Quando la sicurezza di una piattaforma scolastica fallisce: il caso della modulistica Bergantini tra GDPR, NIS2 e responsabilità del fornitore
Il fatto e la qualificazione giuridica
La piattaforma gestionale Bergantini di Gruppo Spaggiari Parma S.p.A. ha subito un accesso non autorizzato al modulo “Modulistica Smart Bergantini”, con esfiltrazione di circa 6,1 TB di dati secondo quanto rivendicato da un gruppo criminale. L’accaduto, collocabile al 30 giugno 2026, interessa documentazione allegata dagli utenti — certificazioni di disturbi dell’apprendimento, diagnosi funzionali, piani educativi individualizzati, documenti sanitari di minori. La società ha notificato l’evento al Garante per la protezione dei dati personali, all’Agenzia per la Cybersicurezza Nazionale e alle autorità giudiziarie. La violazione della riservatezza, secondo la definizione dell’articolo 4, numero 12), del Regolamento (UE) 2016/679, è integrata dall’accesso non autorizzato, indipendentemente dalla circostanza che, allo stato, non si abbiano evidenze di utilizzo fraudolento.
Perché il rischio è qualitativamente diverso
Il profilo qualificante della vicenda non è la quantità presunta dei dati bensì la loro natura. La documentazione sanitaria riferita a minori — certificazioni ai sensi della legge 170/2010 (disturbi specifici dell’apprendimento), documentazione connessa alla legge 104/1992 (disabilità) — rientra nella nozione di “dati relativi alla salute” di cui all’articolo 9, paragrafo 1, del Regolamento, categorie particolari soggette a protezione rafforzata. Il Considerando 38 del Regolamento riconosce ai minori “una specifica protezione relativamente ai loro dati personali”. La divulgazione di tali dati espone a rischi di stigmatizzazione e discriminazione, di persistenza lungo la vita della persona e di irreversibilità non neutralizzabile mediante sostituzione di credenziali. La valutazione del rischio elevato ai fini dell’articolo 34 del Regolamento (comunicazione agli interessati obbligatoria) deve essere condotta con presunzione favorevole alla comunicazione in presenza di documentazione sanitaria riferita a minori, invertendo l’onere argomentativo della esclusione.
Il quadro normativo: GDPR e NIS2 a confronto
L’articolo 32 del Regolamento (UE) 2016/679 impone titolare e responsabile di adottare misure di sicurezza “adeguate al rischio”, con documentazione delle valutazioni condotte. La notifica al Garante ex articolo 33, paragrafo 1, è dovuta “senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza”, salvo che sia improbabile il rischio per i diritti e le libertà. La comunicazione agli interessati ex articolo 34 è obbligatoria “quando la violazione è suscettibile di presentare un rischio elevato”. Il decreto legislativo 4 settembre 2024, n. 138, che recepisce la direttiva NIS2 (UE) 2022/2555, introduce obblighi di notifica degli incidenti significativi entro 24 ore (pre-allarme) e 72 ore (notifica strutturata) all’Agenzia per la Cybersicurezza Nazionale, con finalità diversa dalla protezione dei dati: tutela della continuità dei servizi e condivisione informativa. Un medesimo evento può integrare entrambi gli obblighi, uno soltanto, o nessuno, con tempistiche e destinatari distinti. L’Agenzia per la Cybersicurezza Nazionale è consultabile all’indirizzo https://www.acn.gov.it. Per le istituzioni scolastiche statali rilevano inoltre il Codice dell’amministrazione digitale (d.lgs. 82/2005) e le misure minime di sicurezza ICT elaborate da AgID.
