Privacy a scuola 2026: dati di alunni e docenti, cosa non si può pubblicare

La digitalizzazione della scuola ha reso più semplice comunicare con famiglie, studenti e personale. Ma proprio l’uso di siti istituzionali, registri elettronici e bacheche digitali può trasformarsi in una violazione della privacy quando vengono pubblicati o comunicati dati non necessari.

Privacy a scuola 2026: cosa ha chiarito il Garante

Nel corso del 2026 il Garante per la protezione dei dati personali è intervenuto in diversi casi riguardanti istituti scolastici.

Le violazioni hanno interessato sia i dati degli studenti sia quelli dei docenti e hanno riguardato, tra l’altro, il registro elettronico, i siti web delle scuole e le comunicazioni interne accessibili a un numero eccessivo di soggetti.

Il punto centrale è il rispetto dei principi previsti dal GDPR, in particolare liceità, correttezza, trasparenza e minimizzazione.

Registro elettronico: una nota non deve essere visibile a tutta la classe

Uno dei casi più significativi del 2026 ha riguardato una nota inserita nell’agenda di classe del registro elettronico.

Un docente aveva pubblicato un’annotazione riferita a uno specifico studente, ma non aveva impostato correttamente la visibilità riservata ai soli interessati.

Di conseguenza, la nota era diventata visibile anche agli altri compagni della classe.

Dati degli alunni: particolare attenzione ai minori

Quando il trattamento riguarda studenti minorenni, la scuola deve adottare particolare cautela.

Non devono essere rese accessibili informazioni personali a soggetti estranei o non autorizzati, soprattutto quando si tratta di dati che possono rivelare condizioni personali, difficoltà scolastiche, situazioni familiari o altri elementi delicati.

Nel luglio 2026 il Garante ha sanzionato un istituto scolastico per una comunicazione illecita di dati personali riguardanti una minore, comprendente anche categorie particolari di dati.

Il fatto che un dato venga trattato all’interno della scuola non significa che possa essere comunicato liberamente.

Dati dei docenti: l’orario di servizio può essere pubblicato online?

Anche i docenti hanno diritto alla protezione dei propri dati personali.

In un provvedimento del febbraio 2026 il Garante ha esaminato la pubblicazione sul sito web di un istituto degli orari di servizio dei docenti, con indicazione dei nominativi e delle materie insegnate.

L’Autorità ha ritenuto il trattamento illecito perché la diffusione dei dati non risultava supportata da un’idonea base giuridica ed eccedeva quanto necessario.

Anche i turni di sorveglianza dei docenti possono creare problemi

Nello stesso procedimento il Garante ha contestato anche la pubblicazione dei turni di assistenza durante la ricreazione, con i docenti identificati nominativamente.

Si tratta di informazioni organizzative interne che non devono necessariamente essere rese disponibili indistintamente sul sito web della scuola.

Assenze e sostituzioni dei docenti sul registro elettronico

Un altro aspetto delicato riguarda la gestione delle assenze e delle sostituzioni degli insegnanti.

Nel caso analizzato dal Garante, la scuola aveva utilizzato la funzione “Bacheca” del registro elettronico per comunicare le assenze e le sostituzioni.

Questo aveva consentito la visualizzazione delle informazioni non soltanto al personale coinvolto nell’organizzazione, ma anche ad alunni, genitori, personale di segreteria e collaboratori scolastici.

Il software disponeva invece di una funzione specificamente destinata alle sostituzioni, che avrebbe permesso di limitare l’accesso ai soli soggetti autorizzati.

Perché non basta usare il registro elettronico

Un errore frequente consiste nel pensare che qualsiasi informazione inserita nel registro elettronico sia automaticamente conforme alle norme sulla privacy.

Non è così.

Bisogna sempre verificare:

• quali utenti possono visualizzare il dato;
• se tutti questi utenti hanno necessità di conoscerlo;
• se esiste un’apposita funzione riservata;
• se il dato può essere comunicato o diffuso per legge;
• se sono rispettati i principi di minimizzazione e proporzionalità.

Cosa non dovrebbe essere pubblicato indiscriminatamente

Ogni caso deve essere valutato concretamente, ma alcuni dati richiedono particolare attenzione.

• informazioni sanitarie degli alunni;
• dati relativi a disabilità o bisogni educativi specifici;
• note disciplinari riferibili a uno specifico studente;
• informazioni familiari o personali dei minori;
• assenze e sostituzioni del personale accessibili a soggetti non autorizzati;
• orari di servizio dei docenti pubblicati senza necessità;
• turni interni del personale diffusi sul sito web;
• documenti contenenti nominativi non necessari alla pubblicazione.

Voti e risultati scolastici

Anche voti, valutazioni e risultati degli studenti costituiscono dati personali.

Questo significa che non possono essere diffusi indiscriminatamente, soprattutto associandoli al nome completo dell’alunno in contesti accessibili a soggetti diversi dagli interessati.

Le piattaforme utilizzate dalla scuola devono quindi essere configurate in modo da garantire che ciascun genitore o studente possa accedere soltanto alle informazioni per le quali è autorizzato.

Le scuole possono ricevere sanzioni

Il mancato rispetto della normativa non è soltanto un problema organizzativo.

Nel 2026 il Garante ha applicato anche sanzioni pecuniarie nei confronti di istituti scolastici.

Nel provvedimento del 23 luglio 2026, ad esempio, la sanzione è stata determinata in 2.000 euro per una comunicazione illecita di dati personali che comprendeva categorie particolari di dati.

Una sanzione dello stesso importo è stata applicata in un altro caso riguardante la pubblicazione e comunicazione di dati eccedenti relativi al personale scolastico.

Il principio di minimizzazione

Uno dei concetti più importanti del GDPR è quello di minimizzazione dei dati.

La scuola deve trattare soltanto i dati adeguati, pertinenti e realmente necessari rispetto alla finalità perseguita.

Cosa dovrebbe fare una scuola per ridurre i rischi

Non basta adottare un regolamento privacy. Le procedure devono essere applicate concretamente nella gestione quotidiana.

• configurare correttamente i permessi del registro elettronico;
• limitare le comunicazioni ai destinatari necessari;
• controllare i documenti prima della pubblicazione sul sito;
• formare periodicamente docenti e personale amministrativo;
• utilizzare le funzioni specifiche previste dai software scolastici;
• evitare di pubblicare nominativi quando non sono indispensabili;
• coinvolgere il Responsabile della protezione dei dati nei casi dubbi.

Docenti: attenzione prima di pubblicare una nota

Anche una semplice disattenzione può determinare una comunicazione di dati a soggetti che non avrebbero dovuto riceverli.

Prima di salvare una nota, una comunicazione o un documento sul registro elettronico è quindi opportuno verificare sempre i destinatari selezionati e le impostazioni di visibilità.

Genitori: cosa fare se vengono diffusi dati del proprio figlio?

Se un genitore scopre che dati personali del proprio figlio sono stati comunicati o pubblicati impropriamente, può chiedere chiarimenti all’istituto scolastico e verificare quali soggetti abbiano avuto accesso alle informazioni.

Nei casi più rilevanti può essere opportuno valutare anche l’esercizio dei diritti previsti dal GDPR o una segnalazione al Garante per la protezione dei dati personali.

Nota: il presente contenuto ha finalità esclusivamente informativa e divulgativa e non sostituisce una consulenza legale riferita al singolo caso concreto.