Data breach Spaggiari: dati sanitari di minori e obblighi della catena di fornitura

Premessa

La vicenda dell’accesso non autorizzato al modulo “Modulistica Smart Bergantini”, componente della piattaforma gestionale sviluppata da Gruppo Spaggiari Parma S.p.A. e utilizzata da un numero significativo di istituzioni scolastiche italiane, offre un caso di studio di notevole rilevanza giuridica. Segnatamente, la vicenda prende spunto dalla rivendicazione da parte di un gruppo criminale su un portale dedicato al monitoraggio delle estorsioni informatiche, relativa all’esfiltrazione di circa 6,1 TB di dati, comprensivi di identificativi dei docenti, certificazioni degli studenti, documentazione medica, curricula e ulteriori tipologie documentali; la società ha diffuso due comunicati ufficiali con i quali, per un verso, ha confermato l’evento e gli adempimenti conseguenti (notifica al Garante per la protezione dei dati personali, segnalazione all’Agenzia per la Cybersicurezza Nazionale, denuncia all’autorità di polizia giudiziaria), per altro verso ha circoscritto il perimetro al solo modulo di modulistica della piattaforma Bergantini, escludendo il coinvolgimento del registro elettronico e dei software di gestione della segreteria didattica.

Il fatto interessa il pubblico dei DPO e dei giuristi d’impresa per almeno quattro ordini di ragioni. In primo luogo, perché si colloca nel punto di massima tensione della disciplina sulla protezione dei dati: il trattamento di categorie particolari di dati ai sensi dell’articolo 9 del Regolamento (UE) 2016/679 riferiti a minori, soggetti ai quali il Considerando 38 del medesimo Regolamento riconosce una “specifica protezione”. In secondo luogo, perché ripropone il tema della ripartizione dei ruoli fra istituzione scolastica titolare del trattamento e fornitore tecnologico responsabile ai sensi dell’articolo 28 del Regolamento, con tutto ciò che ne discende in punto di obblighi di notifica e di comunicazione agli interessati. In terzo luogo, perché tocca il rapporto — non sempre lineare — fra la notifica di violazione dei dati personali ex articoli 33 e 34 del Regolamento e la notifica di incidente prevista dalla disciplina sulla cybersicurezza, oggi recata dal decreto legislativo 4 settembre 2024, n. 138, di recepimento della direttiva (UE) 2022/2555 (NIS2). In quarto luogo, perché la vicenda solleva un interrogativo di politica del diritto sulla architettura dell’ecosistema digitale della scuola pubblica italiana, oggi frammentato fra una pluralità di fornitori privati.

Va detto in premessa che, alla data in cui si scrive, non si ha evidenza pubblica di provvedimenti dell’Autorità di controllo relativi alla vicenda, né di riscontri indipendenti sulla effettiva consistenza e natura dei dati esfiltrati. L’analisi che segue non intende dunque pronunciarsi sulla condotta dei soggetti coinvolti — valutazione che compete alle autorità competenti sulla base di elementi istruttori non disponibili allo scrivente — bensì utilizzare la fattispecie come occasione per una ricostruzione sistematica degli obblighi applicabili e delle criticità operative che essa mette in luce.

Il fatto e la sua qualificazione giuridica preliminare

Trattasi, secondo la ricostruzione offerta dai comunicati aziendali, di un accesso non autorizzato a un componente applicativo dedicato alla compilazione e trasmissione online di moduli e istanze nell’ambito della gestione contabile e amministrativa delle istituzioni scolastiche. La società riferisce che “l’episodio ha comportato l’accesso illecito a una parte degli allegati caricati dagli utenti” e che, “sulla base delle verifiche effettuate, l’episodio è suscettibile di determinare una violazione della riservatezza”. Il medesimo comunicato precisa che “allo stato non risultano evidenze di un utilizzo fraudolento dei dati sottratti” e che “a titolo precauzionale è stata disposta la temporanea sospensione di Modulistica Smart Bergantini per consentire un intervento straordinario di rafforzamento delle misure di sicurezza”.

La qualificazione giuridica del fatto è, sul piano definitorio, agevole. L’articolo 4, numero 12), del Regolamento (UE) 2016/679 definisce la violazione dei dati personali come “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. La formulazione è volutamente ampia e ricomprende tre distinte tipologie di compromissione, secondo la tassonomia consolidata nella prassi europea: la violazione di riservatezza, che si realizza con la divulgazione o l’accesso non autorizzato; la violazione di integrità, che consiste nell’alterazione non autorizzata; la violazione di disponibilità, che si sostanzia nella perdita di accesso o nella distruzione. In sostanza, non occorre che il dato sia stato utilizzato, né che sia stato pubblicato: è sufficiente che un soggetto non autorizzato vi abbia avuto accesso perché la violazione sia integrata.

