Nel 2024 il Garante per la protezione dei dati personali ha ricevuto 2.204 notifiche di data breach e ha adottato 835 provvedimenti, incassando 24 milioni di euro di sanzioni. Gli istituti scolastici sono fra i settori pubblici più colpiti. È su questo terreno che arriva il nuovo vademecum "La scuola a prova di privacy", edizione 2025, ripreso in questi giorni dall'ANSA all'inizio del nuovo anno scolastico.
Cosa contiene il nuovo vademecum del Garante
Il vademecum "La scuola a prova di privacy" 2025 - Garante Privacy aggiorna la guida del 2023 e traduce i principi del GDPR in indicazioni operative per la vita scolastica: dai temi assegnati in classe alle chat di WhatsApp fra genitori, dalla pubblicazione dei voti alle foto dei saggi di fine anno.
Le novità 2025 si concentrano su tre fronti. Il primo è l'intelligenza artificiale, ora inquadrata dalle Linee guida allegate al DM 166/2025 del Ministero dell'Istruzione e del Merito, in vigore dal 2 settembre 2025. Il secondo è il registro elettronico, con nuove indicazioni sugli errori di pubblicazione. Il terzo sono le chat di classe fra genitori: il Garante ribadisce che non sono attività istituzionali, ma i partecipanti restano tenuti al rispetto delle regole sulla protezione dei dati.
I numeri che spiegano perché serve un vademecum
Le regole sono la parte visibile. Sotto ci sono i dati della relazione annuale 2024 del Garante: 835 provvedimenti complessivi, di cui 468 correttivi e sanzionatori, per un totale di 24 milioni di euro di multe. I data breach notificati sono stati 2.204, in media sei al giorno. Nel settore pubblico i casi sono stati 498 e hanno riguardato soprattutto Comuni, strutture sanitarie e istituti scolastici.
Nelle scuole le violazioni più ricorrenti riguardano la pubblicazione impropria di atti sull'albo online, la diffusione di informazioni sulla salute di studenti e personale, la condivisione non autorizzata di documenti PEI e la gestione dei Gruppi di lavoro operativi per l'inclusione. Un errore banale, come lasciare un file sensibile accessibile per pochi minuti, basta per far scattare il procedimento.
A questo si aggiunge il fronte IA. Le Linee guida MIM sull'introduzione dell'IA nelle istituzioni scolastiche - DM 166/2025 vietano espressamente il riconoscimento delle emozioni e chiedono di limitare il trattamento dei dati personali di studenti e docenti, privilegiando dati sintetici. Una scuola che usa ChatGPT o Claude per correggere compiti sta, di fatto, trasferendo dati a un titolare esterno: il vademecum e le linee guida MIM chiedono di sapere quali dati escono, verso chi e con quale base giuridica.
Cosa cambia in classe da settembre
Per docenti e famiglie alcune abitudini diventano più rischiose. Le foto dei bambini pubblicate sui social della scuola richiedono il consenso esplicito degli esercenti la responsabilità genitoriale; il Garante invita anche le famiglie alla prudenza sullo *sharenting*, la condivisione online di immagini dei figli. I voti restano nell'area riservata del registro elettronico, mai in chiaro online. Le registrazioni delle lezioni sono ammesse solo per uso personale di studio.
Per il personale ATA e di segreteria la formazione sull'IA diventa un tassello formale dell'adeguamento: il MIM ha lanciato MIMeraviglIA, il portale gratuito di formazione sull'IA per le segreterie scolastiche, dodici ore online per DSGA e assistenti amministrativi. Sul piano normativo la posta è più alta: è atteso in Consiglio dei ministri il disegno di legge sull'intelligenza artificiale con 100 milioni per la scuola che disegnerà autorità e sanzioni nazionali.
Il calendario più stretto è quello dei dirigenti scolastici. Ad agosto era già circolata la checklist su privacy e cybersecurity per il DS: aggiornamento dei registri di trattamento, revoca delle credenziali del personale in ferie, verifica dei backup, nomina dei responsabili esterni per le nuove piattaforme IA. A settembre, con studenti e insegnanti in classe, la finestra per la manutenzione ordinaria dei dati si è chiusa.
Chi non ha adeguato le procedure entro l'inizio dell'anno rischia di trovarsi il primo data breach del 2026 sul tavolo prima ancora del primo collegio docenti utile. Il vademecum del Garante è la mappa; la sanzione di 24 milioni distribuita nel 2024 è la misura del terreno.
Domande frequenti
Quali sono le principali novità del vademecum 'La scuola a prova di privacy' 2025?
Le principali novità riguardano l'introduzione delle regole sull'intelligenza artificiale, nuove indicazioni sull'uso del registro elettronico e la gestione delle chat di classe fra genitori. Il vademecum aggiorna le linee guida operative per adeguarsi alle evoluzioni normative e tecnologiche.
Cosa prevedono le linee guida MIM sull'utilizzo dell'intelligenza artificiale a scuola?
Le linee guida vietano il riconoscimento delle emozioni e limitano il trattamento dei dati personali, privilegiando dati sintetici. Inoltre, richiedono trasparenza su quali dati vengono trasferiti a titolari esterni e con quale base giuridica.
Quali sono le violazioni della privacy più comuni nelle scuole?
Le violazioni più frequenti riguardano la pubblicazione impropria di atti sull'albo online, la diffusione di informazioni sulla salute di studenti e personale e la condivisione non autorizzata di documenti PEI. Anche errori minimi, come lasciare accessibile un file sensibile per pochi minuti, possono portare a procedimenti sanzionatori.
Come cambia la gestione delle foto e dei dati degli studenti dal 2025?
La pubblicazione di foto sui social della scuola richiede il consenso esplicito dei genitori e il Garante raccomanda prudenza anche alle famiglie nello 'sharenting'. I voti devono restare nell'area riservata del registro elettronico e le registrazioni delle lezioni sono ammesse solo per uso personale di studio.
Quali obblighi formativi sono previsti per il personale scolastico sull'IA?
Il personale ATA e di segreteria deve seguire una formazione specifica sull'IA tramite il portale gratuito MIMeraviglIA, che prevede dodici ore online per DSGA e assistenti amministrativi. Questa formazione è parte integrante dell'adeguamento alle nuove normative sulla privacy.
Cosa rischiano gli istituti scolastici che non adeguano le procedure di privacy entro l'inizio dell'anno scolastico?
Chi non aggiorna le procedure rischia di incorrere in data breach e di essere soggetto a provvedimenti e sanzioni, come quelle che nel 2024 hanno raggiunto i 24 milioni di euro complessivi. Il vademecum serve proprio a evitare errori che possono avere conseguenze legali ed economiche rilevanti.
