A settembre le scuole pubblicano le graduatorie di istituto 2026/27, aprono le chat di classe, raccolgono le liberatorie per foto ed eventi e aggiornano gli accessi al registro elettronico. Sono i momenti in cui il Garante per la protezione dei dati personali riceve più segnalazioni, e negli ultimi dodici mesi ha sanzionato alcune scuole per errori evitabili. Il quadro normativo è consolidato: il D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018 per l'adeguamento al GDPR (Regolamento UE 2016/679), definisce cosa la scuola può fare come "trattamento istituzionale" e cosa richiede invece un consenso specifico. In questa guida vediamo i casi decisi dal Garante nel 2026, cosa si può pubblicare in graduatoria, come gestire chat e foto, come tenere in ordine informative e consensi, e cosa fare in caso di data breach.
Quali sono i casi decisi dal Garante nel 2026 e cosa insegnano
Nell'ultimo anno il Garante per la protezione dei dati personali ha adottato provvedimenti nei confronti di scuole e amministrazioni per errori ricorrenti nella gestione dei dati. Le fattispecie più frequenti sono quattro: comunicazione a soggetti esterni (Comuni, enti locali) di dati sanitari degli studenti senza base giuridica specifica; diffusione ordinaria di provvedimenti disciplinari del personale con nominativi in chiaro sul sito della scuola o su circolari a distribuzione ampia; pubblicazione di foto o video di studenti su canali social istituzionali senza liberatoria; invio di elenchi con dati personali di intere classi tramite email in copia visibile. In tutti questi casi la sanzione ha riguardato la mancata applicazione dei principi di minimizzazione (raccogliere solo i dati necessari), la base giuridica errata (consenso invece di interesse pubblico o viceversa) e le informative generiche non aggiornate.
In sintesi. La scuola tratta la maggior parte dei dati come "trattamento istituzionale" ex art. 6.1.e GDPR (esecuzione di un compito di interesse pubblico): iscrizioni, valutazione, scrutini, graduatorie. Serve invece un consenso specifico ex art. 6.1.a per attività extra: pubblicazione di foto sul sito scuola, uso dell'immagine sui social istituzionali, video didattici destinati a diffusione, gite con pernottamento. Riferimenti primari: D.Lgs. 196/2003 aggiornato dal D.Lgs. 101/2018 e GDPR Reg. UE 2016/679.
Graduatorie di istituto: cosa si può pubblicare e con quali oscuramenti
Le graduatorie di istituto (docenti, personale ATA, incarichi aggiuntivi) rientrano nel trattamento istituzionale e possono essere pubblicate nell'albo online della scuola. Il Garante ha più volte confermato che nome, cognome, punteggio complessivo e posizione in graduatoria sono dati pubblicabili perché funzionali alla trasparenza dell'attività amministrativa. Non possono invece essere pubblicati in chiaro: dati sanitari e informazioni sullo stato di salute, precedenti disciplinari, dettaglio dei titoli sensibili (per esempio precedenza per motivi di salute o assistenza a familiari disabili), giudizi personali e note di merito.
La durata della pubblicazione va limitata al periodo strettamente necessario a garantire l'informazione degli interessati e la trasparenza dell'atto: di regola alcune settimane, dopo le quali la graduatoria va rimossa dall'area pubblica del sito e conservata negli atti secondo la policy di conservazione. I punteggi per titoli di preferenza che rivelino condizioni sensibili vanno oscurati. Se la graduatoria contiene una colonna con motivazioni personali, quella colonna va rimossa dalla versione pubblica.
Una gestione tracciata di informative, consensi e comunicazioni riduce il rischio privacy della scuola. Con la segreteria digitale di Spaggiari la scuola protocolla informative e liberatorie, conserva i consensi in modo tracciabile e gestisce le comunicazioni istituzionali con log di accesso, accanto agli altri procedimenti amministrativi.
Chat di classe, foto e video: regole per docenti e genitori
Le chat di classe su WhatsApp o su altre piattaforme di messaggistica sono uno dei terreni più frequenti di segnalazioni. La regola operativa è semplice: se la chat è uno strumento istituzionale della scuola (per esempio integrato nel registro elettronico), il docente può usarla senza raccogliere un consenso specifico. Se è invece una chat personale del docente su una piattaforma esterna, serve una base giuridica esplicita: consenso dei genitori sui minori, informativa scritta preventiva, indicazione del titolare del trattamento e delle finalità. In pratica la chat classe va gestita come canale di riferimento istituzionale e non personale del docente.
