Una distrazione può trasformarsi in una violazione del GDPR
Basta un clic sbagliato nel registro elettronico per esporre informazioni personali di uno studente a soggetti che non avrebbero dovuto conoscerle.
È quanto accaduto in una scuola italiana, sanzionata dal Garante per la protezione dei dati personali dopo che una nota disciplinare destinata a un solo alunno è stata resa visibile, per errore, all’intera classe e alle rispettive famiglie.
Con il provvedimento dell’11 giugno 2026, l’Autorità ha ribadito un principio molto importante: anche un errore materiale può costituire una violazione della normativa sulla protezione dei dati personali quando determina la comunicazione di informazioni a soggetti non autorizzati.
Cosa è successo
Il caso riguarda un docente che aveva inserito una comunicazione relativa a uno studente all’interno dell’Agenda del registro elettronico.
Per un errore nelle impostazioni di visualizzazione, la nota non è rimasta riservata allo studente interessato e alla sua famiglia, ma è risultata consultabile anche dai compagni di classe e dai rispettivi genitori.
Registro elettronico Garante 07 07 26 MP.pdf
Non si è trattato quindi di una diffusione pubblica sul web, ma di una comunicazione a un numero limitato di persone appartenenti alla comunità scolastica.
Questo, tuttavia, non è stato sufficiente a escludere la violazione del GDPR.
Perché il Garante ha ritenuto illecito il trattamento
Secondo il Garante, la possibilità che dati personali siano conosciuti da persone non autorizzate costituisce una comunicazione illecita di dati personali, indipendentemente dal numero dei destinatari.
Nel caso specifico, le informazioni riguardavano inoltre un minore, categoria che il Regolamento europeo considera meritevole di una tutela particolarmente elevata.
Registro elettronico Garante 07 07 26 MP.pdf
Il principio è semplice:
ogni informazione disciplinare o personale deve essere accessibile esclusivamente ai soggetti che hanno titolo a conoscerla.
L’errore è del docente, ma la responsabilità resta della scuola
L’istituto scolastico ha spiegato che si era trattato di un errore accidentale nell’utilizzo del registro elettronico.
La nota è stata immediatamente rimossa e la scuola ha adottato alcune misure correttive, tra cui:
formazione specifica del docente;
verifica delle competenze sull’utilizzo del registro elettronico;
interventi organizzativi per ridurre il rischio di nuovi errori.
Tuttavia, il Garante ha ricordato un principio fondamentale del GDPR.
Il titolare del trattamento è l’istituzione scolastica e non il singolo docente.
Di conseguenza, la scuola rimane responsabile anche quando la violazione deriva dalla negligenza o dall’errore di un proprio dipendente.
Il richiamo della Corte di Giustizia dell’Unione europea
Nel provvedimento viene richiamata anche la sentenza della Corte di Giustizia dell’Unione europea (causa C-741/21 dell’11 aprile 2024).
La Corte afferma che spetta al titolare del trattamento assicurarsi che le istruzioni impartite ai propri dipendenti siano correttamente applicate.
In altre parole, una scuola non può evitare la propria responsabilità limitandosi ad affermare che l’errore è stato commesso da un docente.
Registro elettronico Garante 07 07 26 MP.pdf
Comunicazioni scolastiche: attenzione ai dati personali
Il provvedimento contiene un richiamo che interessa tutte le istituzioni scolastiche.
Ogni comunicazione rivolta a gruppi di utenti deve essere attentamente verificata prima della pubblicazione.
Occorre evitare che vengano inseriti dati personali capaci di identificare studenti coinvolti in:
procedimenti disciplinari;
situazioni familiari;
vicende sanitarie;
problematiche personali;
altre circostanze che potrebbero incidere sulla loro riservatezza.
Registro elettronico Garante 07 07 26 MP.pdf
Il diritto delle famiglie a essere informate deve sempre essere bilanciato con il diritto degli studenti alla protezione dei propri dati personali.
La sanzione
Il Garante ha dichiarato illecito il trattamento dei dati personali effettuato dalla scuola e ha applicato una sanzione amministrativa di 1.000 euro.
Registro elettronico Garante 07 07 26 MP.pdf
Nel determinare l’importo, l’Autorità ha considerato diversi elementi attenuanti:
la violazione ha riguardato un solo studente;
la scuola aveva dimensioni contenute;
la visibilità della nota è stata limitata nel tempo;
il contenuto è stato rimosso rapidamente;
l’istituto ha collaborato con il Garante;
non risultavano precedenti violazioni;
sono state adottate misure formative e organizzative dopo l’accaduto.
Registro elettronico Garante 07 07 26 MP.pdf
Cosa possono imparare le scuole da questo provvedimento
Questo caso dimostra che il registro elettronico non è soltanto uno strumento didattico e amministrativo.
È un sistema che tratta quotidianamente dati personali, spesso riferiti a minori, e richiede quindi particolare attenzione.
Per ridurre il rischio di violazioni, ogni istituto dovrebbe:
formare periodicamente docenti e personale ATA sull’utilizzo del registro elettronico;
verificare le impostazioni di visibilità delle comunicazioni;
predisporre istruzioni operative scritte;
effettuare controlli periodici sul corretto utilizzo della piattaforma;
prevedere procedure per la gestione immediata degli errori e degli eventuali data breach.
La prevenzione rimane infatti lo strumento più efficace per tutelare sia gli studenti sia l’istituzione scolastica.
Per Dirigenti scolastici e DPO
Dal punto di vista organizzativo, questo provvedimento conferma che la conformità al GDPR non dipende esclusivamente dalla presenza di regolamenti o informative.
È necessario che il personale utilizzi correttamente gli strumenti informatici messi a disposizione dall’istituto.
Per questo motivo, la formazione continua, l’adozione di procedure operative e la verifica periodica delle competenze rappresentano misure di sicurezza essenziali, tanto quanto le misure tecniche implementate dal fornitore del registro elettronico.
Domande frequenti
La scuola è responsabile anche se l’errore è del docente?
Sì. Il titolare del trattamento è l’istituzione scolastica, che risponde anche degli errori commessi dal personale autorizzato.
È sufficiente che la nota sia visibile solo alla classe per evitare una violazione?
No. Anche la comunicazione dei dati a un gruppo limitato di soggetti non autorizzati costituisce una violazione del GDPR.
Qual è stata la sanzione?
Il Garante ha applicato una sanzione amministrativa di 1.000 euro, tenendo conto delle circostanze del caso concreto.
Come possono prevenire situazioni simili le scuole?
Attraverso formazione del personale, procedure operative, controlli sulle impostazioni del registro elettronico e verifiche periodiche sull’utilizzo corretto della piattaforma.