Con il provvedimento n. 668 del 13 novembre 2025, il Garante per la protezione dei dati personali è intervenuto su una fattispecie che tocca direttamente la quotidianità delle istituzioni scolastiche: la somministrazione di questionari agli studenti nell’ambito di progetti di orientamento. Si tratta di un ambito nel quale, da anni, scuole, enti territoriali e soggetti esterni operano con l’intento dichiarato di supportare gli alunni nelle scelte formative, ma che, proprio per la natura dei dati trattati e per la condizione di minorità degli interessati, presenta profili di rischio elevati sotto il profilo privacy.
Il caso nasce dal reclamo presentato da un genitore nei confronti di una scuola secondaria di primo grado che aveva coinvolto gli studenti, durante l’orario scolastico, in un progetto di orientamento promosso a livello regionale. Nell’ambito di tale progetto, agli alunni era stato somministrato un questionario contenente informazioni personali, alcune delle quali idonee a delineare aspetti delle attitudini, delle preferenze e delle prospettive scolastiche degli studenti. I dati raccolti venivano poi comunicati all’ente promotore del progetto.
Secondo il reclamante, la scuola non aveva fornito un’adeguata informativa preventiva ai genitori né aveva chiarito su quale base giuridica si fondasse la raccolta e la successiva comunicazione dei dati. La questione sottoposta al Garante, dunque, non riguardava l’opportunità pedagogica del progetto, ma la conformità del trattamento al Regolamento (UE) 2016/679, in particolare sotto i profili della liceità, trasparenza e correttezza.
Nel corso dell’istruttoria, l’istituto scolastico ha sostenuto di aver agito nell’ambito di un’iniziativa riconducibile a finalità di interesse pubblico, connesse alle funzioni istituzionali della scuola e alle competenze regionali in materia di orientamento. La scuola ha inoltre rappresentato che l’informativa sul trattamento era disponibile sul sito web dell’istituto e che i dati trattati erano limitati allo stretto necessario.
Il Garante, pur prendendo atto della finalità educativa dell’iniziativa, ha ritenuto tali argomentazioni insufficienti. L’Autorità ha ricordato che, ai sensi dell’articolo 5 del GDPR, ogni trattamento deve essere fondato su una base giuridica valida e deve avvenire nel rispetto dei principi di trasparenza e correttezza. Nel caso di specie, non è emerso con chiarezza quale fosse la base giuridica che legittimasse la comunicazione dei dati degli studenti alla Regione, né risultava che gli interessati – o, trattandosi di minori, i loro genitori – fossero stati informati in modo specifico e comprensibile circa le modalità del trattamento, i soggetti destinatari dei dati e le finalità perseguite.
Particolarmente significativo è il passaggio in cui il Garante ribadisce che la generica riconducibilità di un progetto a un interesse pubblico non esonera il titolare del trattamento dall’individuare puntualmente la base giuridica prevista dall’articolo 6 del GDPR e dal rendere un’informativa completa ai sensi degli articoli 13 e 14 del Regolamento. In altri termini, non è sufficiente invocare la finalità educativa: occorre dimostrare che il trattamento sia previsto da una norma di legge o che rientri chiaramente nei compiti istituzionali attribuiti al soggetto pubblico, indicando in modo trasparente come e perché i dati vengono raccolti e comunicati.
Alla luce delle circostanze concrete, il Garante ha qualificato la violazione come di lieve entità e ha scelto di adottare la misura dell’ammonimento, senza irrogare una sanzione pecuniaria. La decisione si fonda, da un lato, sull’assenza di elementi che facessero ritenere il trattamento sistematicamente illecito o finalizzato a scopi estranei a quelli dichiarati e, dall’altro, sulla collaborazione prestata dalla scuola nel corso del procedimento. Ciò non toglie, tuttavia, che l’Autorità abbia affermato in modo netto la non conformità del trattamento alle regole del GDPR.
Il valore del provvedimento va oltre il singolo caso. Esso rappresenta un chiaro segnale per tutte le istituzioni scolastiche: ogni attività che comporti la raccolta di dati personali degli studenti, anche quando inserita in progetti di orientamento, di autovalutazione o di supporto psicopedagogico, deve essere preceduta da un’attenta verifica della base giuridica e da una informativa puntuale rivolta alle famiglie. L’uso di questionari, spesso percepito come una prassi neutra e innocua, può in realtà comportare trattamenti complessi, specie quando i dati vengono successivamente comunicati a soggetti terzi.
Il provvedimento n. 668 si inserisce in una linea interpretativa ormai consolidata del Garante, secondo cui l’ambiente scolastico non costituisce una “zona franca” rispetto alla normativa privacy. Al contrario, proprio perché coinvolge soggetti vulnerabili come i minori, richiede un livello di attenzione ancora maggiore. La tutela dei dati personali diventa così parte integrante della qualità dell’azione educativa: non un adempimento formale, ma una componente essenziale del rispetto della persona dello studente.
In conclusione, il caso deciso dal Garante evidenzia come anche iniziative animate da finalità condivisibili possano risultare illegittime se non correttamente inquadrate sotto il profilo giuridico. Per le scuole, il messaggio è chiaro: progettare attività di orientamento significa anche progettare correttamente il trattamento dei dati, ponendo al centro trasparenza, informazione e rispetto delle regole.
