Casi & Pareri

Data di pubblicazione: 21/01/2020
Condividi
  • Assenze reiterate di un alunno e comunicazione alle autorità competenti...
  • Area Tematica: Alunni, alunni portatori di disabilità
    Argomenti: Alunni/assenze: collettive

    KEYWORDS

    #pbb #carabiniere #fascicolo #comandante #polizia #segnalazione #indagine #minore #abbandono #alunna #evadere

    Domanda

    Scuola secondaria di secondo grado.
    A seguito delle numerose assenze di un alunno nato in data xx/xx/20xx, come da prassi, la famiglia viene informata ripetutamente dal coordinatore di classe e, di seguito, il dirigente invia una comunicazione alla famiglia richiedendo un colloquio che viene tenuto. Nonostante ciò, il ragazzo continua ad assentarsi spesso e, considerato che già al xx ottobre xx ha cumulato xx ore di assenza la dirigente invia comunicazione al Sindaco, ai servizi sociali, ai carabinieri e alla famiglia con la quale sollecita di adottare i provvedimenti del caso.
    In data xx gennaio xx la scuola riceve da parte del Comandante della stazione dei carabinieri di competenza, a mezzo posta elettronica certificata, la seguente richiesta al fine di poter procedere con le indagini di p.g. relative alla nostra precedente comunicazione di fornire via mail copia de fascicolo relativo al minore xx"
    Il quesito è il seguente: può il dirigente inviare copia del fascicolo del minore, che intanto ha anche compiuto 16 anni, al Comandante dei Carabinieri senza che vi sia altra documentazione a suffragio della richiesta? E perché poi l'intero fascicolo dove sono contenuti dati di ogni genere? E' legittima tale richiesta? Qual è la corretta procedura che il dirigente deve intraprendere in casi del genere? Considerato che si è verificato un caso simile in cui un'assistente sociale chiede certificato di frequenza di un'alunna minorenne per la quale però il padre detiene la responsabilità genitoriale, quali documenti deve richiedere il dirigente per poter eventualmente procedere alla consegna del certificato ?
    Grazie



    Risposta

    Per quanto riguarda il primo caso, si rileva che la situazione di “disagio” è stata segnalata proprio dalla scuola di appartenenza del minore. La segnalazione è stata estesa anche ai carabinieri, che sono un organo di polizia giudiziaria, tenuto a reprimere i reati e, prima ancora, a svolgere le indagini volte ad accertarli. Il comando dei carabinieri ha quindi aperto un fascicolo di indagini di polizia giudiziaria ed è quindi corretto che proceda all’accertamento dei fatti, chiedendo anzitutto la collaborazione della scuola di appartenenza del minorenne (scuola che, si ricorda, ha effettuato la segnalazione). In questa prospettiva, l’istituzione scolastica deve collaborare evadendo la richiesta pervenuta, non essendovi dubbio alcuno circa la provenienza della stessa. Peraltro, non compete alla scuola di valutare quale documento possa assumere rilevanza ai fini dello svolgimento delle indagini di polizia giudiziaria. Concludendo, la richiesta dei carabinieri deve essere evasa, non potendo certo essere assimilata a un’istanza di accesso avanzata da un qualunque privato.

    Per quanto riguarda la seconda fattispecie (ossia la richiesta dell’assistente sociale), giova anzitutto evidenziare che l’assistente sociale non ha funzioni di polizia giudiziaria. Sennonché l’assistente sociale svolge un ruolo fondamentale di supporto, assistenza e consulenza in situazioni di disagio. Il quesito non precisa in quale contesto sia pervenuta la richiesta del certificato di frequenza; non è ben chiaro, ad esempio, se l’assistente sia stato allertato proprio dalla scuola, oppure abbia agito di propria iniziativa alla luce di segnalazioni provenienti da terzi. Fatto si è che, ai sensi dell’art.9, comma 1, della legge n.184/1983, “Chiunque” (quindi anche la scuola) “ha facoltà di segnalare all'autorità pubblica situazioni di abbandono di minori di età. I pubblici ufficiali, gli incaricati di un pubblico servizio, gli esercenti un servizio di pubblica necessità debbono riferire al più presto al procuratore della Repubblica presso il tribunale per i minorenni del luogo in cui il minore si trova sulle condizioni di ogni minore in situazione di abbandono di cui vengano a conoscenza in ragione del proprio ufficio”. Premesso che la situazione di abbandono è un concetto relativo (e, talvolta, evoca anche quello di pregiudizio), non si vedono ragioni per non collaborare con l’assistente sociale, posto che, a tutto concedere, le informazioni sulla frequenza scolastica non recano dati personali di natura sensibile. Dopo di che (e sempre che la richiesta dell’assistente non sia conseguenza di una specifica segnalazione della scuola), in caso di dubbio, è sempre possibile chiedere in forma scritta di esplicitare le ragioni della propria richiesta.

    I contenuti di questo sito sono riservati; non è ammessa la loro ulteriore comunicazione, diffusione o pubblicazione (a titolo esemplificativo e non esaustivo, la diffusione su altri siti internet o attraverso testate giornalistiche) se non dietro esplicita autorizzazione della Direzione.

    Approfondimenti

    Sentenza 10/03/2025 n° 332
    Area: Giurisprudenza

  • Accesso agli atti scolastici ai genitori senza affidamento: la scuola deve consegnare i documenti al genitore se servono per il benessere psicofisico del minore. - T.A.R. VENETO - Sezione Quarta
  • 1. In materia di accesso agli atti, il diniego di accesso non può essere disposto oltre i casi in cui risulta espressamente previsto, tra i quali non figura l’ipotesi di decadenza della responsabilità genitoriale, soprattutto quando è in gioco il superiore interesse del minore e il diritto di difesa di un genitore in sede giudiziaria. 2. Pertanto, in assenza di una specifica preclusione normativa e in presenza di un documentato diritto di difesa anche connesso al superiore interesse del minore, il genitore ha diritto ad accedere alla documentazione richiesta, con le dovute cautele per la tutela dei dati sensibili. Nel caso di specie, una madre alla quale era stato tolto l’affidamento del figlio ormai da oltre tre anni aveva domandato la copia di tutta la documentazione scolastica relativa al minore. La madre, coinvolta in un procedimento civile per contestare quello un illecito allontanamento coatto, aveva chiesto all’istituto comprensivo frequentato dal figlio pagelle, verifiche, verbali e registro delle assenze degli ultimi tre anni. Tali documenti erano necessari per supportare la propria posizione processuale, sottolineando come il rendimento scolastico e le condizioni psicofisiche del bambino si fossero aggravate dopo l’allontanamento. Il dirigente scolastico aveva respinto la richiesta, motivando il diniego con la decadenza dalla responsabilità genitoriale della madre: la donna non era quindi più legittimata secondo la scuola a ricevere i documenti.

