Privacy a scuola: le criticità sistemiche e le violazioni più frequenti segnalate dal Garante

Il sistema scolastico italiano si conferma uno dei nodi più complessi e delicati per quanto riguarda il trattamento massivo di dati personali. Secondo quanto emerso dalla Relazione Annuale 2025 del Garante per la protezione dei dati personali, la scuola non è più solo un luogo di apprendimento, ma un ecosistema digitale dove la gestione di informazioni sensibili — che spaziano dallo stato di salute alla disabilità, fino ai dati biometrici e alle attività online — richiede una vigilanza costante e rigorosa.

L'Autorità ha evidenziato come la vulnerabilità dei minori sia spesso tradita da pratiche burocratiche errate o da una mancanza di adeguate misure di sicurezza, trasformando la gestione quotidiana in un potenziale pericolo per i diritti fondamentali degli studenti. L'analisi mette in luce una realtà fatta di luci e ombre: da un lato, l'accelerazione tecnologica verso l'integrazione dell'intelligenza artificiale e la digitalizzazione dei percorsi di studio; dall'altro, una preoccupante diffusione di cattive prassi che espongono i dati dei più piccoli a rischi non necessari.

Il Garante sottolinea che la protezione dei dati non deve essere considerata un mero adempimento formale, ma un pilastro della sicurezza giuridica e della dignità della persona, specialmente quando si trattano categorie particolari di dati che riguardano la sfera più intima degli alunni. Il documento di indirizzo aggiornato, il vademecum "La scuola a prova di privacy" 2025, nasce proprio per rispondere a queste criticità, offrendo una guida operativa per dirigenti, docenti e personale ATA.

L'obiettivo è chiaro: contrastare la "banalità" delle violazioni — come l'invio di comunicazioni con indirizzi email in chiaro o la pubblicazione di documenti riservati online — che continuano a verificarsi nonostante la consapevolezza normativa sia cresciuta negli ultimi anni. L'Autorità ribadisce che ogni trattamento deve rispettare i principi di trasparenza, minimizzazione e sicurezza, garantendo che il potere-dovere dei genitori non travalichi mai il superiore interesse del minore.

Le violazioni più frequenti: quando la burocrazia espone i dati sensibili

Uno dei problemi più gravi rilevati dal Garante riguarda la diffusione incontrollata di dati relativi alla salute e alla disabilità. In molti casi, la necessità di gestire l'inclusione scolastica ha portato a errori procedurali gravi, come la pubblicazione di Piani Educativi Individualizzati (PEI) su registri elettronici accessibili a tutti i genitori della classe o la messa online di circolari contenenti convocazioni per gruppi di lavoro sull'inclusione.

Tali informazioni, che rivelano lo stato di salute di un minore, devono essere comunicate esclusivamente ai genitori interessati, ai docenti della classe e ai professionisti del percorso terapeutico, senza alcuna deroga per la visibilità pubblica. Le segnalazioni hanno evidenziato anche casi di fuga di dati a catena particolarmente preoccupanti, come la trasmissione di file Excel contenenti dettagliate patologie e certificazioni di disabilità a decine di destinatari non autorizzati, spesso a seguito di scambi tra cooperative sociali e istituzioni pubbliche.

Un'altra criticità riguarda le comunicazioni sugli adempimenti vaccinali: l'invio di mail a gruppi numerosi con indirizzi email visibili non solo espone la riservatezza dei destinatari, ma rivela anche lo stato vaccinale dei figli di altri genitori, violando il principio di riservatezza delle famiglie. Non meno rilevanti sono le violazioni legate alla sovra-esposizione online e alla gestione delle immagini.

Il Garante ha sanzionato pesantemente istituti che hanno pubblicato immagini di bambini in asili nido in momenti di estrema delicatezza, come il sonno, il cambio del pannolino o i massaggi infantili, su siti web e piattaforme come Google Maps. Tali comportamenti sono considerati incompatibili con l'assetto costituzionale dei diritti fondamentali. Inoltre, l'Autorità ha chiarito che, sebbene le chat di classe create dai genitori non siano attività istituzionali, la scuola ha comunque il dovere di vigilare e fornire indicazioni per evitare che questi canali diventino veicoli di diffusione illecita di dati personali.

L'impatto delle nuove tecnologie: Intelligenza Artificiale e Curriculum Digitale

L'evoluzione tecnologica ha introdotto nuove sfide che il Garante sta monitorando con estrema attenzione. Le linee guida del Ministero dell'Istruzione e del Merito (MIM) sull'integrazione dell'intelligenza artificiale nelle scuole sono state approvate dall'Autorità proprio perché pongono l'accento sulla necessità di evitare la profilazione o il tracciamento degli studenti.

