Studio Cravero ConsultingAggiornato al 1° settembre 2026
Con chi lavoro nell'istituto
Dove si concentrano i problemi
Un istituto tratta molti più dati di quanto sembri, e quasi sempre attraverso strumenti forniti da terzi. Le aree seguenti sono quelle su cui, nella mia esperienza professionale sulla normativa, si concentrano le criticità ricorrenti nelle scuole.
Registro elettronico e piattaforme didattiche
Il registro elettronico non richiede il consenso delle famiglie: serve all'esecuzione di compiti istituzionali e si fonda sull'obbligo di legge e sull'interesse pubblico. Questo però non esaurisce gli adempimenti. Vanno verificati i profili di visibilità (che cosa vede un docente non di classe, che cosa vede un genitore), i tempi di conservazione, la gestione delle note disciplinari e delle annotazioni che possono rivelare condizioni di salute, e il contenuto dell'atto di nomina del fornitore come responsabile del trattamento ai sensi dell'art. 28. Lo stesso vale per le piattaforme didattiche e per gli strumenti di classe virtuale.
Account, servizi cloud e fornitori
Gli account assegnati a studenti e docenti su suite cloud sono uno dei punti in cui la scuola ha meno controllo e più responsabilità. Le domande da porsi sono sempre le stesse e raramente hanno risposta scritta: quali servizi accessori sono attivi oltre a quelli didattici, che cosa succede agli account e ai contenuti quando uno studente lascia l'istituto, dove sono conservati i dati, quali trasferimenti verso Paesi terzi sono previsti e su quale base. La ricognizione dei fornitori è una delle prime attività che imposto, perché senza quella il registro dei trattamenti resta incompleto.
Foto, riprese ed eventi
È il tema che genera più conflitti con le famiglie e più confusione tra il personale. Le situazioni vanno distinte: le riprese effettuate dai genitori a un saggio per uso strettamente personale e familiare restano fuori dall'ambito di applicazione del Regolamento, mentre la pubblicazione di foto e video da parte dell'istituto sul sito o sui canali social è un trattamento a tutti gli effetti e richiede una base giuridica adeguata e informazioni chiare alle famiglie. Serve una linea dell'istituto scritta, comunicata e coerente, non una raccolta di liberatorie generiche firmate a settembre e mai più guardate.
Disabilità, certificazioni e dati sanitari
Le certificazioni, i piani educativi individualizzati, le diagnosi e le informazioni su terapie e somministrazione di farmaci sono categorie particolari di dati ai sensi dell'art. 9. Richiedono la soglia di attenzione più alta dell'istituto: accesso limitato a chi ha effettiva necessità, attenzione a come circolano nelle comunicazioni interne e nei gruppi di messaggistica, cautela nella verbalizzazione dei consigli di classe e nella conservazione dei fascicoli. È anche l'area in cui una violazione produce le conseguenze più gravi per la persona interessata.
Sito, albo online e pubblicazione di documenti
Graduatorie, decreti, esiti, elenchi di ammessi e verbali finiscono online per obbligo di trasparenza, ma la trasparenza non autorizza a pubblicare più del necessario. Gli errori più frequenti sono dati eccedenti nelle graduatorie, allegati non oscurati, riferimenti indiretti a condizioni di salute o a situazioni familiari, e documenti che restano pubblicati oltre il periodo previsto. Sono anche gli errori più visibili, perché chiunque può consultare il sito dell'istituto.
Videosorveglianza
Gli impianti negli edifici scolastici richiedono un'impostazione documentata: finalità dichiarate, aree effettivamente riprese, tempi di conservazione, soggetti abilitati alla visione, informativa e cartellonistica. Quando l'impianto comporta un monitoraggio sistematico di aree accessibili al pubblico o riguarda soggetti vulnerabili occorre valutare una valutazione d'impatto. Va inoltre coordinata la disciplina applicabile ai lavoratori.
Richieste delle famiglie e violazioni dei dati
Accesso ai documenti, richieste di rettifica, contestazioni sulla visibilità di un dato nel registro, istanze di accesso agli atti che coinvolgono dati di altri studenti: l'istituto ha tempi definiti per rispondere e serve una procedura interna che stabilisca chi riceve e chi istruisce. Sul fronte delle violazioni, la casistica scolastica più comune è concreta e ricorrente: una comunicazione inviata in copia conoscenza a tutte le famiglie, un file di graduatoria pubblicato con dati eccedenti, credenziali del registro compromesse, un dispositivo smarrito. Il termine di 72 ore dell'art. 33 decorre dal momento in cui l'istituto ne viene a conoscenza.