In termini più pragmatici, la circostanza — pure valorizzata nel comunicato — che non risultino evidenze di utilizzo fraudolento non incide sulla sussistenza della violazione, ma può rilevare sul diverso piano della valutazione del rischio per i diritti e le libertà degli interessati, valutazione che l’articolo 33, paragrafo 1, e l’articolo 34, paragrafo 1, del Regolamento pongono a fondamento, rispettivamente, dell’obbligo di notifica all’Autorità e dell’obbligo di comunicazione agli interessati. Si ritiene tuttavia che l’assenza di evidenze di utilizzo debba essere maneggiata con cautela argomentativa: nella dinamica delle esfiltrazioni a scopo estorsivo, la mancata circolazione dei dati nella fase immediatamente successiva all’accesso è fisiologica, poiché il valore del dato per l’attaccante risiede proprio nella minaccia della sua pubblicazione. La rivendicazione con countdown, riferita dalla fonte, è precisamente la manifestazione di questa dinamica.

Un secondo profilo merita attenzione. La società afferma che l’evento non ha riguardato il registro elettronico e i sistemi di gestione della segreteria didattica, “che costituiscono un sistema distinto e separato”. La segmentazione architetturale è, in linea di principio, una misura di sicurezza apprezzabile ai sensi dell’articolo 32 del Regolamento, che impone al titolare e al responsabile di mettere in atto “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”. Nondimeno, appare chiaro allo scrivente che la distinzione fra sistemi, se rassicura sull’ampiezza del perimetro tecnico compromesso, non riduce di per sé la gravità della violazione quando il sistema effettivamente violato ospita documentazione allegata dagli utenti. Gli allegati caricati nell’ambito di procedure amministrative scolastiche possono includere certificazioni sanitarie, documentazione relativa a disabilità e disturbi specifici dell’apprendimento, documenti di identità, dati reddituali, documentazione relativa a situazioni familiari. In altri termini, la modulistica amministrativa è, per sua natura, un contenitore di documenti a contenuto informativo non strutturato e potenzialmente assai più sensibile di quanto non sia il dato strutturato del registro elettronico — voti, assenze, note.

Il quadro normativo di riferimento

La disciplina europea in materia di protezione dei dati

Il fondamento dell’analisi è, come noto, il Regolamento (UE) 2016/679. Rilevano in particolare tre gruppi di disposizioni.

Il primo attiene alla sicurezza del trattamento. L’articolo 32, paragrafo 1, richiede che titolare e responsabile mettano in atto misure adeguate “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”, indicando fra le misure possibili la pseudonimizzazione e la cifratura, la capacità di assicurare “su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento”, la capacità di ripristino tempestivo e “una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento”. Il paragrafo 2 del medesimo articolo precisa che nella valutazione dell’adeguato livello di sicurezza si tiene conto in special modo dei rischi derivanti “in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati”. Va sottolineato che la norma non impone un risultato di sicurezza assoluta — che sarebbe tecnicamente inesigibile — bensì un obbligo di adeguatezza rispetto al rischio, la cui valutazione è dinamica e va documentata.

Il secondo gruppo riguarda la gestione della violazione. L’articolo 33, paragrafo 1, impone al titolare di notificare la violazione all’Autorità di controllo “senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza”, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche; il paragrafo 2 stabilisce che il responsabile del trattamento, venuto a conoscenza di una violazione, la notifica al titolare “senza ingiustificato ritardo”; il paragrafo 5 impone la documentazione di qualsiasi violazione in un registro interno, “comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio”. L’articolo 34 disciplina la comunicazione all’interessato, obbligatoria “quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche”, con le eccezioni tassative del paragrafo 3 — misure di protezione preesistenti che rendano i dati incomprensibili, misure successive che scongiurino il rischio elevato, sproporzione dello sforzo con conseguente comunicazione pubblica.

Il terzo gruppo attiene ai ruoli e alla catena di fornitura. L’articolo 28, paragrafo 1, impone al titolare di ricorrere unicamente a responsabili che presentino “garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”. Il paragrafo 3 elenca il contenuto necessario del contratto o altro atto giuridico che disciplina il rapporto, fra cui l’obbligo per il responsabile di assistere il titolare “nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36” e di mettere a disposizione del titolare “tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo”, consentendo e contribuendo ad attività di revisione, comprese le ispezioni. Il paragrafo 4 estende la disciplina ai sub-responsabili. L’articolo 28 va letto in combinato con l’articolo 5, paragrafo 2, che sancisce il principio di responsabilizzazione, e con l’articolo 24, che impone al titolare misure adeguate per garantire e dimostrare la conformità.

Rileva altresì l’articolo 9, paragrafo 1, che pone il divieto di principio di trattare “dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”, salvo le deroghe del paragrafo 2. La documentazione relativa a certificazioni di disturbi specifici dell’apprendimento, a diagnosi funzionali, a piani educativi individualizzati rientra senza incertezze nella nozione di “dati relativi alla salute” di cui all’articolo 4, numero 15).

Sul versante degli orientamenti, rilevano le Linee guida dell’European Data Protection Board in materia di notifica delle violazioni — che riprendono e aggiornano il documento a suo tempo elaborato dal Gruppo di lavoro Articolo 29 — e le Linee guida sugli esempi riguardanti la notifica di violazione, che offrono una casistica ragionata particolarmente utile nella prassi disponibile sul sito dell’EDPB (https://www.edpb.europa.eu), cui si rinvia per eventuali approfondimenti.

