GDPR a scuola: cosa può fare l'istituto con i dati di alunni, famiglie e personale

GDPR a scuola: titolare, autorizzati e fornitori

Nel vademecum «La scuola a prova di privacy» del novembre 2025, il Garante per la protezione dei dati personali chiarisce i ruoli. Titolare del trattamento è l'istituzione scolastica; il dirigente scolastico, come legale rappresentante, decide quali trattamenti svolgere e come, attraverso il personale amministrativo e docente, che è autorizzato a trattare i dati nell'ambito delle proprie attività.

I fornitori che trattano dati per conto della scuola, come il gestore del registro elettronico o di una piattaforma didattica, sono responsabili del trattamento: il rapporto va regolato con un contratto che contenga le istruzioni previste dall'art. 28 del GDPR.

GDPR a scuola: pubbliche e private

Il GDPR e il Codice privacy non distinguono tra scuole pubbliche e private quando trattano dati per finalità di istruzione e formazione. Cambia, semmai, la base giuridica di alcune attività.

Il DPO a scuola: il responsabile della protezione dei dati

Ogni scuola statale, in quanto autorità pubblica, deve designare un responsabile della protezione dei dati (RPD o DPO) ai sensi dell'art. 37 del Regolamento (UE) 2016/679.

Il DPO supporta il dirigente nelle scelte sui trattamenti, per esempio nelle valutazioni d'impatto quando si introducono nuove tecnologie come l'intelligenza artificiale. Studenti, famiglie e personale possono rivolgersi a lui per esercitare i propri diritti sui dati.

Privacy a scuola e consenso: quando serve davvero

Per le finalità istituzionali previste dalla normativa di settore la scuola non chiede il consenso: tratta i dati perché lo prevede la legge. Il Garante lo ribadisce anche per la didattica digitale: le scuole che usano piattaforme per le proprie finalità istituzionali non devono chiedere il consenso a studenti, genitori e docenti, ma devono informarli in modo chiaro.

Consenso o contratto diventano rilevanti per attività non strettamente didattiche o non previste dall'ordinamento scolastico, come corsi extracurricolari offerti da una scuola privata. Per il personale vale una regola diversa: quando la scuola agisce come datore di lavoro, il consenso del lavoratore non è di regola una base valida, per lo squilibrio tra le parti.

Resta sempre l'obbligo di informativa, con un linguaggio comprensibile anche dai minori.

Dati degli alunni: salute, disabilità e DSA

La scuola può trattare categorie particolari di dati solo se previsto da norme di legge o di regolamento. Il Garante fa alcuni esempi: dati sulla salute per misure di sostegno ad alunni con disabilità, DSA o bisogni educativi speciali, per le assenze per malattia, per l'istruzione domiciliare e ospedaliera, per diete legate a patologie; dati sulle convinzioni religiose per la scelta dell'insegnamento della religione cattolica o delle attività alternative.

Due regole pratiche:

• i dati sulla salute non si diffondono mai: non si può pubblicare online una circolare con i nomi degli studenti con disabilità o di chi segue un regime alimentare per motivi di salute;
• la conoscenza dei dati degli alunni con disabilità o DSA è limitata a chi è legittimato dalla normativa, come i docenti, i genitori e gli operatori sanitari che predispongono insieme il piano educativo individualizzato.

Anche nei moduli di iscrizione la scuola non può chiedere informazioni non pertinenti, come lo stato di salute dei nonni o la professione dei genitori.

Pubblicazione di voti, scrutini ed esami

Secondo le disposizioni del Ministero richiamate dal Garante, gli esiti degli scrutini delle classi intermedie delle secondarie e di ammissione all'esame di Stato si rendono disponibili nell'area riservata del registro elettronico accessibile agli studenti della classe, con la sola indicazione «ammesso» o «non ammesso» e, per le classi finali, i crediti. I voti delle singole discipline sono visibili solo al singolo studente o alla sua famiglia, con le proprie credenziali.

Se la scuola non ha il registro elettronico può affiggere i tabelloni, senza informazioni sulla salute o altri dati non pertinenti. Il riferimento alle prove differenziate sostenute da studenti con disabilità o DSA non va nei tabelloni, ma solo nell'attestazione rilasciata allo studente. La pubblicazione online degli esiti degli scrutini non è ammessa.

