Una scuola tratta dati di minori, cui il GDPR riconosce una protezione specifica, su decine di trattamenti diversi: iscrizioni, registro elettronico, valutazioni, foto delle recite, piattaforme per la didattica digitale, comunicazioni alle famiglie. Il riferimento operativo in Italia è il vademecum del Garante “La scuola a prova di privacy”, che risolve molti dubbi ricorrenti: le foto dei genitori alle recite rientrano nell’uso personale, i voti non si pubblicano indiscriminatamente, le piattaforme DAD vanno scelte con criterio. Gli istituti pubblici, inoltre, hanno l’obbligo di nominare un DPO. Questa guida raccoglie le regole pratiche per dirigenti scolastici, DSGA e docenti.
Punti chiave
- Le foto e i video fatti dai genitori alle recite per uso personale sono fuori dal GDPR; la pubblicazione da parte della scuola richiede base giuridica e informativa.
- Il registro elettronico e le piattaforme DAD trattano dati di minori: vanno scelti fornitori affidabili e regolati con nomina ex art. 28.
- Gli istituti pubblici devono nominare un DPO ex art. 37, par. 1, lett. a, GDPR.
- La comunicazione dei voti e dei dati degli studenti non può avvenire in modo indiscriminato: il Garante è intervenuto sulla pubblicazione di dati sui siti scolastici.
- I dati dei minori godono di una tutela rafforzata: informative comprensibili e minimizzazione dei dati raccolti.
Foto e video a recite e gite: cosa è lecito
La domanda più frequente riguarda le foto e i video durante recite, saggi e gite. La regola del vademecum del Garante è netta: le riprese fatte dai genitori per fini personali (ricordo familiare) sono escluse dall’ambito del GDPR e non richiedono consenso. Diverso è il caso in cui sia la scuola a pubblicare foto o video degli studenti — sul sito, sui social o su materiali promozionali: qui servono una finalità definita, una base giuridica valida e un’informativa chiara; per la diffusione non necessaria all’attività istituzionale il consenso può essere la base appropriata, ma non è una formula valida per ogni uso. La scuola deve inoltre invitare i genitori a un uso rispettoso delle immagini altrui, senza diffusione indiscriminata sui social.
Registro elettronico e piattaforme DAD
Il registro elettronico e le piattaforme per la didattica digitale integrata trattano dati di minori per conto della scuola: sono fornitori che agiscono come responsabili del trattamento e vanno regolati con un atto ex art. 28 GDPR. La scuola deve verificare dove sono ospitati i dati, quali sub-fornitori intervengono e quali misure di sicurezza sono adottate. La scelta di piattaforme che trattano i dati per proprie finalità (pubblicità, profilazione) è problematica: la scuola resta titolare e risponde della scelta del fornitore. La guida alla nomina del responsabile ex art. 28 elenca le clausole da pretendere, e tutti i trattamenti vanno censiti nel registro delle attività di trattamento.
Comunicazione dei voti e pubblicazione dei dati
La comunicazione delle valutazioni e la pubblicazione dei dati degli studenti è un terreno delicato. Il Garante è intervenuto più volte sulla pubblicazione di dati personali degli studenti sui siti scolastici e sull’albo online (nomi in graduatorie, dati di alunni con disabilità, informazioni eccedenti). La regola è la minimizzazione: si pubblica solo ciò che è necessario e previsto da una norma, evitando di esporre dati che rivelano condizioni particolari. I voti individuali e le informazioni sul percorso dello studente vanno comunicati alle famiglie attraverso canali riservati. I tabelloni degli scrutini o degli esami previsti dalle disposizioni scolastiche possono essere esposti negli spazi e con le modalità prescritte, evitando dettagli non richiesti; altra cosa è pubblicare indiscriminatamente risultati e dati degli studenti su un sito aperto.