La disciplina nazionale sulla cybersicurezza e il perimetro NIS2

Il secondo pilastro normativo è quello della cybersicurezza. Il decreto legislativo 4 settembre 2024, n. 138, ha recepito nell’ordinamento italiano la direttiva (UE) 2022/2555, ampliando in misura considerevole il novero dei soggetti tenuti ad adottare misure di gestione del rischio e a notificare gli incidenti significativi. Il decreto distingue fra soggetti essenziali e soggetti importanti, secondo criteri combinati di settore di attività e di dimensione, e affida all’Agenzia per la Cybersicurezza Nazionale il ruolo di autorità nazionale competente e di punto di contatto unico, oltre che di CSIRT nazionale.

Per quanto di stretto interesse in questa sede, va osservato che il regime di notifica NIS2 opera secondo una scansione temporale articolata, che prevede una prima segnalazione di pre-allarme entro ventiquattro ore dalla conoscenza dell’incidente significativo, una notifica più strutturata entro settantadue ore e una relazione finale entro un mese. Trattasi di una tempistica distinta e non sovrapponibile a quella dell’articolo 33 del Regolamento, benché il termine delle settantadue ore possa indurre a una assimilazione affrettata. La finalità è diversa: la notifica NIS2 mira alla tutela della continuità dei servizi e alla condivisione informativa a fini di difesa collettiva; la notifica ex articolo 33 mira alla tutela dei diritti degli interessati. Di conseguenza, un medesimo evento può integrare entrambe le fattispecie, una soltanto, o nessuna delle due.

Il comunicato aziendale riferisce di avere effettuato tanto la notifica al Garante quanto la segnalazione all’ACN, oltre alla denuncia all’autorità giudiziaria. Non si ha evidenza pubblica degli estremi né del contenuto di tali adempimenti, e pertanto non è possibile allo scrivente esprimere valutazioni sulla loro tempestività o completezza. Sul piano generale, si osserva che la duplicazione degli adempimenti verso autorità diverse — con soglie, tempistiche e destinatari distinti — costituisce oggi uno dei nodi organizzativi più impegnativi per le strutture di compliance, e richiede procedure interne che prevedano un unico punto di rilevazione dell’evento e una successiva biforcazione degli obblighi.

Va inoltre segnalato che, per il settore scolastico, rileva la disciplina in materia di perimetro di sicurezza nazionale cibernetica e le misure minime di sicurezza ICT per le pubbliche amministrazioni elaborate dall’AgID, oltre alle indicazioni operative rese disponibili dall’ACN sul proprio sito istituzionale (https://www.acn.gov.it). Le istituzioni scolastiche statali sono pubbliche amministrazioni e, in quanto tali, destinatarie degli obblighi generali in materia di sicurezza informatica previsti dal Codice dell’amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82.

La disciplina di settore e la posizione dell’istituzione scolastica

Il terzo pilastro è quello della disciplina scolastica. L’istituzione scolastica statale è titolare del trattamento dei dati degli alunni, delle famiglie e del personale, e tratta tali dati per l’esecuzione di compiti di interesse pubblico ai sensi dell’articolo 6, paragrafo 1, lettera e), del Regolamento, con la base normativa nazionale richiesta dall’articolo 6, paragrafo 3. Per le categorie particolari, la deroga rilevante è tipicamente quella dell’articolo 9, paragrafo 2, lettera g), motivi di interesse pubblico rilevante, come declinata dall’articolo 2-sexies del decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101.

Quando la scuola adotta un registro elettronico o una piattaforma gestionale fornita da un operatore privato, il fornitore agisce di regola come responsabile del trattamento ai sensi dell’articolo 28. Ciò comporta una conseguenza di rilievo pratico spesso sottovalutata: l’obbligo di notifica all’Autorità di controllo ai sensi dell’articolo 33, paragrafo 1, grava sul titolare, ossia su ciascuna istituzione scolastica interessata, e non sul fornitore; a quest’ultimo compete la notifica al titolare ai sensi del paragrafo 2. Analogamente, la comunicazione agli interessati ex articolo 34 è obbligo del titolare. Nella prassi si osserva una tendenza — comprensibile sul piano dell’efficienza, ma non priva di criticità giuridiche — a concentrare gli adempimenti in capo al fornitore, che notifica in nome proprio e comunica direttamente agli utenti finali. Si ritiene che tale modalità sia ammissibile soltanto se contrattualmente prevista come attività svolta per conto e su istruzione dei titolari, e a condizione che ciascun titolare sia posto in condizione di esercitare la propria autonoma valutazione del rischio e di assolvere i propri obblighi documentali.

Va aggiunto che il Garante per la protezione dei dati personali si è occupato in più occasioni del settore scolastico, con provvedimenti e documenti di indirizzo — fra i quali il vademecum dedicato alla scuola, disponibile sul sito istituzionale dell’Autorità (https://www.garanteprivacy.it) — nei quali ha ribadito la necessità di limitare la pubblicazione e la diffusione di dati riferiti agli alunni, di prestare particolare attenzione ai dati sanitari e a quelli relativi a bisogni educativi speciali, e di curare la scelta e il controllo dei fornitori tecnologici.

Le categorie particolari di dati riferite a minori: perché il rischio è qualitativamente diverso

Il punto qualificante della vicenda, secondo il parere di chi scrive, non è la quantità dei dati asseritamente esfiltrati — dato peraltro non verificato — bensì la loro natura. La modulistica amministrativa scolastica veicola documentazione che, nel lessico del Regolamento, appartiene alle categorie particolari.

