La Corte dei conti, sezione giurisdizionale per il Lazio, con la sentenza n. 246 del 28 maggio 2019 ha preso posizione nei confronti del dirigente scolastico e di alcuni insegnanti chiamati a rispondere dalla Procura generale per asserito danno indiretto cagionato all’ente di appartenenza derivante dall’avere pubblicato sulla rete internet una circolare contente dati idonei a rivelare lo stato di salute di scolari minori affetti da disabilità, così ledendo il diritto alla riservatezza loro e delle famiglie, e, per l’effetto, causando l’irrogazione ad opera del Garante per la Protezione dei dati Personali di una sanzione amministrativa, per violazione dell’art. 22, comma 8, del Codice per la protezione dei dati personali, di € 20.000,00 soddisfatta con fondi appartenenti alla scuola.

Dai documenti depositati è infatti emerso che la Omissis, quale Dirigente scolastica dell’Istituto Professionale di Stato Colonna-Gatti di Anzio, ha adottato la circolare interna n. 103 del 17.11.2014 avente per oggetto la “Convocazione GHL (Gruppo di Lavoro per l’Handicap operativo)”, nella quale era contenuto un elenco dei nomi degli scolari minori dell’Istituto affetti da disabilità, avendola sottoscritta dopo la mera predisposizione del testo ad opera della Prof. Omissis.

L’Organo requirente ha chiarito che detta circolare era destinata ad essere comunicata solamente alle famiglie degli studenti in forma riservata, sia in ragione della particolare situazione di salute degli alunni interessati, sia in quanto trattavasi di una comunicazione ad uso interno, contenendo un calendario di riunioni dei consigli delle classi con presenza di alunni con Handicap (GLH), sigla già di per sé idonea ad identificare i Gruppi di lavoro per l’integrazione scolastica (con soggetti portatori di handicap), previsti e disciplinati dall’art. 15 della legge n. 104 del 1992.

Malgrado ciò la Dirigente scolastica, con comportamento gravemente negligente per non aver tenuto conto della necessità della riservatezza dei dati idonei a rivelare lo stato di salute degli studenti minori dell’Istituto affetti da disabilità, ha consentito la divulgazione nella rete internet della circolare in forma integrale, non avendo prescritto alcun divieto di pubblicazione, né in ultimo controllato che la circolare, a differenza di quelle adottate di consueto, non venisse pubblicata sul sito web dell’Istituto.

La divulgazione del nominativo ha così leso la personalità dello studente disabile, che si è conseguentemente lamentato del trattamento illecito dei dati personali, per il tramite del genitore esercente la potestà genitoriale, dinanzi al Garante per la Protezione dei dati personali, che con provvedimento n. 36127/97738 del 22.12.2015 ha irrogato all’Istituto scolastico la sanzione amministrativa del pagamento di € 20.000,00, per l’inosservanza della disposizione contenuta nell’art. 22, comma 8, del Codice della privacy (D.lgs. 30.6.2013 n. 196).

Tale sanzione, con decisione pur sempre riconducibile alla Dirigente scolastica, è stata successivamente pagata con bonifico del 18.2.2016, con fondi appartenenti all’Istituto, le cui casse risultano quindi essere state depauperate ad opera della condotta ad un tempo attiva ed omissiva della Dirigente scolastica, compendiatasi in una grave violazione della normativa a presidio della tutela del diritto alla riservatezza, a cui si è posto rimedio con il pagamento con denaro pubblico.

La Corte dei Conti ha quindi ricostruito la normativa dettata a tutela della riservatezza dei dati personali (il richiamo è ovviamente alla normativa previgente l’entrata in vigore del Regolamento europeo 2016/679 nonché antecedente le modifiche introdotte con il D.Lgs. 101/2018) e quella che riconduce in capo alla Dirigente scolastica la responsabilità delle attività dell’Istituto.

