[doc. web n. 10287044]

Provvedimento del 23 luglio 2026

Registro dei provvedimenti
n. 549 del 23 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato all’Autorità, la sig.ra XX, madre di una minore iscritta presso la scuola dell’infanzia dell’Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento (SA) (di seguito, l’Istituto), ha lamentato che l’Istituto le avrebbe inviato, in data XX, “una comunicazione formale in cui disponeva l'esclusione della bambina dalla scuola in base alla mancata osservanza dell'obbligo vaccinale, ai sensi della Legge 119/2017” nonostante la stessa avesse avviato al riguardo “un percorso informativo con l'ASL per approfondire la situazione vaccinale” della figlia. La reclamante ha inoltre rappresentato che “tale comunicazione è stata inviata anche al Sindaco del Comune di […], il quale, dopo una chiamata privata con la dirigente, si è recato presso la […propria] attività lavorativa per informare […il] marito della situazione”.

2. L’attività istruttoria.

Con note del XX (prot. n. XX), XX (prot. n. XX) e XX (prot. n. XX) a cui si rinvia integralmente, rispondendo alle richieste di informazioni formulate da questa Autorità, l’Istituto ha rappresentato, in particolare che:

- “il trattamento dei dati personali della minore, inclusi quelli relativi alla salute per quanto concerne le vaccinazioni obbligatorie, trova fondamento nella Legge 119/2017. Tale normativa impone l’obbligo di vaccinazione come requisito per l’accesso agli istituti scolastici e costituisce la base giuridica che legittima il trattamento dei dati personali secondo quanto previsto dall’art. 6 par. 1, lett. C del regolamento (UE) 2016/679”;

- “l’Istituto ha agito con la massima attenzione alla proporzione tra il diritto alla protezione della salute pubblica e il rispetto della privacy della minore. La comunicazione effettuata era strettamente necessaria per coordinare logisticamente la frequenza della bambina in sicurezza, evitando situazioni di potenziale disagio e garantendo il rispetto delle normative vigenti”;

- con riferimento alle motivazioni e al presupposto giuridico dell'invio della comunicazione riguardante la mancata vaccinazione della figlia della reclamante al sindaco del comune […], dopo un'attenta analisi della documentazione e delle procedure interne, ribadisco che la sola segnalazione, senza alcuna altra richiesta di intervento, è stata motivata dalla consapevolezza che il Sindaco è, nel proprio comune, l’autorità sanitaria, per le opportune operazioni di monitoraggio. La prassi seguita è stata quella utilizzata durante il periodo COVID, quando le comunicazioni venivano inviate al Sindaco del paese di residenza dell’alunno per opportuna conoscenza. Pur nella consapevolezza che non siamo in presenza di una emergenza sanitaria, che la scuola dell’Infanzia non è scuola “dell’obbligo”, è pur vero che il Sindaco è un pubblico ufficiale, co-responsabile della gestione della frequenza scolastica e della tutela della salute pubblica nel suo comune, agendo come autorità sanitaria locale. Alla luce di quanto sopra, la segnalazione, anche se non necessaria, al Sindaco di […] trova la sua giustificazione. Ribadisco che tale episodio rappresenta un caso unico ed isolato. In tutti gli anni di attività dell'Istituto, non si sono mai verificati casi analoghi e la protezione dei dati personali degli alunni e delle loro famiglie è sempre stata una priorità assoluta della nostra gestione scolastica”;

- “è stato pienamente coinvolto il Responsabile della Protezione dei Dati dell'Istituto, […], il quale ha contribuito all'analisi dell'accaduto e alla definizione delle misure correttive”.

Da ultimo, con nota del XX (prot. n. XX), a cui si rinvia integralmente, rispondendo alla ulteriore richiesta di approfondimenti dell’Autorità, codesto Istituto ha specificato, in particolare che:

- “[…] il Dirigente Scolastico, in caso di due o più casi di alunni o studenti che erano risultati positivi al COVID 19 in un plesso o classe o sezione, si rapportava con l’ASL di Competenza e con il Comune per le operazioni di competenza di questi: profilassi o chiusura del plesso o sezione. È consentito ai Sindaci, sulla base di situazioni di particolari criticità accertate con riferimento al territorio di competenza, l’adozione di provvedimenti di sospensione delle attività in presenza e di altre misure eventualmente necessarie” (Ordinanza Regione Campania n. 1 del 5 gennaio 2021). In ogni caso veniva segnalato il solo numero degli alunni o degli studenti interessati quindi, fornendo dati aggregati e non informazioni personali o di salute […]. In particolar modo in una situazione di prima emergenza COVID il sindaco era l’organo che in modo più diretto poteva captare un’emergenza locale e quindi legittimato ad intervenire in modo più tempestivo”.

Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota del XX (prot. n. XX), all’Istituto, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto l’invio al Sindaco del Comune di […], di una comunicazione riguardante l’esclusione della figlia della reclamante dalla frequenza scolastica a causa della mancata osservanza dell'obbligo vaccinale di cui alla l. 31 luglio 2017, n. 119, ha comportato una comunicazione di dati personali, anche relativi alla salute, in assenza di un idoneo presupposto di liceità in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 9, parr. 1, 2, lett. g) e 4 del Regolamento e 2-ter, commi 1 e 3, e 2 sexies, commi 1 e 2, lett. bb) del Codice.

Pertanto l’Ufficio ha invitato il predetto titolare a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

Con nota del XX (prot. n. XX) l’Istituto ha fatto pervenire le proprie memorie difensive, a cui si rinvia integralmente, rappresentando in particolare che:

- “si riconosce lealmente che in data XX è stata inviata una comunicazione relativa alla posizione vaccinale di una minore iscritta alla scuola dell'infanzia, indirizzata anche al Sindaco del Comune […], e che tale comunicazione ha comportato la trasmissione di dati relativi alla salute. Ciò premesso, si intende dimostrare che tale condotta non è scaturita dalla volontà deliberata di violare la normativa in materia di protezione dei dati personali, ma eventualmente da un errore interpretativo commesso in totale buona fede, nell'interesse della tutela della salute pubblica della comunità scolastica”;

- “la condotta è esclusivamente colposa e non riconducibile in alcun modo a un intento deliberato di violare la normativa privacy. La scrivente ha agito nel convincimento – formatosi e consolidatosi durante il periodo dell'emergenza COVID-19 – che il Sindaco, quale autorità sanitaria locale ai sensi del d.lgs. n. 267/2000 (TUEL), fosse legittimato a ricevere comunicazioni in materia di mancato adempimento dell'obbligo vaccinale, nell'interesse del monitoraggio della salute pubblica nel territorio comunale”;

- “l'intento della scrivente non era quello di comunicare illecitamente dati sensibili, ma di agire in modo proattivo per la tutela di un interesse pubblico – la salute della comunità scolastica, in presenza di un alunno in condizione di fragilità – ritenuto preminente”;

- “sotto il profilo oggettivo, la violazione presenta caratteri di contenuta gravità per i seguenti motivi: a) Un unico interessato coinvolto […] b) Un unico destinatario istituzionale: i dati sono stati trasmessi esclusivamente al Sindaco del Comune di […] c) Assenza di diffusione pubblica: i dati non sono stati resi pubblici né trasmessi a terzi ulteriori per iniziativa dell'Istituto […] d) Durata limitata: la violazione consiste in un singolo atto comunicativo puntuale, non in un trattamento sistematico o prolungato nel tempo. e) Autonomia del comportamento del Sindaco: l'Istituto non ha alcun controllo né responsabilità sulle modalità con cui il Sindaco – autonomo titolare del trattamento – ha successivamente utilizzato le informazioni ricevute. I danni eventualmente derivati da tale condotta autonoma non sono imputabili all'Istituto”;

- “nell'anno scolastico XX, a seguito di un rilevante processo di dimensionamento scolastico, l'Istituto ha annesso diciotto nuovi plessi scolastici di quattro diversi ordini di scuola, con contestuale integrazione di personale di segreteria proveniente da altre istituzioni scolastiche e ancora in fase di assestamento rispetto alle procedure interne. Tale situazione ha determinato un significativo aggravio del carico di lavoro degli uffici di segreteria in un contesto organizzativo non ancora consolidato, condizione che contribuisce – senza costituirne esimente – a spiegare il mancato adeguamento delle procedure di comunicazione alla normativa vigente”;

