Quattromila euro di sanzione a un Istituto Comprensivo del Lazio per la pubblicazione online di una circolare che, pur omettendo nome e cognome dello studente, ne consentiva l'identificazione indiretta attraverso la combinazione di iniziali, classe di appartenenza e riferimento a documentazione medica. Il provvedimento si inserisce in una giurisprudenza amministrativa del Garante ormai consolidata, che le scuole continuano sistematicamente a sottovalutare.

Con il provvedimento n. 307 del 29 aprile 2026, il Garante per la protezione dei dati personali ha inflitto all'Istituto Comprensivo Statale di Montelibretti (RM) una sanzione amministrativa pecuniaria di 4.000 euro per la pubblicazione, sul sito web istituzionale dell'istituto nella sezione "Novità/Le circolari", di un avviso di selezione di personale docente destinato all'attivazione di un percorso di istruzione domiciliare.

Il documento, liberamente accessibile e scaricabile dal sito, conteneva tre elementi che secondo l'Autorità combinati tra loro consentivano di identificare in modo indiretto l'alunno destinatario del percorso e di dedurre informazioni sul suo stato di salute: (a) le iniziali del nome e del cognome del minore; (b) il riferimento esplicito alla documentazione medica conservata agli atti, a giustificazione dell'attivazione del percorso; (c) l'indicazione della priorità riconosciuta ai docenti della classe frequentata dal minore, con l'identificazione della classe specifica.

Il procedimento amministrativo si è aperto a seguito di un reclamo presentato dalla madre dello studente. La pubblicazione era stata rimossa solo successivamente alla contestazione del Garante.

L'istituto, nelle proprie memorie difensive, aveva articolato tre linee argomentative principali: (i) il rispetto del principio di minimizzazione dei dati ex art. 5, par. 1, lett. c), del Regolamento UE 2016/679, evitando di indicare il nome e il cognome completi dello studente; (ii) il richiamo alle linee guida ministeriali sull'istruzione domiciliare, che prevedono il coinvolgimento prioritario dei docenti della classe; (iii) la qualificazione dell'accaduto come "mero errore materiale" maturato in un contesto di particolare difficoltà organizzativa dell'istituto, segnato da frequenti avvicendamenti del personale dirigente e amministrativo.

Il Garante ha respinto tutte e tre le argomentazioni. Sul primo punto la minimizzazione l'Autorità richiama il principio, ormai stabile nella propria attività interpretativa, secondo cui la sostituzione del nome con le sole iniziali non costituisce, di per sé, un'operazione di anonimizzazione efficace. Va valutato l'insieme delle informazioni pubblicate, e cioè la possibilità che gli altri dati di contesto soprattutto in comunità ristrette come le classi e i plessi scolastici consentano di ricondurre il dato a una persona precisa. In una scuola dove ogni classe ha pochi alunni assenti per ragioni prolungate, la combinazione iniziali + classe specifica + riferimento a documentazione medica elimina ogni residua incertezza identificativa.

Sul secondo punto "le linee guida ministeriali" il Garante osserva che la necessità organizzativa di privilegiare i docenti della classe per l'istruzione domiciliare può essere assolta mediante comunicazioni interne mirate ai soli soggetti effettivamente coinvolti, senza pubblicazione sul sito web istituzionale. La diffusione erga omnes tramite il portale di una scuola che è accessibile non solo alla comunità interna ma a chiunque navighi in rete non trova base giuridica adeguata né nel GDPR né nel Codice privacy italiano per la diffusione di dati sanitari di un minore.

Sul terzo punto l'errore materiale il Garante non lo nega come elemento di fatto, ma osserva che la qualificazione soggettiva dell'evento (colposo anziché doloso) rileva ai fini della quantificazione della sanzione, non della sua applicabilità. La responsabilità del titolare del trattamento è oggettiva quanto all'an, e la circostanza organizzativa interna non vale come scusante.

Il provvedimento n. 307/2026 si inserisce in un filone interpretativo ormai consolidato del Garante italiano. Una rapida rassegna dei provvedimenti più significativi degli ultimi anni in materia scolastica restituisce un quadro decisorio coerente e  per le scuole istruttivo.

