Google Workspace for Education nelle scuole italiane: guida alla conformità GDPR
Cosa deve sapere un dirigente scolastico. Cosa deve fare un amministratore IT. Tutto quello che serve per usare Google Workspace in modo conforme, senza rischi e senza ambiguità.
Premessa
Google Workspace for Education è la suite più utilizzata nelle scuole italiane. Gmail, Drive, Classroom, Meet, Moduli — strumenti che durante la pandemia sono diventati indispensabili e che oggi sono parte integrante dell’infrastruttura digitale di migliaia di istituti.
Il problema non è lo strumento. Il problema è che la maggior parte delle scuole lo utilizza senza aver completato i passaggi necessari per essere conforme al GDPR. Non per negligenza, ma per mancanza di informazione, di competenze tecniche dedicate, e di tempo.
Questo articolo è diviso in due parti. La prima affronta il quadro normativo: cosa dice il GDPR, cosa ha disposto il Garante, quali sono le responsabilità del dirigente scolastico. La seconda è una guida operativa per l’amministratore IT: cosa fare nella console di amministrazione, passo dopo passo, per mettere in sicurezza il dominio.
Parte I
Il quadro normativo — cosa deve sapere un dirigente scolastico
1. La scuola come titolare del trattamento
Il GDPR è chiaro: il titolare del trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Nella scuola, il titolare è l’istituto scolastico nella persona del dirigente scolastico.
Questo significa che la responsabilità su come vengono trattati i dati degli studenti, delle famiglie e del personale ricade interamente sulla scuola — non su Google, non sul Ministero, non sul DPO. Il DPO è un consulente; il dirigente è il responsabile.
Il Garante ha ribadito che il dirigente scolastico è il titolare del trattamento dei dati personali dell’istituto. Spetta a lui stabilire le finalità, le modalità del trattamento, i criteri per la nomina dei responsabili esterni, e documentare tutte le scelte privacy attraverso atti amministrativi.
2. Google come responsabile esterno
Quando una scuola utilizza Google Workspace for Education, Google Ireland Limited agisce come responsabile esterno del trattamento ai sensi dell’art. 28 del GDPR. Google non decide cosa fare con i dati degli studenti — esegue le istruzioni del titolare (la scuola) e tratta i dati per conto suo.
Per formalizzare questo rapporto, il GDPR richiede un contratto scritto tra titolare e responsabile. Nel caso di Google Workspace, questo contratto si chiama Cloud Data Processing Addendum (CDPA).
Il CDPA deve essere esplicitamente accettato dal dirigente scolastico (o dal Superadmin del dominio) nella console di amministrazione di Google Workspace. Molte scuole non hanno mai completato questo passaggio. Senza CDPA accettato, la scuola sta utilizzando Google Workspace senza un contratto di trattamento dati valido — una violazione dell’art. 28 del GDPR.
3. Servizi principali e servizi aggiuntivi
Google Workspace for Education distingue due categorie di servizi, con regimi di trattamento dati diversi:
| Aspetto | Servizi principali | Servizi aggiuntivi |
|---|---|---|
| Esempi | Gmail, Drive, Classroom, Meet, Documenti, Fogli, Presentazioni, Moduli, Calendar, Chat, Keep, Sites, Vault, Jamboard, Contatti | YouTube, Google Gruppi, Ricerca, Assistente, Google Maps, Blogger, Google Takeout |
| Contratto | Regolati dal Contratto Google Workspace for Education + CDPA | Regolati dai Termini di servizio e dalla Privacy Policy consumer di Google |
| Pubblicità | Nessun annuncio pubblicitario. Nessun utilizzo dei dati a fini pubblicitari. | Nessun annuncio mirato per utenti K-12 che accedono con account scolastico |
| Profilazione | Nessuna profilazione | Google può utilizzare i dati per migliorare i servizi e personalizzare i contenuti |
| Controllo admin | L’amministratore può attivare/disattivare per OU | L’amministratore può attivare/disattivare per OU, con impostazioni più granulari sulle fasce d’età |
La distinzione è cruciale. Nei Servizi principali, Google agisce come responsabile del trattamento sotto il CDPA. Nei Servizi aggiuntivi, il regime è diverso e meno protetto. L’amministratore deve valutare attentamente quali servizi aggiuntivi attivare, specialmente per gli utenti minorenni.
