Pubblicato il

Foto dei bambini sul sito del nido: il consenso firmato non basta

Copertina dell'articolo sulla privacy negli asili nido a Napoli

Fra le strutture che trattano i dati più delicati, gli asili nido e le scuole dell’infanzia occupano un posto particolare: gli interessati sono bambini piccolissimi, che non possono esercitare alcun diritto in proprio, e il materiale raccolto nel corso della giornata — fotografie, riprese, informazioni su alimentazione, riposo e salute — tocca la sfera più intima della loro vita. Il tema della privacy negli asili nido a Napoli riguarda quindi gestori privati, cooperative e amministrazioni comunali in misura identica.

Il caso che ha fissato i paletti

Il Garante ha sanzionato con diecimila euro un asilo nido che pubblicava sul proprio sito e sulla scheda Google Maps fotografie di bambini di età compresa fra tre e trentasei mesi, comprese immagini relative a momenti intimi come il sonno, i pasti, il cambio e le attività di cura. Le immagini erano liberamente accessibili a chiunque.

La struttura si è difesa sostenendo di aver raccolto l’autorizzazione dei genitori. L’Autorità ha ritenuto quel consenso non valido: era richiesto in sede di iscrizione, cioè in un contesto in cui il rifiuto non rappresentava un’opzione reale, e in ogni caso doveva prevalere l’interesse superiore del minore. Al gestore è stato ordinato di cessare immediatamente la pubblicazione e di cancellare le immagini già diffuse in modo illecito.

Le telecamere non si installano «per sicurezza» e basta

Nello stesso procedimento è stato contestato l’impianto di videosorveglianza, che riprendeva bambini, personale educativo, personale ausiliario, genitori in visita e fornitori esterni. Sono emerse l’assenza degli accordi previsti dallo Statuto dei lavoratori e la mancanza di limiti tecnici adeguati alla raccolta dei dati, con un monitoraggio sproporzionato rispetto alla finalità di sicurezza dichiarata.

È la stessa impostazione che il Garante segue in ambito lavorativo, descritta nell’articolo sulla videosorveglianza sul luogo di lavoro: la finalità legittima non rende di per sé lecito l’impianto, perché occorrono base giuridica, proporzionalità e rispetto delle garanzie previste per i lavoratori.

Gli altri fronti aperti nelle strutture per l’infanzia

Accanto a foto e telecamere, i profili che emergono con più frequenza sono tre. Il primo riguarda i gruppi di messaggistica fra educatori e famiglie, usati per condividere immagini e informazioni senza alcuna regola su cosa possa circolare e per quanto tempo resti disponibile. Il secondo riguarda la documentazione sanitaria — certificati, piani alimentari, segnalazioni di allergie o intolleranze — che costituisce trattamento di categorie particolari di dati e richiede misure proporzionate. Il terzo riguarda i tempi di conservazione: materiale fotografico e registrazioni conservati a tempo indeterminato, questione già affrontata nell’articolo sui tempi di conservazione dei dati personali.

Il consenso, quando serve davvero

Non tutto si regge sul consenso, e qui sta l’errore più comune. La gestione del rapporto educativo, gli adempimenti amministrativi, la sicurezza dei locali hanno basi giuridiche proprie. Il consenso resta necessario per quegli usi che non sono funzionali al servizio — la pubblicazione di immagini a fini promozionali è l’esempio tipico — e deve essere libero, specifico, informato e revocabile: condizioni che una firma apposta insieme al modulo di iscrizione difficilmente soddisfa.

Tutto questo presuppone, a monte, che la struttura sappia quali trattamenti svolge: è la funzione del registro dei trattamenti, e per gli impianti di ripresa sistematica di minori va valutata anche la necessità di una valutazione d’impatto.

Che cosa conviene rivedere

Informative alle famiglie, moduli di iscrizione, regole sull’uso delle immagini, disciplina dei canali di comunicazione con i genitori, impianti di videosorveglianza, rapporti con i fornitori: sono gli elementi su cui si gioca la conformità di una struttura per l’infanzia, e sono tutti collegati fra loro.

Lo studio assiste strutture private, cooperative ed enti pubblici in tutta Italia, con sede a Napoli, attraverso il servizio di consulenza privacy e i pacchetti dedicati; per i profili amministrativi e il contenzioso è disponibile il sito dello studio legale. Per sottoporre la modulistica in uso a un esame preliminare, i riferimenti sono nella pagina dei contatti.