Dati dei minori: tutela rafforzata
Il GDPR riconosce ai minori una protezione specifica perché meno consapevoli dei rischi. Per la scuola questo si traduce in obblighi concreti: informative scritte in linguaggio comprensibile, raccolta dei soli dati necessari, particolare cautela sui dati particolari (salute, disabilità, appartenenza religiosa per l’ora alternativa). Quando un trattamento può presentare un rischio elevato per i diritti e le libertà, occorre valutare se sia obbligatoria una valutazione d’impatto sulla protezione dei dati (DPIA). Per le telecamere valgono le regole del Garante sulla videosorveglianza: la necessità, la proporzionalità e i luoghi ripresi vanno verificati prima dell’installazione; riprese ordinarie dell’attività didattica richiedono una giustificazione particolarmente rigorosa.
L’obbligo di DPO per gli istituti
Gli istituti scolastici pubblici sono tenuti a nominare un responsabile della protezione dei dati (DPO) ai sensi dell’art. 37, par. 1, lett. a, GDPR, in quanto autorità o organismi pubblici. Il DPO supporta la scuola nella valutazione dei rischi, nella gestione delle richieste degli interessati e nei rapporti con il Garante. La guida agli obblighi e ai compiti del DPO spiega requisiti e attività. Per la raccolta dei consensi (foto, uscite, servizi facoltativi) si vedano gli esempi di consenso GDPR, mentre le informative alle famiglie possono partire da un modello di informativa. Il vademecum e le decisioni ufficiali sono pubblicati su garanteprivacy.it e il testo del GDPR è su EUR-Lex.
Comunicazioni scuola-famiglia e canali digitali
La comunicazione tra scuola e famiglie è passata quasi interamente su canali digitali — registro elettronico, email, chat, gruppi di messaggistica. Ogni canale ha implicazioni privacy. I gruppi WhatsApp tra genitori, spesso animati dai rappresentanti di classe, sono trattamenti tra privati che sfuggono al controllo della scuola, ma l’istituto deve evitare di usarli come canale ufficiale per comunicare dati degli studenti. Le comunicazioni via email a più destinatari vanno inviate in copia nascosta per non esporre gli indirizzi delle famiglie. La regola generale è che i dati degli studenti circolino attraverso canali riservati e controllati, e che la scuola non deleghi a strumenti informali la trasmissione di informazioni personali.
Data breach a scuola: come reagire
Anche una scuola può subire una violazione dei dati: un attacco al registro elettronico, il furto di un dispositivo con i dati degli studenti, l’invio per errore di un elenco con dati particolari. In questi casi l’istituto, come titolare del trattamento, deve valutare il rischio per gli interessati — minori, categoria particolarmente tutelata — e, se il rischio sussiste, procedere alla notifica al Garante entro 72 ore ed eventualmente informare le famiglie. Il DPO fornisce consulenza e coopera; la decisione e la responsabilità restano all’istituto titolare del trattamento. Predisporre in anticipo una procedura, sapere chi contattare e quali passi seguire, evita che la scuola reagisca in modo tardivo o scomposto proprio quando sono in gioco i dati dei più vulnerabili.
FAQ
I genitori possono filmare la recita dei figli?
Sì, per fini esclusivamente personali e familiari le riprese dei genitori possono rientrare nell’eccezione domestica e non richiedono un consenso GDPR dalla scuola. La scuola deve però ricordare ai genitori di non diffondere le immagini di altri bambini in modo indiscriminato, in particolare sui social.
La scuola può pubblicare le foto degli studenti sul sito?
Solo con una base giuridica valida. Per una diffusione non necessaria alle funzioni istituzionali può essere appropriato il consenso di chi esercita la responsabilità genitoriale, con informativa chiara e attenzione alla volontà del minore secondo età e contesto. La pubblicazione deve rispettare la minimizzazione ed evitare di esporre dati particolari o eccedenti.
Gli istituti scolastici devono avere un DPO?
Sì, gli istituti pubblici devono nominare un DPO ai sensi dell’art. 37, par. 1, lett. a, GDPR, in quanto organismi pubblici. Il DPO assiste la scuola nella conformità e nei rapporti con il Garante.
Si possono pubblicare i voti degli studenti all’albo?
