Destinatari
Ministero dell’Istruzione e del Merito
Garante per la protezione dei dati personali
Dirigenti scolastici e istituzioni educative

Perché chiediamo un intervento
Negli ultimi anni le scuole italiane hanno adottato diffusamente piattaforme digitali proprietarie, comprese soluzioni offerte da grandi aziende internazionali, per la didattica e l’organizzazione scolastica. Questi strumenti possono offrire funzionalità utili, ma il loro impiego comporta trattamenti di dati personali di studenti, famiglie e personale scolastico, spesso minorenni, e richiede quindi valutazioni attente e verificabili.

La digitalizzazione della scuola è importante. Deve però avvenire tutelando i diritti degli studenti, limitando i dati raccolti a quelli necessari e assicurando che le istituzioni scolastiche possano comprendere e controllare come i servizi vengono gestiti. L’accesso all’istruzione non dovrebbe dipendere dall’accettazione di trattamenti di dati non necessari o non adeguatamente spiegati.

Le scuole e i docenti non devono essere lasciati soli a valutare contratti, flussi di dati, subfornitori e misure di sicurezza: servono indicazioni nazionali chiare, strumenti di supporto e risorse adeguate.

Un’esperienza europea che invita alla vigilanza
Le valutazioni condotte in diversi Paesi europei mostrano che la conformità e la protezione dei dati dipendono dalle caratteristiche concrete dei servizi, dai contratti, dalle configurazioni adottate e dalle misure effettivamente applicate. Non è quindi opportuno presumere che un servizio sia adeguato in ogni circostanza, né concludere che una valutazione relativa a uno specifico prodotto o contesto si applichi automaticamente a tutti i servizi dello stesso fornitore.

Paesi Bassi: nel 2020 una valutazione d’impatto sull’uso di Google Workspace in ambito educativo individuò rischi e portò a negoziati e impegni specifici. Nel 2023 le autorità competenti comunicarono che le scuole potevano continuare a usare il servizio alle condizioni allora previste. Il caso evidenzia l’importanza di verifiche e misure concrete.
Germania: nel 2022 la Conferenza delle autorità tedesche per la protezione dei dati espresse rilievi sulla possibilità di dimostrare la conformità di Microsoft 365 sulla base delle condizioni esaminate. Il documento non equivaleva a un divieto generale per tutte le scuole, ma segnalava difficoltà di verifica su alcuni trattamenti e flussi di dati.
Austria: una decisione relativa a Google Analytics su uno specifico sito web riguardava trasferimenti di dati e garanzie valutati in quel particolare contesto. Non costituisce di per sé un divieto generale per tutti i servizi cloud di aziende statunitensi, ma ricorda che trasferimenti e garanzie devono essere esaminati caso per caso.
Italia e Unione europea: la valutazione d’impatto sulla protezione dei dati è richiesta quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone; la necessità va determinata considerando le caratteristiche concrete del trattamento. Per i trattamenti connessi alle funzioni istituzionali della scuola, la base giuridica non può essere individuata automaticamente nel consenso delle famiglie: va verificata alla luce delle finalità e delle norme applicabili.
Trasferimenti internazionali: la sentenza Schrems II ha invalidato il Privacy Shield nel 2020. Nel 2023 la Commissione europea ha adottato il Data Privacy Framework UE-USA. Il quadro giuridico e le relative valutazioni possono evolvere: è quindi importante che le amministrazioni mantengano aggiornate le proprie verifiche e documentino le garanzie applicabili.
I riferimenti puntuali — valutazioni, decisioni, comunicazioni e atti — dovrebbero essere raccolti in un allegato alla petizione, così che ogni affermazione possa essere consultata e verificata.

Le nostre richieste
Chiediamo al Ministero dell’Istruzione e del Merito, in collaborazione con il Garante e con le rappresentanze delle comunità scolastiche, di:

• Definire criteri nazionali chiari e verificabili per la scelta, l’acquisto e l’uso delle piattaforme digitali scolastiche, con indicazioni pratiche per dirigenti e personale.
• Avviare una valutazione nazionale dei principali trattamenti effettuati attraverso tali piattaforme, individuando i casi in cui siano necessarie valutazioni d’impatto o ulteriori misure di tutela.
• Prevedere verifiche documentate prima di nuovi affidamenti per servizi che comportano trattamenti ad alto rischio, e non stipulare nuovi contratti per tali trattamenti senza aver valutato i rischi e definito misure adeguate.
• Assicurare trasparenza e controllo, richiedendo ai fornitori informazioni comprensibili e aggiornate su:categorie di dati raccolti e finalità;
  tempi di conservazione e procedure di cancellazione;
  accessi amministrativi e registri delle operazioni, ove applicabili;
  subfornitori coinvolti e relative funzioni;
  misure di sicurezza, cifratura e gestione degli incidenti;
  eventuali trasferimenti di dati e garanzie applicabili.
• Favorire portabilità e possibilità di cambiare fornitore, riducendo costi, ostacoli tecnici e dipendenza da formati proprietari.
• Avviare un piano nazionale per soluzioni interoperabili e, ove opportuno, open source, comprese piattaforme come Nextcloud, Moodle e BigBlueButton, valutandone sicurezza, accessibilità, assistenza, aggiornamenti, costi e sostenibilità. Il software libero può favorire trasparenza e autonomia, ma richiede una gestione e un’amministrazione adeguate.
• Sostenere progetti pilota e migrazioni graduali, con infrastrutture pubbliche o fornitori qualificati, valutando i risultati e pubblicando criteri e lezioni apprese.
  Finanziare la formazione indipendente dei docenti e del personale scolastico su protezione dei dati, sicurezza digitale e uso consapevole degli strumenti.
• Promuovere l’educazione ai diritti digitali nei percorsi scolastici, affinché gli studenti comprendano il valore dei propri dati e sappiano riconoscere le scelte che li riguardano.
• Un impegno concreto e verificabile
  Chiediamo che il Ministero istituisca un gruppo di lavoro con competenze tecniche, giuridiche e pedagogiche, coinvolgendo scuole, docenti, famiglie, studenti e autorità competenti. Proponiamo che il gruppo pubblichi un piano con obiettivi, scadenze e criteri di verifica, oltre a relazioni periodiche sui progressi e sulle criticità.

La scuola pubblica deve poter innovare senza rinunciare alla tutela dei minori, alla trasparenza e alla propria autonomia. La scelta degli strumenti digitali deve basarsi su valutazioni documentate, proporzionate e aggiornate, non su automatismi o sulla mancanza di alternative praticabili.

Chiediamo una scuola digitale che accompagni gli studenti verso la libertà e la responsabilità, proteggendo i loro dati e rendendo le scelte tecnologiche comprensibili e verificabili.

Firma per una scuola digitale etica, sicura e autonoma.