Avv. Elio Errichiello

Pubblicato il

Quando pubblicare troppo costa caro: l’albo pretorio sotto la lente del Garante

Copertina dell'articolo su albo pretorio e privacy del sito Data Protection Law

Ogni Comune pubblica, ogni giorno, decine di atti sul proprio albo online: determinazioni, delibere, ordinanze, graduatorie, avvisi, provvedimenti di assegnazione di contributi. È un obbligo di legge e un presidio di trasparenza. Ma albo pretorio e privacy sono due esigenze che convivono male quando la pubblicazione avviene senza alcun filtro, e l’esperienza dei provvedimenti del Garante mostra che il confine viene superato con una frequenza sorprendente.

Albo pretorio e privacy: dove si rompe l’equilibrio

Il principio è semplice da enunciare e difficile da applicare: la pubblicazione è legittima nei limiti in cui è prevista da una norma e nella misura in cui i dati contenuti nell’atto sono necessari rispetto alla finalità della pubblicazione stessa. Tutto ciò che eccede quella misura è una diffusione priva di base giuridica.

Le situazioni in cui l’equilibrio si rompe sono sempre le stesse. Delibere di assistenza sociale pubblicate con nome, cognome e indirizzo dei beneficiari e con l’indicazione della condizione che ha giustificato il contributo. Ordinanze che riportano per esteso i dati del segnalante. Atti che richiamano certificazioni sanitarie, verbali di invalidità, situazioni familiari. Provvedimenti disciplinari relativi a dipendenti. Determinazioni di liquidazione che espongono dati bancari. Elenchi di morosi.

Il Garante ha sanzionato amministrazioni comunali proprio per pubblicazioni di questo tipo, inclusa la diffusione di dati giudiziari contenuti in atti pubblicati all’albo. In Campania il tema è particolarmente sentito, perché la rete dei Comuni di piccole e medie dimensioni opera spesso con uffici sotto organico e con procedure di pubblicazione largamente automatizzate: l’atto viene caricato così com’è prodotto dall’ufficio che lo ha adottato, senza che nessuno ne verifichi il contenuto in chiave di protezione dei dati.

Il tempo è parte del problema

Una seconda famiglia di contestazioni non riguarda che cosa viene pubblicato, ma per quanto. Gli atti restano online ben oltre il periodo previsto, spesso indefinitamente, perché nessuno ha predisposto un meccanismo di rimozione automatica e perché la sezione di archivio è percepita come un valore e non come un rischio.

Il risultato è che il nome di un cittadino, associato a una vicenda conclusa da anni, continua a essere indicizzato dai motori di ricerca e a comparire fra i primi risultati quando qualcuno lo cerca. È la situazione che genera il maggior numero di reclami, perché la persona se ne accorge in un momento preciso – un colloquio di lavoro, una pratica bancaria, una ricerca fatta da un conoscente – e in quel momento chiede conto all’amministrazione. Una volta avviata, la sequenza è difficile da fermare: l’ente deve rispondere nei termini di legge, e la risposta tardiva o incompleta diventa a sua volta una contestazione autonoma. Sul punto lo studio ha pubblicato un approfondimento sul riscontro alle richieste degli interessati.

La responsabilità resta dell’ente, anche quando l’atto arriva da fuori

Un’obiezione ricorrente degli uffici è che l’atto pubblicato proviene da un altro settore, da un’azienda consortile, da un soggetto gestore o da un professionista incaricato. Sul piano organizzativo è spesso vero; sul piano giuridico non sposta nulla. Il Comune che pubblica è titolare del trattamento di diffusione e risponde della legittimità di quella diffusione, a prescindere da chi abbia redatto il documento.

Lo stesso vale per il rapporto con il fornitore della piattaforma di pubblicazione e con la software house che gestisce il protocollo informatico. Si tratta di rapporti da qualificare, non di forniture neutre, come illustrato nell’articolo sulla nomina del responsabile del trattamento.

Trasparenza e diffusione non sono sinonimi

Vale la pena sciogliere un equivoco che circola negli uffici: il fatto che un dato sia conoscibile non significa che debba essere diffuso a chiunque, in rete, senza limiti di tempo e indicizzabile dai motori di ricerca. La disciplina sulla trasparenza amministrativa individua obblighi di pubblicazione puntuali, con un proprio perimetro e una propria durata; al di fuori di quel perimetro non esiste un obbligo generale di pubblicare tutto.