Sotto il primo profilo rileva la normativa contenuta cd. Codice della privacy (Codice in materia di protezione dei dati personali, di cui al D.lgs. n. 196/2013, nel testo previgente le novelle introdotte con il D.lgs. n. 101/2018), ratione temporis disciplinante nel Titolo III le “regole generali per il trattamento dei dati”, cui aggiungere quelle “regole ulteriori per i soggetti pubblici”, di cui al Capo II, ex artt. 18-22.

Per quanto di interesse l’art. 20, al primo comma, consentiva ai soggetti pubblici di trattare i dati sensibili, previa idonea informativa agli interessati, solo se autorizzati da espressa disposizione di legge, nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le finalità di interesse pubblico perseguite. In caso di assenza anche di una sola di tali condizioni legittimanti la citata normativa prevedeva espressamente in quali modi alternativi supplire alle carenze del caso concreto (art. 20, commi 2 e 3).

Il trattamento dei dati sensibili ad opera dei soggetti pubblici doveva conformarsi “secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell’interessato” (art. 22), e svolgersi secondo alcuni principi espressamente indicati.

Norma fondamentale per il caso in esame era quella contenuta nel comma 8 dell’art. 22, a mente del quale “I dati idonei a rivelare lo stato di salute non possono essere diffusi”, che ha costituito il parametro normativo -violato- cui il Garante della Privacy ha fatto riferimento nell’irrogare la sanzione pecuniaria del pagamento di € 20.000,00.

A conferma dell’importanza per l’ordinamento del bene giuridico leso anche altre fonti, tra cui la norma di cui al D.lgs. n. 33 del 14.3.2013 (Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazione da parte delle pubbliche amministrazioni), per cui restavano “fermi i limiti alla diffusione e all’accesso delle informazioni di cui (alla) legge 7.8.1990 n. 241 relativi alla diffusione dei dati idonei a rivelare lo stato di salute…” (art. 4, comma 6).

Nello specifico anche il Garante della Privacy, dopo aver chiarito che “i principi e la disciplina di protezione dei dati personali…devono essere rispettati anche nell’attività di pubblicazione di dati sul web…” ha ribadito che è “invece, sempre vietata la diffusione di dati idonei a rivelare lo stato di salute…”, e che “in particolare, con riferimento ai dati idonei a rivelare lo stato di salute degli interessati, è vietata la pubblicazione di qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia, o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità, o handicap fisici e/o psichici” («Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”, adottate con Provvedimento n. 243 del 15.5.2014, parte prima, par. 2, ribadite al par. 9.e, e con riferimento alla pubblicazione di atti sul web, contenute nella parte seconda, par.1).

Dall’articolato normativo emerge che l’esigenza del legislatore è quella di evitare le sofferenze che l’ostensione del dato sensibile relativo allo stato di salute di un minore potrebbe creare, con rischi di discriminazione anche sociale, che riguardano il minore, ma anche i genitori e i familiari legati da vincoli di comunanza di vita.

Di recente a questo proposito la Corte di Cassazione, dopo aver messo in luce che lo stato di salute di un minore è un dato sensibile, per cui la P.A. è tenuta ad adottare tutte le misure necessarie per evitare la violazione del diritto alla privacy, ha evidenziato che la tutela fornita dal D.lgs. n. 196/2003 riguarda il minore ma anche gli altri familiari. La diffusione delle informazioni sulle condizioni di salute del minore si riflette infatti anche sul genitore o su altro familiare, poiché la situazione del familiare congiunto a persona affetta da invalidità in ogni caso esprime una situazione di debolezza o di disagio sociale, di per sé potenzialmente idonea ad esporre la persona a condizionamenti o discriminazioni. L’ostensione del dato sulla salute conduce quindi ad una dolorosità e a rischi di discriminazione sociale che riguardano tutti i membri della comunità familiare. (Cass. sez. III civile, sentenza n. 16816, dep. il 26 giugno 2018).

