ll Garante per la protezione dei dati personali, con il provvedimento n. 112 del 26 febbraio 2026, ha sanzionato per 2.000 euro un istituto scolastico per alcune modalità di trattamento dei dati personali dei docenti risultate non conformi al GDPR.
Il provvedimento offre indicazioni operative di particolare interesse per le istituzioni scolastiche.
Il Garante ha innanzitutto chiarito che gli orari di servizio dei docenti e i turni di sorveglianza durante la ricreazione, associati ai nominativi degli interessati, non possono essere pubblicati liberamente sul sito web istituzionale*. Le esigenze organizzative, di trasparenza o di più agevole consultazione da parte delle famiglie e del personale non costituiscono, da sole, una base giuridica idonea a giustificare la diffusione online di tali dati.
Particolare attenzione deve essere prestata anche all'utilizzo del registro elettronico. Nel caso esaminato, l'Istituto aveva utilizzato la funzione “Bacheca” per comunicare assenze e sostituzioni dei docenti, rendendo così le informazioni conoscibili anche a studenti, genitori e personale non autorizzato. Secondo il Garante, le informazioni relative alle assenze dei dipendenti devono invece essere accessibili esclusivamente ai soggetti che, in ragione delle proprie funzioni e mansioni, sono autorizzati al relativo trattamento.
Il provvedimento richiama quindi le scuole a verificare non soltanto quali dati vengono pubblicati o comunicati, ma anche la corretta configurazione e utilizzazione delle diverse funzionalità dei gestionali e dei registri elettronici.
Un'indicazione particolarmente importante anche sul piano organizzativo: la disponibilità tecnica di una funzione all'interno di un applicativo non rende automaticamente lecito il suo utilizzo. Spetta infatti all'istituzione scolastica, quale titolare del trattamento, individuare la corretta base giuridica, limitare i destinatari delle informazioni e rispettare i principi di liceità, correttezza, trasparenza e minimizzazione dei dati.
Nel caso esaminato il Garante ha tenuto conto, quali circostanze attenuanti, della tempestiva rimozione dei dati, della collaborazione dell'Istituto con il fornitore del registro elettronico e dell'assenza di precedenti violazioni, determinando la sanzione in 2.000 euro.
In sintesi: orari nominativi e turni di sorveglianza dei docenti non vanno pubblicati sul sito istituzionale in assenza di una specifica base giuridica; assenze e sostituzioni devono essere gestite attraverso strumenti e profili di accesso che ne limitino la conoscibilità ai soli soggetti effettivamente autorizzati.