L'intelligenza artificiale a scuola
Gli strumenti di intelligenza artificiale sono entrati nelle scuole prima delle regole interne per usarli. Docenti che li usano per preparare materiali e verifiche, segreterie che li usano per redigere testi amministrativi, studenti che li usano per i compiti. A questo si aggiunge un fatto che pochi istituti hanno messo a fuoco: l'AI Act colloca espressamente l'istruzione tra i settori sensibili.
| Situazione | Inquadramento | Che cosa comporta |
|---|---|---|
| Riconoscimento delle emozioni degli studenti | Pratica vietata | L'art. 5 vieta i sistemi di riconoscimento delle emozioni negli istituti di istruzione. Il divieto è applicabile dal 2 febbraio 2025. Non è una questione di adempimenti: è un divieto. |
| Sistemi per l'ammissione, la valutazione degli apprendimenti o il monitoraggio durante gli esami | Alto rischio (Allegato III) | Ricadono nel regime più severo del Regolamento. Gli obblighi per i sistemi dell'Allegato III si applicano dal 2 dicembre 2027; per un istituto pubblico va inoltre valutata la valutazione d'impatto sui diritti fondamentali dell'art. 27. |
| Strumenti generativi usati da docenti e segreteria | Rischio limitato o minimo, ma non irrilevante | Il problema principale non è la classificazione: è che cosa viene inserito nel prompt. Nomi di studenti, valutazioni, contenuti di certificazioni e situazioni familiari non dovrebbero finire in uno strumento esterno senza che l'istituto abbia deciso e scritto come usarlo. |
| Formazione del personale sull'uso dell'IA | Obbligo dell'art. 4 | La norma richiede di adottare misure per garantire un livello adeguato di alfabetizzazione del personale che utilizza questi sistemi. È un obbligo di mezzi, non di risultato, ma va documentato. |
La risposta operativa non è vietare tutto, che nella pratica non funziona e sposta soltanto l'uso fuori dai canali visibili. È una policy interna breve e comprensibile che dica che cosa si può fare, che cosa non si può inserire e chi decide quando si introduce uno strumento nuovo, accompagnata da una sessione di formazione per docenti e personale amministrativo.
Come svolgo l'incarico
Il punto su cui insisto con le scuole è questo: il servizio non consiste nell'invio di documenti standard. Un istituto comprensivo con tre plessi, un liceo con duemila studenti e una scuola paritaria con centoventi iscritti hanno adempimenti formalmente identici e problemi operativi molto diversi. Un pacchetto documentale uguale per tutti soddisfa un capitolato, non l'istituto.
Parto dalla documentazione che l'istituto già possiede, che raramente è assente e quasi sempre è disallineata rispetto agli strumenti realmente in uso. Faccio una ricognizione delle piattaforme e dei fornitori, allineo il registro dei trattamenti a quello che accade davvero, e da lì individuo le priorità. Il dimensionamento dell'attività segue la complessità effettiva: numero di plessi, presenza di indirizzi con laboratori o alternanza, servizi digitali attivi, gestione o meno della mensa e del trasporto.
Sull'indipendenza vale per la scuola quanto vale per ogni ente: l'art. 38 par. 3 stabilisce che il RPD non riceve istruzioni per l'esecuzione dei propri compiti e riferisce direttamente al vertice. Lo Studio non fornisce agli istituti software né servizi informatici, quindi non si trova a vigilare su forniture proprie.
Che cosa comprende l'incarico
- Assunzione del ruolo di RPD con atto di designazione, supporto alla pubblicazione dei dati di contatto sul sito dell'istituto e alla comunicazione al Garante previste dall'art. 37 par. 7.
- Ricognizione delle piattaforme, degli applicativi e dei fornitori, con aggiornamento del registro dei trattamenti.
- Verifica e adeguamento degli atti di nomina dei responsabili del trattamento: registro elettronico, piattaforme didattiche, servizi cloud, mensa, trasporto, medicina scolastica.
- Revisione delle informative per famiglie, studenti maggiorenni, personale e fornitori, e della modulistica di inizio anno.
- Linea dell'istituto su foto, riprese ed eventi, scritta in modo comprensibile e utilizzabile dai docenti.