No, non in modo indiscriminato. Il Garante è intervenuto contro la pubblicazione di dati degli studenti eccedenti o idonei a rivelare condizioni particolari. Le valutazioni individuali si comunicano con canali riservati, come il registro elettronico. I tabelloni di scrutini ed esami previsti dalle disposizioni vigenti sono possibili nelle forme e per il tempo prescritti, senza dettagli eccedenti; non autorizzano la pubblicazione indiscriminata sul web.
La scuola deve tenere il registro dei trattamenti?
Sì. Gli istituti trattano dati di minori in modo continuativo e su molte finalità (iscrizioni, valutazioni, mensa, trasporto, DAD): il registro delle attività di trattamento è obbligatorio e va mantenuto aggiornato, distinguendo i trattamenti in cui la scuola è titolare da quelli affidati a fornitori responsabili ex art. 28.
Vedi anche: il GDPR per i comuni e la pubblica amministrazione e per le associazioni e gli enti no profit.
Distinguere il trattamento necessario dalla diffusione facoltativa
L’iscrizione, la frequenza, le valutazioni e le comunicazioni essenziali alle famiglie richiedono un trattamento dei dati: la scuola deve individuare per ciascuna attività la base giuridica pertinente, spesso l’esecuzione di un compito di interesse pubblico o un obbligo legale per l’istituto pubblico. Chiedere un consenso generale per «tutta la privacy scolastica» è fuorviante: non sarebbe liberamente revocabile senza compromettere il servizio. Una foto pubblicata sul sito per promuovere un evento è invece una finalità diversa dalla documentazione interna della lezione; occorre valutarla separatamente e offrire una scelta effettiva se la base è il consenso.
Il vademecum 2025 «La scuola a prova di privacy» del Garante aggiorna le indicazioni per il contesto digitale. Usatelo per rivedere un caso concreto, non per ricavare un unico permesso valido per ogni foto. Prima di pubblicare, chiedete chi compare nell’immagine, quali elementi sullo sfondo rivelano condizioni di salute o altre informazioni, su quale canale sarà diffusa e per quanto tempo. Un archivio privato consultabile dalle famiglie e una pagina aperta ai motori di ricerca hanno rischi differenti. La liberatoria va collegata a canali e finalità comprensibili; l’assenza di risposta non equivale ad assenso. Anche con una base valida, scegliete immagini meno invasive quando soddisfano lo stesso scopo.
Le riprese dei genitori destinate a un ricordo familiare ricadono di norma nell’uso personale. Se vengono diffuse pubblicamente, l’eccezione domestica può non coprire l’uso successivo. La scuola non controlla ogni telefono, ma può informare in modo chiaro e rispettoso prima di recite e gite, invitando a non pubblicare immagini altrui senza considerare i diritti degli altri minori. Il messaggio deve evitare di confondere una regola di cortesia verso le famiglie con un obbligo di raccogliere il consenso di ogni presente per una foto privata.
Scegliere una piattaforma e documentare il ruolo del fornitore
Prima di affidare il registro o la didattica a un fornitore, descrivete i dati necessari: identità dello studente, assenze, valutazioni, eventuali dati relativi alla salute, messaggi e tracciamenti di accesso. Chiedete quali funzioni sono indispensabili e quali si possono disattivare. Esaminate contratto, subfornitori, conservazione, esportazione, cancellazione e accessi di assistenza. La qualifica di responsabile ai sensi dell’articolo 28 vale per i trattamenti svolti per conto della scuola; se il fornitore usa dati per proprie finalità, quel trattamento richiede un’analisi distinta e non può essere nascosto nella nomina. Verificate anche trasferimenti fuori dallo SEE e le garanzie applicabili, se presenti.
Un controllo operativo utile consiste nel creare utenze di prova: docente, genitore, segreteria e amministratore tecnico. Ogni ruolo deve vedere solo le informazioni necessarie. Testate il cambio di classe, la cessazione del rapporto di lavoro e il recupero di un account. Una docente supplente non dovrebbe ereditare accessi alle vecchie classi; un genitore con più figli non dovrebbe vedere dati di altri alunni. Registrate la versione delle impostazioni e la data della prova. La nomina ex articolo 28 ha valore solo se le istruzioni contrattuali corrispondono alla configurazione concreta della piattaforma.
