Si chiede di conoscere quale sia la corretta qualificazione giuridica, ai sensi del Regolamento (UE) 2016/679 e del d.lgs. 196/2003, delle comunicazioni effettuate dalle istituzioni scolastiche concernenti il Piano Educativo Individualizzato (PEI), ed in particolare se il mero riferimento all’esistenza del PEI – anche in assenza di trasmissione del relativo contenuto o di specifiche informazioni cliniche – integri un trattamento di dati appartenenti alle categorie particolari di cui all’art. 9 del GDPR.
Si domanda, altresì, se possa ritenersi conforme ai principi di liceità e minimizzazione dei dati personali la trasmissione, nell’ambito delle attività organizzative scolastiche, di elenchi degli alunni contenenti, oltre ai nominativi, ulteriori dati identificativi quali la data di nascita, qualora tali informazioni non risultino strettamente necessarie rispetto alla finalità perseguita.
Si chiede, inoltre, se possano assumere rilevanza scriminante, sotto il profilo della legittimità del trattamento, circostanze quali l’errore materiale nella selezione dei destinatari delle comunicazioni ovvero la presunta conoscibilità di fatto, all’interno della comunità scolastica, della condizione di disabilità dell’alunno interessato.
Si richiede, infine, di chiarire quali obblighi organizzativi e precauzioni operative debbano essere adottati dal titolare del trattamento, nella specie l’istituzione scolastica, al fine di garantire la conformità delle modalità di comunicazione e gestione dei dati personali degli studenti ai principi sanciti dalla normativa europea e nazionale in materia di protezione dei dati personali.
Risposta
Il provvedimento adottato dal Garante per la protezione dei dati personali in data 29 gennaio 2026 si inserisce nel solco di un orientamento ormai sempre più rigoroso in materia di trattamenti di dati personali effettuati dalle istituzioni scolastiche. La decisione, pur qualificando la fattispecie come violazione minore e limitandosi all’ammonimento del titolare del trattamento, presenta contenuti interpretativi di particolare rilievo sistematico, soprattutto con riguardo alla natura giuridica delle informazioni connesse al Piano Educativo Individualizzato.
La vicenda oggetto di esame trae origine da un reclamo proposto dai genitori di uno studente nei confronti di un istituto scolastico, in relazione a due distinte condotte. La prima concerneva l’invio, da parte di una docente, di comunicazioni relative all’invito a partecipare al PEI e al successivo annullamento dell’evento, indirizzate erroneamente agli indirizzi di posta elettronica di tutti gli alunni della classe. La seconda riguardava invece la trasmissione ai genitori di una lista contenente i nominativi degli studenti e le relative date di nascita.
L’Istituto, nel corso dell’istruttoria, ha ricondotto entrambe le condotte ad un mero errore materiale, sottolineando l’assenza di intenzionalità, la buona fede degli operatori coinvolti e, con specifico riferimento alla comunicazione concernente il PEI, la mancata diffusione del contenuto del documento. Ulteriore elemento difensivo è stato individuato nella circostanza che la condizione di disabilità dell’alunno fosse già nota all’interno della comunità scolastica, in ragione della presenza del docente di sostegno.
Il Garante, pur prendendo atto della natura colposa degli eventi e della collaborazione prestata dal titolare del trattamento, ha ritenuto entrambe le condotte illecite, sviluppando una motivazione che merita particolare attenzione.
Il nucleo centrale del provvedimento risiede nella qualificazione giuridica del dato. L’Autorità afferma che il semplice riferimento al Piano Educativo Individualizzato rappresenta di per sé un’informazione relativa allo stato di salute dell’alunno. Tale affermazione assume una portata interpretativa di grande rilievo, poiché supera una lettura restrittiva, ancora largamente diffusa nella prassi amministrativa scolastica, secondo cui la tutela rafforzata prevista per le categorie particolari di dati personali opererebbe esclusivamente in presenza di informazioni cliniche o documentazione sanitaria in senso stretto.
Il PEI, infatti, pur configurandosi formalmente come documento di natura educativa e didattica, è ontologicamente collegato alla condizione di disabilità dell’alunno. La sua stessa esistenza consente di desumere un’informazione inerente alla sfera della salute, rientrante pertanto nell’ambito applicativo dell’articolo 9 del Regolamento (UE) 2016/679. Ne discende che anche una comunicazione apparentemente neutra, quale un invito a partecipare alla riunione per la stesura o la verifica del PEI, integra un trattamento di dati appartenenti alle categorie particolari.
