Liceo multato per trattamento illecito di dati: curricula integrali inviati a 44 famiglie
da sinergie di scuola
Il CV di una docente conteneva anche informazioni potenzialmente idonee a rivelare il suo orientamento religioso.
Il Garante per la Protezione dei Dati Personali ha emesso un provvedimento sanzionatorio nei confronti di un Liceo di Torino, condannandolo al pagamento di una sanzione amministrativa pecuniaria di 3.000 euro. La sanzione è stata comminata a seguito di una violazione dei principi di liceità e minimizzazione dei dati, per aver comunicato i curriculum vitae integrali di alcuni docenti candidati a quarantaquattro famiglie di studenti.
Il Provvedimento del 9 ottobre 2025 [10197090] conferma l’illiceità del trattamento di dati personali effettuato dall’istituto scolastico.
La denuncia: CV inviati per la selezione
La vicenda ha avuto origine dal reclamo presentato da una docente, all’epoca dei fatti in servizio presso il Liceo. La reclamante lamentava la trasmissione del suo curriculum vitae in forma integrale alle numerose famiglie destinatarie delle attività previste da un avviso di selezione per il reclutamento di figure professionali.
Il CV conteneva non solo i dati identificativi e di contatto della docente, ma anche informazioni relative ai suoi “numerosi interventi formativi in ambito parrocchiale e oratoriale”, evidenziando un chiaro indirizzo cattolico e delineando conseguentemente anche il suo orientamento religioso.
La trasmissione dei CV aveva lo scopo di consentire alle famiglie di esprimere le proprie preferenze sul docente da affiancare allo studente, nell’ambito di iniziative volte a contrastare l’abbandono scolastico.
La difesa del liceo e le obiezioni del Garante
Il Liceo ha cercato di difendere il proprio operato sostenendo che gli interessati erano stati “debitamente edotti della trasmissione dei curricula stessi agli studenti e alle famiglie”. L’istituto riteneva di aver agito sulla base del consenso esplicito dei candidati (art. 6, lett. a) GDPR) o, in alternativa, per il legittimo interesse del titolare del trattamento (art. 6, lett. f) GDPR), promuovendo la partecipazione delle famiglie in linea con i principi costituzionali. Inoltre, il Liceo negava che le attività parrocchiali/oratoriali potessero configurare un dato sensibile relativo all’orientamento religioso (art. 9 GDPR).
Tuttavia, il Garante ha respinto queste argomentazioni durante l’istruttoria.
Punto cruciale: l’assenza di una base giuridica idonea. L’Ufficio ha rilevato che l’avviso di selezione pubblicato dal Liceo non poteva costituire una base giuridica idonea per la comunicazione dei dati a soggetti terzi (le famiglie). Le fonti di rango inferiore, come un atto amministrativo generale, non possono infatti modificare o derogare le norme sovraordinate in materia di protezione dei dati. Il trattamento risultava quindi carente di un idoneo presupposto normativo, violando l’Art. 6 e l’Art. 2-ter del Codice.
Inoltre, è stato violato il principio di “minimizzazione dei dati”. Il Garante ha specificato che gli obiettivi della selezione avrebbero potuto essere raggiunti con modalità alternative e meno invasive, evitando l’invio dei curricula in versione integrale.
Infine, il Garante ha ribadito principi consolidati: il consenso non è di regola un presupposto di liceità valido nel contesto del rapporto di lavoro, data l’asimmetria tra le parti, e l’invocazione del legittimo interesse non si applica di norma alle autorità pubbliche, tra cui rientrano le istituzioni scolastiche.
Per quanto riguarda il presunto orientamento religioso, il Garante ha ritenuto che le informazioni contenute nel CV della reclamante non fossero sufficienti, in assenza di ulteriori elementi, a rivelare dettagli univoci sulle sue convinzioni filosofiche o religiose, non confermando pertanto la violazione dell’art. 9 del Regolamento.
La sanzione e le misure correttive
Il trattamento di dati personali, consistente nella comunicazione dei CV dei quattro candidati alle quarantaquattro famiglie, è stato dichiarato illecito per violazione degli artt. 5, par. 1, lett. a) e c), e 6 del Regolamento (liceità, correttezza, trasparenza e minimizzazione dei dati), oltre all’art. 2-ter del Codice.
Nonostante la gravità della violazione, nella determinazione dell’importo di 3.000 euro, il Garante ha tenuto conto di diversi fattori attenuanti:
- Finalità apprezzabile: la condotta è avvenuta nel contesto di un’iniziativa volta a contrastare l’abbandono scolastico.
- Colpa: la violazione è stata commessa con colpa, aggravata dal fatto che il Liceo non aveva preventivamente consultato il proprio Responsabile della Protezione dei Dati (DPO).
- Cooperazione: il Liceo ha cooperato con l’Autorità e ha dichiarato di aver già implementato “procedure interne più restrittive” per prevenire future violazioni, imponendo la consultazione preventiva del DPO.
Considerato che il titolare del trattamento è un istituto scolastico, e valutati tutti gli elementi, la sanzione pecuniaria è stata fissata in € 3.000, ritenuta “effettiva, proporzionata e dissuasiva”. Il Garante ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito web, in considerazione del fatto che la violazione ha comportato la comunicazione di dati a numerosi destinatari.
