezione “Novità/Le circolari”, era stata pubblicata una circolare relativa a un avviso di selezione per personale docente interno ed esterno destinato all’attivazione di un percorso di istruzione domiciliare. Nel documento comparivano le iniziali del nome e del cognome dell’alunno, il riferimento alla documentazione medica conservata agli atti e l’indicazione della priorità riconosciuta ai docenti della classe frequentata dal minore. Secondo il Garante, la combinazione di questi elementi rendeva lo studente identificabile e consentiva di dedurre informazioni relative al suo stato di salute.
Il punto centrale del provvedimento non riguarda soltanto la presenza delle iniziali, ma il contesto complessivo della pubblicazione. L’istruzione domiciliare, infatti, è collegata a situazioni personali delicate, spesso connesse a terapie o condizioni sanitarie che impediscono la normale frequenza scolastica. Se a questo si aggiungono il riferimento alla documentazione medica e alla classe di appartenenza, l’anonimato diventa solo apparente. Per il Garante, la persona può essere identificata anche indirettamente, attraverso deduzione, correlazione e incrocio di informazioni.
La scuola, nel corso dell’istruttoria, ha sostenuto di aver agito per esigenze organizzative e di trasparenza amministrativa, richiamando la necessità di individuare docenti disponibili per l’istruzione domiciliare. L’istituto ha inoltre evidenziato di non aver pubblicato il nome completo dell’alunno, ritenendo che l’uso delle sole iniziali fosse sufficiente a rispettare il principio di minimizzazione dei dati. La dirigenza ha parlato di un errore materiale e di un’errata interpretazione della normativa, maturata in un contesto organizzativo complesso, segnato da avvicendamenti dirigenziali e amministrativi.
Il Garante ha però respinto questa impostazione. I dati relativi alla salute, ricorda l’Autorità, godono di una tutela rafforzata e non possono essere diffusi. La pubblicazione online, liberamente accessibile e scaricabile, ha quindi determinato una diffusione illecita di dati personali e di categorie particolari di dati, in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione previsti dal GDPR e dal Codice privacy.
Particolarmente rilevante è il passaggio sulle iniziali. Il Garante richiama un orientamento già consolidato: sostituire nome e cognome con le sole iniziali non rende automaticamente anonimo un documento, soprattutto quando restano visibili altri dettagli capaci di ricondurre il dato a una persona precisa. Nelle comunità scolastiche, spesso ristrette, anche pochi elementi possono bastare a identificare un alunno, soprattutto se si parla di classe, assenze prolungate, percorsi personalizzati o condizioni sanitarie.
Il provvedimento assume un valore importante per tutte le istituzioni scolastiche. La pubblicità degli atti, la trasparenza e le esigenze organizzative non autorizzano la diffusione di dati sanitari o di informazioni che possano rendere identificabile uno studente coinvolto in vicende delicate. Gli avvisi di selezione, le circolari e le comunicazioni pubblicate sul sito dovrebbero essere formulati in modo neutro, evitando riferimenti a nomi, iniziali, classi, patologie, documentazione medica o altri elementi idonei a ricondurre il caso a un minore specifico.
Nel determinare l’importo della sanzione, fissata in 4 mila euro, il Garante ha considerato alcuni elementi attenuanti: la rimozione della circolare, l’assenza di precedenti violazioni, la collaborazione dell’istituto e l’impegno dichiarato dalla scuola a rafforzare le misure organizzative interne. L’istituto ha annunciato formazione del personale, individuazione di un referente privacy interno e creazione di un gruppo di lavoro dedicato alla verifica delle procedure amministrative, in collaborazione con il DPO.
La decisione si inserisce in un quadro più ampio di attenzione alla protezione dei dati personali nel mondo scolastico. Nella pagina tematica dedicata alla scuola, il Garante richiama la necessità di tutelare i dati di studenti, famiglie, docenti e personale, con particolare attenzione alle pubblicazioni online, all’uso delle nuove tecnologie, delle chat e degli strumenti digitali.
La lezione che emerge è chiara: nella scuola la privacy non è un adempimento formale, ma una tutela sostanziale della dignità degli studenti, soprattutto quando si tratta di minori e di informazioni sanitarie. Anche una circolare apparentemente ordinaria può produrre conseguenze rilevanti se pubblicata senza una preventiva verifica dei dati contenuti. Prima di mettere online un atto, le scuole devono chiedersi non solo se il nome sia stato oscurato, ma se l’insieme delle informazioni renda comunque riconoscibile la persona interessata.
Le immagini presenti su questo sito sono tutte libere da copyright o generate con tecnologia AI
Segui il nostro canale
Segui la nostra pagina
Segui il nostro Canale
Segui il nostro Canale
👉 YOUTUBE
Segui il nostro Canale
👉 TELEGRAM