Conviene procedere per definizione incrementale. L’articolo 4, numero 15), definisce i “dati relativi alla salute” come “i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute”. Il Considerando 35 chiarisce che vi rientrano “le informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria” e “un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari”. In sostanza, la nozione è ampia e ricomprende non soltanto il referto o la diagnosi, ma qualunque informazione dalla quale sia possibile desumere lo stato di salute. In termini più pragmatici, una certificazione ai sensi della legge 8 ottobre 2010, n. 170, relativa ai disturbi specifici dell’apprendimento, oppure la documentazione connessa alla legge 5 febbraio 1992, n. 104, sono dati relativi alla salute a tutti gli effetti, e la loro divulgazione rivela una condizione personale del minore.

Il rischio derivante dalla divulgazione di tali dati non è assimilabile a quello derivante dalla divulgazione di un indirizzo o di un numero di telefono. Vi è, in primo luogo, un rischio di stigmatizzazione e discriminazione, che il Considerando 75 del Regolamento indica espressamente fra i danni che la valutazione del rischio deve considerare, insieme al “pregiudizio alla reputazione” e alla “perdita di riservatezza dei dati personali protetti da segreto professionale”. Vi è, in secondo luogo, un rischio di persistenza: il dato sanitario riferito a un minore accompagna la persona per l’intera vita, e la sua divulgazione produce effetti che non si esauriscono nel breve periodo. Vi è, in terzo luogo, un rischio di irreversibilità: a differenza di una credenziale, che può essere sostituita, il dato sanitario non è revocabile né modificabile.

Il Considerando 38 afferma che “i minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali”. La formula non introduce un regime giuridico autonomo, ma opera come criterio di modulazione: incide sulla valutazione del rischio ai sensi dell’articolo 32, sulla soglia del rischio elevato ai sensi degli articoli 34 e 35, sulla stessa valutazione della gravità della violazione ai fini sanzionatori ex articolo 83, paragrafo 2, lettera g), che menziona espressamente “le categorie di dati personali interessate dalla violazione”.

Di conseguenza, si ritiene che, in presenza di documentazione sanitaria riferita a minori, la valutazione del rischio elevato ai fini dell’articolo 34 debba essere condotta con presunzione tendenzialmente favorevole alla comunicazione agli interessati, e che l’onere argomentativo di escluderla gravi in modo particolarmente stringente sul titolare. Non si ha evidenza, allo stato, delle valutazioni condotte nel caso di specie dai singoli istituti titolari, né delle eventuali comunicazioni rese alle famiglie.

La comunicazione dell’incidente: fra dovere di trasparenza e gestione reputazionale

Un profilo che merita trattazione autonoma è quello della comunicazione pubblica dell’incidente. La fonte riferisce di due comunicati, il primo dei quali “respinge in parte le ricostruzioni circolate” e il secondo conferma l’accesso illecito a una parte degli allegati.

Sul piano giuridico, la comunicazione pubblica non coincide con la comunicazione agli interessati ex articolo 34, che ha destinatari determinati e contenuto tipizzato dal paragrafo 2: descrizione della natura della violazione, dati di contatto del responsabile della protezione dei dati o altro punto di contatto, descrizione delle probabili conseguenze, descrizione delle misure adottate o di cui si propone l’adozione. Il paragrafo 3, lettera c), prevede la comunicazione pubblica soltanto quando quella individuale “richiederebbe sforzi sproporzionati”, e in tal caso richiede “una comunicazione pubblica o una misura simile, tramite la quale gli interessati sono informati con analoga efficacia”.

Ne discende che un comunicato stampa aziendale, per quanto tempestivo e articolato, non assolve di per sé l’obbligo dell’articolo 34, a meno che non ricorrano le condizioni del paragrafo 3, lettera c), e che il contenuto rispetti i requisiti del paragrafo 2. Si ritiene che, nella prassi, questa distinzione sia talvolta sfumata, con il rischio che la comunicazione istituzionale assolva prevalentemente una funzione reputazionale e solo incidentalmente una funzione di tutela.

Un secondo aspetto attiene al contenuto. La formula “l’episodio è suscettibile di determinare una violazione della riservatezza” è, sul piano tecnico-giuridico, corretta ma prudente: la violazione della riservatezza, se l’accesso non autorizzato è confermato, è già avvenuta; ciò che è “suscettibile” di verificarsi è semmai il danno conseguente. Analogamente, l’affermazione secondo cui “non risultano evidenze di un utilizzo fraudolento dei dati sottratti” è veridica ma di limitata portata informativa, poiché l’assenza di evidenze non equivale all’evidenza di assenza. Nessuna di queste osservazioni implica un giudizio di scorrettezza: si tratta di formule ricorrenti nella comunicazione di incidente, la cui prudenza è comprensibile in una fase in cui le analisi forensi sono ancora in corso. Nondimeno, appare chiaro allo scrivente che, dal punto di vista dell’interessato — segnatamente il genitore di un minore la cui certificazione sanitaria potrebbe essere stata acquisita — l’informazione utile non è tanto la rassicurazione sul perimetro non compromesso, quanto l’indicazione puntuale di quali categorie di documenti risultino interessate e di quali comportamenti prudenziali adottare.

