Il Garante ha pubblicato la versione aggiornata del vademecum “Scuola a prova di privacy”, che raccoglie indicazioni operative per istituti, famiglie, studenti e docenti, alla luce dei nuovi strumenti di intelligenza artificiale e dei rischi connessi all’uso quotidiano di piattaforme digitali, registro elettronico, social e videosorveglianza. L’obiettivo: offrire uno strumento agile e pratico per proteggere i dati personali nel contesto scolastico contemporaneo.

Cosa c’è di nuovo nel vademecum 2025 – scuola a prova di privacy

• AI a scuola: indicazioni per utilizzo consapevole di strumenti di intelligenza artificiale nei processi didattici e amministrativi, con focus su trasparenza, minimizzazione e verifiche ex ante.
• Chat di classe: raccomandazioni per amministrazione e netiquette di gruppi (genitori/docenti) e per evitare diffusione impropria di dati.
• Eventi e foto/video: chiarimenti su riprese alle recite, gite e manifestazioni con diritti degli interessati e cautele per la pubblicazione online.
• Registro elettronico & didattica digitale: attenzione a sicurezza, profiling e trasferimenti internazionali da parte dei fornitori.
• Videosorveglianza: criteri su proporzionalità, tempi di conservazione e informativa.

Fonti ufficiali e approfondimenti: pagina tematica Scuola del Garante e comunicato dedicato al vademecum aggiornato.

AI in classe: principi e cautele

L’uso di strumenti AI deve essere valutato rispetto a finalità legittime, minimizzazione dei dati e trasparenza verso studenti e famiglie. Dove ricorre alto rischio (es. profilazione degli alunni), è opportuno considerare una DPIA e definire regole chiare su chi può usare cosa e con quali basi giuridiche. In parallelo, il quadro europeo sta evolvendo (EDPB: materiali formativi su AI e protezione dati; in Italia, novità normative sull’uso dell’AI anche in ambito educativo).

Chat di classe, messaggistica e social

• Amministrazione: definire chi crea e gestisce i gruppi; moderazione, informative e regole sui contenuti.
• Condivisione: evitare dati sensibili (salute, note disciplinari) sui canali non istituzionali; preferire piattaforme ufficiali.
• Privacy dei minori: attenzione a immagini, orari e geolocalizzazione: chiedere consenso quando necessario e usare impostazioni di privacy restrittive.

Eventi scolastici, foto e pubblicazioni online

• Informativa chiara alle famiglie; cartellonistica negli spazi durante eventi.
• No diffusione indiscriminata su pagine pubbliche senza basi adeguate; prediligere aree riservate.
• Diritti immagini: regole su ritratti di minori; preferire scatti di gruppo non identificativi; tempi di conservazione limitati.

Registro elettronico, piattaforme EdTech e cloud

• Due diligence fornitori: verificare sede legale, sub‑processor, trasferimenti extra‑UE (Art. 46–49 GDPR) e misure tecniche (cifratura, logging).
• DPA (accordi di nomina): clausole su sicurezza, audit, data breach e supporto ai diritti degli interessati.
• Profilazioni: disattivare funzioni non necessarie e limitare raccolte ulteriori.

Videosorveglianza a scuola

• Proporzionalità e necessità rispetto alle finalità (sicurezza, tutela patrimonio).
• Tempi di conservazione contenuti e informative ben visibili.
• Niente riconoscimento biometrico per controlli accessi/alunni salvo specifiche basi e cautele (casi sanzionati in Italia).

Ruoli, responsabilità e competenze per una scuola a prova di privacy

• Dirigente scolastico: definisce obiettivi, risorse e responsabilità.
• DPO: consulenza e sorveglianza su registro trattamenti, DPIA, formazione, fornitori e violazioni.
• Docenti: corretto uso degli strumenti digitali e netiquette; segnalazioni di incidenti.
• Famiglie e studenti: uso consapevole di chat e social; esercizio dei diritti.

Piano d’azione per una scuola a prova di privacy(30–60–90 giorni)

1. Scuola a prova di privacy- Entro 30 giorni

• Aggiornare informative (didattica digitale, foto/eventi, videosorveglianza).
• Mappare strumenti AI usati (docenti/amministrazione).
• Rivedere chat di classe e canali ufficiali.

2. Scuola a prova di privacy – Entro 60 giorni

• Due diligence e DPA con fornitori EdTech/registro elettronico.
• Configurazioni privacy by default; disattivazione funzioni non necessarie.
• Tracciare trasferimenti extra‑UE e basi giuridiche.

3. Scuola a prova di privacy – Entro 90 giorni

• Formazione mirata (docenti, personale, rappresentanti di classe).
• DPIA per casi ad alto rischio; piano incident response (data breach).
• Piano di audit e report periodico al dirigente.

Serve un assessment rapido per una scuola a prova di privacy? Contatta il DPO Alessandro Simonassi (P.I. Computers) dal form ufficiale.