L'autorité italienne de protection des données (Garante) a publié une décision de sanction à l'encontre de l'Institut Scolaire de Roverbella, comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec la communication non autorisée de données personnelles, y compris des données de santé. Cette affaire débute par une plainte signalant que l'établissement scolaire avait envoyé un courriel de rappel concernant les obligations vaccinales à plusieurs parents d'élèves, en laissant leurs adresses électroniques respectives visibles par tous les destinataires.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement et interdiction de traiter des catégories particulières de données (article 5, article 6 et article 9 du RGPD) : L'établissement a envoyé un courriel de rappel concernant les obligations vaccinales à environ trente-sept destinataires en laissant leurs adresses électroniques visibles dans le champ principal, au lieu d'utiliser la fonction de copie carbone invisible. L'autorité a estimé que cette action, bien que résultant d'une erreur matérielle, constituait une communication non autorisée de données personnelles, incluant des données de santé. En effet, l'objet du message révélait une information sur l'état de santé des élèves concernés, permettant à chaque destinataire de savoir que les enfants des autres parents n'étaient pas en règle avec leurs obligations vaccinales, et ce, en l'absence de tout fondement juridique valable.

En conséquence, l’autorité a imposé une amende de 1 000 € à l’Institut Scolaire de Roverbella.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.