Privacy a scuola, attenzione anche al nome dei file: il cognome di uno studente può rendere illecita la pubblicazione

Quando una scuola pubblica un documento sul proprio sito istituzionale, il controllo dei dati personali non può limitarsi al contenuto della circolare o dell’avviso.

Anche il nome attribuito al file può rendere identificabile uno studente e determinare una violazione della normativa sulla privacy.

È uno degli aspetti che emerge dal provvedimento n. 626 del 23 ottobre 2025 del Garante per la protezione dei dati personali, relativo al caso di un istituto scolastico che aveva pubblicato online una circolare riguardante la convocazione di un consiglio di classe straordinario per un procedimento disciplinare.

Il cognome non era nella circolare, ma nel nome del file

Il documento pubblicato non riportava al suo interno il nominativo dello studente interessato. Il problema era nella denominazione del file PDF, nella quale compariva il cognome dell’alunno.

Un dettaglio sufficiente, secondo il Garante, a determinare una diffusione illecita di dati personali: attraverso la pubblicazione sul sito istituzionale, infatti, il cognome veniva associato a una circolare relativa a un procedimento disciplinare.

La scuola ha riconosciuto che si era trattato di un errore materiale. All’epoca veniva utilizzata una piattaforma che compilava automaticamente alcuni campi della pubblicazione; dopo la segnalazione, il documento è stato rimosso e la piattaforma è stata sostituita con una soluzione che consente l’inserimento manuale delle informazioni.

Non basta eliminare i dati personali dal testo

Il caso richiama l’attenzione su un passaggio operativo che può facilmente essere trascurato.

Prima di pubblicare un documento sul sito della scuola occorre verificare non soltanto ciò che compare all’interno del PDF, ma tutti gli elementi che diventano accessibili online, compresi il titolo della pubblicazione e la denominazione del file allegato.

Per i soggetti pubblici, la diffusione di dati personali deve infatti poggiare su un idoneo presupposto normativo. Il Garante ha ritenuto che, nel caso esaminato, la pubblicazione fosse avvenuta in assenza di una base giuridica idonea, in violazione degli articoli 5 e 6 del GDPR e dell’articolo 2-ter del Codice Privacy.

Particolare attenzione deve essere riservata ai dati degli studenti e, a maggior ragione, dei minori. Nel determinare la sanzione, il Garante ha infatti evidenziato anche la particolare vulnerabilità dell’interessato in quanto minore.

Anche il Responsabile della protezione dei dati sotto esame

La vicenda ha fatto emergere anche un secondo problema.

Nel corso dell’istruttoria è risultato che l’istituto non aveva provveduto tempestivamente alla nomina del Responsabile della protezione dei dati (RPD o DPO) e alla comunicazione dei relativi dati di contatto al Garante.

Il GDPR prevede che le autorità e gli organismi pubblici, tra i quali rientrano gli istituti scolastici, designino il Responsabile della protezione dei dati e ne comunichino i contatti all’Autorità. Nel caso esaminato, la scuola ha provveduto all’adempimento soltanto successivamente all’intervento del Garante.

Sanzione complessiva di 4.000 euro

Le due condotte sono state valutate separatamente.

Il Garante ha stabilito una sanzione di 2.000 euro per l’illecita diffusione dei dati personali dello studente e altri 2.000 euro per la tardiva nomina del RPD e la mancata comunicazione dei suoi dati di contatto, per un totale di 4.000 euro.

Nella quantificazione sono state considerate anche alcune circostanze attenuanti: la pubblicazione era rimasta online per un periodo limitato, il cognome era comparso per errore, il documento era stato rimosso non appena la scuola aveva avuto conoscenza del problema, non risultavano precedenti violazioni pertinenti e l’istituto aveva collaborato con l’Autorità.