IL DIRIGENTE SCOLASTICO, I DATI SANITARI DEGLI ALUNNI DISABILI E IL POTERE DI AUTORIZZARE CIÒ CHE LA LEGGE NON CONSENTE.

La privacy non è un ostacolo burocratico ed il PEI non è un lasciapassare per la circolazione indiscriminata delle informazioni sanitarie dei minori.

C’è un momento in cui l’autonomia scolastica smette di essere una responsabilità istituzionale e rischia di trasformarsi in qualcosa di profondamente diverso: quando chi dirige una scuola dimentica che il potere di organizzare non coincide con il potere di disporre liberamente dei diritti degli altri.

E se la questione riguarda i dati personali e sanitari di un alunno con disabilità, il problema diventa ancora più serio.

Perché non stiamo parlando di un semplice elenco di alunni. Non stiamo parlando di una circolare amministrativa. Non stiamo parlando di un documento qualsiasi da inoltrare con un clic, magari accompagnato dalla rassicurante formula «è necessario per il servizio».

Stiamo parlando di minori. Di diagnosi. Di certificazioni. Di informazioni sulla salute. Di PEI. Di assenze. Di condizioni personali che l’ordinamento protegge proprio perché la loro conoscibilità non può essere lasciata alla discrezionalità di chiunque abbia un ruolo nell’organizzazione scolastica.

E allora una domanda diventa inevitabile: quale responsabilità assume un dirigente scolastico quando autorizza, dispone o comunque concorre alla trasmissione di informazioni sanitarie degli alunni con disabilità a un ente locale?

La risposta non può essere: «Lo abbiamo sempre fatto».
Non può essere: «Ce lo ha chiesto il l’ente locale ».
E non può essere neppure: «Serviva per organizzare l’assistenza».
Perché una finalità amministrativa, anche quando è legittima e importante, non cancella le regole sulla protezione dei dati personali.

LA LEGGE NON CONSEGNA AL DIRIGENTE UN POTERE ILLIMITATO SUI DATI DEGLI ALUNNI

Il dirigente scolastico esercita poteri di direzione, coordinamento e organizzazione. È responsabile della gestione dell’istituzione scolastica, ma non è proprietario delle informazioni personali degli studenti.

Il decreto legislativo 165/2001, all’articolo 25, disciplina le funzioni e le responsabilità della dirigenza scolastica. Non attribuisce, tuttavia, un potere generale di autorizzare qualsiasi trattamento di dati personali sulla base di una valutazione di mera opportunità amministrativa.

La materia è regolata anche dal Regolamento UE 2016/679, il GDPR, e dal decreto legislativo 196/2003, il Codice in materia di protezione dei dati personali, come modificato nel tempo.
L’articolo 5 del GDPR impone, tra gli altri, i principi di liceità, correttezza, trasparenza, limitazione della finalità e minimizzazione dei dati.
L’articolo 9 stabilisce una protezione rafforzata per le categorie particolari di dati personali, tra cui quelli relativi alla salute.
Gli articoli 6 e 9 richiedono presupposti giuridici appropriati per il trattamento. Per i soggetti pubblici, questi presupposti devono essere individuati nella normativa applicabile e nelle condizioni previste dal Regolamento e dalla legislazione nazionale.

Tradotto in termini comprensibili: non basta che un’informazione sia utile, comoda o richiesta da un’amministrazione. Occorre verificare se possa essere comunicata, a chi, per quale finalità e nella misura strettamente necessaria.

Il dirigente non può sostituire questi requisiti con una propria autorizzazione interna e, soprattutto, non può trasformare un’esigenza organizzativa in una giustificazione universale.

L’ENTE LOCALE DEVE ORGANIZZARE L’ASSISTENZA: QUESTO NON SIGNIFICA RICEVERE QUALSIASI DOCUMENTO SANITARIO

Nell’ambito dell’assistenza all’autonomia e comunicazione, gli enti locali devono poter svolgere le funzioni loro attribuite e organizzare concretamente il servizio. È una necessità reale.
Per programmare le risorse possono essere indispensabili informazioni sul numero degli alunni interessati, sulle ore di assistenza necessarie e sugli elementi funzionali pertinenti alla prestazione da erogare.
Ma da questo non discende automaticamente la necessità di trasmettere diagnosi cliniche complete, relazioni sanitarie, certificazioni integrali o l’intero Piano educativo individualizzato.

