Istituto Comprensivo Statale Montelibretti
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante accerta la violazione del Regolamento UE 2016/679 (articoli 5, 6, 9) e del Codice Privacy per la pubblicazione sul sito istituzionale di una circolare recante le iniziali del nome e cognome di un minore, il riferimento a documentazione medica e alla classe di appartenenza, in assenza di idonee misure di anonimizzazione. Quantunque l'Istituto abbia agito in buona fede e rimosso tempestivamente il documento, la diffusione di categorie particolari di dati di un soggetto minorenne costituisce violazione grave. Viene inflitta sanzione di € 4.000,00 considerando le circostanze attenuanti (piccole dimensioni dell'ente, periodo limitato di diffusione, assenza di precedenti, impegni assunti per il rafforzamento delle misure organizzative interne).
Approfondimento
Soggetti coinvolti
Un minore (studente dell'Istituto)
Riferimenti normativi
Lettura del caso
Temi affrontati — Trattamento illecito di dati personali di minore e categorie particolari di dati (dati sanitari) mediante pubblicazione su sito web istituzionale senza adeguate misure di pseudonimizzazione e anonimizzazione; violazione dei principi di liceità, correttezza e trasparenza; violazione del principio di minimizzazione dei dati; diffusione illecita in assenza di idonea base giuridica
Conseguenze — Il Garante dichiara l'illiceità del trattamento effettuato dall'Istituto Comprensivo Statale Montelibretti e ordina il pagamento di una sanzione amministrativa pecuniaria di € 4.000,00. È accordata facoltà di definizione della controversia mediante pagamento della metà della sanzione (€ 2.000,00) entro 30 giorni. Il mancato pagamento della sanzione completa deve avvenire secondo modalità indicate in allegato entro 30 giorni dalla notifica. È disposta la pubblicazione del presente provvedimento sul sito internet del Garante e l'annotazione nel registro interno dell'Autorità. Avverso il provvedimento è possibile ricorso dinnanzi all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione (60 giorni se il ricorrente risiede all'estero).
- periodo temporale ridotto, documento rimosso tempestivamente
- Assenza di precedenti pertinenti
- Impegni assunti dall'Istituto per rafforzamento misure organizzative interne, formazione personale, individuazione referente interno e gruppo di lavoro dedicato
- Cooperazione manifestata con l'autorità di controllo
- Ridotte dimensioni dell'Istituto scolastico e limitate risorse economiche
- Criticità organizzative dell'ente
- Gravità della violazione valutata come media
- Livello di deterrenza e proporzionalità della sanzione considerato effettivo e dissuasivo
Pubblicazione di dati personali di minori con elementi identificativi (iniziali nome e cognome associate a classe di appartenenza) combinati con riferimenti a documentazione sanitaria su sito web pubblico; insufficienza delle sole iniziali a garantire anonimizzazione quando combinate con altri dati già noti ai soggetti della comunità scolastica; necessità di applicare principio di minimizzazione dei dati anche nel contesto di procedimenti amministrativi scolastici; obbligo di identificare idonee base giuridiche per il.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.