    KEYWORDS

    #accesso agli atti amministrativi#genitori: responsabilità genitoriale#privacy e trattamento dei dati personali#trasparenza amministrativa#accesso civico

    Sentenza 17/10/2024 n° 26938
    Area: Giurisprudenza

  • La Cassazione ribadisce i principi di tempestività e specificità della contestazione disciplinare nel caso di un dipendente indagato per falsa attestazione di presenza in servizio - Corte di Cassazione - Lavoro
  • In tema di pubblico impiego contrattualizzato, ai fini della decorrenza del termine perentorio previsto per la conclusione del procedimento disciplinare dall'acquisizione della notizia dell'infrazione (ex art. 55- bis, comma 4, del D.Lgs. n. 165 del 2001), assume rilievo esclusivamente il momento in cui tale acquisizione, da parte dell'ufficio competente regolarmente investito del procedimento, riguardi una "notizia di infrazione" di contenuto tale da consentire allo stesso di dare, in modo corretto, l'avvio al procedimento disciplinare, nelle sue tre fasi fondamentali della contestazione dell'addebito, dell'istruttoria e dell'adozione della sanzione. La contestazione è legittima, sotto il profilo della tempestività, se l’Amministrazione avvia il procedimento entro trenta giorni dalla comunicazione, da parte dell’Autorità Giudiziaria, della sottoposizione agli arresti domiciliari di un suo dipendente. La contestazione dell'addebito ha lo scopo di consentire al lavoratore incolpato l'immediata difesa e deve, conseguentemente, rivestire il carattere della specificità, senza l'osservanza di schemi prestabiliti e rigidi, purché siano fornite al lavoratore le indicazioni necessarie ed essenziali per individuare, nella sua materialità, il fatto o i fatti addebitati. Ne consegue la piena ammissibilità della contestazione "per relationem", mediante il richiamo agli atti del procedimento penale instaurato a carico del lavoratore, per fatti e comportamenti rilevanti anche ai fini disciplinari, ove le accuse formulate in sede penale siano a conoscenza dell'interessato risultando rispettati, anche in tale ipotesi, i principi di correttezza e garanzia del contraddittorio. Affinchè si realizzi la fattispecie di rilievo disciplinare della falsa attestazione di presenza in servizio ai sensi del D.Lgs. n. 165 del 2001, art. 55 quater, lett. a), non è richiesta necessariamente un'attività materiale di alterazione o manomissione del sistema di rilevamento delle presenze in servizio; la condotta deve, però, essere oggettivamente idonea ad indurre in errore il datore di lavoro, sicché anche l'allontanamento dall'ufficio, non accompagnato dalla necessaria timbratura, integra una modalità fraudolenta, diretta a rappresentare una situazione apparente diversa da quella reale. Nel caso di mancata registrazione delle uscite interruttive del servizio, la tipizzazione della sanzione prevista per la falsa attestazione non determina alcun automatismo espulsivo. L’Amministrazione può quindi valutare se comminare il licenziamento o una sanzione meno grave, rimanendo affidata al giudice di merito la verifica della proporzionalità e dell'adeguatezza del provvedimento disciplinare. (Dal punto di vista della tempestività della contestazione degli addebiti e dell’individuazione del momento in cui è pervenuta la “notizia di infrazione” all’Amministrazione procedente, la Corte ha ritenuto corretto aver atteso la conclusione delle indagini sui dipendenti da parte delle competenti autorità. La mera richiesta effettuata dall’Autorità Giudiziaria alla Procura di compiere le indagini non sarebbe stata, infatti, sufficiente a consentire la formulazione di precise contestazioni, non conoscendosi l'esito delle attività di controllo poste in essere. I Giudici hanno, inoltre, riconosciuto come sufficientemente specifica una contestazione contenente richiami alla nota della Procura della Repubblica in quanto quest’ultima era materialmente allegata alla lettera e conteneva una specifica indicazione di tutti gli episodi oggetto di accertamento).

    KEYWORDS

    #personale dipendente: licenziamento o risoluzione del rapporto di lavoro#personale dipendente: procedimento e sanzioni disciplinari

    10/07/2025 n° 387
    Area: Prassi, Circolari, Note

  • Garante per la protezione dei dati personali - Ordinanza - Pubblicare in chiaro i dati delle istanze di accesso agli atti integra illecito trattamento di dati
  • [doc. web n. 10167956]

    Provvedimento del 10 luglio 2025

    Registro dei provvedimenti
    n. 387 del 10 luglio 2025

    IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

    NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, segretario generale reggente;

    VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27/4/2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

    VISTO il d. lgs. 30/6/2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

    VISTO il provvedimento generale n. 243 del 15/5/2014 recante le «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati», pubblicato in G.U. n. 134 del 12/6/2014 e in www.gpdp.it, doc. web n. 3134436 (di seguito “Linee guida in materia di trasparenza”);

    VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

    VISTA la documentazione in atti;

    VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

    Relatore il dott. Agostino Ghiglia;

    PREMESSO

    1. Introduzione

    Questa Autorità ha aperto un’istruttoria nei confronti del Comune di Langhirano a seguito di una segnalazione in ordine a una violazione della normativa in materia di protezione dei dati personali derivante dalla diffusione di dati personali sul sito web istituzionale del predetto Comune. 