E’ per questo che il legislatore ha tentato di arginare i rischi, più frequenti negli ambienti scolastici, con la previsione di interventi di integrazione ed inclusione scolastica degli alunni con Bisogni Educativi Speciali (in special modo i portatori di handicap o con particolari difficoltà di apprendimento). Tra le varie iniziative ha previsto la nascita dei gruppi di lavoro per l’handicap (denominati GLH, acronimo, tra l’altro, presente nell’oggetto della circolare per cui è causa), species dei Gruppi di lavoro per l’integrazione scolastica, presenti presso ogni circolo didattico ed istituto di scuola secondaria di primo e secondo grado, composti da insegnanti, operatori dei servizi, familiari e studenti, con il compito di collaborare alle iniziative educative e di integrazione (art. 15 della legge n. 104 del 1992, oltreché D.M. 26.6.1992, D.P.R. 28.3.2007 n. 75 e Circolare ministeriale n. 8 del 6.3.2013).

Sotto il secondo profilo, cui si accennava, rileva la disciplina in tema responsabilità dei Dirigenti scolastici.

In particolare i capi degli istituti scolastici vedono disciplinati poteri e limiti principalmente nel D.lgs. 30 marzo 2001 n. 165, che attribuisce loro la responsabilità della organizzazione e gestione scolastica.

In dettaglio ne sono previsti i compiti, per cui il “dirigente scolastico assicura la gestione unitaria dell’istituzione, ne ha la legale rappresentanza, è responsabile della gestione delle risorse finanziarie e strumentali e dei risultati dei servizi…con autonomi poteri di direzione, di coordinamento e di valorizzazione delle risorse umane. In particolare, il dirigente scolastico organizza l’attività scolastica secondo criteri di efficienza e di efficacia formative…” (art. 25, primo comma). Nell’ambito “delle funzioni attribuite alle istituzioni scolastiche, spetta al dirigente l’adozione dei provvedimenti di gestione delle risorse e del personale” (art. 25, quarto comma).

Da quanto detto emerge che l’unica responsabile della complessiva organizzazione e gestione dell’Istituto scolastico era la Dirigente Omissis, sulla quale incombevano dunque gli obblighi di verificare la correttezza e la legittimità della circolare sottoscritta e di monitorarne le sorti anche nei successivi passaggi, al fine di impedirne la pubblicazione.

Non possono dunque essere ritenuti responsabili dei detti adempimenti gli altri docenti appartenenti all’istituto citati nell’odierno giudizio, nel quale è emerso il loro ruolo marginale, di meri esecutori delle istruzioni diramate dalla Dirigente scolastica Prof. Omissis, ed in particolare:

– la Prof.ssa omissis, per avere avuto il compito di predisporre il testo della circolare, e poi di trasmetterla al collega Omissis;

– il Prof. OMISSIS, per aver semplicemente inviato ad una lista di docenti già predisposta le comunicazioni perfezionate e sottoscritte dalla Omissis -la quale ben avrebbe potuto limitarne la diffusione anche dopo tale invio ai docenti, tra i quali lei stessa figurava-.

– il Prof. OMISSIS, per avere materialmente inserito sul sito web dell’Istituto la circolare, anch’egli quale mero esecutore delle istruzioni verbali ricevute dalla Dirigente scolastica. E ciò in quanto l’incarico effettivo di responsabile del sito web della scuola risulta essergli stato affidato dalla Omissis, con attribuzione specifica di poteri e limiti, solo in epoca successiva ai fatti di causa.

In conclusione gli obblighi normativi sopra illustrati, (in uno alle normative sovranazionali poste a tutela dei diritti fondamentali della persona, in diretta attuazione disposizioni comunitarie), sono stati dunque disattesi dalla Dirigente scolastica, che con la sua condotta gravemente sprezzante degli stessi ha leso il diritto alla tutela della riservatezza del minore, causando per sua esclusiva colpa (personale ed in vigilando) l’irrogazione della sanzione, così da creare un danno, indiretto, alle casse dell’Istituto scolastico, in quanto il pagamento di somme con denaro pubblico a causa dell’inosservanza di obblighi imposti normativamente costituisce un aggravio di spesa e sottrae le relative somme all’attuazione degli scopi istituzionali.

(…)