GDPR Scuole 2025: Checklist Completa e Obblighi

La conformita' GDPR in ambito scolastico non e' solo un adempimento formale: significa proteggere studenti, famiglie e personale, ridurre il rischio di contestazioni e rendere piu' solida l'organizzazione. Nel 2025, con l'uso quotidiano di registro elettronico, circolari digitali, firme online, app e piattaforme cloud, la scuola tratta molti dati personali (spesso anche particolari) e deve dimostrare di farlo in modo corretto.

Di seguito trovi una checklist pratica e completa, pensata per dirigenti, DSGA e segreterie, utile anche per valutare i fornitori di software scolastici.

1) Ruoli e responsabilita' (chi fa cosa)

• Titolare del trattamento: la scuola (di norma nella persona del Dirigente Scolastico).
• Autorizzati al trattamento: personale interno (segreteria, docenti, collaboratori) con istruzioni e profili di accesso.
• Responsabili del trattamento (DPA): fornitori che trattano dati per conto della scuola (registro elettronico, piattaforme circolari, cloud, assistenza IT, email massiva, ecc.).
• Amministratori di sistema (se presenti): figure tecniche con privilegi elevati, da gestire con regole e tracciamenti adeguati.
• DPO/RPD: se nominato, deve essere coinvolto nelle valutazioni di rischio e nei processi privacy rilevanti.

2) Checklist documentale minima (da avere sempre pronta)

• Informative privacy aggiornate (famiglie/studenti, personale, fornitori, sito web, app).
• Registro dei trattamenti (articolato per aree: didattica, segreteria, personale, pagamenti, comunicazioni).
• Nomine e autorizzazioni interne (chi puo' accedere a cosa, con quali limiti).
• DPA (accordi art. 28) firmati con tutti i fornitori che trattano dati per conto della scuola.
• Policy password e accessi (regole minime, rinnovi, MFA dove possibile).
• Procedure data breach (chi avvisa, tempi, cosa fare, come documentare).
• Procedure di backup e ripristino (frequenza, responsabilita', test periodici).
• Policy conservazione e cancellazione (tempi, archiviazione, eliminazione sicura).

3) Base giuridica: perche' trattiamo questi dati?

Per ogni trattamento la scuola deve poter spiegare:

• finalita' (es. gestione didattica, comunicazioni, sicurezza, obblighi amministrativi)
• base giuridica (obbligo di legge, compito di interesse pubblico, contratto, consenso quando davvero necessario)
• dati trattati (quali categorie e se sono presenti dati particolari)
• soggetti coinvolti (interni/esterni) e tempi di conservazione

4) Dati particolari: attenzione massima

In ambito scolastico e' frequente trattare dati particolari (ad esempio legati a inclusione, salute, bisogni educativi, fragilita'). Qui servono misure piu' rigorose:

• accesso limitato solo a chi e' strettamente autorizzato
• profilazione dei permessi nel software (ruoli e visibilita' per area)
• tracciamento accessi e operazioni (log)
• condivisione minima e controllata (niente inoltri impropri, niente copie fuori sistema)

5) Software scolastici: requisiti minimi da pretendere

• DPA disponibile e chiara (cosa tratta il fornitore, misure di sicurezza, sub-responsabili, assistenza al titolare).
• Autenticazione robusta (password policy, blocco tentativi, possibilita' MFA).
• Permessi per ruolo (segreteria, docenti, famiglie, dirigenza) e separazione aree sensibili.
• Log e tracciabilita' (chi ha visto cosa e quando, modifiche e versioni).
• Backup e disaster recovery dichiarati e testati.
• Cifratura dove previsto (in transito e, se applicabile, a riposo).
• Gestione allegati sicura (documenti caricati, permessi, scadenze, link protetti).
• Procedura data breach e contatti rapidi (SLA e canali ufficiali).
• Portabilita'/export dati e regole chiare a fine contratto (restituzione e cancellazione).

6) Circolari digitali e valore legale: cosa controllare

Se la scuola usa circolari digitali, presa visione e firme online, il sistema deve garantire:

• identificazione certa dell'utente (account personale)
• tracciamento invio, lettura, presa visione (data/ora)
• integrita' del contenuto (versioni e modifiche controllate)
• archiviazione ordinata e recupero rapido

7) Sicurezza operativa: controlli semplici che evitano problemi grossi

• Account individuali: vietare account condivisi in segreteria.
• Credenziali: password robuste e cambio in caso di sospetto.
• Sessioni: logout automatico su postazioni condivise.
• Dispositivi: PC aggiornati, antivirus/EDR dove previsto, blocco schermo.
• Email: attenzione ad allegati, phishing e invii massivi (liste e consensi dove necessari).
• Stampa: stampare solo il necessario e proteggere i documenti in uscita.

8) DPIA: quando serve davvero (e quando e' consigliata)

La DPIA (valutazione d'impatto) e' consigliata o necessaria quando un trattamento presenta rischi elevati, ad esempio per:

• nuove piattaforme che gestiscono grandi quantita' di dati e profilazioni
• dati particolari su larga scala o con accessi complessi
• monitoraggi sistematici, log avanzati, integrazioni estese
• nuovi moduli che cambiano significativamente il modo di trattare i dati

Anche quando non e' obbligatoria, una DPIA semplificata o una valutazione del rischio aiuta a dimostrare accountability.

9) Data breach: cosa fare (procedura rapida)

1. Blocca e limita (account, accessi, link, dispositivi).
2. Raccogli evidenze (log, orari, utenti coinvolti, cosa e' successo).
3. Valuta impatto e rischi (tipi di dati, numero interessati, conseguenze possibili).
4. Coinvolgi DPO/RPD se presente e avvisa il fornitore se coinvolto.
5. Documenta tutto (anche se non si notifica).
6. Valuta notifica ad Autorita' e comunicazione agli interessati quando richiesto.

10) Checklist pronta all'uso (spunta e archivia)

Puoi copiare questa lista in una scheda interna e aggiornarla ogni trimestre:

• [ ] Informative privacy aggiornate e pubblicate dove serve
• [ ] Registro trattamenti aggiornato (nuovi moduli/nuove piattaforme)
• [ ] DPA firmate con tutti i fornitori coinvolti
• [ ] Ruoli e permessi verificati (segreteria/docenti/famiglie)
• [ ] Log attivi e conservati secondo policy
• [ ] Backup configurati e test di ripristino effettuato
• [ ] Procedure data breach note e simulate almeno 1 volta l'anno
• [ ] Gestione account: niente condivisi, disattivazioni tempestive
• [ ] Verifica accessi ai dati particolari e minimizzazione
• [ ] Valutazione rischio/DPIA se cambiano strumenti o processi

Conclusione

La conformita' GDPR nelle scuole nel 2025 non si ottiene con un solo documento, ma con un insieme coerente di procedure, strumenti e controlli. La buona notizia e' che, con un software scolastico ben progettato e una segreteria organizzata, gran parte degli adempimenti diventa semplice, tracciabile e dimostrabile.

Obiettivo reale: meno rischio, piu' efficienza e maggiore tutela per scuola, famiglie e personale.