4. Trasferimento dati verso gli Stati Uniti
I dati trattati da Google possono essere trasferiti verso server situati negli Stati Uniti o in altri Paesi terzi. Il GDPR (Capo V, artt. 44-49) impone che tali trasferimenti avvengano solo in presenza di garanzie adeguate.
Le garanzie attualmente disponibili per Google Workspace sono:
- EU-U.S. Data Privacy Framework (DPF) — decisione di adeguatezza della Commissione Europea del 10 luglio 2023 (Decisione 2023/1795). Google LLC è certificata nel registro del DPF. Il Framework è però sotto costante scrutinio e potrebbe essere invalidato, come già avvenuto con il Privacy Shield (sentenza Schrems II, 2020).
- Clausole Contrattuali Standard (SCC) — integrate nel CDPA, costituiscono la garanzia di base indipendente dal DPF.
- Cloud Data Processing Addendum (CDPA) — include impegni specifici di Google sulla protezione dei dati in ambito educativo.
Il dirigente scolastico, in quanto titolare, ha l’obbligo di verificare che queste garanzie siano in essere e di documentare la propria valutazione. Non basta “fidarsi di Google” — il GDPR richiede una verifica attiva.
5. Base giuridica del trattamento
Le scuole sono pubbliche amministrazioni. Per una PA, la base giuridica principale per il trattamento dei dati è l’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. e) del GDPR) o l’obbligo legale (art. 6, par. 1, lett. c).
Il consenso non è la base giuridica appropriata per il trattamento dei dati nell’ambito delle attività didattiche e amministrative. Il Garante lo ha ribadito esplicitamente nel vademecum “La scuola a prova di privacy” (aggiornamento novembre 2025): la scuola non deve chiedere consenso per la gestione didattica, valutativa, amministrativa e organizzativa degli studenti.
La mitologia del “serve il consenso per tutto” è uno dei malintesi più diffusi nelle scuole italiane. Il Garante lo ha disinnescato con fermezza.
— Dal vademecum “La scuola a prova di privacy”, nov. 2025
Questo non significa che il consenso non serva mai. Serve per le attività non istituzionali: corsi opzionali, attività sportive facoltative, progetti non curricolari, pubblicazione di foto/video degli studenti su canali social. Per tutto il resto, la base giuridica è il compito di interesse pubblico.
6. Obblighi documentali
Il GDPR impone alla scuola una serie di obblighi documentali che devono essere adempiuti prima di iniziare a trattare i dati:
Registro dei trattamenti (art. 30)
Ogni trattamento effettuato tramite Google Workspace deve essere documentato: finalità, categorie di dati, categorie di interessati, responsabili, misure di sicurezza, tempi di conservazione. Il registro deve essere aggiornato e disponibile per il Garante in caso di ispezione.
Informativa privacy (art. 13)
Studenti, famiglie e personale devono ricevere un’informativa specifica sull’utilizzo di Google Workspace. L’informativa deve indicare: titolare, DPO, categorie di dati, basi giuridiche, finalità, trasferimento extra-UE, tempi di conservazione, diritti degli interessati.
Contratto con il responsabile (art. 28)
Il CDPA di Google deve essere accettato nella console di amministrazione. Senza questo passaggio, non esiste un contratto valido tra la scuola e Google per il trattamento dei dati.
Valutazione d’impatto — DPIA (art. 35)
Se il trattamento presenta un rischio elevato per i diritti e le libertà degli interessati — ad esempio il trattamento su larga scala di dati di minori — è obbligatoria una valutazione d’impatto. L’utilizzo di Google Workspace per 1.000+ studenti minorenni rientra potenzialmente in questa casistica.
