Scuole & privacy: pubblicato il Vademecum del Garante

In un'epoca dominata dall'innovazione tecnologica e dalla digitalizzazione, il settore educativo si trova di fronte a sfide inedite in materia di protezione dei dati personali.

Il Garante per la Protezione dei Dati Personali (GPDP) ha recentemente aggiornato il suo vademecum "La Scuola a Prova di Privacy", edizione 2025, per fornire indicazioni pratiche e aggiornate alle istituzioni scolastiche, alle famiglie, agli studenti e ai docenti. Questo documento, che tiene conto dell'evoluzione normativa e delle nuove tecnologie come l'Intelligenza Artificiale (IA), mira a bilanciare il diritto all'istruzione con la tutela della privacy, evitando rischi di violazioni che potrebbero esporre a sanzioni pecuniarie o responsabilità civili.

Come studio legale specializzato in diritto della privacy e compliance GDPR, analizziamo i punti salienti di questo vademecum, evidenziando gli aspetti legali più rilevanti. Ricordiamo che, sebbene il documento offra orientamenti generali, ogni istituzione scolastica deve adattarli al proprio contesto, possibilmente con il supporto di un Responsabile della Protezione dei Dati (RPD-DPO) o di consulenti esperti per evitare contestazioni.

Regole generali: trasparenza e trattamento dei dati

Il vademecum ribadisce l'obbligo per tutte le scuole – pubbliche o private – di informare in modo chiaro e accessibile gli interessati (studenti, famiglie, personale) su come vengono trattati i loro dati personali. L'informativa deve essere comprensibile anche per i minori e limitare le finalità al perseguimento delle funzioni istituzionali, come l'erogazione dell'attività didattica.

Dal punto di vista legale, il trattamento dei dati nelle scuole si basa principalmente su norme di settore (es. Codice della Privacy e Regolamento UE 2016/679 - GDPR), senza distinzioni tra istituti pubblici e privati per le attività formative. Il dirigente scolastico, in qualità di titolare del trattamento, deve autorizzare e formare il personale (docenti e ATA) a gestire i dati, garantendo misure di sicurezza adeguate.

Particolare attenzione è riservata alle categorie speciali di dati, come quelli relativi a origini razziali, convinzioni religiose, stato di salute o opinioni politiche. Ad esempio:

• Dati etnici per l'integrazione di alunni stranieri.

• Dati religiosi per l'insegnamento della religione cattolica.

• Dati sanitari per misure di sostegno a studenti con disabilità o DSA (Disturbi Specifici dell'Apprendimento).

  
  

Nel rapporto di lavoro, la scuola tratta dati del personale per adempimenti contrattuali e legali, senza poter basarsi spesso sul consenso del lavoratore a causa dello squilibrio di potere. Violazioni in questo ambito possono portare a procedimenti disciplinari o reclami al Garante.

Il diritto di accesso ai dati e la tutela dinanzi al GPDP sono diritti fondamentali: chiunque può richiedere informazioni sui propri dati e, in caso di violazioni, presentare un reclamo.

La vita dello studente: dalla iscrizione agli esami

Il vademecum dedica una sezione alla quotidianità scolastica, con indicazioni per minimizzare rischi privacy.

• Iscrizioni: Le scuole non possono richiedere dati non pertinenti (es. professione dei genitori o salute dei nonni). Per categorie speciali, occorrono garanzie specifiche, come previsto dalla nota MIM del 30 novembre 2022.

• Temi e vita di classe: Assegnare temi personali non viola la privacy, ma la lettura in classe richiede sensibilità per tutelare la riservatezza. Obblighi di segreto d'ufficio valgono per la conservazione degli elaborati.

• Voti ed esami: Gli esiti degli scrutini sono accessibili solo tramite registro elettronico riservato, con indicazione di "ammesso/non ammesso" per le classi intermedie. La pubblicazione online di voti è vietata, in quanto invasiva e potenzialmente lesiva della personalità dei minori (doc. web n. 9367295). Prove differenziate per studenti con disabilità non devono essere rese pubbliche.

• Comunicazioni scolastiche: Evitare di inserire dati sensibili in circolari generali, come nomi di alunni coinvolti in bullismo.