- Supporto sulle valutazioni d'impatto quando ricorrono i presupposti, tipicamente videosorveglianza e nuove piattaforme.
- Procedura per le richieste delle famiglie e assistenza sulle risposte più delicate, comprese quelle che intrecciano accesso agli atti e dati di terzi.
- Gestione delle violazioni dei dati: valutazione della notificabilità, supporto alla notifica, registro delle violazioni.
- Formazione distinta per docenti e per personale amministrativo, con attestazione, e sessione dedicata all'uso corretto degli strumenti di intelligenza artificiale.
- Policy interna sull'uso dell'IA e valutazione delle applicazioni prima dell'adozione.
- Punto di contatto per il Garante e supporto in caso di reclamo o istruttoria.
- Verifiche periodiche e relazione annuale al dirigente scolastico.
Come si avvia l'incarico
- Confronto inizialeUna videochiamata con il dirigente, il DSGA o entrambi, per capire dimensione dell'istituto, plessi, piattaforme in uso e stato della documentazione. Non ha costi e non impegna.
- Proposta scrittaAttività comprese, tempi di risposta, durata e corrispettivo, dimensionati sulla complessità reale dell'istituto e non su un listino unico.
- Affidamento e designazioneL'istituto procede secondo le proprie regole. Seguono l'atto di designazione, la pubblicazione dei dati di contatto in Amministrazione trasparente e la comunicazione al Garante.
- RicognizioneNelle prime settimane esamino piattaforme, contratti, informative e modulistica, e consegno un quadro delle priorità. Quando possibile la programmo prima dell'avvio dell'anno scolastico, perché la modulistica di settembre è il momento in cui gli interventi costano meno.
- Attività ordinariaPareri, richieste delle famiglie, formazione, verifiche e relazione annuale, con lo stesso interlocutore per tutta la durata dell'incarico.
Da remoto e in presenza
L'attività ordinaria si svolge da remoto, ed è ciò che rende sostenibile seguire istituti in tutta Italia senza costi di trasferta a carico della scuola: pareri, esame della documentazione, riunioni con dirigenza e segreteria e buona parte della formazione funzionano bene in videochiamata. Gli incontri in presenza si concordano quando servono davvero, per esempio per una sessione formativa in collegio docenti o per una verifica sugli impianti nei plessi.
Come l'istituto può affidare il servizio
Come affidarmi l’incarico
Lo Studio è abilitato sul Mercato elettronico della Pubblica Amministrazione ed è iscritto a SardegnaCAT, la centrale di committenza della Regione Sardegna. L’ente può quindi procedere con gli strumenti che già utilizza, senza attivare una procedura fuori piattaforma.
- Denominazione
- Studio Cravero Consulting — Dott. Pietro Cravero
- P.IVA / C.F.
- 03059830905 — è la chiave di ricerca del fornitore su entrambe le piattaforme
- PEC
- info.studiocravero@pec.it
- Sede
- Piazza Fiume 5B, 07100 Sassari (SS)
Le vie praticabili, a seconda dell’importo e del regolamento interno:
- affidamento diretto, nei casi e nei limiti in cui l’ordinamento lo consente;
- trattativa diretta oppure ordine su MePA;
- procedura su SardegnaCAT, per gli enti della Regione Sardegna;
- richiesta di preventivo o indagine di mercato, quando l’ente preferisce una fase aperta.
Le istituzioni scolastiche acquisiscono il servizio secondo le proprie regole di contabilità e i propri regolamenti interni. Le strade praticabili sono in genere:
- affidamento diretto, nei casi e nei limiti consentiti dall'ordinamento e dal regolamento di istituto;
- richiesta e confronto di preventivi;
- procedura telematica sulla piattaforma utilizzata dall'istituto;
- manifestazione di interesse o avviso pubblico per la selezione di esperti;
- MePA, quando l'istituto sceglie di operare su quel mercato elettronico e il professionista risulta abilitato al bando di riferimento.
Perché lo Studio
Elementi verificabili
- DPO certificato IDcert e Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre.
- Privacy e AI Act come specializzazione unica. Per una scuola che sta introducendo strumenti di IA significa un solo referente per il registro dei trattamenti e per la policy sull'intelligenza artificiale.
- Interlocuzione diretta con il professionista. Chi risponde al dirigente e al DSGA è la stessa persona che ha assunto l'incarico.