Il riflesso difensivo di molti uffici – «nel dubbio pubblichiamo, così siamo trasparenti» – è esattamente il comportamento che genera le contestazioni. La trasparenza che eccede il proprio fondamento normativo non è un merito: è una diffusione illecita di dati personali.

Che cosa rischia concretamente un Comune

Le violazioni che riguardano i principi del trattamento e la liceità della diffusione rientrano nella fascia più severa prevista dall’articolo 83, paragrafo 5, del GDPR. Per le pubbliche amministrazioni italiane il regime sanzionatorio presenta particolarità, ma l’esperienza dei provvedimenti dell’Autorità dimostra che le sanzioni ai Comuni vengono effettivamente irrogate e che sono pubbliche.

Accanto alla sanzione pecuniaria, l’Autorità può adottare provvedimenti correttivi: ordinare la rimozione dei dati, imporre limiti al trattamento, prescrivere misure organizzative. Per un ente locale, l’ordine di rimuovere dal proprio archivio online un numero consistente di atti è un’operazione tutt’altro che banale. E resta sullo sfondo la possibilità di azioni risarcitorie da parte degli interessati.

Un problema organizzativo, prima che giuridico

La pubblicazione eccedente non nasce quasi mai da una scelta: nasce dall’assenza di un passaggio di controllo tra la produzione dell’atto e la sua messa online. È il motivo per cui il tema non si risolve con una circolare, ma richiede di guardare come l’ente lavora, chi redige gli atti, chi li pubblica, con quali strumenti e con quali tempi. In questo il responsabile della protezione dei dati ha un ruolo centrale, come già osservato a proposito del DPO nei Comuni della Campania e degli obblighi in caso di data breach negli enti locali.

Lo studio dell’avv. Elio Errichiello ricopre incarichi di responsabile della protezione dei dati presso enti pubblici, ordini professionali e strutture sanitarie, con sede a Napoli e attività in tutta Italia; il quadro del servizio è nella pagina sulla consulenza privacy e protezione dei dati personali, mentre l’attività nel contenzioso amministrativo è descritta su avvocatoelioerrichiello.it.

Agli enti che hanno ricevuto un reclamo, o che semplicemente non hanno mai verificato che cosa contenga il proprio archivio online, lo studio offre un esame preliminare della documentazione e delle procedure in uso: per avviarlo è sufficiente scrivere allo studio.

Avv. Elio Errichiello

Pubblicato il

Enti del terzo settore e protezione dei dati: la nomina del DPO non è un dettaglio

Copertina dell'articolo sul DPO terzo settore del sito Data Protection Law

Associazioni di volontariato, associazioni di promozione sociale, cooperative sociali, fondazioni ed enti filantropici trattano ogni giorno dati che il GDPR considera delicati: condizioni di salute degli assistiti, situazioni familiari, fragilità sociali, a volte dati di minori. Eppure la domanda sul DPO terzo settore arriva quasi sempre tardi, e di solito arriva dopo: dopo una segnalazione, dopo un reclamo, dopo una richiesta di chiarimenti dell’Autorità.

DPO terzo settore: quando la nomina diventa obbligatoria

Il Regolamento individua tre ipotesi in cui la designazione del responsabile della protezione dei dati non è una scelta ma un obbligo. La prima riguarda le autorità e gli organismi pubblici. La seconda riguarda chi, come attività principale, effettua un monitoraggio regolare e sistematico degli interessati su larga scala. La terza riguarda chi, sempre come attività principale, tratta su larga scala categorie particolari di dati – tra cui quelli relativi alla salute – o dati giudiziari.

È proprio la terza ipotesi a rendere il tema del DPO terzo settore meno scontato di quanto molti enti credano. Un’associazione che gestisce servizi socio-assistenziali, una cooperativa che segue persone con disabilità, un ente che eroga prestazioni sanitarie o sociosanitarie convenzionate trattano dati sulla salute non in modo occasionale, ma come parte costitutiva della propria missione. E quando l’ente è in qualche modo attratto nell’orbita pubblica – perché svolge funzioni affidate da un ente locale, perché gestisce un servizio pubblico, perché opera in regime di accreditamento – il quadro si complica ulteriormente.

