Nota al provvedimento del Garante per la protezione dei dati personali del 9 ottobre, n. 583/2025 (doc. web n. 10192761)
Analisi del provvedimento n. 583/2025 del Garante Privacy: illecita la pubblicazione dei dati disciplinari degli studenti sulle piattaforme scolastiche. Obblighi, violazioni e principi del GDPR.
Indice
- Ricostruzione dei fatti
- Inquadramento giuridico
- Profili di illiceità del trattamento
- Il comportamento conforme richiesto dall’ordinamento
- Conclusioni
1. Ricostruzione dei fatti
La vicenda sottoposta al vaglio dell’Autorità Garante scaturisce dal reclamo di un genitore nei confronti di un Istituto Comprensivo in seguito alla pubblicazione su una piattaforma didattica dei nomi di alcuni studenti convocati per motivi disciplinari, rendendo tali informazioni visibili a tutti i genitori della classe. Oltre alla convocazione, il messaggio conteneva un esplicito richiamo di natura disciplinare e ammonitoria, specificando che l’intera classe doveva essere consapevole che comportamenti simili a quelli dei tre alunni avrebbero comportato provvedimenti molto seri.
Nonostante la scuola abbia rimosso tempestivamente i messaggi e invocato finalità educative, il Garante ha stabilito che tale condotta costituisce una comunicazione illecita di dati personali riguardanti minori. Poiché l’episodio è stato considerato una violazione minore e l’istituto ha collaborato pienamente, l’Autorità ha deciso di limitare la sanzione a un ammonimento formale.
Questo atto ribadisce la responsabilità dei titolari del trattamento nel garantire che le comunicazioni scolastiche rispettino sempre la riservatezza degli alunni.
2. Inquadramento giuridico
L’inquadramento giuridico del caso analizzato è interessante in quanto richiede una delimitazione netta tra quelli che sono i poteri gestori e disciplinari della scuola da un lato e, dall’altro, il diritto alla riservatezza degli studenti, con particolare riferimento ai minori d’età.
Il punto di partenza si rinviene nei principi generali del Reg. UE 2016/679, in particolare all’articolo 5, che impone ai titolari del trattamento il rispetto dei canoni di liceità, correttezza e trasparenza, nonché del principio di minimizzazione dei dati. Quest’ultimo stabilisce che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per cui sono trattati. Sebbene l’istituto scolastico persegua una finalità di rilevante interesse pubblico connessa all’istruzione e all’educazione, l’attività di gestione della disciplina interna deve comunque arrestarsi di fronte al divieto di diffusione e comunicazione arbitraria dei dati dei singoli alunni.
Sotto il profilo della normativa nazionale, l’articolo 2-ter del Codice Privacy (D.Lgs. 196/2003) detta regole stringenti per i soggetti pubblici, stabilendo che la comunicazione di dati personali a terzi o la loro diffusione sono ammesse solo quando previste da una norma di legge o di regolamento. Nel contesto scolastico non esiste alcuna disposizione legislativa che autorizzi un docente a rendere noti i provvedimenti disciplinari, le note o le convocazioni per motivi di condotta di un alunno all’intero gruppo classe o alle famiglie degli altri studenti.
Lo “streaming” condiviso di una piattaforma didattica o una bacheca virtuale collettiva, pur essendo ambienti ad accesso riservato, costituiscono comunque un canale di comunicazione plurisoggettiva. La pubblicazione di informazioni personali al loro interno, conseguentemente, integra una comunicazione non autorizzata a soggetti terzi rispetto agli unici destinatari legittimi, individuabili esclusivamente nell’alunno interessato e nei suoi genitori.
Ai fini di una attenta analisi deve farsi richiamo all’articolo 25 del Reg. UE 2016/679, che introduce il principio di protezione dei dati fin dalla progettazione e per impostazione predefinita, noto come privacy by design e by default. Questa norma impone al titolare del trattamento di scegliere e configurare gli strumenti tecnologici in modo tale da prevenire la circolazione indiscriminata delle informazioni.
L’utilizzo di una piattaforma nata per scopi didattici, quindi, utilizzata come strumento di ammonimento pubblico viola tale principio, poiché scavalca i canali predefiniti e protetti che l’ordinamento scolastico mette a disposizione per le comunicazioni scuola-famiglia, come il registro elettronico nella sua sezione riservata. La tutela dei dati del minore si salda così con i diritti della personalità, dove la riservatezza non è solo difesa della sfera privata, ma presupposto indispensabile per garantire la dignità dello studente all’interno della comunità educante.
3. Profili di illiceità del trattamento
L’errore fondamentale compiuto dall’istituto scolastico, per il tramite della condotta della docente, risiede nell’aver operato uno snaturamento funzionale dello spazio digitale comune, confondendo una bacheca virtuale collettiva con un canale di comunicazione privata e bilaterale.
