Il dato personale non si nasconde soltanto nel testo di una circolare: può essere esposto anche dal nome scelto per salvarla. Lo ha stabilito il Garante per la protezione dei dati personali nel provvedimento n. 626 del 23 ottobre 2025, relativo a un istituto scolastico che aveva pubblicato sul proprio sito una convocazione per un consiglio di classe straordinario. La vicenda ha portato a una sanzione complessiva di 4.000 euro.
La circolare riguardava un procedimento disciplinare e non conteneva, nel documento, il nome dello studente coinvolto. L’identificazione era però possibile attraverso la denominazione del file PDF, nella quale compariva il cognome dell’alunno. Una volta pubblicato sul sito istituzionale, quel metadato visibile collegava direttamente il minore alla convocazione disciplinare, trasformando un dettaglio apparentemente tecnico in una diffusione di dati personali.
Per l’Autorità, la pubblicazione è avvenuta senza una base giuridica idonea. Il trattamento è stato quindi ritenuto in violazione degli articoli 5 e 6 del GDPR e dell’articolo 2-ter del Codice Privacy. Il principio operativo che emerge è netto: la verifica preliminare non può fermarsi alle pagine del documento, ma deve comprendere ogni informazione resa accessibile online, inclusi il titolo della pubblicazione e il nome dell’allegato.
La scuola ha ricondotto l’accaduto a un errore materiale. La piattaforma utilizzata all’epoca compilava automaticamente alcuni campi destinati alla pubblicazione, un automatismo che ha contribuito a trasferire online il cognome. Dopo la segnalazione, l’istituto ha rimosso il documento e sostituito il sistema con una soluzione che permette l’inserimento manuale delle informazioni. La correzione mostra anche il nodo organizzativo: l’automazione riduce i passaggi, ma richiede controlli sui dati generati e mostrati all’esterno.
Il provvedimento allarga così il perimetro concreto della privacy by design nelle attività quotidiane. Prima della pubblicazione, il controllo deve seguire l’intero oggetto digitale: contenuto, titolo, campi compilati dalla piattaforma e denominazione del file. Per scuole e altri soggetti pubblici, una procedura editoriale incompleta può lasciare esposti dati che non compaiono nel corpo del documento, ma restano immediatamente leggibili dagli utenti del sito.
Nel valutare la condotta, il Garante ha prestato particolare attenzione alla natura dei dati e alla vulnerabilità del minore. Il cognome non era stato diffuso in modo isolato, ma associato a un contesto disciplinare. L’istituto ha ricevuto una sanzione di 2.000 euro per l’illecita diffusione dei dati personali dello studente, a conferma che anche un solo elemento identificativo può rendere problematica una pubblicazione quando consente di ricostruire la persona e la vicenda collegata.
L’istruttoria ha inoltre rilevato un secondo inadempimento. La scuola non aveva nominato tempestivamente il Responsabile della protezione dei dati, indicato anche come RPD o DPO, né comunicato al Garante i relativi contatti. Il GDPR impone tale designazione alle autorità e agli organismi pubblici, categoria nella quale rientrano gli istituti scolastici. L’adempimento è arrivato soltanto dopo l’intervento dell’Autorità, determinando un’ulteriore sanzione di 2.000 euro.
Nella quantificazione sono state considerate diverse attenuanti: la pubblicazione era rimasta online per un periodo limitato, il cognome era comparso per errore e il file era stato rimosso appena l’istituto aveva appreso il problema. Non risultavano precedenti violazioni pertinenti e la scuola aveva collaborato con l’Autorità. Resta una lezione applicabile a ogni flusso di pubblicazione digitale: il controllo dei dati deve arrivare fino al nome del file, perché anche ciò che sta fuori dal documento può identificare una persona.