Va infine osservato che l’invito “al rinnovo delle credenziali di accesso ai nostri applicativi”, pur formulato “in via meramente prudenziale”, è una misura di mitigazione appropriata rispetto a un rischio di compromissione di credenziali, ma non offre alcuna mitigazione rispetto al rischio derivante dalla divulgazione di documentazione sanitaria, che non è neutralizzabile con la sostituzione di una password. Si suggerisce, in casi analoghi, di distinguere con chiarezza le misure che l’interessato può utilmente adottare da quelle che non producono effetti rispetto al rischio concretamente configurato, per non ingenerare un falso senso di risoluzione.

La responsabilità nella catena di fornitura: profili critici

La vicenda riporta al centro il tema della responsabilità del titolare per la scelta e il controllo del responsabile del trattamento. Si tratta di un profilo nel quale, secondo l’esperienza applicativa dei sistemi di gestione, si registra la maggiore distanza fra il modello normativo e la prassi.

L’articolo 28, paragrafo 1, richiede al titolare di ricorrere unicamente a responsabili che offrano garanzie sufficienti. La disposizione configura un obbligo di verifica preventiva — una due diligence — che non si esaurisce nella sottoscrizione dell’atto di nomina. In termini più concreti, il titolare dovrebbe acquisire e valutare elementi documentali sulle misure di sicurezza adottate dal fornitore, sulla localizzazione dei dati, sull’esistenza e sul contenuto delle certificazioni, sulle procedure di gestione degli incidenti, sull’eventuale ricorso a sub-responsabili. La verifica dovrebbe essere periodicamente rinnovata, secondo la logica dell’articolo 24, paragrafo 1, che impone misure “riesaminate e aggiornate qualora necessario”.

Il punto critico, nel contesto scolastico, è di ordine strutturale. L’istituzione scolastica è, nella generalità dei casi, un soggetto di dimensioni contenute, privo di competenze specialistiche interne in materia di sicurezza informatica e dotato di risorse limitate. Il dirigente scolastico, che ne è il rappresentante legale e dunque il soggetto attraverso il quale la titolarità si esercita, non dispone ordinariamente degli strumenti tecnici per valutare l’adeguatezza dell’architettura di sicurezza di una piattaforma applicativa complessa. Il responsabile della protezione dei dati, obbligatorio per gli organismi pubblici ai sensi dell’articolo 37, paragrafo 1, lettera a), del Regolamento, è nella prassi frequentemente un professionista esterno con incarichi presso una pluralità di istituti e con una disponibilità oraria contenuta.

Ne discende una asimmetria informativa e negoziale fra titolare e responsabile che rende in larga misura teorica la facoltà di verifica prevista dall’articolo 28, paragrafo 3, lettera h). Il contratto è tipicamente predisposto dal fornitore su base standard, con margini di negoziazione ridotti; l’audit, formalmente previsto, è raramente esercitato. Non si intende con ciò formulare un rilievo censorio nei confronti delle istituzioni scolastiche o dei professionisti che vi operano — le condizioni operative sono oggettivamente difficili — bensì segnalare che il modello di responsabilizzazione del Regolamento, costruito su un titolare capace di governare la propria catena di fornitura, incontra nel settore scolastico un limite applicativo strutturale.

Una possibile mitigazione, già praticata in altri comparti, è l’aggregazione della domanda. L’acquisizione centralizzata o consortile di servizi digitali consente di concentrare la capacità negoziale e la competenza tecnica, di standardizzare le clausole di protezione dei dati e di sicurezza, di prevedere obblighi di rendicontazione e livelli di servizio uniformi. In tale prospettiva rilevano gli strumenti di qualificazione dei servizi cloud per la pubblica amministrazione e le determinazioni dell’Agenzia per l’Italia Digitale e dell’Agenzia per la Cybersicurezza Nazionale in materia di classificazione dei dati e dei servizi, la cui applicazione al comparto scolastico merita, secondo il parere di chi scrive, un approfondimento specifico.

Il tema della centralizzazione: un interrogativo di politica del diritto

Occorre, poi, porsi un interrogativo di sistema: se sia ragionevole che i dati di milioni di studenti, famiglie e docenti siano distribuiti fra una pluralità di fornitori privati, ciascuno con propria infrastruttura, propri standard e proprie modalità di gestione degli incidenti, in assenza di una piattaforma pubblica unica.

La questione merita di essere affrontata senza semplificazioni. In premessa va detto che la centralizzazione non è, di per sé, una garanzia di sicurezza. Un sistema unico concentra il rischio: la compromissione di una piattaforma nazionale produrrebbe effetti di gran lunga superiori a quelli della compromissione di un singolo fornitore che serva una frazione degli istituti. La letteratura in materia di resilienza infrastrutturale conosce bene il fenomeno del punto singolo di guasto, e la diversificazione dei fornitori ha, sotto questo profilo, un valore.