Qui sta il punto che costa caro: la valutazione su obbligatorietà o meno non è un esercizio astratto, è una decisione documentata di cui l’ente risponde. Le linee guida europee chiedono che la scelta, anche quando porta a escludere l’obbligo, sia motivata e conservata. Un ente che non ha nominato il DPO e non è in grado di spiegare perché si trova nella posizione peggiore di tutte.

Che cosa viene contestato agli enti

Le contestazioni che riguardano gli enti del terzo settore non sono esotiche. Si ripetono, e somigliano molto tra loro.

  • Nomina mancante o tardiva, quando l’obbligo sussisteva.
  • Nomina solo sulla carta: il DPO è designato, ma non è coinvolto nelle decisioni, non ha accesso alle informazioni, non dispone delle risorse necessarie. Il Regolamento non chiede un nome su un modulo, chiede una funzione che operi.
  • Conflitto di interessi: il ruolo viene attribuito a chi, nell’ente, decide finalità e mezzi dei trattamenti, oppure al responsabile dei sistemi informativi o delle risorse umane.
  • Mancata pubblicazione e comunicazione dei dati di contatto del responsabile della protezione dei dati.
  • Registro dei trattamenti assente o irrealistico, che descrive un’organizzazione diversa da quella che esiste davvero.
  • Informative agli assistiti generiche, copiate da altri enti, inadatte alle categorie di interessati effettivamente coinvolte.

Sul funzionamento concreto del registro lo studio ha dedicato un approfondimento a che cosa il Garante chiede quando esamina il registro dei trattamenti.

Quanto costa sbagliare

Le violazioni che riguardano gli obblighi del titolare, inclusa la designazione e la posizione del responsabile della protezione dei dati, rientrano nella fascia sanzionatoria dell’articolo 83, paragrafo 4, del GDPR: fino a dieci milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo. Le violazioni dei principi di trattamento e dei diritti degli interessati stanno nella fascia superiore, che arriva a venti milioni o al 4%.

Per un ente del terzo settore, la cui sostenibilità economica dipende da contributi, convenzioni e donazioni, le cifre astratte contano meno di due conseguenze molto concrete. La prima è reputazionale: un provvedimento dell’Autorità è pubblico, e un ente che assiste persone fragili non può permettersi di comparire in un elenco di sanzionati. La seconda è contrattuale: nei rapporti con gli enti pubblici committenti la conformità alla disciplina sulla protezione dei dati è ormai una condizione di partecipazione e di mantenimento della convenzione. Un rilievo dell’Autorità può pesare molto più della sanzione in sé. Un quadro d’insieme delle soglie è raccolto nell’articolo su quanto costa davvero una violazione del GDPR.

Il volontario non è un soggetto senza regole

C’è un equivoco ricorrente che merita di essere sciolto. Negli enti del terzo settore buona parte dell’attività è svolta da volontari, e si tende a pensare che questo cambi qualcosa rispetto alla protezione dei dati. Non la cambia. Chi accede a dati personali per conto dell’ente opera sotto l’autorità del titolare e deve essere autorizzato e istruito, a prescindere dalla natura del rapporto. Il tema è stato affrontato nell’articolo sugli autorizzati al trattamento e sui rischi di un’autorizzazione mancata.

Lo stesso vale per i rapporti con i fornitori: il gestionale degli assistiti, la piattaforma di raccolta fondi, il servizio di posta elettronica, il consulente del lavoro. Ognuno di questi rapporti ha una qualificazione giuridica precisa e produce obblighi documentali. Trattarli come forniture ordinarie è una delle carenze più frequentemente rilevate.

Una valutazione, non un modulo

Capire se un ente debba nominare il DPO, e con quale assetto, richiede di guardare che cosa l’ente fa davvero: quali servizi eroga, per conto di chi, con quali strumenti, quante persone segue, quali dati raccoglie e per quanto tempo li conserva. È un esame che non si risolve con un modulo scaricato da internet, e che produce risultati diversi per enti che sulla carta sembrano identici.

Lo studio dell’avv. Elio Errichiello assiste enti pubblici, aziende ed enti del terzo settore in tutta Italia, con sede a Napoli, e ricopre incarichi di responsabile della protezione dei dati presso amministrazioni, ordini professionali e strutture sanitarie. Per il quadro generale del servizio si può consultare la pagina sul servizio di consulenza privacy e protezione dei dati personali, mentre l’attività giudiziale e amministrativa dello studio è descritta su avvocatoelioerrichiello.it.

