Il documento sbagliato alla famiglia sbagliata.
Il verbale di un GLO inviato per posta elettronica a tutti i componenti, con un indirizzo rimasto in rubrica da un consiglio di classe dell'anno prima. La certificazione di un alunno allegata alla comunicazione destinata a un'altra famiglia, perché i due fratelli hanno lo stesso cognome e la stessa mail genitoriale. Il PDP caricato nella bacheca di classe anziché in quella del singolo alunno. L'elenco dei bambini con diete speciali trasmesso al gestore della mensa in un foglio di calcolo che contiene anche le patologie.
Sono episodi che ogni dirigente scolastico ha visto almeno una volta. Non nascono da un attacco informatico né da personale negligente: nascono da una giornata di scrutini, da una supplente al terzo giorno di servizio, da un allegato selezionato in fretta in una cartella dove i file hanno nomi simili.
La domanda che conta non è se accadranno ancora. Accadranno. La domanda è se la scuola abbia deciso in anticipo quali documenti viaggiano su quali canali, in modo che l'errore, quando arriva, produca un fastidio anziché una violazione di dati sanitari di un minore.
Che cosa chiede l'articolo 25 del GDPR a un'istituzione scolastica
L'articolo 25 del Regolamento europeo introduce la protezione dei dati fin dalla progettazione e per impostazione predefinita. Formulato così sembra un obbligo destinato a chi sviluppa software, e questa è la ragione per cui nella scuola viene sistematicamente archiviato come non pertinente.
Non lo è, per un motivo preciso: la norma si rivolge al titolare del trattamento, cioè all'istituzione scolastica, e riguarda la progettazione del processo, non del programma. Una scuola non può riscrivere il registro elettronico, ma può decidere che le certificazioni sanitarie non si inviino mai come allegato di posta elettronica. Può stabilire chi, tra il personale, è autorizzato a trasmettere documentazione riservata. Può chiedere al fornitore di attivare funzioni già presenti nel contratto e mai configurate. Tutto questo è progettazione ai sensi dell'articolo 25.
Il quadro si completa con l'articolo 5, paragrafo 2, che pone in capo al titolare l'onere di dimostrare la conformità; con l'articolo 32 sulle misure adeguate al rischio; con gli articoli 33 e 34 sulla gestione delle violazioni; e con l'articolo 28, che qualifica il fornitore del registro elettronico o della segreteria digitale come responsabile del trattamento — soggetto verso cui la scuola non è un cliente passivo, ma un titolare che impartisce istruzioni.
Un precedente europeo che sposta il baricentro
Nel giugno 2026 l'Autorità spagnola per la protezione dei dati ha sanzionato un grande istituto di credito per una dinamica che nelle segreterie è quotidiana: documentazione recapitata ripetutamente a destinatari sbagliati. L'organizzazione si è difesa parlando di errori umani isolati. L'Autorità ha respinto la tesi per due ragioni che meritano attenzione.
La prima: episodi analoghi si erano già verificati negli anni precedenti, dunque non erano casi isolati ma una casistica ricorrente. La seconda, ancora più significativa: circa il sessanta per cento delle violazioni pregresse era stato scoperto da soggetti esterni — i clienti stessi — e non dai controlli interni. La sanzione è stata di cinquecentomila euro, ridotta a quattrocentomila per pagamento volontario, con l'obbligo di presentare entro nove mesi un piano di revisione del processo.
Il principio non dipende dalle dimensioni dell'organizzazione né dal settore: quando un errore si ripete e nessun meccanismo interno lo intercetta, la responsabilità si sposta dal singolo operatore a chi ha organizzato il processo. Applicato alla scuola, significa che la formula "è stata una svista dell'assistente amministrativo" regge la prima volta e non regge la terza.
Perché nella scuola l'errore è strutturalmente probabile
Non si tratta di sciatteria. Si tratta di condizioni organizzative che rendono l'errore statisticamente inevitabile, e che vale la pena nominare con precisione.
La scuola tratta dati particolari come attività ordinaria. Certificazioni ai sensi della legge 104, diagnosi DSA, PEI e PDP, verbali GLO, somministrazione di farmaci, diete sanitarie, attestazioni ISEE, segnalazioni ai servizi sociali, provvedimenti disciplinari. In nessuna altra pubblica amministrazione di pari dimensioni il rapporto tra dati particolari trattati e personale disponibile è così sfavorevole.