La decisione chiarisce dunque che non è necessario trasmettere il contenuto del documento, né indicare la diagnosi o ulteriori elementi sanitari. È sufficiente la mera menzione del PEI affinché si configuri la comunicazione di un dato relativo alla salute.
Altro profilo di rilievo concerne la natura colposa della condotta. Il Garante ribadisce implicitamente un principio cardine del sistema delineato dal GDPR, secondo cui la mancanza di intenzionalità non esclude l’illiceità del trattamento. Il trattamento di dati personali deve sempre fondarsi su un presupposto di liceità e rispettare i principi generali stabiliti dall’articolo 5 del Regolamento. L’errore materiale, pur rilevante ai fini della graduazione della risposta sanzionatoria, non incide sulla qualificazione giuridica della condotta.
La responsabilità del titolare del trattamento assume, in tale prospettiva, una dimensione funzionale e organizzativa. Anche quando l’evento lesivo sia riconducibile all’operato di un singolo docente, la violazione resta imputabile all’Istituto, quale soggetto titolare del trattamento, tenuto ad adottare misure tecniche e organizzative idonee a prevenire trattamenti non conformi.
Particolarmente significativa appare poi la confutazione della difesa fondata sulla presunta notorietà della condizione di disabilità. L’Autorità esclude radicalmente che la conoscibilità di fatto possa assumere rilevanza giuridica. La disciplina in materia di protezione dei dati personali tutela la circolazione giuridica del dato, non la mera conoscenza empirica. Anche qualora una circostanza sia socialmente evidente, resta vietata la sua formalizzazione o comunicazione in assenza di un idoneo presupposto normativo.
Questo passaggio assume notevole importanza nella pratica scolastica, dove è frequente l’argomento secondo cui la presenza del docente di sostegno renderebbe la condizione dell’alunno “pubblica” all’interno della classe. Il Garante chiarisce che tale impostazione non trova alcun fondamento nella normativa vigente.
Con riguardo alla seconda condotta, relativa alla trasmissione dell’elenco degli alunni contenente le date di nascita, il provvedimento valorizza il principio di minimizzazione dei dati. Pur riconoscendo la legittimità della comunicazione dei nominativi degli studenti nell’ambito delle attività organizzative dell’Istituto, l’Autorità rileva come l’inclusione delle date di nascita risulti eccedente rispetto alla finalità perseguita. Anche in questo caso viene esclusa la rilevanza delle modalità tecniche di esportazione dei dati da parte del software gestionale utilizzato dalla scuola.
Il GDPR impone infatti una valutazione preventiva della necessità dei dati trattati. L’esistenza di procedure automatizzate non esonera il titolare del trattamento dal rispetto dei principi di proporzionalità e minimizzazione.
La qualificazione della fattispecie come violazione minore conduce, come anticipato, all’adozione di un ammonimento in luogo di una sanzione pecuniaria. Tale scelta appare coerente con il principio di proporzionalità che governa il sistema sanzionatorio europeo, tenuto conto delle circostanze concrete, della natura colposa degli eventi, delle dimensioni dell’Istituto e delle misure correttive adottate.
Tuttavia, il provvedimento non deve essere interpretato come una pronuncia di scarsa incidenza. L’accertamento dell’illiceità del trattamento, la pubblicazione della decisione e la sua annotazione nel registro interno dell’Autorità costituiscono elementi di rilevanza giuridica e amministrativa destinati a produrre effetti nel tempo.
La decisione del Garante del gennaio 2026 rafforza un indirizzo interpretativo che impone alle istituzioni scolastiche un approccio sempre più consapevole nella gestione delle informazioni relative agli alunni con disabilità. Il Piano Educativo Individualizzato, pur collocandosi nell’ambito della progettazione didattica, assume una dimensione giuridica che lo riconduce alla categoria dei dati relativi alla salute, con tutte le conseguenze che ne derivano in termini di presupposti di liceità, cautele e limiti alla comunicazione.
Il provvedimento rappresenta dunque un ulteriore richiamo alla necessità di una revisione strutturale delle procedure interne delle scuole, affinché la protezione dei dati personali non sia percepita come adempimento meramente formale, ma come componente essenziale della tutela dei diritti fondamentali degli studenti.
