In breve
Due documenti, stesso giorno, stessa materia. La differenza sta nei traccianti: vietati in linea di principio a scuola, sconsigliati all'università. Lo studente è maggiorenne ma in situazione di subordinazione, quindi resta persona vulnerabile ai fini dell'AIPD e il consenso continua a non funzionare come base giuridica.
L'unica differenza vera
Nel testo per la scuola la CNIL scrive che il titolare deve accertarsi che lo strumento non ricorra a traccianti pubblicitari, «in linea di principio vietati» in ragione della neutralità del servizio pubblico dell'istruzione, che comprende la neutralità commerciale. Se ci sono, vanno disattivati.
Nel testo per l'istruzione superiore la stessa autorità, lo stesso giorno, «raccomanda di privilegiare strumenti che non implichino, da parte del fornitore, l'uso di traccianti o di dispositivi di tracciamento a fini di sfruttamento pubblicitario, di profilazione o di riutilizzo commerciale dei dati, oppure per i quali tali funzionalità possano essere disattivate dall'istituto». Raccomanda: non vieta. E il principio di neutralità del servizio pubblico dell'istruzione non viene richiamato.
Non è una svista. Il divieto scolastico poggia su un principio che riguarda il servizio pubblico dell'istruzione scolastica; l'istruzione superiore ha un quadro suo. Per un DPO la conseguenza pratica è concreta: la conclusione sui traccianti scritta nell'AIPD di un liceo non si copia in quella di un'università, perché la premessa giuridica non è la stessa.
Lo studente è maggiorenne, e resta vulnerabile
Sulla vulnerabilità la CNIL non arretra. Nel testo universitario motiva la raccomandazione di proteggere i dati dal rischio di divulgazione ad autorità di paesi terzi proprio con «la vulnerabilità delle persone interessate, in particolare gli studenti, che si trovano in situazione di subordinazione».
La subordinazione produce due effetti. Nell'analisi della base giuridica esclude il consenso, che deve essere libero e non influenzato dalla posizione di autorità del titolare: lo studente deve poter rifiutare senza conseguenze negative, e non può. Nell'analisi dell'AIPD fa scattare il criterio delle persone vulnerabili, esattamente come per i minori.
Cosa non cambia
- Base giuridica: esecuzione di un compito di interesse pubblico, per gli istituti pubblici e privati.
- Informativa concisa, trasparente, comprensibile e facilmente accessibile (articoli 12, 13 e 14), disponibile prima dell'inizio del trattamento e ripetuta a ogni inizio d'anno.
- AIPD obbligatoria al ricorrere di due criteri EDPB, e probabile nella maggior parte dei casi.
- Garanzie del responsabile ai sensi dell'articolo 28 e contratto con le menzioni obbligatorie, comprese quelle di fine rapporto su reversibilità e cancellazione.
- Trasferimenti secondo il capo V, con SecNumCloud citato come esempio di assoggettamento esclusivo al diritto europeo.
Cosa manca all'università
Due cose presenti nel testo scolastico non compaiono in quello universitario: il riferimento all'articolo L.131-2 del code de l'éducation, che riguarda il servizio pubblico del digitale educativo scolastico, e il décret n. 2025-1165 del 5 dicembre 2025, che vincola le scelte tecniche dei collèges e lycées pubblici. Gli atenei restano liberi su quel fronte, e più esposti sull'altro: la scelta va motivata nell'AIPD, non delegata al fornitore.
L'errore da non fare
Trattare i due documenti come uno solo. Sono gemelli per l'ottanta per cento e divergono nel punto che di solito decide l'acquisto: se lo strumento con traccianti pubblicitari sia ammissibile o no. A scuola la risposta è no. All'università è «meglio di no, e se ci sono devono potersi disattivare».
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