• Disabilità e DSA: Limitare l'accesso ai dati sanitari ai soli legittimati (docenti, genitori, operatori). Non pubblicare online elenchi con nomi di studenti disabili.

• Servizio mensa: Enti locali possono trattare dati speciali per pasti personalizzati (es. per motivi religiosi o sanitari), ma con misure di riservatezza.

• Dalla scuola al lavoro: Su richiesta, scuole possono diffondere esiti formativi per orientamento professionale, informando preventivamente gli interessati e escludendo dati sensibili.

Queste regole prevengono abusi, ma in caso di errori (es. diffusione indebita), le scuole rischiano sanzioni fino al 4% del fatturato globale annuo ai sensi del GDPR.

Nuove tecnologie: focus su IA e rischi digitali

L'aggiornamento del vademecum riflette l'impatto delle tecnologie digitali, con enfasi su rischi e garanzie.

• Intelligenza artificiale: Le Linee Guida MIM (doc. web n. 10162698) promuovono un uso etico dell'IA per semplificare processi amministrativi e formativi, rendendoli inclusivi. Vietate pratiche invasive come il riconoscimento delle emozioni; preferire dati sintetici a quelli personali. Le scuole devono valutare rischi privacy prima di implementare tool IA.

• Cyberbullismo: Gli studenti devono essere educati a riconoscere abusi online (sexting, revenge porn), da segnalare immediatamente a scuola (referente cyberbullismo), Garante o autorità. Le scuole promuovono awareness per prevenire conseguenze legali come diffamazione o violazioni privacy.

• Smartphone e tablet: Uso personale consentito, ma divieto di diffusione di audio/video senza consenso. Prestare attenzione a catene di condivisione, che possono portare a sanzioni. I docenti devono evitare pubblicazioni personali su social.

• Chat di classe: Non sono riconducibili alla scuola, ma i partecipanti devono rispettare il GDPR: no a divulgazione di foto/video senza consenso. Le scuole privilegino canali ufficiali come il registro elettronico per comunicazioni (doc. web n. 10126123).

• Sharenting: Genitori attenti a postare contenuti sui figli; rischi di perdita di controllo e impatto sulla reputazione online dei minori.

Queste indicazioni sono cruciali per evitare responsabilità: ad esempio, una diffusione indebita di immagini potrebbe configurare un illecito penale.

Pubblicazione online: bilanciare Trasparenza e Riservatezza

Il Garante sottolinea l'obbligo di pubblicità per le PA, ma con limiti privacy.

• Pubblicità e Trasparenza: Seguire Linee Guida GPDP del 2014 (in aggiornamento). Pubblicare solo dati necessari, pertinenti e per il tempo strettamente necessario. La diffusione online è invasiva, potendo permettere di aggregare dati dai motori di ricerca.

• Graduatorie: Pubblicare solo se previsto da norme, con anonimizzazione ove possibile.

• Pagamento Mensa e Scuolabus: Trattare dati con riservatezza, evitando pubblicazioni non necessarie.

Violazioni qui possono portare a pregiudizi per vulnerabili (minori, lavoratori), con possibili azioni risarcitorie.

Videosorveglianza e altri casi

• Videosorveglianza: Consentita per furti/vandalismi, limitata ad aree esterne o interne post-orario scolastico. Segnalazione obbligatoria; no in asili senza basi normative. Rispettare controlli a distanza per lavoratori.

• Questionari per Ricerca: Informare preventivamente; adesione libera.

  
  

Conclusioni e raccomandazioni

Il vademecum 2025 è uno strumento essenziale per navigare le complessità della privacy scolastica, specialmente con l'IA e il digitale. Le scuole devono implementare policy interne, formare il personale e consultare l'RPD-DPO per integrare la compliance. Famiglie e studenti, dal canto loro, devono essere vigili sui propri diritti.

Se la vostra istituzione scolastica necessita di assistenza per adeguarsi al GDPR, revisionare informative o gestire reclami, potrete contattare via mail il nostro studio legale per ottenere consulenze personalizzate, prevenire rischi e garantire una "scuola a prova di privacy".

Per approfondire: Scaricate il vademecum dal sito https://www.gpdp.it/temi/scuola .