A scuola i traccianti pubblicitari sono vietati, e non per una questione di consenso

La neutralità commerciale non è una raccomandazione

Su questo punto la CNIL non usa il condizionale. Il titolare deve accertarsi che lo strumento non ricorra a traccianti pubblicitari, «in linea di principio vietati» in ragione del principio di neutralità del servizio pubblico dell'istruzione, che comprende la neutralità commerciale. Se lo strumento adotta dispositivi di tracciamento a fini di sfruttamento pubblicitario o di profilazione, il titolare deve disattivare quelle funzionalità.

È una regola che non nasce dal GDPR e non si risolve con una casella di consenso: viene dal diritto del servizio pubblico. Un fornitore che risponde «l'utente può rifiutare» non ha risposto alla domanda.

Perché il consenso non regge

Quando l'uso di strumenti collaborativi in ambito didattico comporta trattamenti di dati personali, il titolare deve prima determinare la base giuridica di ciascuno. Se i trattamenti rispondono alle missioni di servizio pubblico dell'istituto — pubblico o privato che sia, e in particolare al servizio pubblico del digitale educativo dell'articolo L.131-2 del code de l'éducation — la base è l'esecuzione di un compito di interesse pubblico.

Il consenso, scrive la CNIL, difficilmente può essere trattenuto: per essere valido dev'essere libero, cioè né costretto né influenzato dalla posizione di autorità del titolare. Un alunno, il suo responsabile legale o un docente devono poter rifiutare senza subire conseguenze negative, e nel contesto scolastico questa condizione non si realizza.

L'AIPD, quasi sempre

I criteri delle linee guida EDPB che qui vengono in rilievo sono tre: trattamento riguardante persone vulnerabili, trattamento su larga scala, trattamento di dati sensibili. I minori rientrano nella prima categoria — e con loro il personale amministrativo e docente quando si trova in rapporto di subordinazione.

Al ricorrere di almeno due criteri l'AIPD va fatta prima di attivare il trattamento. La CNIL aggiunge che nella maggior parte dei casi è probabile che sia necessaria, e che nel dubbio conviene farla. Il titolare può chiedere assistenza al proprio DPO, e può sollecitare il fornitore dello strumento, che in qualità di responsabile è tenuto a collaborare ai sensi dell'articolo 28, paragrafo 3, lettera f).

L'informativa va scritta per chi la deve leggere

L'informativa deve essere concisa, trasparente, comprensibile e facilmente accessibile (articoli 12, 13 e 14). Per i minori la CNIL chiede di adattarla all'età: linguaggio chiaro secondo le norme ISO 24495-1:2023 e ISO 24495-2:2025, oppure il metodo «facile da leggere e da capire» per chi ha difficoltà di lettura o si trova in situazione di disabilità.

• Prima dell'inizio del trattamento, per esempio alla prima connessione allo strumento.
• Anche per posta elettronica a tutte le persone interessate.
• E poi a ogni inizio d'anno: per la scuola primaria, in occasione della riunione con i responsabili legali.

Il decreto che restringe la scelta

Per i collèges e i lycées pubblici non basta il GDPR. Il décret n. 2025-1165 del 5 dicembre 2025, relativo al quadro di riferimento del digitale per l'istruzione, impone di usare strumenti e servizi digitali che rispettino prescrizioni tecniche di sicurezza, interoperabilità e digitale responsabile fissate dal ministro.