- Indipendenza. Nessuna fornitura di software o servizi informatici all'istituto, quindi nessuna vigilanza su forniture proprie.
- Servizio proporzionato. Documentazione costruita sull'istituto, non un pacchetto identico inviato a tutti.
- Operatività nazionale. Studio con sede a Sassari, incarichi in tutta Italia prevalentemente da remoto.
Per il quadro generale degli adempimenti che riguardano le scuole resta utile la pagina GDPR e AI Act per scuole e istituti. Se ti interessa il servizio per un altro tipo di amministrazione, ho pagine dedicate ai Comuni e alle Unioni e alle ASL e aziende sanitarie, oltre alla panoramica sul servizio per la PA. Le caratteristiche generali dell'incarico sono descritte in DPO esterno e i compiti della figura in cosa fa il DPO.
Richiedi informazioni per il tuo istituto
Indicami dimensione dell'istituto, numero di plessi, piattaforme in uso e scadenza dell'incarico in corso, se ce n'è uno. Ti rispondo con un quadro delle priorità e una proposta scritta.
Domande frequenti
Una scuola statale è obbligata a nominare il DPO?
Sì. Le istituzioni scolastiche statali sono enti pubblici e ricadono nell'art. 37 par. 1 lett. a del GDPR, che rende obbligatoria la designazione senza soglie dimensionali. Per gli istituti paritari l'obbligo va verificato caso per caso, ma il trattamento sistematico di dati di minori e di categorie particolari, come le certificazioni e i dati sanitari, lo rende nella pratica quasi sempre dovuto.
Serve il consenso dei genitori per il registro elettronico?
No. Il registro elettronico serve all'esecuzione dei compiti istituzionali della scuola e si fonda sull'obbligo di legge e sull'interesse pubblico, non sul consenso. Vanno però resi informativa completa e adeguati i profili di visibilità, i tempi di conservazione e l'atto di nomina del fornitore come responsabile del trattamento ai sensi dell'art. 28.
I genitori possono filmare il saggio di fine anno?
Le riprese effettuate dai familiari per uso strettamente personale e domestico restano fuori dall'ambito di applicazione del Regolamento. Il discorso cambia se quei contenuti vengono diffusi pubblicamente, e cambia del tutto quando è l'istituto a pubblicare foto o video sui propri canali: in quel caso si tratta di un trattamento della scuola, che richiede una base giuridica adeguata e informazioni chiare alle famiglie. La cosa più utile è che l'istituto abbia una linea scritta e la comunichi prima dell'evento, non dopo.
Un docente può usare ChatGPT o strumenti simili per correggere i compiti?
Il punto non è lo strumento in sé, ma che cosa viene inserito. Nomi degli studenti, valutazioni, osservazioni sul comportamento, riferimenti a certificazioni o a situazioni familiari non dovrebbero finire in un servizio esterno senza che l'istituto abbia deciso e messo per iscritto come e quando usarlo. Va inoltre considerato che l'AI Act colloca tra i sistemi ad alto rischio quelli destinati alla valutazione degli apprendimenti. La soluzione praticabile è una policy breve e comprensibile accompagnata da formazione, non un divieto generico che sposta soltanto l'uso fuori dai canali visibili.
Il DPO fornisce anche i documenti o solo la consulenza?
L'incarico comprende la predisposizione e l'aggiornamento della documentazione: registro dei trattamenti, informative, atti di nomina dei responsabili, procedure per le richieste e per le violazioni. La differenza rispetto a un pacchetto standard è che i documenti vengono costruiti sulle piattaforme e sui processi realmente in uso nell'istituto, e non inviati identici a scuole diverse.
Quanto costa il servizio per una scuola?
Il corrispettivo dipende dalla complessità effettiva: numero di plessi e di studenti, servizi digitali attivi, presenza di laboratori o percorsi con enti esterni, gestione diretta o meno di mensa e trasporto. Per questo non pubblico un listino: dopo un confronto iniziale gratuito ricevi una proposta scritta con attività comprese, tempi di risposta e durata.
Quando conviene attivare l'incarico durante l'anno scolastico?
L'incarico può iniziare in qualunque momento, ma il periodo in cui rende di più è quello che precede l'avvio dell'anno: è quando si rivedono modulistica, informative e liberatorie, si aggiornano i profili sulle piattaforme e si formano i docenti prima che le abitudini si consolidino. Se l'incarico in corso ha una scadenza, il momento giusto per il confronto è qualche mese prima.
Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.