Garante per la protezione dei dati personali (Garante) har utfärdat en sanktionsavgift på 2 000 euro mot Istituto Comprensivo Centro di Casalecchio di Reno för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en registrerad lämnat in ett klagomål mot den offentliga skolinstitutionen mot Istituto Comprensivo Centro di Casalecchio di Reno. Den registrerade hade utövat sina rättigheter enligt artiklarna 15–22 GDPR och begärt radering av personuppgifter som publicerats på internet inom ramen för en lärargraduering (Graduatoria XX). De publicerade uppgifterna omfattade bland annat privat bostadsadress, personlig e-postadress, telefonnummer och personnummer.
Trots att institutet uppgett sig ha raderat uppgifterna från sin egen webbplats kvarstod publiceringen online. Den efterföljande utredningen visade att institutet under cirka två år hade publicerat en lista med cirka 1 333 lärare på sin officiella webbplats, innehållande ovan nämnda personuppgifter. Efter den registrerades begäran hade listan tagits bort från institutets webbplats, men dokumentet fanns fortfarande tillgängligt via en tredje parts webbplats, utan samband med institutet. Publiceringen hade enligt institutet skett till följd av ett oavsiktligt administrativt misstag.
Garante konstaterade att institutets publicering av gradueringen med detaljerade kontaktuppgifter och personnummer utgjorde en otillåten spridning av personuppgifter. Även om behandlingen skett inom ramen för en offentlig uppgift saknades en rättslig grund för att publicera dessa uppgifter i öppna digitala miljöer. Publiceringen stred mot principerna om laglighet, korrekthet och öppenhet samt mot kravet på uppgiftsminimering enligt artikel 5.1 (a) och (c) GDPR. Enligt Garante var publiceringen inte nödvändig vare sig för att uppfylla en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse enligt artikel 6.1 (c) och (e) GDPR.