Il turnover è la regola. Le istruzioni operative consegnate a settembre non raggiungono chi prende servizio a novembre. Supplenti brevi, assistenti amministrativi in assegnazione provvisoria, docenti su spezzone: se la formazione privacy è un evento annuale, una quota consistente di chi tratta i dati non l'ha mai ricevuta.
I picchi coincidono con gli organici ridotti. Iscrizioni, scrutini, esami di Stato, adozione dei libri di testo, avvio dell'anno: i momenti di massimo volume documentale sono anche quelli in cui il tempo per la verifica si comprime.
I canali convivono senza gerarchia. Protocollo informatico, registro elettronico, posta elettronica ordinaria, PEC, sportello, telefono, e sullo sfondo i gruppi di messaggistica dei rappresentanti di classe. Ogni documento può teoricamente uscire da uno qualsiasi di questi canali, e in assenza di una regola scritta la scelta è dell'operatore.
Le situazioni familiari non sono standard. Fratelli con lo stesso recapito, omonimie, genitori separati con diritti di informazione differenziati, tutori, affidi, alunni maggiorenni. Il destinatario "corretto" spesso non coincide con quello ovvio.
Il DPO non presidia il quotidiano. È obbligatorio, ma nella quasi totalità dei casi è esterno e condiviso tra molti istituti. Può fornire indirizzi, verificare, formare; non può controllare gli invii di una segreteria.
La rilevazione è affidata al caso. Nella grande maggioranza degli episodi l'errore emerge perché una famiglia telefona per dire di aver ricevuto qualcosa che non la riguarda. È esattamente l'indicatore che l'Autorità spagnola ha valutato come aggravante.
Da qui discende una conseguenza che conviene accettare: l'errore umano non si elimina con il richiamo all'attenzione. La formazione resta necessaria — ed è anche un obbligo — ma agisce sulla persona, non sul processo. Se una scuola gestisce migliaia di comunicazioni all'anno, avrà con certezza operatori formati e diligenti che selezionano il destinatario sbagliato.
Che cosa comporta, concretamente
Un documento con dati sanitari recapitato alla famiglia sbagliata è una violazione di dati personali a tutti gli effetti. Ne discendono obblighi precisi e alcune conseguenze meno formali ma non meno rilevanti.
Sul piano degli adempimenti, ogni episodio va documentato nel registro delle violazioni, anche quando si conclude che non occorre notificare: il registro serve proprio a dimostrare che la valutazione è stata fatta. Se emerge un rischio per i diritti degli interessati scatta la notifica al Garante entro settantadue ore; se il rischio è elevato — e la diffusione di una diagnosi relativa a un minore lo è quasi sempre — va informata anche la famiglia coinvolta.
Sul piano della responsabilità, il titolare è l'istituzione scolastica e il dirigente ne è il rappresentante legale. Un episodio singolo è ricollegabile a una distrazione; una serie di episodi analoghi sposta il giudizio sull'organizzazione del processo, ed è il passaggio su cui le autorità di controllo stanno convergendo.
C'è infine un effetto che riguarda il clima interno e che vale la pena anticipare. Se segnalare un proprio errore espone al rischio di un procedimento disciplinare, gli errori smettono di essere segnalati. La scuola perde così l'unico sistema di rilevazione precoce di cui realisticamente dispone, e si ritrova nella condizione peggiore: quella dell'organizzazione che viene a conoscenza delle proprie violazioni solo quando gliele comunica un genitore.
Che cosa può fare davvero una scuola
Le misure che seguono sono selezionate secondo un criterio: essere sostenibili con il personale realmente disponibile. Una misura che richiede risorse che la scuola non ha viene aggirata entro una settimana, e una misura aggirata è peggio dell'assenza di misure, perché produce documentazione di conformità senza produrre protezione.
1. Decidere quali documenti viaggiano su quali canali
È l'intervento a costo zero con il rendimento più alto, e va formalizzato in una disposizione scritta del dirigente. La regola essenziale: i documenti che contengono dati sanitari, giudiziari o comunque particolari non si trasmettono come allegato di posta elettronica ordinaria. Si pubblicano nell'area riservata del registro sul singolo alunno, o si consegnano previa identificazione. Le comunicazioni collettive alle famiglie passano dalla bacheca del registro, non da liste di distribuzione via mail; se la mail è inevitabile, destinatari in copia nascosta e un solo operatore designato a effettuare l'invio.