La ripartizione dei ruoli: titolare e responsabile
L’istituzione scolastica statale è titolare del trattamento dei dati di alunni, famiglie e personale, ai sensi dell’articolo 6, paragrafo 1, lettera e), del Regolamento (esecuzione di compiti di interesse pubblico). Quando la scuola utilizza una piattaforma gestionale fornita da operatore privato, il fornitore agisce di regola come responsabile del trattamento ex articolo 28. Conseguenza di rilievo pratico spesso sottovalutata: l’obbligo di notifica all’Autorità ex articolo 33, paragrafo 1, grava sul titolare — ciascuna istituzione scolastica — e non sul fornitore; a quest’ultimo compete la notifica al titolare ex paragrafo 2, senza ingiustificato ritardo e su canale determinato. Analogamente, la comunicazione agli interessati ex articolo 34 è obbligo del titolare. Il contratto ex articolo 28, paragrafo 3, deve disciplinare puntualmente i tempi della notifica della violazione (non la formula generica “senza ingiustificato ritardo”), il canale dedicato, il contenuto minimo della segnalazione e l’obbligo di comunicazione preventiva dei sub-responsabili. Il Garante per la protezione dei dati ha elencato le tipologie di trattamento soggette a valutazione d’impatto obbligatoria (articolo 35), includendovi il trattamento su larga scala di categorie particolari: il trattamento di documentazione sanitaria di minori via piattaforme esternalizzate integra presumibilmente tale presupposto.
La comunicazione pubblica non assolve l’articolo 34
La comunicazione pubblica tramite comunicato stampa, pur importante ai fini reputazionali, non assolve l’obbligo dell’articolo 34 del Regolamento. Il paragrafo 2 richiede una comunicazione individuale con specifici contenuti: descrizione della natura della violazione, contatti del DPO, descrizione delle probabili conseguenze, descrizione delle misure adottate. Il paragrafo 3, lettera c), consente comunicazione pubblica soltanto quando quella individuale “richiederebbe sforzi sproporzionati”, e comunque con “analoga efficacia” rispetto agli obblighi informativi. La formula aziendale “l’episodio è suscettibile di determinare una violazione della riservatezza” è corretta ma prudente: l’accesso non autorizzato confermato integra già la violazione di riservatezza; ciò che è “suscettibile” è il danno conseguente. L’assenza di evidenze di utilizzo fraudolento non equivale all’evidenza di assenza. Dal punto di vista dell’interessato — segnatamente il genitore di minore — l’informazione utile risiede nell’indicazione puntuale delle categorie documentali interessate e dei comportamenti prudenziali, non nella rassicurazione sul perimetro non compromesso.
La responsabilità nella catena di fornitura: asimmetria informativa
L’articolo 28, paragrafo 1, richiede al titolare di verificare che il responsabile offra “garanzie sufficienti”. La disposizione configura un obbligo di due diligence preventiva che non si esaurisce nella nomina. Nel contesto scolastico si registra una asimmetria strutturale: l’istituzione scolastica è soggetto di dimensioni contenute, privo di competenze specialistiche in sicurezza informatica, con risorse limitate. Il responsabile della protezione dei dati — obbligatorio per organismi pubblici (articolo 37, paragrafo 1, lettera a) — è frequentemente esterno, con disponibilità oraria contenuta. Ne deriva che la facoltà di verifica ex articolo 28, paragrafo 3, lettera h) (audit e accesso alle informazioni) rimane in larga misura teorica: il contratto è predisposto dal fornitore su base standard, con margini di negoziazione ridotti; l’audit è raramente esercitato. Una possibile mitigazione è l’aggregazione della domanda: acquisizione centralizzata o consortile consente di concentrare capacità negoziale e competenza tecnica, standardizzare clausole di protezione dei dati, prevedere livelli di servizio uniformi. Rilevano a tal fine i meccanismi di qualificazione dei servizi cloud per la pubblica amministrazione, la classificazione dei dati e dei servizi operata da AgID e dall’Agenzia per la Cybersicurezza Nazionale.