Se il vostro ente non ha ancora formalizzato una valutazione sull’obbligo di nomina, o se ne ha una che nessuno ha più aggiornato da anni, scriveteci: possiamo esaminare in via preliminare la documentazione esistente e i margini di intervento.

Avv. Elio Errichiello

Pubblicato il

Il Comune subisce un attacco: cosa viene contestato dopo il data breach

Copertina dell'articolo sul data breach nei Comuni della Campania e sugli obblighi dopo un attacco informatico

Un lunedì mattina i server dell’ente non rispondono, i servizi al cittadino si fermano, l’anagrafe non è consultabile. Nelle ore successive la domanda smette di essere tecnica e diventa giuridica: che cosa deve fare l’amministrazione, entro quando, e di che cosa risponde. I data breach nei Comuni della Campania, come nel resto del Paese, seguono uno schema ricorrente, e l’esito dipende quasi sempre da decisioni prese nelle prime settantadue ore.

L’ente resta titolare, anche quando il sistema è di altri

Il primo equivoco da sciogliere riguarda la responsabilità. Quasi nessun Comune gestisce in proprio l’intera infrastruttura: il gestionale è di una software house, l’hosting di un fornitore, la posta di un altro, il sito di un terzo ancora. Questo non sposta la titolarità del trattamento, che resta in capo all’ente.

Il fornitore è responsabile del trattamento ai sensi dell’articolo 28 del Regolamento UE 2016/679, e il contratto deve disciplinare, tra le altre cose, l’obbligo di assistere il titolare nell’adempimento degli obblighi in materia di sicurezza e di violazione dei dati. Quando quel contratto non c’è, o si limita a una clausola generica, l’ente si trova a dover rispondere di un evento su cui non aveva né controllo né visibilità. Il tema è trattato nell’approfondimento sulla nomina del responsabile del trattamento.

Data breach nei Comuni della Campania: la notifica e i suoi tempi

L’articolo 33 del Regolamento impone al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne ha avuto conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Se la notifica arriva oltre quel termine, va motivato il ritardo.

L’articolo 34 aggiunge un secondo obbligo, distinto: quando la violazione è suscettibile di presentare un rischio elevato, il titolare deve comunicarla anche agli interessati. Per un Comune significa, in concreto, rivolgersi ai propri cittadini.

C’è infine un obbligo che nessuno vede dall’esterno ma che l’Autorità verifica sempre: la documentazione interna di tutte le violazioni, comprese quelle non notificate, con le motivazioni della scelta. Il registro delle violazioni è spesso il primo documento richiesto. Lo studio ha dedicato al punto l’articolo sulla notifica del data breach entro 72 ore.

Quello che viene contestato non è l’attacco

È il passaggio che più sorprende gli amministratori: l’Autorità non sanziona per essere stati attaccati. Sanziona per ciò che l’attacco rivela.

Le carenze che emergono nelle istruttorie sono quasi sempre le stesse: autenticazione a fattore singolo sugli accessi remoti, backup raggiungibili dalla stessa rete compromessa, log assenti o sovrascritti, sistemi non aggiornati, profili di accesso non differenziati, assenza di cifratura sui dati più sensibili. Sono tutte misure che l’articolo 32 del Regolamento richiede di valutare e adottare in funzione del rischio, e la cui mancanza è autonomamente contestabile a prescindere dall’esito dell’attacco. Un quadro analogo emerge dall’articolo sulle carenze contestate nei data breach da ransomware e da quello sulle misure di sicurezza e le sanzioni.

Per un ente pubblico c’è un aggravante strutturale: i dati trattati comprendono categorie particolari — servizi sociali, posizioni tributarie, pratiche di assistenza, dati di minori — e il numero degli interessati coincide, di fatto, con la popolazione residente.

Il ruolo del responsabile della protezione dei dati

Per le pubbliche amministrazioni la designazione del responsabile della protezione dei dati è obbligatoria ai sensi dell’articolo 37 del Regolamento. Nella gestione di una violazione il RPD è il punto di contatto con l’Autorità e il soggetto che deve essere coinvolto tempestivamente in tutte le questioni relative alla protezione dei dati.