Nondimeno, l’attuale frammentazione presenta criticità che meritano considerazione. La prima è la disomogeneità degli standard di sicurezza: in assenza di requisiti minimi vincolanti e verificati, il livello di protezione dipende dalle scelte del singolo operatore e dalla capacità di controllo della singola scuola. La seconda è la difficoltà di coordinamento nella gestione degli incidenti: quando un fornitore serve migliaia di istituti, ciascuno dei quali è autonomo titolare, la gestione di una violazione richiede un coordinamento fra migliaia di soggetti, con evidente rischio di disomogeneità nelle valutazioni del rischio e nelle comunicazioni agli interessati. La terza è la scarsa visibilità aggregata: non esiste, allo stato, un quadro consolidato e pubblico del livello di sicurezza dell’ecosistema digitale scolastico.

Una soluzione intermedia, che secondo il parere di chi scrive merita considerazione, consiste nel mantenere la pluralità dei fornitori — preservando la concorrenza e la diversificazione del rischio — introducendo però requisiti minimi di sicurezza vincolanti, verificati attraverso meccanismi di qualificazione preventiva e di controllo periodico, unitamente a schemi contrattuali standard predisposti a livello centrale e a un punto di coordinamento nazionale per la gestione degli incidenti che coinvolgano il comparto. Un simile assetto valorizzerebbe gli strumenti già previsti dal Regolamento — segnatamente i codici di condotta di cui all’articolo 40 e i meccanismi di certificazione di cui all’articolo 42 — che nel settore scolastico non risultano, allo stato, adottati.

Va aggiunto che il decreto legislativo n. 138 del 2024, nel disciplinare la sicurezza della catena di approvvigionamento, offre una leva regolatoria di interesse: l’obbligo per i soggetti in perimetro di considerare, fra le misure di gestione del rischio, la sicurezza dei propri fornitori e la qualità dei prodotti e delle pratiche di sicurezza dei medesimi. L’applicazione concreta di tale previsione al rapporto fra istituzioni scolastiche e fornitori di piattaforme gestionali costituisce, secondo il parere di chi scrive, uno dei terreni sui quali si misurerà l’effettività della nuova disciplina.

Il ruolo dell’intelligenza artificiale e l’aggravamento del rischio

Merita, inoltre,una considerazione autonoma, ancorché prudente in assenza di elementi specifici nel caso di specie, la valutazione dello scenario in ragione della diffusione “invasiva” di sistemi di I.A. in quasi ogni gestionale disponibile.

L’introduzione di funzionalità di intelligenza artificiale nelle piattaforme gestionali scolastiche — assistenti alla compilazione, sistemi di analisi predittiva dell’andamento didattico, strumenti di supporto alla redazione documentale — amplia la superficie di trattamento e introduce categorie di rischio ulteriori. Il Regolamento (UE) 2024/1689, che istituisce regole armonizzate sull’intelligenza artificiale, qualifica come ad alto rischio, nell’allegato III, taluni sistemi impiegati nel settore dell’istruzione e della formazione professionale, fra cui quelli destinati a determinare l’accesso o l’ammissione, a valutare i risultati dell’apprendimento e a monitorare comportamenti vietati durante i test. Per tali sistemi il Regolamento prevede, fra l’altro, obblighi di gestione della qualità dei dati, di documentazione tecnica, di registrazione degli eventi, di trasparenza e di sorveglianza umana.

Sul piano della sicurezza dei dati, l’aspetto di maggiore rilievo è che i sistemi di intelligenza artificiale tendono a richiedere aggregazioni di dati più ampie e persistenti di quelle necessarie ai trattamenti tradizionali, con conseguente tensione rispetto al principio di minimizzazione di cui all’articolo 5, paragrafo 1, lettera c), del Regolamento (UE) 2016/679 e a quello di limitazione della conservazione di cui alla lettera e). In termini più pragmatici, un archivio più ampio e più a lungo conservato è un archivio che, in caso di compromissione, produce un danno maggiore.

Va inoltre considerato che la disponibilità di grandi volumi di documentazione non strutturata esfiltrata rende oggi tecnicamente agevole, mediante strumenti di elaborazione automatica del linguaggio, l’estrazione e la correlazione di informazioni che in passato sarebbero rimaste sepolte nella massa dei documenti. In sostanza, la stessa esfiltrazione produce oggi un rischio superiore a quello che avrebbe prodotto qualche anno addietro, perché il costo di sfruttamento del dato si è ridotto. Si ritiene che questa circostanza debba entrare nella valutazione del rischio ai sensi dell’articolo 32, paragrafo 1, che impone di tenere conto “dello stato dell’arte”: lo stato dell’arte rileva, cioè, non soltanto quanto alle misure difensive disponibili, ma anche quanto alle capacità offensive.

Gli adempimenti per DPO e imprese: indicazioni operative

Sul piano operativo, la vicenda suggerisce una serie di verifiche e di interventi che si ritiene utile esporre in forma argomentata, muovendo dal presupposto che nessuno di essi ha carattere di novità normativa: si tratta piuttosto di obblighi già vigenti la cui attuazione, nel comparto considerato, risulta frequentemente incompleta.