Comunicazioni, chat di classe, foto e registrazioni

• Circolari. Nelle comunicazioni non rivolte a destinatari specifici non vanno inseriti dati che rendano identificabili alunni coinvolti in casi di bullismo, provvedimenti disciplinari o vicende delicate.
• Chat di classe e privacy. Le chat create da genitori o rappresentanti sono iniziative private di cui la scuola non risponde; il Garante suggerisce alle scuole di non usarle per comunicazioni ufficiali e di privilegiare il registro elettronico.
• Foto a scuola e privacy. Foto e video di recite e gite raccolti dai genitori per uso familiare non violano la privacy; per pubblicarli online serve di regola il consenso dei genitori dei minori ritratti e delle altre persone presenti.
• Registrazione delle lezioni. Ammessa per uso personale di studio; per diffonderla servono informazione e consenso; non è ammessa la videoregistrazione delle dinamiche di classe. Gli strumenti compensativi degli studenti con DSA vanno sempre consentiti, secondo il piano didattico personalizzato.
• Registro elettronico. Il personale va istruito sulle funzionalità, per evitare che informazioni su singoli studenti o docenti finiscano a persone non autorizzate.

Come scrivere circolari che rispettano queste regole è spiegato nel caso d'uso sulla circolare ministeriale.

Pubblicazioni online e dati del personale

Le scuole hanno obblighi di pubblicità e trasparenza, ma possono diffondere dati personali online solo se lo prevede una norma e solo nella misura necessaria. Alcune indicazioni del Garante:

• composizione delle classi: non va pubblicata sul sito; per le classi prime si comunica all'indirizzo email fornito dalla famiglia, per le successive si rende disponibile nell'area del registro elettronico della classe, con i soli nominativi;
• graduatorie di docenti e ATA: si possono pubblicare con nome, cognome, punteggio e posizione, mai con recapiti o indirizzi; l'art. 35, comma 5-quinquies, del d.lgs. 30 marzo 2001, n. 165, come modificato dal d.l. 14 marzo 2025, n. 25, convertito dalla legge 9 maggio 2025, n. 69, prevede che le graduatorie di reclutamento rese disponibili ai soli partecipanti in un'area riservata diano evidenza di riserve, precedenze e preferenze, minimizzando i dati;
• dati del personale: la scuola deve evitare che circolino tra colleghi o verso famiglie informazioni come le causali delle assenze, anche attraverso sigle nell'orario, specie se rivelano dati sanitari o permessi sindacali.

Per la videosorveglianza il Garante ammette le telecamere solo se strettamente indispensabili, per esempio contro atti vandalici, con cartelli e con riprese interne attive solo negli orari di chiusura.

Violazione della privacy a scuola: diritti, reclami e accesso agli atti

Studenti, famiglie e personale possono chiedere alla scuola, anche tramite il DPO, di conoscere, rettificare o cancellare i propri dati o di opporsi al trattamento. Se la risposta manca o non è adeguata, possono rivolgersi al Garante con un reclamo o al giudice ordinario. Per le violazioni di dati personali, invece, è la scuola a valutare la notifica al Garante entro 72 ore, quando dovuta (artt. 33 e 34 GDPR).

L'accesso agli atti amministrativi è un'altra cosa: non è regolato dal Codice privacy né vigilato dal Garante, ma dalla legge 241/1990, e spetta alla scuola valutare se il richiedente ha un interesse diretto, concreto e attuale. Il caso d'uso sull'accesso agli atti a scuola spiega come gestire le richieste dei genitori.

Come può aiutarti Next-OS sul GDPR a scuola

Con Next-OS puoi chiedere se un dato può comparire in una circolare o in una pubblicazione, controllare un modulo di iscrizione o un verbale prima di diffonderlo e ricevere la risposta con le fonti citate. Aptus.AI non addestra i modelli sui dati dei clienti, usa server in Irlanda ed è certificata ISO/IEC 27001:2022; resta comunque buona pratica oscurare i nomi degli alunni quando la domanda non li richiede.

Per il quadro completo dei casi d'uso torna alla pagina sull'AI per la scuola. Se stai valutando strumenti di IA in classe o in segreteria, leggi la guida sull'intelligenza artificiale a scuola.