    Nello specifico, dalla verifica preliminare effettuata dall’Ufficio, è emerso che sul sito istituzionale del Comune di Langhirano, nella sezione «Amministrazione trasparente», nell’area «Altri contenuti»/«Accesso civico», era possibile accedere a una pagina web (https://...) in cui erano presenti i seguenti file intitolati:

    1.  «Esito accesso atti XX - XX», contenente il registro delle richieste accesso agli atti riferite a 148 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https://...);

    2. «Accessi anno XX», contenente il registro delle richieste accesso agli atti riferite a 258 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https://...);

    3. «Accessi anno XX», contenente il registro delle richieste accesso agli atti riferite a 359 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https:...);

    4. «Accessi anno XX», contenente il registro delle richieste accesso agli atti riferite a 213 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https://...);

    5. «Accessi anno XX», contenente il registro delle richieste accesso agli atti riferite a 216 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https://...);

    6. «Accessi anno XX», contenente il registro delle richieste accesso agli atti riferite a 194 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https://...);

    7. «Accessi anno XX», contenente il registro delle richieste accesso agli atti riferite a 67 istanze, con specifica indicazione dei seguenti dati: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito (url: https://...).

    I citati documenti contenevano nel campo oggetto e mittente dati e informazioni personali, con specifica indicazione del nominativo del soggetto che ha effettuato la richiesta di accesso e della descrizione di quanto domandato con indicazione in molti casi dei dati personali dei soggetti cui si riferiscono gli atti richiesti. Solo per fare alcuni esempi, al riguardo, è emerso che nel campo oggetto era riportato: «richiesta diritto di accesso ai documenti relativi all’immobile posto XX di proprietà XX»; «accesso pratiche edilizie: XX e nominativo dell’intestatario della pratica XX»; ecc.). 

    2. La normativa in materia di protezione dei dati personali

    Ai sensi della disciplina in materia, «dato personale» è «qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)» e «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (art. 4, par. 1, n. 1, del RGPD).

    I soggetti pubblici, come il Comune, possono diffondere «dati personali» nel rispetto della disciplina in materia di protezione dei dati personali (art. 2-ter, commi 1 e 3, del Codice) e – in ogni caso – del principio di «minimizzazione», in base al quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (art. 5, par. 1, lett. c, del RGPD). 

    Quanto al registro degli accessi, l’Autorità Nazionale Anticorruzione (ANAC) – nelle proprie Linee guida adottate d’intesa con il Garante – ha indicato la possibilità che venga istituito il predetto registro presso gli enti, specificando al contempo che il «registro contiene l’elenco delle richieste con l’oggetto e la data e il relativo esito con la data della decisione ed è pubblicato, oscurando i dati personali eventualmente presenti, e tenuto aggiornato almeno ogni sei mesi nella sezione Amministrazione trasparente, “altri contenuti – accesso civico” del sito web istituzionale» (par. 9, Determinazione n. 1309 del 28/12/2016 recante le «Linee guida recanti indicazioni operative ai fini della definizione delle esclusioni e dei limiti all’accesso civico di cui all’art. 5 co. 2 del d.lgs. 33/2013», in G.U. n. 7 del 10/1/2017 e in https://www.anticorruzione.it/-/determinazione-n.-1309-del-28/12/2016-rif.-1. Del medesimo tenore anche il par. 8.2.b. della Circolare del Ministro per la pubblica amministrazione n. 1 del 2019, recante «Attuazione delle norme sull’accesso civico generalizzato (c.d. FOIA)», in http://www.funzionepubblica.gov.it/sites/funzionepubblica.gov.it/files/Circolare_FOIA_n_1_2019.pdf).

    Peraltro, occorre tenere in considerazione che la stessa disciplina statale in materia di trasparenza prevede espressamente che «Le pubbliche amministrazioni possono disporre la pubblicazione nel proprio sito istituzionale di dati, informazioni e documenti che non hanno l’obbligo di pubblicare ai sensi del presente decreto o sulla base di specifica previsione di legge o regolamento, nel rispetto dei limiti indicati dall’articolo 5-bis, procedendo alla indicazione in forma anonima dei dati personali eventualmente presenti» (art. 7-bis, comma 3, del d. lgs. n. 33 del 14/3/2013).

    3. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

    Dalle verifiche compiute sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio con nota prot. n. XX del XX ha accertato che il Comune di Langhirano – diffondendo i dati e le informazioni personali prima descritti inseriti nei registri degli accessi pubblicati online – ha tenuto una condotta non conforme alla disciplina rilevante in materia di protezione dei dati personali contenuta nel RGPD. Pertanto, con la medesima nota sono state notificate al predetto Comune le violazioni effettuate (ai sensi dell’art. 166, comma 5, del Codice), comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, par. 2, del RGPD e invitando l’amministrazione a far pervenire al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentita da questa Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981). 

    4. Memorie difensive.

    Il Comune di Langhirano, con la nota prot. n. XX del XX, ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate.

    Al riguardo, si ricorda che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice, intitolato «Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante».

    Nello specifico, quanto alla condotta tenuta, l’amministrazione ha evidenziato, fra l’altro che:

    - «Lo schema del registro accessi è stato predisposto nel XX dall’Amministrazione Comunale in ottemperanza agli adempimenti normativi in materia. L’ente pertanto si considera in perfetta buona fede ritenendo che detta predisposizione rappresentasse un congruo bilanciamento di interessi tra esigenze di pubblicità e riservatezza»

    - «Si evidenzia pertanto che la pubblicazione del dato sia esclusivamente frutto di un’interpretazione ampia del principio di trasparenza anche il relazione al dibattito politico-culturale sul tema di quegli anni»;

    - «Si evidenzia inoltre che non sono comunque in generale presenti dati ulteriori quali codice fiscale, indirizzo di residenza, numero civico, luogo, data di nascita o comunque elementi che possano identificare la persona fisica in maniera certa ed incontrovertibile»;