Il primo ambito è quello della mappatura dei flussi verso i fornitori. Si suggerisce a ciascun titolare che utilizzi piattaforme gestionali di terzi di ricostruire con precisione quali categorie di dati transitino su ciascun modulo applicativo, distinguendo il dato strutturato dal documento allegato. La vicenda in esame mostra con chiarezza che il rischio maggiore può annidarsi nei componenti apparentemente accessori — un modulo di trasmissione di istanze amministrative — piuttosto che nel modulo principale, e che una mappatura condotta per applicativo anziché per funzione può condurre a sottostimare l’esposizione. Il registro delle attività di trattamento di cui all’articolo 30 del Regolamento è lo strumento naturale di tale ricostruzione, ma richiede un livello di granularità che nella prassi non sempre si riscontra.

Strettamente connesso è il tema della revisione degli atti di nomina a responsabile. Si suggerisce di verificare che il contratto ex articolo 28, paragrafo 3, contenga effettivamente tutti gli elementi richiesti, e in particolare che disciplini in modo puntuale i tempi e le modalità della notifica della violazione al titolare. La formula generica “senza ingiustificato ritardo”, trasposta pedissequamente dal Regolamento, è insufficiente sul piano operativo: si ritiene opportuno prevedere un termine determinato in ore, un canale di comunicazione dedicato, un contenuto informativo minimo della segnalazione e l’obbligo di aggiornamento progressivo. Analogamente, la clausola sui sub-responsabili dovrebbe prevedere non soltanto l’autorizzazione generale o specifica, ma anche l’obbligo di comunicazione preventiva delle variazioni e la trasmissione dell’elenco aggiornato.

Un ulteriore profilo riguarda la procedura interna di gestione delle violazioni. Si suggerisce che ciascun titolare disponga di una procedura documentata che individui il momento della “conoscenza” ai fini del decorso delle settantadue ore, i soggetti responsabili della valutazione del rischio, i criteri di tale valutazione, le modalità di redazione della notifica e la modulistica per la comunicazione agli interessati. La procedura dovrebbe altresì prevedere il coordinamento con l’eventuale obbligo di notifica ai sensi della disciplina NIS2, laddove applicabile, e con la denuncia all’autorità giudiziaria. Nell’esperienza applicativa dei sistemi di gestione, la disponibilità di modelli precompilati riduce in misura significativa il tempo di risposta e la variabilità qualitativa delle notifiche.

Importantissima, altresì, la valutazione d’impatto sulla protezione dei dati. L’articolo 35, paragrafo 1, la impone quando il trattamento “può presentare un rischio elevato per i diritti e le libertà delle persone fisiche”, e il paragrafo 3, lettera b), la richiede espressamente per il trattamento su larga scala di categorie particolari di dati. Si ritiene che il trattamento di documentazione sanitaria riferita a minori mediante piattaforme gestionali esternalizzate integri con ogni probabilità tale presupposto, e che la valutazione debba essere condotta — o aggiornata — con specifica considerazione degli scenari di esfiltrazione e di pubblicazione dei dati. Va ricordato che l’elenco delle tipologie di trattamento soggette a valutazione d’impatto è stato adottato dal Garante e che l’elenco è consultabile sul sito dell’Autorità.

Merita attenzione anche la verifica documentale delle misure di sicurezza del fornitore. Si suggerisce di richiedere e conservare evidenze relative alla segmentazione delle reti e degli ambienti applicativi, alla cifratura dei dati a riposo e in transito, alle politiche di gestione delle vulnerabilità e dei tempi di applicazione delle correzioni, all’esecuzione di test di sicurezza periodici, alla gestione degli accessi privilegiati, alla registrazione e conservazione dei log. Non si tratta di sostituirsi al fornitore nella valutazione tecnica, ma di documentare l’avvenuta verifica ai fini dell’articolo 5, paragrafo 2. Ove la scuola non disponga delle competenze necessarie, si ritiene ragionevole ricorrere a forme di verifica aggregata a livello di rete di istituti o di ambito territoriale.

Occorre poi sottolineare l’importanza della minimizzazione dei documenti caricati. Si suggerisce di riesaminare le procedure amministrative che richiedono l’allegazione di documentazione sanitaria, verificando se la finalità perseguita possa essere conseguita con dati meno invasivi — ad esempio mediante attestazione della sussistenza di un requisito anziché mediante trasmissione della certificazione integrale — e se la conservazione degli allegati oltre la conclusione del procedimento sia effettivamente necessaria. Il principio di limitazione della conservazione, di cui all’articolo 5, paragrafo 1, lettera e), impone politiche di cancellazione documentate e attuate; nella prassi si osserva con frequenza che gli archivi applicativi conservano indefinitamente documentazione la cui utilità si è esaurita, ampliando in modo evitabile la superficie di rischio.

Analoga attenzione va posta alla preparazione della comunicazione agli interessati. Si suggerisce di predisporre in anticipo modelli differenziati per categoria di destinatario — famiglie di alunni minori, personale, fornitori — redatti in linguaggio chiaro e semplice come richiesto dall’articolo 12, paragrafo 1, con indicazione delle categorie di dati interessate, delle conseguenze probabili e delle misure che l’interessato può utilmente adottare. Si ritiene inoltre opportuno predisporre canali di risposta alle richieste degli interessati, poiché l’esperienza mostra che una comunicazione di violazione genera un volume rilevante di istanze di accesso ai sensi dell’articolo 15 e di richieste di chiarimento, la cui gestione non organizzata può a sua volta determinare inadempimenti.