L’insegnante ha utilizzato lo “streaming” della piattaforma, area visibile a tutti i soggetti che hanno l’accesso (studenti e, potenzialmente, genitori), per veicolare informazioni che avrebbero dovuto rimanere strettamente confinate all’interno del rapporto riservato tra la scuola e i singoli nuclei familiari interessati. Questa scelta operativa ha determinato una circolazione illecita di dati personali sensibili, quali i nomi dei minori associati a palesi contestazioni di natura disciplinare, esponendoli al giudizio di soggetti terzi privi di qualsiasi titolo o legittimazione giuridica a conoscere quel tipo di informazioni.
Un secondo profilo di errore, ancora più grave sotto l’aspetto pedagogico e regolamentare, risiede nella strumentalizzazione della visibilità del dato per finalità di deterrenza collettiva. Il tenore stesso del messaggio pubblicato dalla docente esplicitava l’intento di fare della sanzione e del richiamo dei tre studenti un “monito” per il resto dei discenti. Questa logica punitiva, basata sull’esposizione pubblica e sulla conseguente stigmatizzazione dei singoli davanti al gruppo dei pari, contrasta insanabilmente con il principio di correttezza sancito dal GDPR, il quale impone che i trattamenti siano sempre improntati al rispetto della dignità dell’interessato.
L’istituto ha errato nel ritenere che le finalità educative e l’esercizio del potere disciplinare potessero giustificare la perdita di riservatezza, dimenticando che l’ordinamento non ammette la berlina o il pubblico biasimo come strumenti legittimi di gestione della condotta scolastica.
L’amministrazione, infine, ha dimostrato una profonda carenza nella vigilanza e nella corretta gestione degli ambienti digitali in uso. L’errore risiede nel non aver compreso che, sebbene la piattaforma di didattica a distanza costituisca un ambiente “chiuso” rispetto all’esterno della scuola, al suo interno vigono le medesime barriere di riservatezza individuale che proteggono gli alunni nel mondo fisico.
Così come un docente non potrebbe affiggere i richiami disciplinari individuali sulla porta della classe o leggerli ad alta voce davanti alle famiglie degli altri alunni, allo stesso modo non è consentito riversare tali informazioni nei flussi di comunicazione digitale condivisi.
La mancata consapevolezza del fatto che la digitalizzazione non azzera i diritti individuali dei minori, ma semmai ne amplifica la vulnerabilità a causa della persistenza del testo scritto in rete, costituisce il nucleo centrale della negligenza accertata dall’Autorità Garante. Un comportamento corretto impone di distinguere nettamente tra una comunicazione diretta agli interessati, e limitata ad essi, ed altra forma di comunicazione pubblica nell’ambito della quale devono essere rispettati i diritti degli interessati.
4. Il comportamento conforme richiesto dall’ordinamento
Per agire in piena conformità con i principi di riservatezza e correttezza, l’istituto scolastico e il corpo docente avrebbero dovuto impostare la comunicazione istituzionale secondo criteri di rigida selettività e riservatezza.
Il comportamento corretto sarebbe consistito nell’utilizzare esclusivamente i canali telematici bilaterali e protetti che l’ordinamento e la tecnologia mettono a disposizione per i rapporti scuola-famiglia. Invece di ricorrere alla bacheca pubblica della piattaforma didattica, la docente avrebbe dovuto inviare tre comunicazioni separate e individuali, dirette unicamente ai rispettivi genitori dei minori coinvolti, avvalendosi della sezione riservata del registro elettronico o, in alternativa, della posta elettronica istituzionale cifrata dell’istituto.
Tale scelta avrebbe dovuto basarsi sulla consapevolezza che la funzione pedagogica non può mai porsi al di sopra della legalità: l’esigenza di educare o di correggere un comportamento non può in nessun caso giustificare la violazione di una norma di legge, poiché l’insegnamento delle regole deve avvenire anzitutto attraverso il rispetto delle stesse da parte dell’istituzione.
Sul piano dell’organizzazione interna e dell’accountability, inoltre, la dirigenza scolastica avrebbe dovuto esercitare una funzione preventiva fondamentale, in linea con quanto richiesto dal Regolamento UE. Il comportamento virtuoso avrebbe imposto l’adozione e la capillare diffusione di un regolamento interno o di linee guida vincolanti sull’uso degli strumenti digitali, destinate a tutto il personale docente.
Questo documento avrebbe dovuto chiarire in modo inequivocabile la separazione funzionale degli ambienti virtuali, specificando che gli spazi condivisi, come lo streaming di classe, sono rigorosamente riservati alla didattica, ai materiali di studio e alle comunicazioni di interesse generale. Qualsiasi dato relativo a valutazioni, note, condotta o convocazioni personali, invece, deve essere veicolato tramite canali a visibilità limitata al singolo nucleo familiare.