Occorre distinguere.
Un conto è comunicare le informazioni strettamente necessarie a garantire il servizio.
Un altro è trasferire documentazione contenente dati sanitari ulteriori, senza aver verificato la necessità di ciascuna informazione e l’esistenza di un idoneo presupposto giuridico.
Un conto è comunicare le ore di assistenza individuate nel percorso di progettazione educativa.
Un altro è consegnare a un ufficio amministrativo documenti che possono contenere informazioni sulla diagnosi, sul funzionamento personale, sulle difficoltà individuali e su altri aspetti della vita dell’alunno che non sono necessariamente indispensabili per organizzare il servizio.

La domanda da porsi non è: «L’Ente Locale ha chiesto il documento?».
La domanda è: «Quali dati sono effettivamente necessari all’Ente Locale per esercitare la propria funzione, e sulla base di quale disposizione possono essergli comunicati?».

Sembra una differenza elementare.

Eppure è proprio da questa differenza che passa il confine tra una gestione amministrativa corretta e un trattamento dei dati potenzialmente illecito.

IL PEI NON È UN DOCUMENTO AMMINISTRATIVO QUALSIASI

C’è un equivoco che merita di essere affrontato senza giri di parole: il PEI non è un semplice modulo da allegare automaticamente a ogni richiesta di assistenza; è uno strumento fondamentale della progettazione educativa e dell’inclusione scolastica. Può contenere informazioni personali particolarmente delicate, riferite a un minore che necessita di una tutela rafforzata.

Il fatto che un documento sia stato elaborato e approvato nell’ambito del GLO non significa che possa essere liberamente trasmesso a qualsiasi soggetto coinvolto, direttamente o indirettamente, nell’organizzazione di un servizio.

La partecipazione alla progettazione educativa non equivale a un’autorizzazione generalizzata ad accedere all’intero patrimonio informativo dell’alunno.
Occorre sempre verificare le competenze del destinatario, la finalità della comunicazione e la necessità dei dati trasmessi.
E qui il richiamo al Garante per la protezione dei dati personali è tutt’altro che teorico.

Con il provvedimento del 27 novembre 2024, il Garante ha chiarito che anche l’indicazione nominativa relativa alla convocazione di un GLO può rivelare informazioni sullo stato di salute dell’alunno e che tali informazioni devono essere comunicate soltanto ai soggetti legittimati.
Con il provvedimento del 10 luglio 2025, l’Autorità ha inoltre contestato la pubblicazione di convocazioni del GLO che rendevano conoscibile la condizione di disabilità degli studenti.

Questi provvedimenti riguardano specifiche condotte e non dimostrano che ogni comunicazione tra scuola ed ente locale sia illegittima. Dimostrano, però, un principio essenziale: anche informazioni che possono sembrare meramente organizzative possono rivelare dati relativi alla salute e devono essere trattate con le garanzie previste dalla legge.

Le scuole, quindi, non possono liquidare la questione sostenendo che la disabilità sia già conosciuta o che il documento sia stato predisposto per finalità educative: la conoscenza della condizione di disabilità da parte di alcuni soggetti non rende automaticamente legittima la sua ulteriore comunicazione ad altri.

IL DIRIGENTE AUTORIZZA, L’UFFICIO TRASMETTE, L’ENTE RICEVE. E CHI VERIFICA?

È qui che la questione diventa istituzionale.

Quando una scuola trasmette dati personali a un ente locale, non basta sapere che il documento è partito. Bisogna ricostruire l’intera procedura.

Chi ha deciso la trasmissione?
Quale finalità è stata indicata?
Quale norma giustifica la comunicazione?
Quali informazioni sono state trasmesse?
Chi le ha ricevute?
Chi può consultarle?
Per quanto tempo vengono conservate?
Quali misure impediscono che quei dati siano utilizzati per finalità diverse da quelle legittime?

E, soprattutto, era davvero necessario trasmettere il documento integrale oppure sarebbe stato sufficiente un estratto contenente le sole informazioni pertinenti?

Non sono domande pretestuose. Sono verifiche coerenti con i principi di responsabilizzazione e protezione dei dati personali previsti dal GDPR.

