Privacy a scuola: guida agli adempimenti di inizio anno scolastico

28 agosto 2026 – L’avvio di un nuovo anno scolastico è un momento di grande fermento per ogni istituzione: pianificazione didattica, assegnazione delle cattedre, accoglienza di studenti e famiglie. In questo scenario complesso, gli adempimenti legati alla protezione dei dati personali rischiano di passare in secondo piano. Tuttavia, una gestione corretta della privacy fin da settembre è fondamentale per garantire la conformità al Regolamento (UE) 2016/679 (GDPR) e per tutelare i diritti dell’intera comunità scolastica.

Tra le priorità di inizio anno, due attività spiccano per la loro importanza e urgenza: l’aggiornamento delle informative in caso di cambio del Dirigente Scolastico e la formalizzazione delle nomine per il nuovo personale docente e ATA. Vediamo nel dettaglio come affrontare questi passaggi cruciali.

Il cambio del Dirigente Scolastico: un impatto diretto sulla privacy

Molte scuole si trovano a iniziare l’anno con un nuovo Dirigente Scolastico (DS), a seguito di trasferimenti o nuove nomine. Questo cambiamento non è solo di natura organizzativa, ma ha un’implicazione diretta e immediata sugli obblighi di trasparenza previsti dal GDPR.

Perché è obbligatorio aggiornare le informative?

Secondo il GDPR, l’Istituzione Scolastica è il Titolare del trattamento dei dati personali. Il Dirigente Scolastico, in qualità di legale rappresentante pro tempore dell’istituto, è la figura che firma gli atti, rappresenta l’ente e ne assume la responsabilità legale. Le informative sulla privacy (ai sensi degli artt. 13 e 14 del GDPR) sono il principale strumento con cui il Titolare del trattamento informa gli interessati (alunni, genitori, personale) su come i loro dati vengono trattati.

Questi documenti devono obbligatoriamente contenere i dati di contatto del Titolare del trattamento. Se il Dirigente Scolastico cambia, è indispensabile aggiornare le informative per indicare correttamente il nome del nuovo legale rappresentante. Un’informativa con dati non aggiornati non solo viola il principio di trasparenza, ma espone la scuola a possibili sanzioni in caso di ispezione da parte del Garante per la Protezione dei Dati Personali.

Cosa fare in pratica

L’aggiornamento è un processo metodico che dovrebbe seguire questi passaggi:

• Censimento delle informative: La segreteria, in collaborazione con il Responsabile della Protezione dei Dati (DPO), deve individuare tutte le informative in uso presso l’istituto. Le principali sono quelle rivolte a: studenti e famiglie, personale docente e ATA, fornitori.
• Revisione e aggiornamento: Ogni documento deve essere revisionato per sostituire il nominativo del precedente Dirigente con quello del nuovo. È anche un’ottima occasione per verificare che le informative siano complete e aggiornate rispetto a eventuali nuovi trattamenti (es. introduzione di nuove piattaforme digitali).
• Pubblicazione: Le versioni aggiornate devono essere tempestivamente pubblicate sul sito web istituzionale, solitamente in una sezione dedicata alla “Privacy” o all’interno di “Amministrazione Trasparente”. È buona norma darne comunicazione al personale e alle famiglie tramite circolare.

Nomine e formazione: il cuore della accountability

L’inizio dell’anno scolastico coincide con l’arrivo di nuovo personale, sia a tempo indeterminato che determinato. Docenti e personale Amministrativo, Tecnico e Ausiliario (ATA) trattano quotidianamente una mole enorme di dati personali, spesso sensibili. Per questo motivo, la loro corretta designazione e formazione è un pilastro della conformità al GDPR.

La nomina a “persona autorizzata al trattamento”

Secondo l’articolo 29 del GDPR, chiunque agisca sotto l’autorità del Titolare del trattamento (la scuola) e abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal Titolare stesso. La nomina a “persona autorizzata al trattamento” (spesso definita anche “incaricato”) è l’atto formale con cui la scuola, tramite il Dirigente Scolastico, autorizza un dipendente a trattare specifici dati per le finalità istituzionali.

Questo documento non è una mera formalità. Deve contenere chiare istruzioni operative, come ad esempio:

• Le tipologie di dati che il dipendente può trattare (es. un docente tratterà i dati degli alunni della sua classe, il personale di segreteria quelli anagrafici e amministrativi).
• Le operazioni di trattamento consentite (raccolta, registrazione, consultazione, ecc.).
• Le misure di sicurezza da adottare (uso di password complesse, protezione dei documenti cartacei, utilizzo corretto del registro elettronico).
• L’obbligo di riservatezza.

Chi deve essere nominato e formato?

La designazione deve riguardare tutto il personale che, nell’ambito delle proprie mansioni, entra in contatto con dati personali. Nello specifico:

• Docenti: sia di ruolo che supplenti, anche per supplenze brevi. Gestiscono dati sensibili relativi a valutazioni, salute (certificati medici, allergie), origine etnica e convinzioni religiose (per l’insegnamento della religione cattolica).
• Personale di segreteria: tratta i dati anagrafici, familiari, economici e sanitari dell’intera popolazione scolastica.
• Collaboratori scolastici: possono venire a conoscenza di informazioni delicate (es. assistenza ad alunni con disabilità) e devono essere istruiti a mantenere la massima riservatezza.
• Personale tecnico: come gli assistenti di laboratorio, che gestiscono gli account e i dispositivi informatici.

La nomina deve essere accompagnata da un’adeguata formazione. Il personale neoassunto deve essere informato sui principi del GDPR, sulle policy interne della scuola e sui rischi connessi a un trattamento illecito dei dati. Questa formazione iniziale è un obbligo del Titolare e un elemento chiave per dimostrare la propria accountability (responsabilizzazione).

Altri adempimenti di inizio anno da non trascurare

Oltre ai due punti principali, l’inizio dell’anno è il momento giusto per una revisione generale della conformità privacy dell’istituto.

• Registro delle attività di trattamento: Verificare che sia aggiornato. Se la scuola ha attivato nuovi servizi online, acquistato nuovo software o avviato nuovi progetti (es. PON, Erasmus), è probabile che il registro debba essere integrato.
• Contratto con il DPO: Assicurarsi che il contratto con il Responsabile della Protezione dei Dati sia in corso di validità e che i suoi dati di contatto pubblicati sul sito siano corretti.
• Nomine dei Responsabili esterni: Controllare l’elenco dei fornitori che trattano dati per conto della scuola (es. software house del registro elettronico, piattaforme cloud, servizi di mensa). Per ciascuno deve esistere un atto di nomina a Responsabile del trattamento ai sensi dell’art. 28 del GDPR.
• Sicurezza informatica: Pianificare una verifica delle misure di sicurezza, come l’aggiornamento degli antivirus, le policy di gestione delle password e le procedure di backup.

In conclusione, affrontare con metodo e proattività gli adempimenti privacy all’inizio dell’anno scolastico non è solo un obbligo di legge, ma un investimento strategico. Significa costruire un ambiente di apprendimento sicuro e trasparente, proteggendo i dati delle persone più vulnerabili e promuovendo una solida cultura della protezione dei dati all’interno di tutta la comunità scolastica.