    - «i dati pubblicati nella sezione di amministrazione trasparente afferenti il registro degli accessi, sono stati immediatamente rimossi dal gestionale in attesa degli sviluppi del caso»;

    - non «sono mai pervenute segnalazioni, reclami o doglianze in generale» e non «risulta che da parte degli interessati siano mai state esercitate azioni volte alla tutela dei loro diritti […]»;

    - «tutti i dati sono da ritenersi comuni eccezion fatta per un solo accesso afferente l’anno XX protocollo n.XX nel quale sono presenti categorie particolari di dati anche se, stante la casella “oggetto” e “mittente” si può addivenire solo in via indiretta a desumere una condizione relativa allo stato di salute di un soggetto. Cionondimeno per tutti i dati inseriti nelle tabelle non sono comunque presenti dati ulteriori come codice fiscale, indirizzo di residenza, numero civico, luogo e data di nascita. Non c’è altresì in generale coincidenza tra mittente ed oggetto e la mera indicazione di nome e cognome, non pare di per sé sufficiente ad identificare in maniera univoca il soggetto».

    5. Valutazioni del Garante

    La questione oggetto del caso sottoposto all’attenzione del Garante riguarda la diffusione di dati e informazioni personali, contenuti nei registri delle richieste accesso agli atti (anni XX) pubblicati online (di cui ai file identificati supra ai nn. 1-7 del par. 1).

    I citati documenti contenevano nel campo oggetto e mittente dati e informazioni personali di centinaia di istanze con specifica indicazione di: data e numero di protocollo, oggetto, classificazione, mittente, destinatario, tipologia di accesso (documentale o civico), esito. In particolare, è stata lasciato in chiaro il nominativo del soggetto che ha effettuato la richiesta di accesso e la descrizione di quanto domandato con indicazione in molti casi dei dati personali dei soggetti cui si riferiscono gli atti richiesti (es: «richiesta diritto di accesso ai documenti relativi all’immobile posto in XX di proprietà XX»; «accesso pratiche edilizie: XX e nominativo dell’intestatario della pratica XX»; ecc.). 

    Al riguardo, occorre evidenziare in via preliminare che la pubblicazione online nella sezione “Amministrazione trasparente” del sito web istituzionale (con conseguente indicizzazione nei motori di ricerca generalisti come Google) della circostanza di avere effettuato una richiesta di accesso presso un ente pubblico oppure quella riguardante il fatto che un soggetto abbia richiesto dati e informazioni riguardanti un terzo comporta la conoscenza generalizzata (tramite la diffusione) di informazioni di natura personale, che i soggetti interessati, per i motivi più vari, potrebbero non volere portare a conoscenza di soggetti estranei alla propria sfera personale e familiare, determinando una un’interferenza ingiustificata e sproporzionata nei relativi diritti e libertà. 

    Nell’ambito dell’istruttoria aperta al riguardo da questa Autorità, il Comune ha confermato, nelle proprie memorie difensive, l’avvenuta diffusione online dei dati personali descritti in assenza di una idonea base giuridica, riconducendo la propria condotta a «un’interpretazione ampia del principio di trasparenza anche il relazione al dibattito politico-culturale sul tema […]». 

    La ricostruzione offerta dall’ente chiarisce alcuni punti della questione ed è sicuramente utile ai fini della valutazione della condotta, ma non appare idonea a superare i rilievi critici mossi dall’Ufficio. 

    Si ricorda infatti che – per il rispetto del principio di trasparenza amministrativa delle pp.aa. di cui all’art. 1, comma 1, del d. lgs. n. 33/2013 – nessuna norma di settore prevede un obbligo di pubblicazione dei dati personali di coloro che hanno effettuato accessi ad atti e documenti oppure dei soggetti cui si riferiscono gli atti richiesti. A ciò si aggiunge che l’istituzione presso ogni amministrazione del registro delle richieste di accesso, oltre a essere solo raccomandato nelle Linee guida di ANAC e nella Circolare del Ministro per la pubblica amministrazione prima citate (cfr. supra par. 2), non implica come necessaria e proporzionata anche l’operazione di diffusione online dei dati personali/nominativi di coloro che hanno effettuato le richieste di accesso e dei soggetti a cui i documenti si riferiscono. Nelle citate Linee guida di ANAC è, infatti, specificamente riportato che è sufficiente inserire «l’elenco delle richieste con l’oggetto e la data e il relativo esito con la data della decisione», avendo cura – in sede di pubblicazione – di «oscura[re] i dati personali eventualmente presenti». Molto chiara, in tal senso, è anche la Circolare del Ministro per la pubblica amministrazione, laddove – sempre con riferimento alla compilazione del registro degli accessi – è analogamente raccomandato che «ciascuna amministrazione indicherà gli estremi delle richieste ricevute e il relativo esito, omettendo la pubblicazione di dati personali eventualmente presenti» (par. 8.2.b).

    L’ampia interpretazione del principio di trasparenza sostenuta dal Comune non può quindi giustificare la diffusione di dati personali online, in quanto non soddisfa nessuno dei presupposti di liceità previsti dall’art. 2-ter del Codice. La condotta posta in essere risulta peraltro in contrasto con quanto previsto dall’art. 7-bis, comma 3, del d. lgs. n. 33/2013, che prevede effettivamente la possibilità che le pp.aa. possano pubblicare sul sito web istituzionale dati, informazioni e documenti che non hanno l’obbligo di pubblicare sulla base di specifica previsione di legge o regolamento, ma sempre «procedendo alla indicazione in forma anonima dei dati personali eventualmente presenti». La diffusione dei dati personali descritti e oggetto di contestazione non è, inoltre, conforme alle indicazioni contenute nelle Linee guida dell’ANAC in materia e nella Circolare del Ministro per la pubblica amministrazione, che indicano chiaramente la necessità di procedere all’oscuramento dei dati personali presenti nel Registro degli accessi, fra cui sono compresi anche i nominativi dei soggetti istanti e di coloro cui si riferiscono i documenti richiesti. 

    Analogamente, non può essere accolta l’eccezione sollevata dal Comune secondo la quale non vi sarebbe stata una violazione della disciplina in materia di protezione dei dati personali, in quanto – tenendo conto della circostanza che non sono stati diffusi accanto al nominativo dei soggetti interessati anche «dati ulteriori quali codice fiscale, indirizzo di residenza, numero civico, luogo, data di nascita» – non sarebbero stati diffusi «elementi che possano identificare la persona fisica in maniera certa ed incontrovertibile». Tale tesi è in contrasto con la disciplina europea in materia secondo la quale «dato personale» è, come detto, qualsiasi informazione riguardante una persona fisica identificata o identificabile e si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come, fra l’altro, proprio il «nome» (art. 4, par. 1, n. 1, del RGPD). Nel caso in esame, dall’istruttoria è emerso che il Comune ha pubblicato online proprio i nomi e cognomi dei soggetti interessati (soggetti che hanno effettuato l’accesso e talvolta anche soggetti a cui i documenti si riferiscono) contenuti nei registri degli accessi, ossia dati che identificano direttamente persone fisiche e rientrano, pertanto, sicuramente nella ricordata definizione di «dato personale» (indipendentemente dalla circostanza che siano accompagnati da ulteriori informazioni come codice fiscale, indirizzo di residenza, luogo e data di nascita).

    Per altro verso, si rileva che, per stessa ammissione del Comune in almeno un procedimento i dati personali diffusi erano idonei a rivelare indirettamente anche la condizione di salute del soggetto interessato (art. 9 del RGPD), come nel caso della richiesta di accesso anno XX protocollo n. XX, avente a oggetto lo «stato pratica devoluzione contributo per rimozione barriere architettoniche - domanda presentata dalla sig.ra XX», con la conseguente violazione anche del divieto di diffusione di dati relativi alla salute previsto dall’art. 2-septies, comma 8, del Codice.

    6. Esito dell’istruttoria relativa al reclamo presentato

    Le circostanze evidenziate negli scritti difensivi del Comune, esaminate nel loro complesso, anche se sicuramente meritevoli di considerazione ai fini della valutazione della condotta, non risultano sufficienti a consentire l’archiviazione del presente procedimento. Ciò in quanto, nel caso in esame, non ricorre alcuna delle ipotesi previste dall’art. 11 del Regolamento del Garante n. 1/2019. 

    In tale quadro, si confermano le valutazioni preliminari dell’Ufficio con la nota prot. n. XX del XX e si rileva – conformemente ai precedenti di questa Autorità in materia (provv. n. XX del XX, in www.gpdp.it, doc. web n. 9784482; n. 281 del 22/7/2021, ivi, doc. web n. 9696645) – che il trattamento di dati personali effettuato dal Comune di Langhirano non è conforme alla disciplina rilevante in materia di protezione dei dati personali, in quanto la diffusione dei dati personali prima descritti contenuti nei registri delle richieste accesso agli atti (anni XX) pubblicati online (di cui ai file identificati supra ai nn. 1-7 del par. 1) è avvenuta in violazione:

    1)  delle disposizioni contenute dell’art. 2-ter, commi 1 e 3, del Codice; dell’art. 7-bis, comma 3, del d. lgs. n. 33/2013; dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del RGPD; nonché delle indicazioni contenute al riguardo nelle Linee guida dell’ANAC e nella Circolare del Ministro per la pubblica amministrazione (sopra richiamate al par. 2);

    2) del principio di «minimizzazione» dei dati, che non sono risultati «limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (ossia la trasparenza amministrativa), previsto dall’art. 5, par. 1, lett. c), del RGPD;

    3) del divieto di diffusione dei dati sulla salute dei soggetti interessati, previsto dall’art. 2-septies, comma 8, del Codice (cfr. anche l’art. 9, parr. 1, 2 e 4, del RGPD).

    Considerato, tuttavia, che la condotta ha esaurito i suoi effetti, in quanto il titolare del trattamento ha dichiarato di aver provveduto a rimuovere i dati personali oggetto di contestazione dell’Ufficio dal sito web istituzionale, fermo restando quanto si dirà sull’applicazione della sanzione amministrativa pecuniaria, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del RGPD.

    7. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 del RGPD) 

    Il Comune di Langhirano risulta aver violato gli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b); 9, parr. 1, 2 e 4 del RGPD nonché gli artt. 2-ter, commi 1 e 3; 2-septies, comma 8, del Codice (cfr. anche artt. 7-bis, comma 3, del d. lgs. n. 33/2013).

    Al riguardo, l’art. 83, par. 3, del RGPD, prevede che «Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave». 

    Nel caso di specie, la violazione delle disposizioni citate – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del RGPD, che si applica pertanto al caso in esame. 

    Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del RGPD, nonché dell’art. 166 del Codice, ha il potere correttivo di «infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso». In tale quadro, «il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice» (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

    La predetta sanzione amministrativa pecuniaria inflitta in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del RGPD.

    In tal senso, quanto all’illecita diffusione online di dati personali si tiene conto del fatto che la stessa ha avuto a oggetto la diffusione online di dati personali in un caso anche idonei a rivelare lo stato di salute (art. 9 del RGPD), riferiti a diverse centinaia di persone (soggetti che hanno effettuato l’accesso e talvolta anche soggetti a cui i documenti si riferiscono, contenuti nei registri nei registri degli accessi anni XX) mantenuti sul sito web istituzionale almeno fino data dell’invio delle memorie difensive del Comune (aprile XX). Tale condotta deriva in ogni caso – secondo quanto dichiarato dal Comune – da un’ampia interpretazione del principio di trasparenza e risulta quindi essere di natura evidentemente colposa. 

    Si ritiene pertanto che, nel caso di specie, il livello di gravità della condotta tenuta dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23/5/2023, punto 60).