- “a seguito della presente vicenda, sono state avviate le seguenti misure di rafforzamento già in corso di implementazione: 1. Revisione delle procedure interne di comunicazione relative a dati personali e categorie particolari di dati: mappatura delle basi giuridiche, dei destinatari autorizzati e delle modalità di trasmissione per ogni tipologia di trattamento. 2. Sessioni formative supplementari per tutto il personale amministrativo e docente in materia di protezione dei dati, con specifico riferimento alla gestione dei dati sulla salute e ai presupposti di liceità della comunicazione a soggetti terzi. 3. Nuove linee guida operative per la gestione delle comunicazioni riguardanti la salute degli studenti, prive di margini di incertezza sui presupposti di liceità e sui soggetti legittimati a ricevere tali informazioni. 4. Introduzione di un meccanismo di autorizzazione preventiva del DPO per ogni comunicazione di dati sanitari a soggetti esterni all'Istituto”.

Nel corso dell’audizione tenutasi in data XX (v. verbale del XX, formalizzatosi con l’accettazione del titolare, pervenuta in data XX), l’Istituto ha rappresentato in particolare che:

- “[…] all’inizio avevo chiesto alla famiglia della bambina […] di valutare bene le scelte in tema di vaccinazioni per non mettere in difficoltà la bambina e interrompere il rapporto durante l’anno scolastico. In classe della bambina c’è anche un bambino che, per particolari patologie, non può (come riferito dalla famiglia) completare il ciclo vaccinale e rischia di trovarsi in difficoltà se dovesse contrarre qualche malattia (es. rosolia). Tale difficoltà si è risolta spontaneamente perché la bambina dopo le vacanze natalizie non è più venuta a scuola, ma si ripresenterà alla primaria, visto che l’Istituto ha un’unica classe prima elementare. In tale situazione peculiare l’Istituto ha fatto una comunicazione al Sindaco, come autorità sanitaria locale, sulla situazione vaccinale della bambina, al fine di renderlo edotto della situazione “emergenziale” (paragonabile a quella già vissuta durante il periodo Covid) anche per tutelare l’altro bambino “fragile” […]”.

3. Esito dell’attività istruttoria

3.1 Normativa applicabile

Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), prevede che il trattamento di dati personali da parte di soggetti pubblici è lecito se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri” (art. 6, paragrafo 1, lett. c) ed e), paragrafi 2 e 3 del Regolamento; art 2-ter del Codice.

La base giuridica dei predetti trattamenti deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve perseguire “un obiettivo di interesse pubblico [e deve essere] proporzionato all'obiettivo” (art. 6, par. 3, del Regolamento).

In tale contesto, è sancito che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento).

Il Codice ha stabilito che “la base giuridica prevista dall’articolo 6, paragrafo 3, lettera b), del Regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1).

In particolare, le operazioni di trattamento che consistono nella “diffusione” e “comunicazione” di dati personali sono ammesse solo quando previste da una norma di legge, regolamento o atti amministrativi generali (art. 2-ter, comma 3 del Codice).

Con riguardo alle categorie particolari di dati personali, il trattamento è, di regola, consentito ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento), a condizione che i trattamenti siano “previsti dal diritto dell'Unione europea ovvero, nell'ordinamento interno, da disposizioni di legge o, nei casi previsti dalla legge o di Regolamento o da atti amministrativi generali che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato” (art. 2-sexies, comma 1, del Codice). 

Il titolare del trattamento è poi tenuto a rispettare i principi in materia di protezione dei dati tra cui, in particolare, il principio di “liceità, correttezza e trasparenza” in base al quale i dati devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a) del Regolamento).

4. Il trattamento dei dati personali dell’interessato

Da quanto emerge dal reclamo in oggetto, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni del Dipartimento, risulta che l’Istituto ha inviato al Sindaco del Comune di […] una comunicazione riguardante l’esclusione della figlia della reclamante dalla frequenza scolastica a causa della mancata osservanza dell’obbligo vaccinale, di cui alla l. 31 luglio 2017, n. 119.

In via preliminare, si rappresenta che i minori, in considerazione della loro particolare “vulnerabilità”, meritano una specifica protezione in relazione ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze, nonché dei loro diritti in relazione al trattamento dei dati (cfr. cons. 38 del Regolamento).

Si osserva inoltre che, ai sensi dell’art. 4 par.1, n. 15 del Regolamento sono considerati dati relativi alla salute “i dati personali attinenti alla salute fisica e mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni sul suo stato di salute”. 