Policy di conservazione dei dati
La scuola deve definire per quanto tempo conserva i dati negli account (email, file, compiti) e cosa succede alla cessazione del rapporto (disattivazione account, cancellazione dati, possibilità di esportazione).
7. Il piano ispezioni 2026 del Garante
Con il provvedimento n. 797 del 30 dicembre 2025, il Garante ha varato il piano di ispezioni per il primo semestre 2026. Tra i temi sotto la lente: l’uso dell’AI in ambito scolastico, i data breach, e il trattamento dati nelle pubbliche amministrazioni.
Le ispezioni sono effettuate in collaborazione con il Nucleo Speciale Tutela Privacy e Frodi Informatiche della Guardia di Finanza. Sono previsti almeno 40 accertamenti ispettivi, più ulteriori ispezioni su segnalazione o reclamo.
Una scuola che utilizza Google Workspace senza aver accettato il CDPA, senza informativa specifica, e senza registro dei trattamenti aggiornato, è esposta a sanzioni in caso di ispezione. Le sanzioni GDPR possono arrivare fino a 20 milioni di euro. Per una scuola, anche una sanzione “minima” ha conseguenze pesanti — inclusa la responsabilità dirigenziale.
Parte II
Guida operativa — cosa deve fare l’amministratore IT
8. Accettare il CDPA nella console di amministrazione
Questo è il passaggio più importante e quello che la maggior parte delle scuole non ha mai completato.
- Accedere alla Console di amministrazione Google (
admin.google.com) con l’account Superadmin - Andare in Account → Impostazioni account → Legale e conformità
- Nella sezione Termini di servizio aggiuntivi per sicurezza e privacy, accettare il Cloud Data Processing Addendum (CDPA)
- Se presente, accettare anche il Google Workspace for Education Service Data Addendum per i servizi aggiuntivi
Il CDPA deve essere accettato dal Dirigente Scolastico o da un soggetto da lui delegato con atto formale. Il Superadmin tecnico che accetta il CDPA deve avere una delega scritta del DS, poiché si tratta di un atto con valenza contrattuale.
9. Impostare il tipo di organizzazione
Nella console di amministrazione, verificare che il tipo di organizzazione sia correttamente impostato:
- Account → Impostazioni account → Profilo
- In Tipo di organizzazione, selezionare Istruzione primaria/secondaria
Questa impostazione è fondamentale perché abilita le protezioni aggiuntive per gli utenti minorenni: nessun annuncio pubblicitario nei servizi aggiuntivi, restrizioni basate sull’età, conformità COPPA.
10. Strutturare le unità organizzative
Le unità organizzative (OU) sono lo strumento con cui l’amministratore controlla quali servizi e impostazioni si applicano a quali utenti. Una struttura OU ben progettata è la base di una gestione conforme.
Struttura minima consigliata:
/— Radice (impostazioni predefinite restrittive)/Studenti— Tutti gli studenti (servizi aggiuntivi limitati)/Studenti/Biennio— Classi 1ª-2ª (restrizioni massime, utenti sotto i 16 anni)/Studenti/Triennio— Classi 3ª-5ª/Docenti— Personale docente/Personale ATA— Personale non docente/Amministratori— Superadmin e admin delegati
Ogni OU può avere impostazioni diverse per i servizi attivati, le restrizioni di età, le policy di sicurezza.
11. Gestire i servizi aggiuntivi
L’approccio corretto è: disattivare tutto per impostazione predefinita, attivare solo ciò che serve.
- Andare in App → Servizi Google aggiuntivi
- Nella OU radice, impostare i nuovi servizi su “Disattivato per tutti”
- Attivare singolarmente solo i servizi necessari, per le OU appropriate
Per le OU studentesche, valutare attentamente l’attivazione di YouTube (utile per la didattica, ma con rischi di distrazione e contenuti inappropriati). Se attivato, abilitare la modalità con restrizioni.