Quando la designazione è formale e il RPD viene informato a cose fatte, l’ente perde esattamente la competenza che gli serviva nelle prime ore. Il tema è stato approfondito negli articoli sul DPO nei Comuni della Campania e sull’obbligo di nomina nella pubblica amministrazione.

Le conseguenze, anche oltre la sanzione

L’articolo 83 del Regolamento disciplina le sanzioni amministrative pecuniarie, con la precisazione che gli Stati membri possono stabilire se e in quale misura applicarle alle autorità pubbliche. Ma il profilo sanzionatorio non esaurisce il quadro: restano i poteri correttivi del Garante, le azioni risarcitorie degli interessati previste dall’articolo 82, i riflessi sulla responsabilità amministrativa e contabile e, non da ultimo, la paralisi dei servizi comunali per il tempo necessario al ripristino.

Prima che accada

La differenza tra un ente che gestisce una violazione e uno che la subisce sta tutta nella preparazione: una procedura scritta di gestione degli incidenti, i contatti dei fornitori reperibili, i ruoli assegnati, il registro delle violazioni già impostato, i contratti con i responsabili in regola. Nessuno di questi elementi si costruisce nelle settantadue ore.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste enti pubblici e aziende nell’adeguamento, nell’incarico di responsabile della protezione dei dati e nella gestione delle violazioni, dalla notifica ai rapporti con l’Autorità. Il punto di ingresso è la pagina dedicata alla figura del DPO e, per un primo contatto, la pagina contatti. Per i profili di contenzioso amministrativo che spesso si accompagnano a queste vicende, il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

Registro elettronico e bacheca: la scuola che diffonde troppo

Privacy nelle scuole in Campania: copertina dell'articolo su registro elettronico, bacheca e sanzioni del Garante

Un’istituzione scolastica tratta ogni giorno dati di minori, dati sanitari, dati relativi a situazioni familiari delicate, e lo fa con strumenti digitali che nessuno ha scelto davvero: il registro elettronico fornito dal gestore, il sito istituzionale, le piattaforme didattiche, i gruppi di messaggistica nati per comodità. È in questo scarto fra la delicatezza dei dati e l’improvvisazione degli strumenti che si collocano i problemi di privacy nelle scuole in Campania come nel resto d’Italia.

2.000 euro per aver usato la bacheca sbagliata

Il 26 maggio 2026 il Garante per la protezione dei dati personali ha sanzionato un istituto tecnico per 2.000 euro. I fatti contestati hanno un’aria talmente ordinaria da risultare istruttivi.

Il primo: la scuola aveva pubblicato sul proprio sito gli orari di servizio degli insegnanti e i turni di sorveglianza durante la ricreazione, associando i nominativi dei docenti alle attività svolte. Il secondo: aveva comunicato assenze e sostituzioni attraverso la funzione «Bacheca» del registro elettronico, rendendo quelle informazioni visibili a studenti, genitori e personale ATA, invece di utilizzare l’area riservata destinata allo scopo.

Nessun attacco informatico, nessuna fuga di dati, nessuna malafede. Soltanto due scelte operative compiute per comodità, su strumenti che l’istituto usava tutti i giorni. L’Autorità ha osservato che non esiste alcuna disposizione normativa che autorizzi la pubblicazione sul web di quelle informazioni: la diffusione, in assenza di una base che la consenta, è indebita.

Privacy nelle scuole in Campania: il perimetro è più largo di quanto sembri

Chi lavora nelle segreterie lo sa: il rischio non si concentra nei trattamenti che appaiono delicati, ma in quelli che appaiono innocui. Pubblicare una graduatoria interna, comunicare una sostituzione, condividere una fotografia di una gita, inoltrare un elenco in un gruppo di messaggistica, caricare un documento nell’area sbagliata della piattaforma. Sono gesti che si compiono decine di volte al giorno e che, presi uno a uno, nessuno percepisce come trattamento di dati personali.

La contestazione, quando arriva, nasce quasi sempre da una segnalazione: un genitore, un docente, un membro del personale che si accorge di essere visibile a chi non dovrebbe vederlo. E da quella segnalazione l’istruttoria si allarga a tutto il resto.

