Questo articolo è stato pubblicato anche sulla testata specializzata “Agenda Digitale” in data 2 dicembre 2024: https://www.agendadigitale.eu/scuola-digitale/scuola-pubblicare-i-dati-nel-rispetto-della-privacy-esempi-e-sanzioni

---

Com’è noto, le scuole, in quanto pubbliche amministrazioni, sono tenute a pubblicare online specifici documenti e informazioni per finalità di trasparenza e di pubblicità legale o notificativa.

In base al Decreto Legislativo 33/2013, gli istituti devono inserire, nella sezione “amministrazione trasparente” dei loro siti web istituzionali, diverse informazioni riguardanti la loro organizzazione e attività.

Oltre a ciò, devono pubblicare determinati atti nell’area denominata “albo pretorio” del sito, per assicurare la presunzione di conoscenza legale di tali documenti, che possono avere funzione di pubblicità notizia, dichiarativa, costitutiva o integrativa dell’efficacia.

Gli aspetti privacy e la tutela dei dati personali

La gestione dei dati personali pubblicati online è un aspetto cruciale che le scuole devono affrontare con grande attenzione, rispettando le normative vigenti.

Per evitare l’uso improprio di dati, è fondamentale selezionare con cura le informazioni da includere nei documenti destinati alla pubblicazione, prestando particolare attenzione ai dati sensibili e relativi a condanne penali e reati, la cui gestione è soggetta a restrizioni specifiche.

È importante ricordare che pubblicare informazioni sul sito della scuola equivale a diffonderle, rendendole accessibili a chiunque.

Ai sensi dell’art. 2 ter, comma 3, del Codice Privacy “La diffusione e la comunicazione di dati personali, trattati per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, a soggetti che intendono trattarli per altre finalità sono ammesse unicamente se previste ai sensi del comma 1 o se necessarie ai sensi del comma 1-bis. In tale ultimo caso, ne viene data notizia al Garante almeno dieci giorni prima dell’inizio della comunicazione o diffusione”.

Nello specifico, la diffusione di dati personali sul sito web è ammessa solo se prevista da una norma di legge, di regolamento, o da atti amministrativi generali, nel rispetto della tutela alla riservatezza dei cittadini.

Inoltre, anche in caso di pubblicazione online, devono essere seguiti i principi generali del trattamento dei dati previsti dall’art. 5 del Regolamento (UE) 2016/679, che includono:

• liceità, correttezza e trasparenza del trattamento nei confronti dell’interessato;
• limitazione della finalità del trattamento, assicurando che eventuali ulteriori trattamenti siano compatibili con gli scopi della raccolta originaria;
• minimizzazione dei dati, ossia l’uso di dati pertinenti e limitati al minimo necessario;
• esattezza e aggiornamento dei dati, con cancellazione tempestiva di quelli scorretti;
• limitazione della conservazione, cioè conservare i dati solo per il tempo necessario alle finalità previste;
• integrità e riservatezza, garantendo un’adeguata sicurezza dei dati trattati.

Nel nuovo scenario digitale, il diritto alla privacy e il principio di trasparenza devono essere bilanciati con attenzione, senza che uno prevalga sull’altro.

Il provvedimento sanzionatorio del Garante privacy

Recentemente, con il Provvedimento del 24 gennaio 2024, l’Autorità Garante per la protezione dei dati personali ha sanzionato una scuola (2.000 euro) per aver pubblicato, nella sezione “albo pretorio” del proprio sito web, atti dirigenziali riguardanti aspetti organizzativi legati alla continuità dell’attività didattica e alla gestione del rapporto di lavoro con i propri dipendenti, come informazioni relative alle sostituzioni e ai giorni di assenza dal servizio.

In questo caso, l’Autorità ha evidenziato che “l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139)”.

Pertanto, la pubblicazione sul sito web istituzionale di dati personali, in assenza di un idoneo presupposto normativo, determina una diffusione illecita di informazioni.

Per il Garante, l’istituto non ha fornito – nel corso dell’istruttoria – indicazioni relative all’esistenza di una specifica normativa che stabilisca la pubblicazione delle determinazioni aventi a oggetto il ricorso alle supplenze brevi e saltuarie per la sostituzione del personale assente.

L’Autorità sostiene inoltre che il generico riferimento agli obblighi di trasparenza di cui all’art. 32, comma 1, della l. n. 69 del 18 giugno 2009 (che, comunque, non impone la pubblicazione di atti contenenti informazioni riguardanti l’assenza dal servizio del personale) non può ritenersi sufficiente a giustificare la condotta tenuta nel caso di specie.

In altre parole, la presenza di obblighi di pubblicazione non implica automaticamente la legittimità della diffusione di dati personali, che deve sempre rispettare i principi di protezione della privacy.

Il Garante ha inoltre ribadito che anche nell’albo pretorio online si applicano i limiti della normativa sulla protezione dei dati, come la liceità e la minimizzazione.

Nel caso specifico, la pubblicazione di dati sulle assenze del personale senza una valida base giuridica ha costituito una violazione della normativa sulla privacy. 

L’Autorità ha inoltre suggerito che in situazioni simili, per rispettare le norme, si potrebbe adottare la tecnica degli “omissis” o altre forme di anonimizzazione.

Alcuni utili suggerimenti per il personale scolastico

Il personale amministrativo delle scuole deve prestare particolare attenzione nel pubblicare documenti sul sito web istituzionale.

Anche quando sussistono obblighi, la diffusione di dati personali è consentita solo se strettamente necessaria e proporzionata agli scopi di trasparenza e pubblicità legale.

Prima di pubblicare un documento su albo e/o amministrazione trasparente, è utile porsi due domande fondamentali:

• Esiste una legge o un regolamento o un atto amministrativo generale che autorizza la diffusione sul web di questo documento o del dato personale che sto per pubblicare?
• È possibile pubblicare il dato, oppure ci sono elementi che andrebbero oscurati? Tutti i dati presenti sono indispensabili ai fini della pubblicazione?

I dati personali non strettamente necessari devono essere omessi.

In caso di dubbi, prima di pubblicare qualsiasi documento, è consigliabile consultare il Responsabile della Protezione dei Dati (DPO) della scuola, che potrà fornire indicazioni utili per evitare violazioni e conseguenti sanzioni.