Anche in questo ambito, l’azione preventiva avrebbe dovuto evidenziare che l’efficacia educativa non trae forza dalla pubblica punizione o dalla gogna digitale, ma dalla trasparenza e dalla correttezza dei procedimenti interni, confermando che il mandato educativo della scuola trova il suo limite naturale e invalicabile nei diritti fondamentali degli studenti.
La docente, infine, avrebbe dovuto applicare il principio di minimizzazione dei dati anche qualora avesse ravvisato l’effettiva necessità di inviare un monito o un richiamo di carattere generale a tutta la classe. Se l’obiettivo pedagogico era quello di richiamare il gruppo al rispetto delle regole comuni, il comportamento corretto sarebbe stato quello di pubblicare un messaggio dal contenuto puramente astratto e oggettivo, focalizzato sulla descrizione del comportamento atteso e sulle conseguenze regolamentari generali, omettendo qualsiasi riferimento descrittivo, temporale o nominativo che potesse anche solo indirettamente consentire l’identificazione dei tre alunni che avevano originato il richiamo. In questo modo si sarebbe salvaguardata l’efficacia dell’intervento educativo senza sacrificare il diritto fondamentale alla riservatezza dei minori.
5. Conclusioni
Il provvedimento analizzato si inserisce in un percorso evolutivo dell’interpretazione del Reg UE 2016/679 che ormai ha contrassegnato il definitivo superamento di una concezione meramente formale della protezione dei dati personali. Esso evidenzia come il fulcro della valutazione dell’Autorità non risieda più esclusivamente nella verifica della presenza di una base giuridica, ma nella concreta capacità del titolare di gestire il trattamento in modo corretto, controllato, proporzionato e documentato.
La pronuncia chiarisce in modo inequivocabile che l’applicazione dei principi di liceità e minimizzazione sanciti dall’articolo 5 del Regolamento UE 2016/679, così come il rigoroso divieto di diffusione dei dati da parte di soggetti pubblici previsto dall’articolo 2-ter del Codice Privacy, non ammettono deroghe legate a presunte esigenze di gestione o controllo della classe. L’accertamento dell’illecito a carico dell’istituto scolastico funge da severo monito per l’intera comunità educante: la dematerializzazione delle comunicazioni scuola-famiglia richiede un livello di attenzione, di formazione e di responsabilità (“accountability”) persino superiore a quello richiesto per gli spazi fisici, proprio per la capacità intrinseca del mezzo digitale di amplificare istantaneamente la diffusione non autorizzata dei dati personali.
L’analisi del caso evidenzia inoltre come la vulnerabilità dei minori richieda un surplus di cautela da parte delle istituzioni scolastiche, le quali sono chiamate a bilanciare il dovere di mantenere la disciplina e il decoro con l’obbligo di tutelare la dignità e lo sviluppo relazionale degli studenti. La pronuncia del Garante quivi analizzata si pone, dunque, come un orientamento imprescindibile per l’intera comunità educante, chiarendo che gli strumenti tecnologici, se privi di una solida cultura della compliance e del rispetto delle regole interne, rischiano di amplificare a dismisura la portata di errori valutativi individuali, trasformandoli in comportamenti non conformi.
Tutela della dignità e della privacy del minore presupposto inderogabile
Come chiaramente emerso nell’analisi della condotta, l’intento educativo, correttivo o disciplinare non può in alcun modo legittimare la violazione delle normative vigenti a tutela della riservatezza, poiché un’istituzione che lede un diritto fondamentale per imporre il rispetto di una regola interna finisce per contraddire il suo stesso mandato pedagogico.
La decisione dell’Authority ribadisce in via definitiva che la tutela della dignità e della privacy del minore costituisce un presupposto inderogabile di qualsiasi azione amministrativa e didattica.
Trasparenza e riservatezza pilastri dell’azione educativa
In ultima analisi, la decisione ribadisce il principio cardine secondo cui la trasparenza e la riservatezza non costituiscono ostacoli all’azione educativa, bensì i suoi pilastri costitutivi. Il mandato istituzionale della scuola si realizza compiutamente solo quando l’attività didattica e disciplinare si uniforma spontaneamente a tutti i precetti normativi, ivi compresi quelli contenuti nella normativa privacy (Reg. UE 2016/679 e D.Lgs. 196/2003).
Proteggere i dati personali degli studenti, in definitiva, non significa semplicemente evitare sanzioni, ma riaffermare il valore della persona all’interno del percorso formativo, assicurando che la necessaria e doverosa attività di correzione pedagogica avvenga sempre all’interno di un alveo di assoluta legittimità e rispetto dei diritti fondamentali dell’individuo.