Per foto e video di eventi scolastici con studenti minori serve una liberatoria specifica che tenga conto di due profili: il diritto all'immagine ex art. 96 della Legge 633/1941 e la base giuridica del consenso ex GDPR per il trattamento dei dati personali connessi. La liberatoria deve indicare: finalità della raccolta e della pubblicazione, canali di diffusione (sito scuola, social istituzionali, registro elettronico), durata di conservazione, diritto di revoca. I docenti non possono in nessun caso pubblicare foto degli studenti sui propri account social personali: si tratta di una diffusione senza base giuridica che rientra fra le condotte sanzionate dal Garante.
Voti e registro elettronico: chi vede cosa
Il registro elettronico è il perimetro in cui la scuola tratta dati particolarmente delicati: valutazioni, note disciplinari, assenze. La base giuridica è l'esecuzione di un compito di interesse pubblico ex art. 6.1.e GDPR. Le regole di visibilita' sono chiare: il genitore vede i voti e le note del proprio figlio, non quelli dei compagni; il docente vede i dati degli studenti che valuta; il dirigente scolastico ha accesso all'insieme dei dati per finalità di direzione; il personale di segreteria accede ai dati amministrativi. Il registro deve essere dotato di un sistema di log degli accessi e di una policy di conservazione documentata.
Sono da evitare due pratiche ricorrenti che generano segnalazioni: l'invio di elenchi voti a intere classi tramite email non cifrata (che diffonde dati personali di studenti a genitori terzi) e la stampa di elenchi con voti e note in aree accessibili al pubblico. Le comunicazioni collettive vanno gestite tramite il registro elettronico stesso, in modo che ogni destinatario visualizzi solo i propri dati. Con ClasseViva, il registro elettronico Spaggiari usato quotidianamente da un ampio bacino di scuole italiane, la visibilita' dei dati è segmentata per ruolo e i log di accesso sono automatici.
Informative e consensi a inizio anno: un modello operativo
All'inizio dell'anno scolastico la scuola consegna alle famiglie l'informativa ex art. 13 GDPR e raccoglie i consensi specifici per i trattamenti che non rientrano nel compito istituzionale. L'informativa deve indicare in modo chiaro: le finalità della raccolta dati (iscrizione, valutazione, comunicazioni), la base giuridica per ciascuna finalità, i tempi di conservazione, i diritti dell'interessato (accesso, rettifica, cancellazione, limitazione, opposizione, portabilita'), i riferimenti del titolare del trattamento (di norma il dirigente scolastico) e del DPO della scuola.
I consensi specifici vanno raccolti separatamente, non in blocco. Le voci ricorrenti sono cinque: pubblicazione di foto sul sito scuola, uso dell'immagine sui canali social istituzionali, video didattici destinati a diffusione esterna, gita con pernottamento, attività extracurricolari con soggetti esterni. Ogni consenso deve essere revocabile in ogni momento con procedura semplice indicata nell'informativa. Il modello operativo consigliato dal Garante è quello di un modulo di iscrizione con l'informativa generale, seguito da una raccolta successiva di consensi puntuali per ciascuna attività specifica quando essa si presenta.
Errori frequenti e cosa fare in caso di data breach
Gli errori più ricorrenti nella gestione della privacy scolastica sono sette. Mancata nomina del DPO o nomina di un DPO con conflitto di interessi (per esempio un DSGA che tratta operativamente i dati che dovrebbe controllare). Informativa generica copiata da altri istituti senza aggiornamento delle finalità e dei riferimenti locali. Mancato registro dei trattamenti, obbligatorio per ogni titolare pubblico. Foto pubblicate senza liberatoria su sito o social istituzionali. Chat classe con dati personali di studenti in chiaro (nomi, patologie, situazioni familiari). Invio di elenchi con dati sensibili a genitori o docenti in copia visibile. Assenza di policy di conservazione dei dati dopo il diploma o il trasferimento.
Cosa fare in caso di data breach
La violazione di dati personali (data breach) va gestita con tre passaggi obbligatori. Primo: notifica al Garante entro 72 ore dalla scoperta della violazione, ex art. 33 GDPR, se dalla violazione può derivare un rischio per i diritti e le libertà degli interessati. Secondo: comunicazione agli interessati ex art. 34 GDPR quando il rischio è elevato, con indicazione della natura della violazione, delle possibili conseguenze e delle misure adottate. Terzo: registrazione della violazione nel registro interno delle violazioni con log tracciabile di tutta la gestione dell'incidente, dalla scoperta fino alla chiusura.
