Un caricamento errato può costare caro agli istituti scolastici, come dimostra un recente provvedimento del Garante per la protezione dei dati personali. Quando si gestisce la pubblicazione di documenti online, la distrazione di un secondo trasforma una normale circolare in una violazione del GDPR.
Il caso specifico nasce da una segnalazione riguardante un istituto che aveva pubblicato una convocazione per un consiglio di classe straordinario. Il testo interno non conteneva riferimenti espliciti, ma il documento digitale salvato sul server portava nel titolo il cognome dell'alunno coinvolto nel procedimento disciplinare. Ma chi controlla realmente i metadati e le etichette dei documenti prima del caricamento sul portale web?
Questo episodio accende i riflettori su un aspetto spesso sottovalutato nella transizione digitale delle scuole: la gestione dei file nativi digitali. Spesso ci si concentra unicamente sulla redazione del testo visibile, ignorando che ogni file in formato PDF, Word o foglio di calcolo custodisce "informazioni nascoste". I metadati (autore, data di creazione, cronologia delle revisioni e, soprattutto, il nome originario del file) continuano a viaggiare insieme al documento una volta pubblicato sull'Albo Pretorio o sulla sezione Amministrazione Trasparente, vanificando qualsiasi tentativo di anonimizzazione preventiva.
La diffusione di dati personali senza una base giuridica idonea rappresenta una violazione diretta degli articoli 5 e 6 del GDPR.
Le statistiche fornite annualmente dall'Autorità Garante confermano che la scuola pubblica figura tra i settori più vulnerabili e sanzionati per quanto riguarda la protezione dei dati, subito dopo la sanità e gli enti locali. Oltre il 30% delle segnalazioni ricevute riguarda la pubblicazione online di dati relativi a provvedimenti disciplinari, valutazioni degli studenti o verbali di accertamento sanitario, spesso diffusi senza alcuna crittografia o mascheramento delle informazioni identificative. Nel mirino non ci sono solo le distrazioni umane, ma l'assenza di protocolli di revisione condivisi tra il personale di segreteria e i docenti referenti.
La difesa dell'istituto ha puntato sull'errore materiale, evidenziando l'uso di una vecchia piattaforma automatizzata che generava etichette in autonomia. Tuttavia, l'Autorità ha stabilito una sanzione di duemila euro per la diffusione illecita, a cui si sono aggiunti altri duemila euro per la tardiva nomina del Responsabile della protezione dei dati e la mancata comunicazione all'organo di controllo, per un totale di quattromila euro complessivi. Questo passaggio della decisione è particolarmente istruttivo: dimostra che il Garante non valuta solo l'evento accidentale in sé, ma esamina l'intera postura organizzativa dell'ente scolastico, punendo le carenze strutturali come la cattiva gestione della figura del DPO (Data Protection Officer), obbligatoria per legge in tutte le istituzioni scolastiche ai sensi dell'articolo 37 del Regolamento UE 2016/679.
Dal punto di vista pratico, dirigenti scolastici, direttori dei servizi generali e amministrativi (DSGA) e assistenti amministrativi si trovano oggi a operare sul crinale sottile tra l'obbligo di trasparenza amministrativa e il dovere di riservatezza. Per mitigare questi rischi, le linee guida europee e le indicazioni periodiche del MIUR raccomandano l'adozione di rigorose checklist operative: prima di procedere al caricamento, il personale deve convertire i file in formati non modificabili, ripulire i metadati tramite appositi software di sanificazione digitale e verificare l'effettiva applicazione del principio di "minimizzazione" dei dati (Articolo 5, paragrafo 1, lettera c del GDPR), che impone di trattare esclusivamente le informazioni strettamente pertinenti e limitate a ciò che rispetto alle finalità istituzionali perseguite.
Per il personale amministrativo e i dirigenti, la gestione della segreteria digitale richiede oggi competenze informatiche sempre più puntuali e una solida consapevolezza normativa. Per approfondire queste tematiche e gestire al meglio la sicurezza dei dati e l'innovazione digitale, CEMFORM offre percorsi formativi mirati come IDCERT DigComp 2.2, ideale per certificare le competenze informatiche e orientarsi nella transizione digitale della pubblica amministrazione scolastica.