Il dirigente scolastico non è automaticamente responsabile di ogni trattamento effettuato dall’istituto in quanto persona fisica, né ogni comunicazione comporta una violazione. Le responsabilità devono essere individuate in base ai poteri esercitati, alle decisioni assunte, agli obblighi applicabili e alle circostanze concrete.
Ma proprio per questo occorre smettere di considerare la firma, l’autorizzazione o l’ordine di trasmissione come atti privi di conseguenze.

Se una comunicazione non è giustificata dalla legge, il semplice fatto che sia stata disposta da un superiore non la rende lecita.
E se una procedura viene ripetuta per anni, la sua ripetizione non la trasforma automaticamente in una procedura legittima.
La consuetudine amministrativa non è una fonte di autorizzazione al trattamento dei dati sanitari.

IL GDPR NON È UN ORNAMENTO DA CITARE SOLTANTO QUANDO CONVIENE

Gli articoli 5, 6 e 9 del GDPR costituiscono il riferimento essenziale per valutare la liceità di una comunicazione di dati sanitari.
L’articolo 5 impone che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.
L’articolo 6 richiede una base giuridica per il trattamento.
L’articolo 9 stabilisce il divieto generale di trattare categorie particolari di dati, salvo che ricorra una delle condizioni previste dalla normativa.
Il Codice della privacy, in particolare gli articoli 2-ter e 2-sexies, completa il quadro per il trattamento dei dati da parte dei soggetti pubblici, comprese le condizioni previste per finalità di rilevante interesse pubblico.

Non è quindi sufficiente invocare genericamente la collaborazione istituzionale, l’interesse dell’alunno o l’organizzazione dell’assistenza.
Occorre individuare il fondamento giuridico concreto e verificare che il trattamento sia proporzionato alla finalità.

E attenzione a un altro equivoco: il consenso dei genitori non è una soluzione universale. Nei trattamenti effettuati dalle pubbliche amministrazioni nell’esercizio delle proprie funzioni, la liceità deve essere valutata anzitutto alla luce della specifica base giuridica applicabile. Una firma raccolta dalla scuola non può sostituire automaticamente i requisiti di legge mancanti.

La tutela della riservatezza non si garantisce accumulando autorizzazioni generiche. Si garantisce progettando correttamente il trattamento.

LA RESPONSABILITÀ NON PUÒ ESSERE SCARICATA SUL PERSONALE AMMINISTRATIVO

Un’altra questione riguarda la distribuzione delle responsabilità all’interno dell’istituzione scolastica.
La presenza di una segreteria che prepara i documenti, di un software che li rende disponibili o di una procedura automatizzata non elimina l’obbligo di verificare la legittimità del trattamento.

Occorre distinguere i compiti del dirigente, quelli degli uffici, le responsabilità del titolare del trattamento e quelle degli eventuali soggetti autorizzati, secondo l’organizzazione effettiva e la normativa applicabile.
Il dirigente non può essere considerato automaticamente responsabile di qualsiasi operazione compiuta da un dipendente. Ma neppure può ritenersi estraneo alle decisioni che abbia personalmente assunto o alle misure organizzative che rientrano nelle sue competenze.
La responsabilità deve seguire i fatti, non le gerarchie utilizzate come schermo.

Se esiste una procedura di trasmissione sistematica di PEI o certificazioni sanitarie, è legittimo chiedere che venga documentato il fondamento normativo, che siano individuati i destinatari autorizzati e che sia verificata la necessità di ogni categoria di dato.
Se le informazioni trasmesse risultano eccedenti, occorre intervenire per correggere la procedura.
Se emergono elementi concreti di trattamento illecito, gli interessati possono rivolgersi al responsabile della protezione dei dati (RPD/DPO), chiedere chiarimenti e valutare una segnalazione o un reclamo al Garante, secondo le circostanze.

Non serve gridare preventivamente allo scandalo.
Serve qualcosa di più serio: ricostruire i fatti, acquisire gli atti e verificare le responsabilità.

E SE DA UNA DECISIONE ILLEGITTIMA DERIVA UN DANNO?

Il punto più delicato riguarda le conseguenze.
La violazione della riservatezza di un minore non è una questione puramente formale. Può esporre informazioni intime a soggetti non legittimati, compromettere la dignità dell’interessato e generare conseguenze personali che meritano di essere valutate con attenzione.