Il vademecum del Garante del dicembre 2025

Il 15 dicembre 2025 l’Autorità ha pubblicato «La scuola a prova di privacy 2025», un documento dedicato specificamente al mondo scolastico. Le indicazioni più rilevanti riguardano:

  • Intelligenza artificiale. Il Garante invita le scuole a evitare pratiche intrusive, fra cui espressamente il riconoscimento delle emozioni, e a minimizzare l’impiego di dati personali, anche ricorrendo a dataset sintetici o anonimi quando possibile.
  • Gruppi di messaggistica. Il documento mette in guardia dall’uso di chat informali per le comunicazioni ufficiali, raccomandando il ricorso agli strumenti istituzionali, a partire dal registro elettronico.
  • Pubblicazioni online. La condivisione di fotografie e la pubblicazione di dati che riguardano minori richiedono il consenso dei genitori e il rispetto del principio di minimizzazione.
  • Procedure amministrative. Iscrizioni, trasferimenti e graduatorie del personale vanno gestiti pubblicando soltanto le informazioni necessarie, non quelle disponibili.

Il documento non ha natura sanzionatoria, ma è esattamente il metro con cui l’Autorità valuterà le prossime segnalazioni. Ignorarlo significa esporsi a contestazioni il cui esito è, in larga misura, già prevedibile.

Il DPO non è una casella da riempire

Per le istituzioni scolastiche, che sono pubbliche amministrazioni, la designazione del Responsabile della protezione dei dati è obbligatoria. Il punto che continua a generare contestazioni non è l’omissione — ormai rara — ma la qualità della designazione: un RPD nominato e mai coinvolto, che non viene consultato prima di adottare una nuova piattaforma, che non è raggiungibile dagli interessati, che non partecipa alla gestione di una violazione, è un adempimento formale che non attenua nulla.

Abbiamo affrontato il tema per le pubbliche amministrazioni nell’articolo sul DPO per i Comuni in Campania e, per gli enti che trattano dati particolarmente delicati, in quello sul DPO per gli Ordini professionali in Campania.

Il registro elettronico e il fornitore: due ruoli, un solo problema

C’è un nodo che nelle scuole si ripresenta sempre uguale e che riguarda il rapporto con chi fornisce il registro elettronico o la piattaforma didattica. L’istituto è titolare del trattamento: è lui che decide finalità e mezzi, ed è lui a rispondere di quanto accade. Il fornitore agisce, nella maggior parte dei casi, come responsabile del trattamento ai sensi dell’art. 28 del Regolamento, e il contratto o l’atto di designazione dovrebbe definire con precisione che cosa può fare, su quali dati, con quali sotto-responsabili e per quanto tempo.

Nella pratica quel documento esiste quasi sempre, ma è stato firmato anni fa, redatto dal fornitore, e nessuno lo ha più riletto quando la piattaforma ha aggiunto funzioni nuove. Quando l’Autorità chiede conto di una diffusione avvenuta tramite quello strumento, la domanda a cui la scuola deve rispondere non è «che cosa ha fatto il fornitore», ma «che cosa aveva stabilito la scuola che il fornitore potesse fare».

Che cosa si rischia davvero

I 2.000 euro del provvedimento di maggio non devono trarre in inganno sul profilo di rischio complessivo. L’art. 83 del GDPR consente sanzioni fino a 20 milioni di euro o al 4 per cento del fatturato annuo per le violazioni dei principi del trattamento; nei confronti delle pubbliche amministrazioni l’Autorità gradua con criteri propri, ma la misura pecuniaria non esaurisce le conseguenze.

Restano infatti sul tavolo l’ordine di cessare il trattamento illecito, l’obbligo di rimuovere quanto indebitamente pubblicato, la gestione dei rapporti con gli interessati e — nelle scuole più che altrove — un danno reputazionale che si consuma nella comunità locale e che nessuna sanzione quantifica.

Per approfondire il quadro delle contestazioni più frequenti è utile l’articolo su quanto costa una violazione del GDPR; il servizio di designazione del Responsabile della protezione dati è descritto nella pagina dedicata al DPO esterno. Per il contenzioso amministrativo che riguarda scuola e personale docente si rimanda allo studio legale dell’avv. Elio Errichiello.

Dirigenti scolastici, DSGA e responsabili amministrativi che vogliano capire a che punto è il proprio istituto possono scriverci dalla pagina contatti: l’esame preliminare della documentazione e delle pubblicazioni in essere è il modo più rapido per sapere dove si è esposti.

Avv. Elio Errichiello