Considerata la definizione di dato personale e di dato relativo alla salute (art. 4, punti 1 e 15, del Regolamento), si ritiene che il riferimento al mancato adempimento dell’obbligo vaccinale di cui alla l. 31 luglio 2017, n. 119 rappresenti di per sé una informazione relativa allo stato di salute degli alunni a cui tale informazione viene riferita.

Con riguardo al caso di specie - sebbene, come risulta dalle dichiarazioni in atti, la nota oggetto del presente reclamo sia stata inviata al richiamato Sindaco nell’erroneo convincimento che lo stesso “quale autorità sanitaria locale ai sensi del d.lgs. n. 267/2000 (TUEL), fosse legittimato a ricevere comunicazioni in materia di mancato adempimento dell'obbligo vaccinale, nell'interesse del monitoraggio della salute pubblica nel territorio comunale” - risulta che sia stata effettuata una comunicazione a terzi di dati personali, anche relativi alla salute dell’interessata, in assenza di un idoneo presupposto di liceità, in violazione dell’artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 9, parr. 1, 2, lett. g) e 4 del Regolamento e 2-ter, commi 1 e 3, e 2 sexies, commi 1 e 2, lett. bb) del Codice) (con riferimento alla comunicazione illecita di dati relativi alla salute di alunni, cfr. provv. 27 novembre 2024, n. 728, doc. web n. 10097324; provv. 12 dicembre 2024, n. 767, doc. web n. 10099052; provv. 27 febbraio 2025, n.  115, doc. web n. 10126123; provv. 10 aprile 2025, n. 203. doc. web n. 10144156; provv. 29 gennaio 2026, n. 36, doc. web n. 10221777; provv. 12 marzo 2026, n. 160, doc. web n. 10240343). 

5. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dall’Istituto, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Istituto, in violazione dell’artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 9, parr. 1, 2, lett. g) e 4 del Regolamento e 2-ter, commi 1 e 3, e 2 sexies, commi 1 e 2, lett. bb) del Codice).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

Considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie tutte le violazioni accertate, relative agli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 9, parr. 1, 2, lett. g) e 4 del Regolamento e 2-ter, commi 1 e 3, e 2 sexies, commi 1 e 2, lett. bb) del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- con specifico riguardo alla natura, alla gravità e alla durata della violazione, occorre considerare che la comunicazione dei dati personali ha riguardato una sola interessata (cfr. art. 83, par. 2, lett. a), del Regolamento); 

- con specifico riguardo al profilo soggettivo della violazione si evidenzia il carattere colposo della violazione (art. 83, par. 2, lett. b), del Regolamento); 

- riguardo alle categorie di dati personali, la comunicazione ha riguardato categorie particolari di dati (art.83, par. 2, lett. g) del Regolamento).

Alla luce di tale specifica circostanza, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Nel premettere che il titolare del trattamento è un Istituto scolastico e, pertanto, un soggetto di ridotte dimensioni, dotato di limitate risorse economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

- l’Istituto ha provveduto ad implementare corsi di formazione e misure organizzative al fine di rafforzare il rispetto della disciplina in materia di protezione dei dati personali (art. 83, par. 2, lett. c) del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);

- il grado di cooperazione manifestato dal titolare con l'autorità di controllo (art. 83, par. 2, lett. f) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila/00) per avere violato gli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 9, parr. 1, 2, lett. g) e 4 del Regolamento e 2-ter, commi 1 e 3, e 2 sexies, commi 1 e 2, lett. bb) del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. 

Ciò in considerazione del fatto che la comunicazione ha ad oggetto dati personali di una minore.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, l’illiceità del trattamento effettuato dall’Istituto Omnicomprensivo Ancel Keys, con sede in Via Nazionale, 2 – 84040 Castelnuovo Cilento (SA), Codice Fiscale: 93017800652, descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 9, parr. 1, 2, lett. g) e 4 del Regolamento e 2-ter, commi 1 e 3, e 2 sexies, commi 1 e 2, lett. bb) del Codice;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento (SA), di pagare la complessiva somma di euro 2.000,00 (duemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

dall’Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento (SA):

- di pagare la complessiva somma di euro 2.000,00 (duemila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori