L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de l'établissement scolaire Montelibretti, comprenant le prononcé d'une amende de 4 000 €, pour des manquements en lien avec la diffusion de données personnelles, y compris des données de santé, concernant un élève mineur. Cette affaire débute par la plainte de la mère d'un élève, signalant la publication sur le site internet de l'établissement d'une circulaire relative à l'organisation de l'instruction à domicile pour son enfant.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement et interdiction de traiter des catégories particulières de données (article 6 et article 9 du RGPD) : L'établissement a publié sur son site internet un avis de sélection pour le personnel enseignant chargé de l'instruction à domicile d'un élève. Cet avis mentionnait les initiales de l'élève, l'existence d'une documentation médicale et sa classe d'appartenance. L'autorité a jugé que l'ensemble de ces informations permettait d'identifier l'élève, qui est un mineur, et de révéler des informations sur son état de santé, constituant une diffusion illicite de données de santé en l'absence de toute base juridique valable.

* Obligation de minimisation des données (article 5 du RGPD) : L'établissement a estimé à tort que l'utilisation des seules initiales du nom et du prénom de l'élève constituait une mesure de minimisation suffisante. L'autorité a rappelé que le risque d'identification demeure élevé lorsque des informations contextuelles sont également publiées, rendant les données ni adéquates, ni pertinentes, ni limitées au strict nécessaire pour la finalité de sélection du personnel.

En conséquence, l’autorité a imposé une amende de 4 000 € à l'établissement scolaire Montelibretti.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.