La recente Relazione annuale (relativa al 2025) del Garante per la protezione dei dati personali permette, tra le altre, di fare il punto dello stato della conformità al GDPR da parte degli istituti scolastici, evidenziando i punti su cui c’è più fatica ad adottare le pratiche corrette.

Errori materiali

Una prima categoria di problemi riguarda gli errori (spesso oggetto di segnalazioni e reclami all’Autorità) che causano la diffusione non necessaria (e di conseguenza illecita) di informazioni più o meno sensibili a soggetti che non hanno titolo o necessità di accesso: ciò avviene sia attraverso strumenti ad accesso pubblico (il sito web o i social media) oppure ad accesso ristretto (come il registro elettronico). Particolarmente gravi sono i casi riportati nella relazione relativi ai Piani Educativi Personalizzati di studenti con disabilità o difficoltà di apprendimento, soprattutto perché in casi del genere si sommano i criteri di vulnerabilità dovuti alla giovane età e alle condizioni specifiche, cosa che dovrebbe comportare attenzioni e misure di controllo eccezionali.

Tuttavia, il problema più preoccupante (perché di più difficile soluzione) è che tali errori non sono stati limitati al personale scolastico (sia docente che ATA), su cui è in teoria possibile intervenire appropriatamente, ma hanno coinvolto anche alcuni genitori, per i quali è possibile solo intervenire con la sensibilizzazione, che purtroppo però viene difficilmente accolta.

Un caso limite per gravità sia delle conseguenze che della “disattenzione” è quello in cui una mail contenente un preavviso di sciopero di una cooperativa sociale, in cui erano evidenziati in modo estremamente dettagliato gli alunni assistiti (con le relative motivazioni) che sarebbero stati affetti dalla mancanza del sostegno normalmente fornito, è stata inviata e successivamente inoltrata ad altri in modo indiscriminato, rendendo palesi dati molto sensibili a soggetti che non avevano necessità.

Pubblicazioni eccessive

Si tratta in realtà di un aspetto diverso dello stesso problema, cioè diffusione eccessiva di informazioni più o meno sensibili, ma nel contesto di comunicazioni di per sé lecite e/o obbligatorie, quali le circolari, l’albo pretorio, etc, che avrebbero meritato di oscurare le informazioni eccessive prima della pubblicazione. Si tratta in sostanza della mancata adozione di misure di bilanciamento tra la necessità di informare la comunità scolastica, o nel caso dell’amministrazione trasparente, il pubblico, e la tutela della dignità, reputazione, vita privata dei soggetti interessati. Da sottolineare che tale pratica è sbagliata anche per dati apparentemente banali come i dati di contatto personale/familiare, riferiti peraltro non solo agli studenti ma anche al personale scolastico o agli eventuali professionisti esterni.

La diffusione di immagini

Un altro endemico problema è la pubblicazione delle immagini degli studenti su internet (sito e/o social). Si ricorda che tale pratica, non rientrando tra quelle istituzionali ed indispensabili dell’istituzione (per dirla semplice: si può formare ed educare uno studente senza che immagini che lo ritraggono finiscano su internet) è soggetta alla concessione del consenso da parte dello studente (se maggiorenne) o degli “esercenti la potestà genitoriale” (se minorenne). A parte i casi limite (pochi, per fortuna) di mancanza totale di un tal genere di consenso, ci si è spesso trovati in casi in cui la pubblicazione avveniva con modalità differenti da quelle dichiarate al rilascio del consenso (es. un video pubblicato su YouTube mentre la liberatoria dichiarava solo il sito internet istituzionale). Un’utile indicazione arriva da un caso in cui è stato ritenuta eccessiva anche la ripresa di spalle degli studenti, perché dal contesto e da altri particolari era possibile comunque riconoscere i soggetti ripresi (quindi sarebbe stata necessaria, anche in questo caso, la liberatoria).

Particolarmente significativo il caso di una scuola materna sanzionata per aver pubblicato su Google Maps (a scopo presumibilmente autopromozionale) immagini dei bambini anche “in contesti particolarmente delicati (sonno, mensa, utilizzo dei servizi igienici, cambio pannolino, massaggi infantili)”; inoltre, nel provvedimento si evidenziava che tale condotta sarebbe stata comunque eccessiva, e quindi sanzionabile, anche in presenza di un consenso, fornendo quindi un criterio di valutazione sulla liceità di certi trattamenti. Sempre lo stesso asilo, con l’installazione di videocamere di sorveglianza anche in aree interne “sensibili” (inclusi i bagni…) con violazioni sia nei confronti dei bambini ma anche dei lavoratori, fornisce un altro esempio di pratica decisamente oltre ogni possibile valutazione in accountability.

Mancanza o inadeguatezza del DPO

A distanza di 8 anni dall’applicabilità del GDPR, risultano ancora casi di scuole che non hanno provveduto alla designazione (obbligatoria) del Responsabile Protezione Dati (o DPO nell’acronimo inglese), o non effettuano tempestivamente una nuova designazione alla conclusione dell’incarico precedente, nonché la sempre presente designazione di persone non adeguatamente preparate (spesso già presenti nella scuola con ruoli diversi e magari incompatibili); con tutte le conseguenze di inadeguatezza operativa che il precedente riassunto rende palese.

Contributi

Infine, si evidenziano i contributi dell’Autorità nella definizione delle Linee Guida del Ministero per la corretta adozione dell’intelligenza artificiale nelle scuole, e per l’implementazione del modello di curriculum della studentessa e dello studente; nonché l’aggiornamento del Vademecum dedicato proprio al trattamento di dati personali in ambito scolastico.

Conclusioni

La tipologia di violazioni riportate nella Relazione fa pensare alla poca attenzione (a sua volta dovuta a poca consapevolezza sui rischi che certi trattamenti comportano) coma causa principale, che può essere risolta solo con adeguata (e obbligatoria) formazione del personale.

Tuttavia, come accennato, sarebbe auspicabile che la formazione o sensibilizzazione in tema di privacy non fosse limitata al personale, ma si trovasse il modo di proporla anche agli studenti (come noi, come esperti esterni, abbiamo avuto occasione di fare in questa prima metà del 2026 presso l’Istituto di Istruzione Superiore Stendhal-Calamatta di Civitavecchia) ed alle famiglie.

LabPrivacy RIPRODUZIONE RISERVATA. Ne è consentito un uso parziale, previa citazione della fonte.