Occorre altresì focalizzarsi sul coordinamento fra titolari serviti dal medesimo fornitore. Quando una piattaforma serve migliaia di istituti, si ritiene ragionevole che il fornitore metta a disposizione un pacchetto informativo uniforme e documentato che consenta a ciascun titolare di condurre la propria valutazione, ferma restando l’autonomia decisionale di ciascuno. Si suggerisce ai DPO di sollecitare tale documentazione e di conservarne evidenza, poiché la valutazione del rischio condotta in assenza di informazioni adeguate è essa stessa un profilo di criticità in caso di controllo.

Come sempre, anche in questo ambito massima attenzione va prestata alla formazione e alla sensibilizzazione del personale, obbligo che discende dall’articolo 29 e dall’articolo 32, paragrafo 4, del Regolamento, i quali impongono che chiunque agisca sotto l’autorità del titolare o del responsabile tratti i dati soltanto su istruzione. Si suggerisce che la formazione dedicata al personale di segreteria affronti specificamente le regole di caricamento e conservazione degli allegati, il riconoscimento dei tentativi di accesso illecito e le modalità di segnalazione interna degli eventi anomali.

Da ultimo, quanto al rapporto con le autorità, si suggerisce di predisporre e mantenere aggiornato un prospetto interno dei canali e dei termini di notifica verso il Garante, verso l’ACN e verso l’autorità giudiziaria, con individuazione nominativa dei soggetti abilitati e delle credenziali di accesso ai portali telematici. Nella gestione di un incidente, il tempo speso per reperire un’utenza o per individuare il soggetto legittimato alla firma è tempo sottratto alla mitigazione, e la tempestività della notifica è essa stessa un elemento di valutazione ai sensi dell’articolo 83, paragrafo 2, lettera c), che considera “le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati”.

Conclusioni

La vicenda esaminata lascia aperte alcune questioni che meritano di essere seguite nella loro evoluzione.

La prima riguarda la effettiva consistenza dei dati compromessi. Alla data in cui si scrive, non si ha evidenza di riscontri indipendenti sulla natura e sul volume dei dati esfiltrati, e la divergenza fra la rivendicazione degli attaccanti e la ricostruzione aziendale non è allo stato componibile con gli elementi disponibili. Trattasi di una situazione ricorrente nella gestione degli incidenti a matrice estorsiva, nella quale la parte offesa dispone di informazioni forensi non condivisibili in pendenza di indagini e la controparte ha interesse ad amplificare la portata dell’accaduto. Il punto di equilibrio, sul piano della tutela degli interessati, sta nel non subordinare la comunicazione alla certezza definitiva: l’articolo 34 richiede una valutazione di rischio, non un accertamento.

La seconda questione attiene alla ripartizione effettiva degli adempimenti fra fornitore e istituzioni scolastiche titolari. Non si ha evidenza di come i singoli istituti abbiano assolto agli obblighi degli articoli 33 e 34, né se abbiano condotto valutazioni autonome del rischio. Si tratta di un profilo che, secondo il parere di chi scrive, potrebbe rivelarsi centrale in un’eventuale istruttoria, poiché la delega di fatto della gestione dell’incidente al responsabile del trattamento non esonera il titolare dalle proprie responsabilità.

La terza questione è di ordine sistemico e riguarda l’assetto della governance digitale del comparto scolastico. La contrapposizione fra piattaforma pubblica unica e mercato frammentato appare, allo scrivente, mal posta: il problema non è tanto la titolarità pubblica o privata dell’infrastruttura, quanto l’esistenza di requisiti minimi di sicurezza vincolanti e verificati, di schemi contrattuali standardizzati, di meccanismi di certificazione ai sensi dell’articolo 42 del Regolamento e di un coordinamento nazionale nella gestione degli incidenti di comparto. Gli strumenti giuridici esistono; non si ha evidenza, allo stato, di una loro attivazione sistematica nel settore.

La quarta questione concerne l’interazione fra le discipline. L’attuazione del decreto legislativo n. 138 del 2024 e la progressiva applicazione del Regolamento (UE) 2024/1689 — la cui entrata in vigore è del 1° agosto 2024, con applicazione scaglionata delle diverse disposizioni [Nota redazionale: verificare, alla data di pubblicazione, quali disposizioni del Regolamento (UE) 2024/1689 risultino già applicabili.] — introducono obblighi che si sovrappongono parzialmente a quelli del Regolamento (UE) 2016/679, con soglie, tempistiche e autorità diverse. La costruzione di procedure interne integrate, capaci di gestire un unico evento con adempimenti differenziati, è oggi un’esigenza organizzativa concreta più che un esercizio teorico, e la sua assenza si traduce con facilità in ritardi e in incompletezze che le autorità di controllo valutano.

Resta, infine, il profilo dei soggetti coinvolti. Le persone i cui dati sanitari risultino eventualmente compromessi sono, in larga parte, minori che non hanno avuto alcuna possibilità di scelta rispetto all’infrastruttura che li tratta e che subiranno gli effetti dell’eventuale divulgazione per un orizzonte temporale lungo. Il Considerando 38 del Regolamento non è, sotto questo profilo, una formula di stile: è il criterio alla luce del quale ogni valutazione di adeguatezza delle misure, di gravità del rischio e di necessità della comunicazione dovrebbe essere condotta nel comparto considerato.