    Ciò premesso, oltre a tener conto della circostanza che il Comune di Langhirano è un ente di medie dimensioni (con poco più di 10.000 abitanti), si prendono in considerazione anche le seguenti circostanze attenuanti:

    - il titolare del trattamento, a seguito della richiesta dell’Ufficio è intervenuto tempestivamente, collaborando con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alle violazioni, attenuandone i possibili effetti negativi, dichiarando, a tal fine, che la condotta è cessata avendo provveduto a rimuovere i dati dal sito web istituzionale;

    - il titolare del trattamento ha dichiarato di non aver in ogni caso ricevuto segnalazioni, reclami o richieste di esercizio dei diritti da parte dei soggetti interessati;

    - non risultano precedenti violazioni del RGPD pertinenti commesse dall’ente.

    In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, parr. 2 e 3, del RGPD l’ammontare della sanzione pecuniarie, prevista dall’art. 83, par. 5, del RGPD, nella misura di euro 12.000,00 (dodicimila) per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b); 9, parr. 1, 2 e 4; del RGPD; nonché gli artt. 2-ter, commi 1 e 3; 2-septies, comma 8, del Codice (cfr. anche artt. 7-bis, comma 3, del d. lgs. n. 33/2013), quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo RGPD.

    In relazione alle specifiche circostanze del presente caso, riguardanti la diffusione di dati personali online, anche relativi alla salute, in assenza di una idonea base normativa (art. 2-ter, commi 1 e 3, del Codice), si ritiene altresì che debba essere applicata la sanzione accessoria della pubblicazione del presente provvedimento sul sito Internet del Garante, prevista dall’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

    Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

    TUTTO CIÒ PREMESSO IL GARANTE

    rilevata l’illiceità del trattamento effettuato dal Comune di Langhirano nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i), e 83 del RGPD, e dell’art. 144 del Codice, per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b); 9, parr. 1, 2 e 4; del RGPD, nonché degli artt. 2-ter, commi 1 e 3; 2-septies, comma 8, del Codice;

    ORDINA 

    al Comune di Langhirano, in persona del legale rappresentante pro-tempore, con sede legale in P.zza Giacomo Ferrari, 1 - 43013 Langhirano (PR) – C.F. 00183800341 di pagare la somma di € 12.000,00 (dodicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione; 

    INGIUNGE

    al medesimo Comune di pagare la somma di euro € 12.000,00 (dodicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

    Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

    DISPONE

    - la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019; 

    - l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del RGPD con il presente provvedimento, come previsto dall’art. 17 del Regolamento del Garante n. 1/2019.

    Ai sensi dell’art. 78 del RGPD, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

    Roma, 10 luglio 2025

    IL PRESIDENTE
    Stanzione

    IL RELATORE
    Ghiglia

    IL SEGRETARIO GENERALE REGGENTE
    Filippi

    KEYWORDS

    #privacy e trattamento dei dati personali#trasparenza amministrativa#accesso civico

    13/11/2025 n° 667
    Area: Prassi, Circolari, Note

  • Garante per la protezione dei dati personali - Ordinanza - E’ illecita la condotta della scuola che, nell’ambito di un progetto indetto dalla Regione, fornisca a soggetti esterni alla scuola dati degli studenti
  • [doc. web n. 10209462]

    Provvedimento del 13 novembre 2025

    Registro dei provvedimenti
    n. 667 del 13 novembre 2025

    IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

    NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il cons. Angelo Fanizza, segretario generale;

    VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

    VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

    VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

    Vista la documentazione in atti;

    Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

    Relatore la prof.ssa Ginevra Cerrina Feroni;

    PREMESSO

    1. Il reclamo.

    Con reclamo presentato all’Autorità dalla sig.ra XX è stato rappresentato che, in data XX, la figlia, frequentante la Scuola Secondaria di I grado “Martiri della Libertà” dell’Istituto "A. Brofferio" di Asti (AT) – ora denominato Istituto Comprensivo 4 di Asti (AT) - (di seguito, l’Istituto), avrebbe partecipato, durante l’orario scolastico, al progetto “Obiettivo Orientamento”, indetto dalla Regione Piemonte “per lo sviluppo di competenze orientative e per aiutare adolescenti e giovani a scegliere il proprio percorso nei vari cicli di studio e nelle prime fasi della vita professionale”.

    In base a quanto rappresentato il citato Istituto avrebbe fornito a soggetti esterni alla scuola “nomi, cognomi, date di nascita, indirizzi, codici fiscali e numeri di telefono di ogni ragazzo” e personale esterno all’Istituto, avrebbe somministrato ai ragazzi, nel corso del primo incontro di formazione, un questionario individuale, recante l’indicazione del nome e del cognome di ciascun alunno e contenente talune domande “volte a identificare nonché a profilare […] specifiche caratteristiche mentali, emotive e personali dei ragazzi”. Ciò senza che le famiglie fossero state “opportunamente e preventivamente” informate in merito alla somministrazione del questionario e avessero ricevuto “l’informativa specifica per il progetto Obiettivo Orientamento”.

    2. L’attività istruttoria.

    Con nota del XX (prot. n. XX) e del XX(prot. n. XX), rispondendo alle richieste di informazioni formulate dall’Autorità, l’Istituto ha rappresentato, in particolare, che:

    - “La Sig.ra XX, soggetto che ha presentato reclamo a codesta Autorità Garante, aveva già sottoposto via email allo scrivente istituto, in data XX, richiesta di chiarimenti circa il progetto "Obiettivo Orientamento", lamentando, in particolare, la mancanza di informativa rispetto al trattamento dei dati e, soprattutto, la mancata richiesta di preventivo consenso da parte dei genitori al trattamento dei dati personali […]”;

    - “l'Istituto, sentito il proprio DPO, rispondeva […] evidenziando, in particolare, i seguenti punti: il Titolare del trattamento, relativamente ai dati personali raccolti tramite questionario somministrato agli alunni, è la Regione Piemonte; la base giuridica del trattamento non è il consenso dell'interessato come indicato dalla

    Sig.ra XX bensì l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investita la Regione Piemonte che ha, tra i propri compiti istituzionali, quello di orientamento degli studenti; la scuola, tramite pubblicazione sul proprio sito, alla pagina  [...] ha messo a disposizione degli interessati l'informativa prodotta dalla Regione Piemonte circa il trattamento in esame”;

    - “il ruolo svolto dallo scrivente Istituto è stato quello, nell'ambito delle proprie finalità istituzionali educative e formative, di comunicare le informazioni richieste dalla Regione Piemonte, limitatamente ai dati indispensabili per l'erogazione del servizio, ad un soggetto pubblico (La Regione Piemonte), per le attività di orientamento, ai sensi di quanto previsto dal Decreto del Ministero dell'Istruzione del 7 dicembre 2006 n. 305 schede 4 e 5”;

    - “l'informativa circa il trattamento in esame è stata pubblicata sul sito istituzionale della Scuola […] Si evidenzia, inoltre, che la scuola, sempre sul proprio sito istituzionale, alla pagina genitori/tutori nella quale, in particolare, si evidenziano tra i possibili destinatari dei dati acquisiti dalla scuola, anche soggetti pubblici o privati finalità di orientamento”.