Nella Console di amministrazione, andare in Account → Impostazioni account → Profilo → Nuovi servizi e selezionare “Non attivare automaticamente i nuovi servizi quando vengono rilasciati”. In questo modo, ogni nuovo servizio rilasciato da Google rimarrà disattivato finché l’amministratore non lo valuta e lo attiva esplicitamente.
12. Configurare la sicurezza degli account
12.1 Policy sulle password
- Impostare una lunghezza minima di 12 caratteri
- Abilitare il requisito di complessità (maiuscole, minuscole, numeri, simboli)
- Impostare la scadenza password a 180 giorni (un quadrimestre scolastico)
12.2 Verifica in due passaggi (2FA)
- Abilitare la 2FA per il personale scolastico (docenti, ATA, amministratori) — consigliata fortemente, possibilmente obbligatoria
- Per gli studenti, la 2FA è consigliata ma non obbligatoria (molti studenti del biennio potrebbero non avere uno smartphone)
12.3 Impostazioni di età
- In Account → Impostazioni per età, specificare quali OU contengono utenti sotto i 18 anni
- Questa impostazione abilita automaticamente restrizioni aggiuntive sui servizi aggiuntivi per gli utenti minorenni
13. Gestire il ciclo di vita degli account
Un aspetto spesso trascurato: cosa succede ai dati quando uno studente lascia la scuola o un docente cessa il servizio.
| Evento | Azione | Tempistica |
|---|---|---|
| Studente si diploma / si trasferisce | Sospensione dell’account. Notifica all’utente con invito a esportare i dati tramite Google Takeout. Cancellazione dell’account. | Sospensione: entro 30 giorni dall’uscita. Cancellazione: entro 90 giorni dalla sospensione. |
| Docente / ATA cessa il servizio | Sospensione dell’account. Trasferimento della proprietà dei documenti condivisi (Drive) al referente del plesso. Cancellazione dell’account. | Sospensione: entro 30 giorni dalla cessazione. Cancellazione: entro 90 giorni. |
| Fine anno scolastico | Verifica degli account attivi. Sospensione degli account di studenti non più iscritti. Pulizia delle OU. | Entro settembre dell’anno scolastico successivo. |
Documentare queste procedure in un atto formale e includerle nel registro dei trattamenti.
14. Monitorare i log
La console di amministrazione di Google Workspace offre strumenti di audit e monitoraggio che l’amministratore deve utilizzare regolarmente:
- Report → Audit → Accesso: verifica degli accessi agli account, tentativi falliti, accessi sospetti
- Report → Audit → Admin: log di tutte le azioni amministrative effettuate nella console
- Sicurezza → Centro avvisi: notifiche automatiche su eventi di sicurezza (tentativi di phishing, accessi anomali, malware)
- Report → Utilizzo app: panoramica dell’utilizzo dei servizi per OU
I log di accesso sono conservati da Google per un massimo di 6 mesi. Se necessario conservarli più a lungo (ad esempio per indagini disciplinari o giudiziarie), è necessario esportarli periodicamente.
15. Checklist di conformità
Riepilogo di tutte le azioni necessarie per utilizzare Google Workspace for Education in modo conforme al GDPR.
Azioni del Dirigente Scolastico
Azioni dell’amministratore IT
Riferimenti
| Documento | Link |
|---|---|
| GDPR — Reg. UE 2016/679 | EUR-Lex |
| Contratto Google Workspace for Education | |
| Cloud Data Processing Addendum (CDPA) | |
| Informativa privacy Google Workspace for Education | |
| Sub-responsabili di Google | |
| EU-U.S. Data Privacy Framework | DPF |
| Provvedimento Garante n. 529/2025 | Garante |
| Vademecum “La scuola a prova di privacy” | Garante |
| Piano ispezioni I semestre 2026 (Provv. 797/2025) | Garante |
| Nota MIM n. 706/2023 su conformità GDPR | MIM |
Questo articolo non costituisce parere legale. Ha l’obiettivo di fornire un quadro informativo e operativo a dirigenti scolastici, DPO, animatori digitali e referenti ICT. Per una valutazione specifica, rivolgersi al DPO del proprio istituto.