Il Garante ha definito questi documenti come uno dei primi esempi positivi di indirizzo verso le articolazioni periferiche, imponendo il divieto di riconoscimento delle emozioni e privilegiando l'uso di dati sintetici per la formazione degli algoritmi, al fine di garantire l'anonimato degli utenti. Parallelamente, il nuovo modello di Curriculum Digitale dello studente introduce un importante cambio di paradigma in termini di autodeterminazione informativa.

Gli studenti hanno ora il pieno controllo sulla propria "biografia scolastica": possono scegliere di acquisire separatamente il curriculum dal diploma e decidere quali sezioni rendere pubbliche. È fondamentale sottolineare che la parte relativa alle prove INVALSI non è parte integrante del diploma e la sua allegazione rimane a discrezione dello studente, garantendo così una tutela rafforzata contro la diffusione non voluta di risultati accademici sensibili.

In questo scenario, la scuola deve adottare misure tecniche rigorose per prevenire il cyberbullismo e altri fenomeni di rischio connessi allo sviluppo del mondo digitale. Il vademecum 2025 specifica che l'uso di smartphone e tablet, la registrazione delle lezioni e l'uso di strumenti compensativi devono sempre essere accompagnati da informative chiare e da protocolli di sicurezza che limitino la circolazione di metadata e contenuti digitali non necessari.

Cosa cambia concretamente per docenti, dirigenti e famiglie

Per chi opera quotidianamente nelle istituzioni scolastiche, le indicazioni del Garante si traducono in obblighi operativi immediati. La gestione dei dati inclusivi non può più basarsi su comunicazioni di massa: le informazioni sulla salute e sulla disabilità devono essere filtrate e inviate solo ai soggetti strettamente necessari. È necessario revisionare i flussi di comunicazione digitale per eliminare la visibilità degli indirizzi email nei gruppi di messaggistica e assicurarsi che le circolari non contengano dati sensibili di singoli alunni.

Per i dirigenti scolastici e i Responsabili della Protezione dei Dati (DPO), è prioritario allineare gli strumenti tecnologici alle disposizioni del vademecum "La scuola a prova di privacy" 2025. Questo include la verifica dei software utilizzati per la didattica a distanza, la gestione del servizio mensa e la videosorveglianza, quest'ultima che deve sempre rispettare il principio di proporzionalità.

Inoltre, prima di adottare qualsiasi strumento di intelligenza artificiale, gli istituti devono effettuare una valutazione dei rischi specifici del proprio contesto, verificando che non vi siano processi di raccolta dati non necessari o non trasparenti. Le famiglie, d'altra parte, sono chiamate a una maggiore consapevolezza riguardo allo sharenting e alla gestione dei contenuti sui social media. La scuola ha il dovere di educare i minori alla tutela della propria immagine e alla consapevolezza dei rischi connessi alla condivisione di dati personali online.

In sintesi, la scuola deve trasformarsi in un ambiente dove la privacy è intesa come educazione civica applicata, dove ogni scelta tecnologica o burocratica sia filtrata dal rispetto della dignità e della riservatezza dei soggetti coinvolti.

In termini di numeri, la portata del problema è significativa: nel corso del 2025 sono stati notificati all'Autorità complessivamente 2.415 data breach, di cui 514 riguardano il settore pubblico. Sebbene non sia possibile isolare con precisione il numero di violazioni esclusivamente scolastiche da questo totale, la frequenza delle segnalazioni nel settore educativo conferma la necessità di un intervento strutturale. Le scuole devono quindi procedere con un monitoraggio costante e una formazione continua del personale per evitare che la burocrazia diventi, involontariamente, un veicolo di violazione dei diritti fondamentali.

Per approfondire le linee guida operative e consultare i documenti ufficiali, è possibile fare riferimento al vademecum "La scuola a prova di privacy" 2025 pubblicato dal Garante, che fornisce le basi normative per la gestione dei dati nelle istituzioni scolastiche.

Punti chiave per la conformità immediata

• Trasparenza: Obbligo di informare studenti e famiglie su ogni modalità di trattamento dei dati con linguaggio semplificato.
• Minimizzazione: Raccolta e diffusione di dati limitati esclusivamente alle finalità didattiche o amministrative necessarie.
• Sicurezza Tecnica: Implementazione di misure per proteggere i dati da accessi non autorizzati, specialmente nei registri elettronici.
• Autodeterminazione: Rispetto della scelta degli studenti sulla pubblicazione dei componenti del Curriculum Digitale.

Note operative per il personale scolastico

È fondamentale che i docenti e il personale ATA non si limitino a seguire le circolari, ma sviluppino una consapevolezza critica sulla gestione delle informazioni. Ogni comunicazione sensibile deve essere verificata prima dell'invio per assicurarsi che non esponga terzi non autorizzati. La scuola deve agire come un presidio di civiltà digitale, dove la protezione della privacy è il primo passo per garantire un ambiente di apprendimento sicuro e rispettoso.