    - “Il ruolo svolto dallo scrivente Istituto nell'ambito del progetto “Obiettivo Orientamento” è quello di Titolare del Trattamento esclusivamente con riferimento al trattamento dati consistente nella comunicazione dei dati ad altro titolare del Trattamento (la Regione Piemonte) ai sensi di quanto disposto dall’art. 2-ter, comma 2, del d.lgs 196 del 2003 (Codice Privacy) e nel limite dei dati indispensabili per l'erogazione del servizio, da parte di un soggetto pubblico (La Regione Piemonte), per le attività di orientamento, ai sensi di quanto previsto dal Decreto del Ministero dell'Istruzione del 7 dicembre 2006 n. 305 schede 4 e 5”;

    - “l'articolo 2-ter Codice Privacy regolamenta la comunicazione di dati comuni fra titolari che effettuano trattamenti di dati personali, diversi da quelli ricompresi nelle particolari categorie e di quelli relativi a condanne penali e reati, per l'esecuzione di un compito di interesse pubblico e la ammette se prevista da una legge o di regolamento o da atti amministrativi generali; inoltre, anche se manca una precisa norma a monte, la comunicazione può avvenire se necessaria per l'adempimento di un compito svolto nel pubblico interesse”;

    - “la scuola non ha alcun ruolo nelle attività di trattamento di dati connesse alle finalità del progetto di orientamento (ad es. raccolta, consultazione, archiviazione, etc.)”.

    Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota del XX (prot. n. XX), all’Istituto, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett a) e 6 del Regolamento e dell’art. 2-ter del Codice invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

    L’Istituto ha fatto pervenire le proprie memorie difensive, con nota del XX (prot. n. XX), rappresentando, in particolare, che:

    - “il decreto del Ministero della Pubblica istruzione 7 dicembre 2006, n. 305 “nella scheda n° 5 allegata al decreto, indica tra le operazioni sui dati eseguibili “la comunicazione ai seguenti soggetti per le seguenti finalità: … b) agli Enti Locali per la fornitura dei servizi ai sensi del D. Lgsl. 31 marzo 1998, n. 112, limitatamente ai dati indispensabili all'erogazione del servizio””;

    - “si indicano, inoltre, quali riferimenti normativi l'articolo 22, comma 5, della legge 241/1990, che detta le regole della leale cooperazione istituzionale tra soggetti pubblici e l’art. 50 del CAD che afferma che: "qualunque dato trattato da una pubblica amministrazione,”;

    - “si evidenzia, inoltre, che l'articolo 2-ter del d.lgs 196 del 2003 (codice privacy) al commi 1-bis e 2 ammette la comunicazione dei dati tra titolari, anche se non previsto da una specifica legge o regolamento o da atti amministrativi generali, qualora lo stesso sia necessario per l'adempimento di un compito svolto nel pubblico interesse”;

    - “in tale ottica, si precisa che la Regione, in tema di orientamento, svolge un ruolo fondamentale in quanto ha come proprio compito l'attivazione di servizi di orientamento rientranti nelle finalità istituzionali e pertanto è legittimata al trattamento dei dati degli alunni finalizzato alla necessità di eseguire un compito di interesse pubblico”;

    - la “attività di orientamento [svolta dalla Regione] può essere  […]  considerata come di supporto all'attività didattica secondo le disposizioni delle leggi regionali e pertanto la scuola sarebbe legittimata a comunicare tali dati alla regione”;

    - “in particolare, la legge regionale del Piemonte 24 novembre 2023, n. 32 “, all’art. 1, comma 1, afferma infatti che “La Regione, nell’esercizio delle competenze di cui all’articolo 117 della Costituzione, nel rispetto dello Statuto regionale e nel quadro della programmazione europea e statale, definisce e disciplina il sistema integrato delle politiche relative allo sviluppo delle competenze, all’occupazione e all’inclusione sociale e dei servizi per l’orientamento permanente, la formazione professionale e il lavoro”;

    - “diversamente opinando, gli Istituti scolastici non potrebbero, in alcun modo, comunicare alla Regione i dati degli alunni destinatari dei sevizi di orientamento promossi dalla Regione stessa, non potendosi applicare, quale base giuridica, il consenso degli interessati, per la sua evidente ed intrinseca inadeguatezza nell'ambito della pubblica amministrazione”.

    3. Normativa applicabile.

    3.1 Il quadro normativo.

    Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), definisce “dato personale”, “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, punto 1 del Regolamento).

    In particolare, il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) e par. 2 e 3 del Regolamento; art. 2-ter, comma 1 del Codice).

    La base giuridica dei predetti trattamenti deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve perseguire “un obiettivo di interesse pubblico [e deve essere] proporzionato all'obiettivo” (art. 6, par. 3, del Regolamento).

    In tale contesto, è sancito che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento).

    Il Codice ha stabilito che “la base giuridica prevista dall’articolo 6, paragrafo 3, lettera b), del Regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1).

    Deve essere, in ogni caso, garantito il rispetto dei principi di base in materia di protezione dei dati, tra cui, in particolare, i principi di “liceità, correttezza e trasparenza” in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” (art. 5, par. 1, lett. a) del Regolamento).

