Il Garante ha ricevuto un reclamo su una Direzione didattica della provincia di Salerno che, con alcune note e una mail, avrebbe inviato il calendario delle riunioni del Gruppo di Lavoro Operativo (GLO) per l’inclusione scolastica organizzate dall’Istituto, recanti in chiaro l’indicazione dei nominativi di tutti gli alunni interessati, distinti per classe, a genitori, docenti e altro personale specializzato senza distinguere i destinatari delle comunicazioni in base alle classi di riferimento, consentendo «in tal senso ad altri genitori, ai docenti curriculari e di sostegno non assegnati (ai singoli alunni), nonché a tutti gli specialisti o persone, comunque estranee al trattamento terapeutico, di venire a conoscenza» di informazioni riguardanti i propri figli. È stato inoltre segnalato che talune delle predette comunicazioni recavano l’indirizzo di posta elettronica dei genitori destinatari delle comunicazioni.
Ai sensi del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27/04/2016, il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario «per adempiere un obbligo legale al quale è soggetto il titolare del trattamento» o «per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento».
Con riguardo alle categorie particolari di dati personali, il trattamento è di regola consentito ove «necessario per motivi di interesse pubblico rilevante [...], che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato», a condizione che i trattamenti siano «previsti dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o, nei casi previsti dalla legge, di Regolamento che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato».
In ogni caso, i dati relativi alla salute, ossia quelli «attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria», in ragione della loro particolare delicatezza, «non possono essere diffusi».
Il Garante osserva che, stante la definizione di dato personale e di dato relativo alla salute, la convocazione di una riunione del GLO per l’inclusione scolastica, recante in chiaro il nominativo dell’alunno nelle note e nelle email, rappresenta di per sé una informazione relativa allo stato di salute dello stesso alunno per il quale viene convocata.
Tali informazioni possono essere comunicate solo ai genitori dello studente interessato, ai docenti della classe di appartenenza di quest’ultimo e ai soggetti individuati dalla normativa di settore, coinvolti nell’intervento terapeutico e formativo seguito dall’alunno stesso.
Riguardo agli indirizzi email riportati nelle comunicazioni, il Garante sottolinea come, nel caso di specie, il conferimento degli indirizzi all’Istituto scolastico non fosse finalizzato alla divulgazione ma esclusivamente ai fini della convocazione, a cura dell’Istituto stesso, delle riunioni del GLO nei termini previsti dalla normativa di settore sopra richiamata.
Alla luce di queste considerazioni, l’Istituto scolastico ha di fatto reso conoscibili i dati personali relativi agli indirizzi email dei familiari degli alunni anche da parte di soggetti terzi (altri genitori, docenti, personale specializzato e altri soggetti coinvolti nel trattamento terapeutico dei minori destinatari delle e-mail) e reso nota la condizione di disabilità dei suddetti alunni ad altri soggetti non tenuti ed esserne informati, rendendo tutti i genitori destinatari delle stesse vicendevolmente edotti delle informazioni relative alla salute dei propri figli, dando in tal modo luogo a una comunicazione di dati personali.
Il Garante ha tuttavia rilevato che le suddette convocazioni del GLO sono state inviate esclusivamente ai genitori che avrebbero dovuto partecipare alle riunioni e non ad altri genitori o a docenti di altre classi e che le vicende sono inoltre avvenute nel contesto dell’emergenza epidemiologica da SARS-CoV-2. L’Istituto scolastico inoltre ha collaborato con l’Autorità nel corso dell’istruttoria del procedimento e non risultavano precedenti violazioni.
Considerate queste attenuanti, per il trattamento illecito dei dati alla scuola è stata comminata una sanzione amministrativa pecuniaria pari a 1.500 euro.