La rassegna evidenzia almeno cinque errori-tipo che le scuole continuano a commettere e che il Garante sanziona con regolarità:

• Pubblicazione su sito web di documenti contenenti nominativi o iniziali di alunni associati a condizioni di salute, disabilità, DSA, BES o percorsi personalizzati.
• Invii di email a destinatari multipli con indirizzi visibili (uso del campo Cc anziché Ccn), in particolare su tematiche sanitarie (obbligo vaccinale) o disciplinari.
• Circolari di convocazione di GLO (Gruppi di Lavoro Operativi) con identificazione degli alunni in copia conoscenza ai docenti dell'intero plesso o dell'intero istituto.
• Riutilizzo "da retro" di documenti contenenti dati sensibili — come fogli di riciclo, locandine fotocopiate, materiale didattico tratto da circolari riservate.
• Pubblicazione integrale di graduatorie del personale con dati personali ulteriori non necessari (numero figli, condizioni di salute, dati anagrafici dettagliati, indirizzi privati).

L'analisi dei provvedimenti del Garante mostra una costante: la base normativa della contestazione è sempre la combinazione di alcuni articoli centrali del Regolamento UE 2016/679 (GDPR) e del Codice privacy italiano (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

• 5, par. 1, GDPR — Principi del trattamento. Liceità, correttezza, trasparenza (lett. a); limitazione della finalità (lett. b); minimizzazione dei dati (lett. c). La pubblicazione sul sito di un'informazione non strettamente necessaria allo scopo perseguito (qui: individuare docenti per l'istruzione domiciliare) viola questi principi.
• 6 GDPR — Liceità del trattamento. L'ente pubblico può trattare dati solo se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico (lett. e). La diffusione sul web di dati identificativi di un alunno non è necessaria allo svolgimento del compito istituzionale e dunque manca la base giuridica.
• 9 GDPR — Categorie particolari di dati. I dati relativi alla salute  anche desumibili indirettamente  godono di una tutela rafforzata, essendo vietata in linea di principio la loro diffusione (art. 2-septies, comma 8, del Codice privacy), salvo casi di stretta necessità tassativamente previsti dalla legge.
• 8 GDPR — Tutela rafforzata dei minori. Il GDPR considera i minori soggetti vulnerabili e prevede una soglia di protezione più alta nel trattamento dei loro dati. Questo aspetto pesa significativamente sulla quantificazione delle sanzioni in tutti i provvedimenti analizzati.

La sanzione di Montelibretti  come quelle che l'hanno preceduta non nasce da un comportamento scorretto in mala fede. Nasce, di regola, da una sequenza di passaggi amministrativi rapidi, sotto pressione, in contesti organizzativi sovraccarichi. Per ridurre il rischio di errori che la giurisprudenza del Garante mostra essere ricorrenti  è essenziale che i dirigenti scolastici, i DSGA e gli assistenti amministrativi adottino una checklist sistematica prima di pubblicare qualsiasi documento sul sito web istituzionale o di trasmetterlo via email a destinatari multipli.

Cosa eliminare (o rendere generico) prima della pubblicazione

Il principio guida — che il Garante ha ribadito in modo ormai esplicito, è il test della re-identificazione: prima di pubblicare, occorre chiedersi se l'insieme degli elementi presenti nel documento consenta a un soggetto interno alla comunità scolastica (compagno di classe, genitore, docente di altra sezione) di risalire all'identità dello studente. Se la risposta è sì, il documento va modificato.