2. Restringere e nominare
Non tutto il personale ha bisogno di poter inviare documentazione riservata. Individuare per iscritto un numero ristretto di persone autorizzate a farlo — nella pratica, la segreteria alunni e poco altro — riduce la superficie di errore senza costare nulla. Alla stessa logica risponde la verifica del destinatario, che va richiesta solo per la categoria dei documenti riservati: nome dell'alunno e classe riletti prima dell'invio. Estenderla a tutta la corrispondenza significa vederla applicata a nulla.
3. Chiedere al fornitore ciò che è già nel contratto
Molte funzioni utili esistono già nelle piattaforme in uso e non sono attivate: comunicazione al singolo tutore anziché alla classe, area documenti riservati per alunno, profilazione dei permessi per ruolo, registrazione degli accessi e degli invii. Vanno richieste in sede di rinnovo o di confronto con l'assistenza, verificando contestualmente l'atto di designazione a responsabile del trattamento e le misure che il fornitore dichiara di adottare.
4. Rendere la segnalazione sicura
Serve un canale interno semplice — una casella dedicata, un modulo di due righe — accompagnato da una posizione esplicita del dirigente: la segnalazione tempestiva di un errore è un dovere di servizio, non un'ammissione di colpa. È la misura meno costosa dell'intero elenco e quella che incide di più sulla capacità della scuola di dimostrare di avere un sistema di rilevazione funzionante.
5. Agganciare la manutenzione a ciò che già esiste
Le istruzioni operative vanno consegnate al momento della presa di servizio, inserendole nella procedura di accoglienza del personale: è l'unico modo perché raggiungano i supplenti. La verifica dei flussi si colloca nell'incontro annuale con il DPO, insieme a un indicatore semplice da leggere — quanti episodi sono emersi internamente e quanti sono stati segnalati dall'esterno. E ogni episodio, anche minore, merita due righe sulle cause: senza quelle, la casistica ricorrente resta invisibile fino a quando non la nota qualcun altro.
| Intervento | Titolarità | Quando | Risorse necessarie |
|---|---|---|---|
| Disposizione scritta su quali documenti viaggiano su quali canali | Dirigente scolastico, sentito il DSGA | Prima dell'avvio dell'anno scolastico | Nessuna spesa |
| Elenco nominativo ristretto del personale autorizzato a trasmettere documentazione riservata | Dirigente scolastico | Immediato | Nessuna spesa |
| Attivazione delle funzioni già disponibili sul registro (comunicazione al singolo tutore, area riservata per alunno, permessi per ruolo, log degli invii) | DSGA con l'assistenza del fornitore | Entro il primo quadrimestre | Tempo di configurazione; verificare se già incluse |
| Canale interno di segnalazione degli errori, con posizione esplicita sulla non punibilità | Dirigente scolastico con il DPO | Immediato | Nessuna spesa |
| Consegna delle istruzioni operative alla presa di servizio, supplenti inclusi | DSGA, nella procedura di accoglienza del personale | Ad ogni nuovo ingresso | Nessuna spesa |
| Verifica dei flussi e lettura dell'indicatore episodi interni / segnalazioni esterne | DPO con il dirigente scolastico | Incontro annuale già calendarizzato | Compresa nell'incarico del DPO |
| Verifica dell'atto di designazione a responsabile ex art. 28 e delle misure dichiarate dal fornitore | DSGA con il DPO | In sede di rinnovo contrattuale | Nessuna spesa aggiuntiva |
In sintesi
Una scuola non può riprogettare il software che utilizza, e nessuna autorità si aspetta che lo faccia. Può però decidere quali documenti passano da quali canali, chi è autorizzato a trasmetterli, che cosa chiedere al fornitore e come venire a conoscenza dei propri errori prima delle famiglie. È in questo spazio che si esercita, concretamente, la protezione dei dati fin dalla progettazione.
La differenza che conta, quando qualcosa va storto, è tra una scuola che può mostrare le scelte fatte e le ragioni per cui le ha fatte, e una scuola che può mostrare soltanto un attestato di formazione e la speranza che non si ripeta.