Un semplice errore nell’invio di una e-mail può trasformarsi in una violazione grave della normativa sulla protezione dei dati personali, soprattutto quando sono coinvolti minori e informazioni attinenti alla salute. È questo il messaggio che emerge dall’ingiunzione n. 732 del 4 dicembre 2025 con cui il Garante per la protezione dei dati personali ha sanzionato un istituto scolastico per avere esposto, seppure involontariamente, dati sanitari degli studenti attraverso una comunicazione elettronica inviata senza le necessarie cautele.
La vicenda prende avvio dall’invio, da parte della scuola, di una e-mail indirizzata a numerosi genitori avente ad oggetto il sollecito agli adempimenti vaccinali previsti dalla legge n. 119 del 2017. La comunicazione, di per sé, aveva un contenuto impersonale e non riportava i nominativi degli studenti né specificava quali vaccinazioni risultassero mancanti. Tuttavia, gli indirizzi di posta elettronica dei destinatari erano stati inseriti nel campo visibile e non nel campo “Ccn” (copia conoscenza nascosta). In questo modo, ciascun destinatario ha potuto visualizzare l’elenco completo degli altri indirizzi coinvolti.
Proprio questo elemento, apparentemente marginale, ha determinato l’illiceità del trattamento. Attraverso la semplice associazione tra l’indirizzo e-mail del genitore e il contenuto del messaggio, ogni destinatario è stato posto nella condizione di conoscere che i figli degli altri genitori presenti nella lista non risultavano in regola con gli obblighi vaccinali e dovevano rivolgersi alla propria azienda sanitaria per regolarizzare la posizione.
Alcuni genitori hanno quindi presentato reclamo al Garante, il quale ha avviato un’istruttoria nei confronti dell’istituto scolastico contestando la comunicazione indebita di dati personali appartenenti a categorie particolari ai sensi dell’articolo 9 del GDPR.
Nel corso del procedimento, la scuola ha sostenuto di avere operato nell’esercizio di un compito di interesse pubblico, richiamando il quadro normativo in materia di prevenzione vaccinale. Ha inoltre rappresentato che l’episodio era riconducibile a un mero errore materiale commesso da un assistente amministrativo e che, successivamente, erano state introdotte misure correttive interne per ridurre il rischio di analoghe sviste. Infine, l’istituto ha affermato di non avere trattato dati sanitari, poiché il testo dell’e-mail non indicava chi fosse effettivamente non vaccinato né quali vaccini risultassero mancanti.
Il Garante ha respinto integralmente tali argomentazioni. L’Autorità ha richiamato un’interpretazione ormai consolidata secondo cui rientrano nella nozione di dato sanitario non solo le informazioni relative a patologie o diagnosi, ma anche quelle riferite alla fruizione o alla necessità di prestazioni sanitarie, comprese le attività di prevenzione. Il riferimento agli adempimenti vaccinali, dunque, costituisce di per sé informazione relativa alla salute.
In questo quadro, anche un indirizzo e-mail, che isolatamente potrebbe apparire come dato comune, assume natura di dato sanitario quando è inserito in un contesto che consente di collegarlo allo stato vaccinale del minore. L’associazione tra indirizzo del genitore e contenuto del messaggio ha reso possibile inferire che il figlio del titolare di quell’indirizzo non era in regola con gli obblighi vaccinali, determinando così una comunicazione di dati sanitari a soggetti terzi non legittimati.
Il Garante ha inoltre evidenziato che, pur in presenza di finalità di interesse pubblico, il trattamento di dati sanitari deve avvenire nel rispetto di rigorose garanzie e con modalità idonee a prevenire la diffusione indebita delle informazioni. L’uso del campo “Ccn” rappresenta una misura tecnica minima e largamente conosciuta, la cui omissione configura una carenza organizzativa imputabile al titolare del trattamento.
Sulla base di tali considerazioni, l’Autorità ha ritenuto integrata una violazione dei principi di integrità e riservatezza, nonché delle disposizioni sul trattamento delle categorie particolari di dati personali, irrogando alla scuola una sanzione amministrativa pecuniaria di mille euro.
Il provvedimento assume particolare rilievo per il mondo scolastico, poiché chiarisce che anche comunicazioni di routine, se gestite con superficialità, possono produrre conseguenze giuridiche significative. Le scuole sono chiamate a considerare le e-mail non come strumenti informali, ma come vere e proprie operazioni di trattamento di dati personali, soggette a tutte le regole del GDPR.
Ne emerge un principio di fondo: nel trattamento dei dati degli studenti, e soprattutto dei dati attinenti alla salute, non esistono violazioni “minori”. Anche un errore tecnico può tradursi in una lesione concreta del diritto alla riservatezza e comportare responsabilità per l’istituzione scolastica. La protezione dei dati, dunque, non è un adempimento burocratico, ma una componente essenziale della funzione educativa e amministrativa della scuola.
