Una tabella con nome, cognome e comune di residenza di tutti gli studenti della classe. È l’errore più diretto e più frequente, espressamente censurato dal Garante nella nota del 21 marzo 2017 (prot. 10719). L’elenco nominativo è inutile alla Commissione, che dispone dei dati per altra via.

Aggravante: per studenti residenti in piccoli centri, anche l’indicazione del solo comune costituisce identificazione personale. Le specificazioni del tipo “frazione tale” rendono la persona univocamente individuabile.

Nei prospetti riepilogativi delle attività PCTO triennali, accanto a ciascun nome compare la data di nascita in formato giorno/mese/anno. Combinata con nome e comune di residenza già pubblicati, costituisce una tripla identificativa che facilita furto d’identità, profilazione e accessi non autorizzati a servizi che usano la data di nascita come elemento di verifica.

Il principio violato è quello di minimizzazione (art. 5 GDPR): la data di nascita non è in alcun modo necessaria per assolvere la funzione del Documento.

Il Documento riporta in chiaro, per ciascuna attività PCTO o progettuale, i nomi degli studenti partecipanti: mobilità Erasmus, simulazioni ONU, scambi internazionali, viaggi istituzionali, attività individuali presso enti convenzionati. Ciascun nome è riconducibile a comportamenti, interessi e opportunità economico-familiari (le mobilità all’estero implicano disponibilità della famiglia a sostenerle).

Pubblicare chi è andato a New York o a Budapest, e chi no, è valutazione individuale e profilazione, esposta all’Albo on-line e indicizzabile.

Una tabella che mostra, per ciascuno studente nominato, il monte ore PCTO svolto in ognuno dei tre anni del triennio, con totale finale. Si tratta di valutazione individuale pubblicata in chiaro. Uno studente con poche ore emerge come “meno impegnato” agli occhi di chiunque consulti l’Albo, e a quei chiunque appartengono anche futuri datori di lavoro che facciano una ricerca sul nome.

Tutti gli allegati disciplinari recano la firma autografa in chiaro di ciascun docente, oltre alla firma del Dirigente Scolastico. Le firme autografe sono utilizzabili per falsificazioni documentali. La buona pratica di pubblicazione documentale prevede sostituzione con firma digitale qualificata, oppure oscuramento con dicitura “f.to” o con timbro.

Il problema non è la firma in sé — è una firma sul documento, è giusto che ci sia — ma la pubblicazione online della firma autografa, che la espone a chiunque per il download e la replica.

Nel profilo della classe si fa riferimento alla recente scomparsa di un docente, descritta come “traumatica per tutti ma soprattutto per gli allievi”. Incrociando con la tabella di variazione del Consiglio di Classe — anch’essa pubblicata nello stesso documento — la persona scomparsa è facilmente identificabile (è il docente di una certa disciplina presente al primo e quarto anno, sostituito al quinto).

Il riferimento a un evento luttuoso identificabile è trattamento di dato personale di una persona fisica terza (e dei suoi familiari), pubblicato senza base giuridica. Inoltre, su un piano umano e deontologico, è materia che non appartiene a un atto pubblico amministrativo.

L’indicazione del comune di residenza è già problematica per piccoli centri. Specificazioni del tipo “[Comune] (frazione [Nome])” rendono l’identificazione personale univoca: in una frazione di poche centinaia di abitanti, “uno studente del Liceo X residente nella frazione Y” è una sola persona reale.

Il profilo della classe contiene espressioni come “una piccola parte della classe ha spesso vissuto le occasioni di verifica con ansia eccessiva” o “pochi alunni più fragili o meno motivati, con lacune pregresse”. In una classe di una ventina di persone, “un piccolo gruppo” è facilmente identificabile dai compagni e dalle famiglie.

Sono valutazioni qualitative individuali, riconducibili a singoli, e per loro natura non necessarie alla Commissione, che dispone dei dati analitici per altra via.

Tra le attività di Educazione civica figura un incontro con membri delle forze dell’ordine, identificati con nome, cognome, grado e sede di servizio. La pubblicazione di nominativi puntuali di esponenti delle forze dell’ordine, in contesti dove non è strettamente necessaria, è regolata e va trattata con cautela. Non è privacy nel senso stretto degli studenti, ma è un trattamento di dati personali di terzi che andava ponderato.

Errore endemico nella pubblicazione documentale scolastica. Il PDF caricato all’Albo contiene quasi sempre, nei metadati, l’autore (spesso con account email), il software di produzione, talvolta il percorso completo del file sul disco di chi l’ha prodotto. Sono informazioni invisibili nel testo ma immediatamente estraibili da chiunque conosca un visualizzatore di metadati.

Anche quando il testo è stato depurato correttamente, i metadati raccontano una storia parallela.

Una variante particolarmente insidiosa: il Documento del 15 maggio viene caricato in una cartella Google Drive con condivisione “chiunque con il link” (o, in alcuni casi, condivisione esterna a domini specifici), e il link viene poi diffuso via circolari, gruppi WhatsApp di classe, messaggistica del registro elettronico, o pubblicato sul sito della scuola in una sezione “Documenti”.

Il problema è multiplo:

• Una cartella Drive condivisibile a chiunque ha il link non è sede di pubblicità legale. Non assolve l’obbligo normativo previsto dall’art. 32 c.1 L. 69/2009.
• Non c’è numero progressivo, non c’è data certa di pubblicazione, non c’è durata definita, non c’è tracciabilità delle operazioni — tutti elementi costitutivi dell’Albo on-line.
• Il link può essere inoltrato indefinitamente. Una volta uscito dalla cerchia di destinazione, è impossibile contenerlo.
• I link Drive “pubblici” sono periodicamente indicizzati da motori di ricerca e bot di scraping. Trovare documenti scolastici riservati in questo modo è banale per chiunque sappia costruire una query di ricerca minimamente avanzata.
• Spesso la cartella Drive contiene anche la versione integrale del Documento — relazioni individuali, PEI, PDP — perché chi la imposta la pensa come “spazio di lavoro condiviso”, non come pubblicazione formale. Il risultato è che dati estremamente sensibili finiscono dietro un link condivisibile e non revocabile.

Aggravante non secondaria: i metadati di chi ha aperto, scaricato o commentato i file restano sull’account Google del proprietario della cartella, e tracciano comportamenti di lettura dei genitori e degli studenti senza che ne siano informati. Il trattamento, in questo caso, esce dal perimetro della pubblicazione documentale ed entra in quello del monitoraggio non dichiarato.

L’unica sede compatibile con la normativa per la pubblicazione del Documento del 15 maggio è l’Albo on-line dell’Istituto, con caricamento del file PDF tramite il sistema di gestione documentale della scuola. Google Drive può essere usato come archivio interno di lavoro per il Coordinatore e il Consiglio di Classe — non come canale di pubblicazione verso famiglie, studenti o esterni.

Errore concettuale che riassume tutti i precedenti. Il documento pubblicato all’Albo è strutturalmente la versione interna destinata alla Commissione d’esame. Nessuna selezione, nessuna espunzione, nessuna riformulazione: l’intero fascicolo della Commissione finisce online tale e quale.

È l’errore-padre, da cui derivano tutti gli altri.