    Con riguardo al trattamento dei dati personali dei minori, si evidenzia inoltre, che, in considerazione della loro particolare “vulnerabilità”, gli stessi meritano una specifica protezione in relazione ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze, nonché dei loro diritti in relazione al trattamento dei dati (cfr. cons. 38 del Regolamento).

    3.2 Il trattamento di dati personali effettuato dall’Istituto.

    Dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento nonché sulla base delle dichiarazioni effettuate da codesto Istituto nel corso dell’istruttoria, della cui veridicità il titolare risponde ai sensi 168 del Codice, risulta che codesto Istituto ha comunicato alla regione Piemonte - ferme restando le valutazioni in ordine alla liceità del trattamento svolto da quest’ultima, che saranno oggetto di un autonomo procedimento - taluni dati personali degli studenti in modo non conforme al Regolamento e al Codice.

    Al riguardo, come sopra ricordato, si rappresenta che il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) e paragrafo 2 e 3 del Regolamento; art 2-ter del “Codice”).

    La disciplina nazionale ha previsto che le operazioni di trattamento di dati personali sono ammesse solo se previste da una norma di legge o di regolamento o da atti amministrativi generali (art. 2-ter, commi 1 e 3, del Codice).

    La comunicazione tra titolari che effettuano trattamenti di dati personali, per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri è ammessa se prevista ai sensi del richiamato comma 1 dell’art. 2-ter del Codice (ovvero se previste da una norma di legge o di regolamento o da atti amministrativi generali) o se necessaria ai sensi del comma 1-bis.

    Al riguardo si evidenzia che le disposizioni di cui all’art. 2-ter, comma 1-bis del Codice sono esercitate nel rispetto dell’art. 6 del Regolamento, che prevede che la base su cui si fonda il trattamento dei dati personali deve essere stabilita dal diritto dell'Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell'Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all'obiettivo legittimo perseguito.

    Il combinato disposto dell’articolo 6, paragrafo 1, lettera e) e par. 3 del Regolamento e dell’art. 2-ter del Codice, impone quindi una base giuridica per il trattamento dei dati personali da parte dei titolari del trattamento che agiscono nell’esecuzione di un compito di interesse pubblico o di un compito connesso all’esercizio di pubblici poteri.

    Al riguardo, si osserva che codesto Istituto, allo stato degli atti, non ha fornito al Garante alcuna base giuridica, contenente i requisiti di cui al richiamato art. 6 del Regolamento, idonea, per rango e qualità, a legittimare la comunicazione dei dati personali degli alunni alla Regione Piemonte.

    4. Conclusioni.

    Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

    Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dall’Istituto, avvenuto in assenza di condizioni di liceità, in violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e 3 del Regolamento e 2-ter, del Codice.

    Ciò premesso, tenuto conto che:

    - l’Istituto ha agito nella convinzione che la comunicazione dei dati degli alunni alla Regione citata in esame fosse legittimata dalla finalità di interesse pubblico perseguita dalla Regione;

    - l’Istituto non ha effettuato ulteriori trattamenti nell’ambito della somministrazione e raccolta dei questionari in esame;

    - non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;

    le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 e dell’art. 83, par. 2, del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

    Si ritiene, pertanto, relativamente al caso in esame, che sia sufficiente ammonire il titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per avere violato gli artt. 5, par. 1, lett. a), 6 par. 1, lett. c) ed e), parr. 2 e 3 del Regolamento nonché dell’art. 2-ter del Codice.

    Considerato che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

    Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

    TUTTO CIÒ PREMESSO IL GARANTE

    - ai sensi dell’art. 57, par. 1, lett. f), dichiara illecita la condotta tenuta dall’Istituto Comprensivo 4 di Asti (AT), con sede in Corso XXV Aprile, 2 - 14100 Asti (AT) - Codice Fiscale: 92082070050, descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e 3 del Regolamento e 2-terdel Codice;

    -    ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto Comprensivo 4 di Asti (AT), quale titolare del trattamento in questione, per aver violato gli 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), parr. 2 e 3 del Regolamento e 2-terdel Codice;

    DISPONE

    - ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante;

    - ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

    Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

    Roma, 13 novembre 2025

    IL PRESIDENTE
    Stanzione

    IL RELATORE
    Cerrina Feroni

    IL SEGRETARIO GENERALE
    Fanizza

    KEYWORDS

    #privacy e trattamento dei dati personali
    SCOPRILI TUTTI

    Pagina: 2

    Iscrizioni ai percorsi di istruzione degli adulti A.S. 2026/2027

    Nota 18 maggio 2026, n. 1212

    KEYWORDS

    Pagina: 21

    Attestazioni dei revisori sull’assolvimento degli obblighi di pubblicazione riferiti all’annualità 2025: chiarimenti sulle tempistiche e sui dati da pubblicare

    Delibera 15 aprile 2026, n. 168

    KEYWORDS

    SCOPRILI TUTTI
    Data di pubblicazione: 21/01/2020
    Condividi
  • Assenze reiterate di un alunno e comunicazione alle autorità competenti...
  • Area Tematica: Alunni, alunni portatori di disabilità
    Argomenti: Alunni/assenze: collettive

    KEYWORDS

    #pbb #carabiniere #fascicolo #comandante #polizia #segnalazione #indagine #minore #abbandono #alunna #evadere

    Casi & Pareri correlati

    Questo sito o gli strumenti terzi da questo utilizzati si avvalgono di cookie necessari al funzionamento ed utili alle finalità illustrate nella COOKIE POLICY.

    Gentile utente, se vede questo messaggio è possibile che ci sia un problema con l'account che sta utilizzando per accedere a Italiascuola.it.

    Per verificare che il suo utente sia abilitato, selezioni l'icona del profilo in alto a destra. L'account sul quale cliccare presenterà l'icona "ITLS" sulla sinistra.

    Se l'icona "ITLS" non è presente, significa che il suo utente non è abilitato. Se desidera abbonarsi oppure richiedere il nostro supporto, visiti la sezione "Abbonamenti e Contatti" presente sul sito. Grazie!