L’episodio in esame rappresenta una lezione importante per il mondo della scuola: la transizione digitale — sebbene porti indubbi vantaggi — comporta anche fragilità che vanno colmate con attenzione, formazione e procedure dedicate.
Quando un documento di convocazione del GLO viene reso visibile a un pubblico più vasto rispetto a quello previsto, anche senza dati clinici espliciti, la semplice possibilità di desumere la condizione di disabilità di un alunno rende l’operazione una violazione ai sensi del GDPR.
Le istituzioni scolastiche devono dunque declinare la missione dell’inclusione anche nella dimensione della riservatezza e del rispetto della persona, garantendo che non solo l’inclusione sia reale, ma anche la tutela della dignità, della privacy e della riservatezza di ogni alunno.
Nell’ambito scolastico italiano, il ruolo del GLO — organo collegiale previsto per la definizione, la verifica e l’aggiornamento del percorso di inclusione degli alunni con disabilità — comporta la gestione di documenti strettamente riservati, come il Piano Educativo Individualizzato (PEI), che contengono informazioni sensibili riguardanti lo studente.
Secondo il sito del Ministero, per esempio, “il trattamento dei dati personali dei partecipanti al GLO è effettuato presso ogni istituzione scolastica esclusivamente al fine di elaborare e approvare il PEI”. Ministero dell’Interno
In questo quadro, la tutela della riservatezza degli alunni e delle alunne con disabilità e dei loro dati assume una rilevanza primaria, anche alla luce delle norme di cui al Regolamento (UE) 2016/679 (GDPR) e del Decreto Legislativo n. 101/2018 di adeguamento nazionale.
In un istituto italiano è accaduto che la convocazione del GLO, destinata al solo nucleo familiare della studentessa con disabilità, sia stata caricata erroneamente nella “bacheca scolastica” digitale accessibile a tutti i genitori della classe.
Pur non contenendo espliciti dati clinici, il documento faceva esplicito riferimento al PEI della ragazza e dunque, secondo il Garante per la protezione dei dati personali (GPDP), permetteva di «desumere» la condizione di disabilità della studentessa, configurando un trattamento di dati sanitari senza adeguata base normativa.
L’Istituto scolastico ha riconosciuto l’errore — imputato ad una gestione involontaria da parte di un’assistente amministrativa — e ha provveduto alla rimozione del documento nell’arco di un’ora circa.
In risposta, il Garante ha attivato un’istruttoria e ha emesso un formale ammonimento nei confronti dell’Istituto, pur non applicando sanzioni ulteriori, tenuto conto della buona fede, dell’assenza di precedenti e delle misure correttive tempestive.
Secondo il provvedimento dell’Autorità, sono stati in particolare rilevati i seguenti profili:
- Il documento, pur non riportando dati clinici espliciti, era associato al PEI e dunque rientrava nella categoria dei dati relativi alla salute (art. 9 GDPR) e pertanto richiedeva una tutela rafforzata.
- Il caricamento su una piattaforma digitale con accesso ampio a tutti i genitori della classe e non limitato ai destinatari del GLO ha determinato una comunicazione non corretta e non trasparente del dato personale.
- I principi di liceità, correttezza, trasparenza e minimizzazione previsti dal GDPR risultavano violati: era infatti possibile per soggetti non interessati alla convocazione (ossia genitori non coinvolti) prendere visione della convocazione destinata solo al nucleo familiare della studentessa.
- Non è stata individuata una base giuridica specifica che giustificasse la pubblicazione generalizzata del documento (ad esempio per finalità istituzionale o di interesse pubblico) in modo indiscriminato. Il GLO, infatti, ha destinatari molto circoscritti.
Questo caso assume grande rilevanza in ambito scolastico per le seguenti ragioni:
- Errori apparentemente minori, conseguenze reali – Il fatto che il documento sia stato visibile solo “per un’ora” non ha impedito che venisse riconosciuta la responsabilità dell’istituto: l’accesso non autorizzato è di per sé sufficiente a generare una violazione.
- Uso dei sistemi digitali – L’adozione del registro elettronico, delle bacheche digitali e delle piattaforme scuola-famiglia impone sistemi di sicurezza (accessi profilati, restrizioni per destinatari, log degli accessi) e procedure interne che evitino caricamenti indiscriminati.
- Formazione del personale – La sentenza ammonitoria del Garante ribadisce la necessità di alfabetizzazione del personale scolastico (docenti, ATA, dirigenti e collaboratori) sui rischi collegati al trattamento dei dati particolari, in particolare per la disabilità e i percorsi di inclusione.
- Coinvolgimento delle famiglie – Le famiglie vanno informate in modo chiaro circa gli strumenti digitali utilizzati, le modalità di accesso ai documenti (chi può visualizzare cosa) e i loro diritti in materia di privacy. Il sito del MIM dedica un’intera sezione alla tutela dei dati personali in ambito scolastico: «Privacy tra i banchi di scuola». Ministero dell’Interno
- Documenti ad alto contenuto riservato – PEI, GLO, convocazioni e verbali relativi agli alunni con disabilità o con bisogni educativi speciali (BES/DSA) vanno trattati come dati “particolari” (art. 9 GDPR) e non possono essere oggetto di diffusione o accesso generalizzato.
Alla luce del caso e della normativa vigente, suggerisco le seguenti prassi:
- Predisporre procedure interne scritte che definiscano quali documenti devono essere caricati su bacheche digitali generiche e quali devono essere riservati (ad esempio, accessibili solo al genitore dello studente interessato e al personale strettamente coinvolto).
- Assicurare che ogni caricamento on-line sui sistemi (registro elettronico, bacheca, piattaforma scuola-famiglia) sia corredato da un controllo di accesso e da un riferimento al destinatario preciso.
- Verificare che il sistema informatico della scuola abbia profili di accesso differenziati e log di registrazione degli upload: utile sia per la prevenzione che per la gestione di eventuali incidenti.
- Inserire nei piani di formazione del personale scolastico moduli specifici relativi alla protezione dei dati personali, con particolare attenzione alle categorie più vulnerabili (alunni disabili, DSA, BES).
- Comunicare alle famiglie, in modo semplice e trasparente, quali dati vengono trattati, per quale finalità, chi ne ha accesso e quali sono i diritti (accesso, rettifica, cancellazione) ai sensi del GDPR e delle indicazioni presenti sul sito del MIM. garanteprivacy.it
- In caso di caricamenti errati o accesso non autorizzato, attivare rapidamente misure di contenimento (rimozione del documento, segnalazione dell’evento, valutazione del rischio residuo, eventuale segnalazione al DPO o al Garante) e conservare traccia dell’intervento.