• Distinguere il canale di comunicazione. Per le comunicazioni a destinatari specifici (docenti di una classe, famiglia di uno studente, referente ASL) NON usare il sito web né email "a tappeto". Utilizzare il registro elettronico con visibilità limitata ai soggetti coinvolti, oppure comunicazioni dedicate in busta chiusa.
• Quattro occhi. Stabilire una procedura interna che preveda una doppia lettura del documento prima della pubblicazione: chi redige + chi pubblica devono essere persone diverse e firmare congiuntamente l'idoneità alla pubblicazione. La sanzione di Montelibretti nasce, secondo le memorie della scuola, da un "errore materiale"  esattamente il tipo di errore che la doppia lettura previene.
• Coinvolgere il DPO prima della pubblicazione, non dopo. Il Responsabile della Protezione dei Dati va consultato in via preventiva per ogni circolare che riguardi situazioni potenzialmente sensibili: istruzione domiciliare, sostegno, BES/DSA, casi disciplinari, GLO, polizze infortuni. Il DPO esiste proprio per offrire questa consulenza prima della pubblicazione.
• Aggiornare il Registro dei trattamenti. Ogni nuova tipologia di pubblicazione sul sito istituzionale che coinvolga dati di studenti deve essere censita nel Registro dei trattamenti ex art. 30 GDPR, con indicazione della base giuridica, della finalità, dei destinatari, dei tempi di conservazione e delle misure di sicurezza adottate.
• Formazione del personale ATA e dei docenti. La sanzione di Montelibretti  come quelle che l'hanno preceduta  è in gran parte attribuibile a un deficit di formazione del personale amministrativo, non a una scelta consapevole della dirigenza. Investire in formazione è la misura preventiva più efficace ed economica.

Le scuole che vogliono dotarsi di un riferimento autorevole e aggiornato per la propria gestione privacy possono attingere alla nuova edizione del vademecum "La scuola a prova di privacy", pubblicata dal Garante nel dicembre 2025 (aggiornamento del documento del 2023). Si tratta di un testo di oltre 90 pagine che illustra in modo accessibile ma giuridicamente accurato  tutti i principali nodi del trattamento dei dati personali nel contesto scolastico: dalla gestione delle assenze ai colloqui con i genitori, dalle riprese fotografiche e video alle piattaforme digitali, dalla pubblicazione delle graduatorie alla gestione dei dati del personale.

Una lettura sistematica del vademecum  magari condotta in formazione collegiale con il personale di segreteria e con il DPO  costituisce il più efficace investimento preventivo per evitare di trovarsi nella posizione dell'IC Montelibretti. Quattromila euro di sanzione, in molti istituti, costituiscono una voce di spesa non irrilevante; ma il vero costo, in casi come questo, è la pubblicazione del provvedimento sul sito del Garante con identificabilità della scuola sanzionata  un danno reputazionale che, per una piccola comunità, può essere significativo.

Il provvedimento n. 307/2026 ha, sotto il profilo dei principi giuridici applicati, una portata limitata: ribadisce posizioni interpretative del Garante consolidate da almeno un decennio. Ha però una portata pratica notevole, perché individua con chiarezza un errore-tipo che le scuole italiane continuano a commettere sistematicamente: confondere l'anonimizzazione effettiva con la sostituzione del nome con le iniziali, sottovalutando il peso degli altri elementi di contesto.

Il tema non riguarda solo il rispetto formale del GDPR. Riguarda  più profondamente  la dignità delle famiglie e dei minori coinvolti in situazioni delicate. Per una madre, scoprire che il percorso di istruzione domiciliare del proprio figlio è  nella sostanza  visibile a chiunque consulti il sito della scuola, non è una questione di adempimento burocratico: è una questione di rispetto. La sanzione del Garante traduce in linguaggio giuridico questa esigenza di rispetto, ed è in questo senso che la giurisprudenza amministrativa privacy va letta dalle scuole: non come un ostacolo da aggirare ma come uno standard di civiltà amministrativa cui adeguarsi.

Sul piano operativo, il messaggio per i dirigenti scolastici è chiaro. La privacy a scuola non è un "adempimento del DPO" da esternalizzare e dimenticare: è una responsabilità del titolare del trattamento  l'istituto scolastico  che richiede procedure interne strutturate, formazione del personale, controllo preventivo dei documenti pubblicati. È una responsabilità che, come la sanzione di Montelibretti dimostra, può tradursi in costi economici e reputazionali concreti quando non viene presidiata. Ed è una responsabilità che, al contrario di molti altri obblighi amministrativi  non scompare alle prime difficoltà organizzative. Il dato organizzativo critico  il "contesto difficile"  non è un'attenuante che esonera; è semmai un campanello d'allarme che dovrebbe spingere a rafforzare i controlli, non ad abbassare la guardia.