Cosa fare se si invia per errore un'email con dati sensibili
Se un docente o la segreteria invia per errore un allegato con dati sensibili a destinatari non autorizzati, la procedura corretta e': richiamare l'email quando possibile, chiedere ai destinatari non autorizzati la cancellazione immediata con conferma per iscritto, notificare l'evento al DPO della scuola per la valutazione dell'obbligo di notifica al Garante, registrare l'accaduto nel registro delle violazioni. Il tempo di reazione conta: la stessa condotta gestita nelle prime ore riduce sensibilmente l'impatto rispetto a una gestione tardiva.
Domande frequenti su privacy a scuola 2026/27
Chi è il DPO della mia scuola e come faccio a contattarlo?
Il Responsabile della Protezione dei Dati (DPO) è obbligatorio per tutte le istituzioni scolastiche pubbliche ex art. 37 GDPR. Il nome, l'ente di appartenenza e i recapiti del DPO devono essere pubblicati sul sito della scuola nella sezione privacy o amministrazione trasparente e comunicati al Garante. Il DPO può essere interno all'amministrazione o esterno (spesso una figura in convenzione tra più istituti), purche' privo di conflitto di interessi con i trattamenti che controlla.
Posso pubblicare le foto della recita di fine anno sul sito della scuola?
Solo se la scuola ha raccolto una liberatoria specifica dai genitori degli studenti minori inquadrati. La liberatoria deve indicare finalità, canali di pubblicazione, durata, diritto di revoca. In assenza di liberatoria, la scuola pubblica solo foto di gruppo non identificabili o inquadrature di dettaglio (mani, palcoscenico, scenografia) senza volti riconoscibili.
Cosa devo fare se un genitore chiede la cancellazione dei dati del figlio?
Il diritto alla cancellazione ex art. 17 GDPR non è assoluto: non si applica quando il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o per obblighi di legge. La scuola conserva i dati anagrafici e didattici degli studenti anche dopo la richiesta di cancellazione, per finalità istituzionali e di conservazione documentale. Vanno però' cancellati eventuali dati raccolti su base consenso (foto per gita, immagine su social) se il consenso è stato revocato.
Chat di classe su WhatsApp: si o no?
Si', ma con paletti: la chat va usata come canale di riferimento istituzionale, non personale del docente; non si pubblicano dati sanitari, situazioni familiari o valutazioni; non si trattano richieste che dovrebbero passare dai canali ufficiali (registro elettronico, PEC della scuola). Il canale di riferimento per le comunicazioni formali resta quello istituzionale, la chat serve per il coordinamento operativo.
Quanto tempo la scuola conserva i dati di uno studente dopo il diploma?
Le regole di conservazione seguono il codice di conservazione degli atti amministrativi: i dati anagrafici e didattici sono conservati illimitatamente (fascicolo personale); i dati amministrativi e finanziari seguono i termini di legge (10 anni di norma); i dati raccolti su base consenso (foto, video didattici, canali social) vanno cancellati al termine del periodo indicato nella liberatoria.
Come gestisco una richiesta di accesso ai dati ex art. 15 GDPR?
La scuola risponde entro un mese dalla ricezione, prorogabile di due mesi in casi complessi con comunicazione al richiedente. La risposta include: le finalità del trattamento, le categorie di dati trattati, i destinatari, il periodo di conservazione, i diritti dell'interessato. La procedura va documentata nel registro delle richieste e coordinata con il DPO.
Cosa succede se dimentico un allegato con dati sensibili in un'email a genitori terzi?
Va gestito come data breach: notifica al DPO, valutazione del rischio, richiesta di cancellazione ai destinatari non autorizzati con conferma per iscritto, registrazione nel registro delle violazioni, valutazione dell'obbligo di notifica al Garante entro 72 ore ex art. 33 GDPR.
Qual è la sanzione massima per una scuola che viola il GDPR?
Il GDPR prevede sanzioni pecuniarie fino a 20 milioni di euro o al 4% del fatturato annuo per le imprese; per la pubblica amministrazione, e quindi per le scuole, gli importi sono ridotti e determinati caso per caso dal Garante in base alla gravita', alla durata, all'intenzionalita' e alla recidiva. Nelle decisioni recenti nei confronti di istituti scolastici, le sanzioni si sono attestate su alcune migliaia di euro con misure correttive obbligatorie.
Spaggiari, al fianco delle scuole ogni giorno
Da anni Spaggiari accompagna scuole, docenti, DSGA e famiglie con soluzioni digitali per il registro elettronico, la progettazione didattica, la segreteria digitale, la gestione degli scrutini e le comunicazioni istituzionali. Con studenti attivi in 122 Paesi, il gruppo lavora ogni giorno per rendere la scuola più semplice per chi la vive.
Resta aggiornato sul mondo della scuola. Segui Gruppo Spaggiari Parma su LinkedIn per analisi normative, pratiche didattiche e novità sulle nostre soluzioni per la scuola italiana.