Iniziali e “documentazione medica” di alunno sul sito web: multa da 4mila euro alla scuola che ha pubblicato dati sanitari. Cosa ha deciso il Garante

Pubblicare le iniziali del nome e cognome di uno studente, accompagnate dal riferimento a “documentazione medica” e alla sua classe di appartenenza, può trasformarsi in una violazione del Regolamento generale sulla protezione dei dati.

Lo ha stabilito il Garante per la protezione dei dati personali, che con un provvedimento n. 10251650 dello scorso 29 aprile ha inflitto una sanzione di 4.000 euro a un istituto comprensivo.

Tutto nasce da un reclamo presentato dalla madre di un minore. La donna segnalava che sul sito web della scuola era stata pubblicata una circolare – un avviso di selezione per docenti destinati all’istruzione domiciliare – nella quale comparivano alcuni elementi rivelatori: le iniziali del figlio, l’esistenza di una documentazione medica conservata agli atti, e l’indicazione che la selezione sarebbe stata riservata in via prioritaria agli insegnanti della sua classe. Informazioni, secondo l’Autorità, sufficienti a rendere identificabile il bambino e a svelare indirettamente il suo stato di salute.

L’istituto, nelle proprie difese, ha sostenuto di aver agito in buona fede e di aver cercato di rispettare il principio di minimizzazione, scegliendo appunto le sole iniziali al posto del nome completo. Poi ha osservato che il rischio di identificazione poteva riguardare solo soggetti già interni alla comunità scolastica (compagni e docenti), i quali erano comunque a conoscenza dell’assenza prolungata del ragazzo.

Il Garante non ha accolto queste argomentazioni. Nel provvedimento si ribadisce che “la prassi di sostituire il nome e cognome con le sole iniziali è di per sé insufficiente ad anonimizzare i dati”, specie quando permangono “ulteriori informazioni di contesto” che rendono la persona comunque identificabile. Per l’Autorità, anche la combinazione di indizi – come la classe di appartenenza e il riferimento a documenti medici – costituisce una “diffusione” di dati personali e, in particolare, di dati relativi alla salute. La circostanza che il soggetto sia minorenne ha poi rappresentato un aggravante, data la riconosciuta vulnerabilità dei più giovani nel trattamento dei loro dati.

Nel calcolare la sanzione – fissata a 4.000 euro, con facoltà per l’istituto di ridurla alla metà definendo la controversia entro trenta giorni – il Collegio ha però tenuto conto di diverse attenuanti. La circolare è rimasta online per un periodo limitato ed è stata rimossa, la scuola non aveva precedenti violazioni, ha collaborato attivamente con l’Autorità, e si è impegnata a rafforzare le misure interne, prevedendo formazione del personale, un referente per la privacy e un gruppo di lavoro in affiancamento al DPO.

L’ordinanza-ingiunzione costituisce anche un monito per tutte le amministrazioni pubbliche: l’obbligo di trasparenza non può tradursi in una diffusione illecita di dati, nemmeno quando si ritenga di averli resi anonimi con accorgimenti solo apparentemente sufficienti.