Il GDPR prevede strumenti di tutela e, in presenza dei presupposti, la possibilità di chiedere il risarcimento dei danni ai sensi dell’articolo 82.
La responsabilità amministrativa, disciplinare, civile o di altra natura, tuttavia, non scatta automaticamente per il solo fatto che un dirigente abbia firmato una comunicazione. Occorre accertare la violazione, individuare il soggetto cui è imputabile e verificare i requisiti previsti dalla disciplina applicabile.

Questo non significa che le responsabilità siano irrilevanti.
Significa che devono essere accertate seriamente, senza confondere la denuncia di un problema con la prova di un illecito.
La domanda da porre alle istituzioni è semplice: chi ha disposto il trattamento, su quale base normativa, con quali garanzie e con quali conseguenze?
Quando esistono elementi per ritenere che le regole siano state violate, il controllo non è un atto di ostilità nei confronti della scuola. È uno strumento di tutela dei diritti dell’alunno.

L’INCLUSIONE NON AUTORIZZA A SACRIFICARE LA RISERVATEZZA

C’è una contraddizione che deve essere superata.
Non si può invocare il diritto all’inclusione per giustificare qualsiasi circolazione di informazioni personali. Ma non si può neppure usare la privacy come pretesto per impedire all’ente competente di ricevere i dati realmente necessari a garantire l’assistenza.

I due diritti non sono nemici: devono essere conciliati attraverso procedure corrette, comunicazioni proporzionate e responsabilità chiaramente individuate.
Per l’assistenza all’autonomia e comunicazione, la scuola e l’ente locale devono poter collaborare nel rispetto delle rispettive competenze. Questa collaborazione, però, deve poggiare su una distinzione rigorosa tra le informazioni necessarie all’erogazione del servizio e quelle che non occorre trasferire.

Non è accettabile che la tutela della privacy venga invocata soltanto quando una famiglia chiede chiarimenti, mentre venga dimenticata quando un documento contenente informazioni sanitarie deve essere trasmesso a un ufficio.
La riservatezza non è una regola da applicare a intermittenza.
E non può dipendere dalla comodità organizzativa di chi gestisce il procedimento.

LA SCUOLA È UN’ISTITUZIONE PUBBLICA, NON LA PROPRIETARIA DEI DATI DEI SUOI ALUNNI

Il dirigente scolastico ha un ruolo importante e responsabilità precise. Proprio per questo deve esercitare i propri poteri con competenza, prudenza e rispetto delle norme: non basta dire che un documento serve.

Bisogna spiegare perché serve, quali parti sono necessarie, chi è legittimato a riceverlo e quale disposizione consente di comunicarlo.
Non basta affermare che l’ente locale  deve organizzare il servizio.
Bisogna individuare quali dati sono indispensabili per farlo.
Non basta sostenere che la procedura è stata sempre seguita.
Bisogna verificare che sia conforme alla legge.

La trasmissione dei dati sanitari di un minore non può diventare un automatismo amministrativo sottratto a ogni controllo. E chi esercita poteri organizzativi non può confondere la propria competenza con una libertà illimitata di disporre delle informazioni personali degli studenti.

La domanda finale, allora, è questa.

Se un dirigente dispone la trasmissione di documenti sanitari senza averne verificato i presupposti, se vengono comunicati dati eccedenti rispetto alle finalità del servizio e se nessuno ritiene necessario interrogarsi sulla procedura, chi tutela concretamente il diritto alla riservatezza dell’alunno?

La risposta non può essere il silenzio.
Occorrono trasparenza amministrativa, verifica delle basi giuridiche, minimizzazione dei dati, tracciabilità delle decisioni e accertamento delle responsabilità quando emergano violazioni.

Perché un alunno con disabilità ha diritto all’assistenza, all’inclusione e alla piena partecipazione scolastica.
Ma ha anche diritto a non vedere le proprie informazioni sanitarie trattate come allegati ordinari di una pratica amministrativa.

Il dirigente scolastico non è il proprietario della scuola. E certamente  il proprietario della riservatezza dei suoi alunni.
L’autorevolezza di una dirigenza non si misura dalla rapidità con cui autorizza una trasmissione, ma dalla capacità di verificare che quella trasmissione sia necessaria, legittima e proporzionata.

Quando sono in gioco i diritti di un minore, la prudenza non è burocrazia. È un dovere istituzionale.
E la legge non può essere sostituita da un’abitudine, da una richiesta  o da un semplice «si è sempre fatto così».

I diritti non si sospirano e non si rimandano: si applicano !