Una sanzione amministrativa di 2.300 euro comminata dal Garante per la protezione dei dati personali a un istituto superiore di Reggio Emilia riaccende i riflettori sulla gestione della privacy nelle scuole. Come riportato in un articolo de Il Resto del Carlino di Reggio Emilia, la decisione è arrivata dopo la segnalazione di un docente di materie giuridiche, Carmine Iannicelli, che ha contestato la pubblicazione non conforme di suoi dati personali sull'albo online dell'istituto.

Il caso concreto evidenzia una prassi purtroppo ancora diffusa nelle segreterie scolastiche: la pubblicazione di atti amministrativi contenenti dati personali eccedenti, non necessari o addirittura sensibili, senza le dovute operazioni di oscuramento. Per i dirigenti scolastici e il personale ATA si tratta di un importante campanello d'allarme che impone una revisione rigorosa delle procedure di pubblicazione online.

La vicenda: cosa è successo a Reggio Emilia

La sanzione è scaturita dal ricorso presentato dal professor Carmine Iannicelli, all'epoca dei fatti in servizio presso l'Istituto d'Istruzione Superiore "Scaruffi-Levi-Tricolore" di Reggio Emilia. Il docente ha segnalato al Garante la diffusione sul sito web istituzionale della scuola di documenti amministrativi contenenti informazioni personali non protette, accessibili a chiunque tramite una semplice ricerca online.

A seguito dell'istruttoria, l'Ufficio del Garante per la protezione dei dati personali, attraverso lo specifico provvedimento di ingiunzione n. 343 del 15 settembre 2022, ha accertato la violazione delle norme del Regolamento UE 2016/679 (GDPR) e del Codice della Privacy italiano. La scuola ha dovuto rispondere della diffusione incontrollata di dati che, per legge, avrebbero dovuto rimanere riservati o essere pubblicati esclusivamente in forma anonima o pseudonimizzata.

Cosa si può pubblicare online? Le regole per le scuole

Le scuole sono tenute a rispettare il principio di "minimizzazione dei dati", secondo cui possono essere trattati e pubblicati solo i dati strettamente necessari per raggiungere le finalità istituzionali. La trasparenza amministrativa non può mai tradursi in una violazione della riservatezza dei lavoratori o degli studenti.

Ecco una sintesi delle regole principali da seguire per la pubblicazione di graduatorie, decreti e atti sull'albo pretorio online:

  • Dati anagrafici essenziali: Nelle graduatorie d'istituto o nei decreti di assegnazione è consentito inserire nome, cognome, punteggio e posizione in graduatoria.
  • Divieto assoluto per i dati sensibili: Non devono mai essere pubblicati dati relativi allo stato di salute (ad esempio, i riferimenti alla Legge 104/92, patologie o permessi medici), dati giudiziari o opinioni sindacali e politiche.
  • Dati personali eccedenti: Devono essere sempre oscurati il codice fiscale, l'indirizzo di residenza, il numero di telefono privato e l'indirizzo email personale del dipendente.
  • Limitazione temporale: I documenti devono rimanere online solo per il tempo strettamente necessario previsto dalla legge (solitamente 15 giorni per l'albo pretorio), dopodiché devono essere rimossi o resi inaccessibili ai motori di ricerca.

Cosa rischiano le scuole e come evitare sanzioni

Le sanzioni pecuniarie irrogate dal Garante della Privacy gravano direttamente sul bilancio dell'istituzione scolastica, con il rischio di configurare anche un danno erariale per il dirigente scolastico in caso di dolo o colpa grave. Oltre al danno economico, vi è un evidente contraccolpo d'immagine per l'istituto.

Per prevenire queste situazioni, i dirigenti scolastici devono assicurarsi che il personale di segreteria riceva una formazione periodica e adeguata sulla protezione dei dati. Prima di caricare qualsiasi file in formato PDF sull'albo online, è necessario effettuare un controllo preventivo (il cosiddetto "redacting") per verificare che tutte le informazioni sensibili o eccedenti siano state rimosse o permanentemente oscurate, ricordando che la semplice copertura del testo con un rettangolo nero non è sufficiente se il testo sottostante rimane selezionabile e copiabile.