Voti, graduatorie e dati particolari
Un voto, da solo, è un dato personale; una diagnosi o informazione sanitaria rientra nelle categorie particolari dell’articolo 9 GDPR. Non tutte le informazioni su minori sono automaticamente «dati sensibili» in senso tecnico. Proprio questa distinzione aiuta a limitare la pubblicazione: un elenco di studenti con misure di sostegno può rivelare indirettamente una condizione di salute anche senza menzionare una diagnosi. Prima di pubblicare graduatorie, esiti o delibere, identificate la norma che richiede la pubblicità, la forma richiesta, eventuali oscuramenti e il periodo di permanenza online. La possibilità tecnica di mettere un PDF all’albo non costituisce da sola una base giuridica. Distinguete i tabelloni scolastici previsti dalle ordinanze applicabili, esposti con i dati strettamente richiesti, da un documento indicizzabile sul web che rivela risultati o condizioni personali a chiunque.
Le comunicazioni individuali di rendimento dovrebbero transitare su canali riservati. Se inviate un messaggio a una classe, controllate destinatari e allegati, non solo il campo «CC». Un file nominato con il cognome di un alunno può essere accessibile tramite un collegamento condiviso oltre la classe. Chi riceve una richiesta di accesso di un genitore deve verificare identità e titolo, considerare eventuali limiti legati alla tutela del minore e tracciare la risposta. La guida al registro dei trattamenti aiuta a tenere distinti iscrizioni, didattica, mensa, trasporto e gestione del personale.
Un piano annuale per dirigente e DPO
All’inizio dell’anno scolastico il dirigente può chiedere ai responsabili di plesso e alla segreteria una ricognizione dei nuovi strumenti e dei nuovi fornitori. Il DPO verifica le basi giuridiche, le informative, il registro e gli incidenti dell’anno precedente e offre pareri sulle iniziative più rischiose. Il dirigente decide e mette a disposizione risorse, accesso alle informazioni e tempo per il DPO, come richiede l’articolo 38 GDPR. Non assegnate al DPO il potere di decidere finalità e mezzi che poi dovrebbe controllare. Per gli istituti privati l’obbligo di designazione va valutato in base alle condizioni dell’articolo 37, non dedotto automaticamente dall’essere «scuola».
Una verifica trimestrale può seguire cinque domande: quali nuovi trattamenti sono stati avviati, chi può accedere, quali dati sono stati pubblicati, quali incidenti sono stati registrati, quali dati hanno superato il termine di conservazione? Collegate ogni risposta a un documento e a un responsabile. Un modello di informativa è utile solo se adattato al canale, ai destinatari e ai tempi reali della scuola. Documentate anche le decisioni negative, per esempio il rifiuto di attivare una funzione di profilazione non necessaria.
Una violazione di dati: esempio di risposta
Un docente invia per errore a tutta la classe un allegato che contiene informazioni sanitarie di un alunno. La scuola deve limitare la diffusione, chiedere la cancellazione dove possibile e conservare una copia protetta per ricostruire l’accaduto. Registra quando ha saputo dell’invio, quali dati e persone sono coinvolti, chi ha ricevuto l’allegato e quali misure di contenimento sono state adottate. Poi valuta il rischio per il minore: la natura dei dati e il numero dei destinatari contano più della semplice dimensione del file. Se la violazione comporta un rischio non improbabile, il titolare notifica al Garante ai sensi dell’articolo 33, ove possibile entro 72 ore; se il rischio è elevato, valuta anche la comunicazione agli interessati secondo l’articolo 34.
Il fornitore del registro, se scopre una violazione nel proprio ambiente, informa la scuola senza ingiustificato ritardo; la scuola resta responsabile della decisione sulla notifica, salvo ruoli diversi dimostrati. Il DPO può aiutare a documentare la valutazione ma non sostituisce il titolare. Dopo il contenimento, aggiornate le autorizzazioni o la formazione che hanno consentito l’errore. Tenere un registro delle violazioni consente di documentare anche gli eventi per cui la notifica non era dovuta.
Fonti ufficiali: vademecum scuola 2025 del Garante; GDPR, artt. 5, 6, 9, 28, 33–39.