Obbligo vaccinale, Garante privacy sanziona una scuola per l’invio di e-mail di sollecito con destinatari “in chiaro”
Il Garante per la protezione dei dati personali, con il provvedimento n. 732 del 4 dicembre 2025, ha accertato l’illiceità del trattamento di dati effettuato di un Istituto Comprensivo Statale. La vicenda trae origine da un reclamo presentato da due genitori in seguito alla ricezione di una comunicazione istituzionale gestita in modo non conforme alle norme sulla riservatezza.
Solleciti vaccinali e mailing list visibili
L’Istituto scolastico ha inviato una e-mail avente come oggetto “Adempimenti vaccinali relativi agli alunni minori di anni 16 – SOLLECITO” a circa trentasette destinatari. L’errore contestato è stato l’inserimento degli indirizzi e-mail nel campo dei destinatari visibili, anziché utilizzare la funzione “copia conoscenza nascosta” (ccn).
Secondo l’Autorità, tale modalità di invio ha costituito una comunicazione non autorizzata di dati personali a terzi. In particolare, l’email ha permesso a ciascun destinatario di conoscere non solo l’indirizzo degli altri genitori, ma anche il fatto che i loro figli non fossero in regola con gli obblighi vaccinali.
Dati sulla salute e tutela dei minori
Un punto centrale della decisione riguarda la natura dei dati trattati. Il Garante ha ribadito che le informazioni relative agli adempimenti vaccinali rientrano tra i dati relativi alla salute, poiché rivelano lo stato sanitario degli alunni. Trattandosi di minori, soggetti considerati particolarmente vulnerabili, il livello di attenzione richiesto nel trattamento di tali categorie particolari di dati è estremamente elevato.
La difesa dell’Istituto
Durante l’istruttoria, l’Istituto ha ammesso l’accaduto, definendolo un “mero errore materiale” compiuto da un assistente amministrativo senza alcuna intenzionalità dolosa. La scuola ha inoltre evidenziato di aver:
- notificato tempestivamente la violazione dei dati (data breach) all’Autorità;
- programmato una formazione specifica in ambito privacy e cybersecurity per il personale;
- richiesto una modifica tecnica al software di posta elettronica per inserire un avviso di allerta in caso di invii multipli.
La sanzione
Nonostante le attenuanti riconosciute – tra cui la cooperazione con l’Autorità, l’assenza di precedenti violazioni e la dimensione ridotta dell’ente – il Garante ha confermato la violazione dei principi di liceità, correttezza e trasparenza.
L’Autorità ha quindi ordinato all’Istituto il pagamento di una sanzione amministrativa pecuniaria di 1.000,00 euro. È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante come sanzione accessoria, data la delicatezza dei dati trattati appartenenti a soggetti minori.