Cosa devono fare le imprese
Le istituzioni scolastiche titolari di piattaforme gestionali esternalizzate dovrebbero condurre le seguenti verifiche e interventi:
Mappatura granulare dei flussi di dati: ricostruire puntualmente quali categorie di dati e quale documentazione allegata transitino su ciascun modulo applicativo, distinguendo il dato strutturato dal documento. Il registro delle attività di trattamento (articolo 30) richiede un livello di granularità spesso assente nella prassi.
Revisione degli atti di nomina a responsabile: verificare che il contratto ex articolo 28, paragrafo 3, disciplini in modo puntuale i tempi della notifica della violazione (termine in ore, canale dedicato, contenuto minimo), l’obbligo di comunicazione preventiva delle variazioni nei sub-responsabili, l’obbligo di assistenza nella gestione del rischio (articolo 32) e nella comunicazione agli interessati.
Procedura interna per la gestione delle violazioni: documentare il processo di rilevazione, valutazione del rischio, redazione della notifica, coordinamento con obblighi NIS2 e denuncia giudiziaria. Predisporre modelli precompilati per i singoli step, con identificazione nominativa dei soggetti responsabili.
Valutazione d’impatto sulla protezione dei dati (articolo 35): condurre o aggiornare la valutazione considerando specificamente gli scenari di esfiltrazione e pubblicazione dei dati, con particolare attenzione alle categorie particolari riferite a minori.
Verifica documentale delle misure di sicurezza del fornitore: acquisire e conservare evidenze su segmentazione delle reti, cifratura, gestione delle vulnerabilità, test di sicurezza periodici, gestione degli accessi privilegiati, registrazione dei log. Se la scuola non dispone di competenze interne, ricorrere a forme di verifica aggregata a livello di rete di istituti.
Minimizzazione dei documenti: riesaminare le procedure che richiedono allegazione di documentazione sanitaria, verificando se la finalità può conseguirsi con dati meno invasivi e se la conservazione oltre la conclusione del procedimento sia necessaria. Implementare politiche di cancellazione documentate.
Preparazione di modelli di comunicazione agli interessati: redarre in anticipo comunicazioni differenziate per categoria (famiglie di minori, personale), in linguaggio chiaro, indicando categorie di dati interessate, conseguenze probabili, misure utili per l’interessato. Predisporre canali di risposta alle richieste di accesso (articolo 15) e di chiarimento.
Coordinamento fra titolari: quando una piattaforma serve molteplici istituti, sollecitare al fornitore un pacchetto informativo uniforme e documentato che consenta a ciascun titolare di condurre la propria valutazione del rischio autonoma.
Formazione del personale: affrontare specificamente le regole di caricamento degli allegati, il riconoscimento di accessi anomali, la segnalazione interna degli eventi. L’articolo 32, paragrafo 4, richiede che chiunque agisca sotto l’autorità del titolare tratti i dati soltanto su istruzione.
Rapporto con le autorità: predisporre e mantenere aggiornato un prospetto interno con canali, termini e soggetti legittimati per la notifica al Garante, all’ACN e all’autorità giudiziaria, con credenziali di accesso ai portali telematici.
Conclusioni
La vicenda ripropone tre questioni critiche. La prima riguarda l’effettiva ripartizione degli adempimenti fra fornitore e istituzioni titolari: non si ha evidenza di come i singoli istituti abbiano assolto agli articoli 33 e 34, né se abbiano condotto valutazioni autonome del rischio. La delega di fatto della gestione al responsabile non esonera il titolare dalle proprie responsabilità. La seconda è di ordine sistemico e attiene all’assetto della governance digitale scolastica: il problema non è la titolarità pubblica o privata dell’infrastruttura, bensì l’esistenza di requisiti minimi di sicurezza vincolanti e verificati, di schemi contrattuali standardizzati, di meccanismi di certificazione ai sensi dell’articolo 42 del Regolamento e di coordinamento nazionale nella gestione degli incidenti di comparto. La terza concerne l’interazione fra discipline sovrapposte: il decreto legislativo 138/2024 e il Regolamento (UE) 2024/1689 sull’intelligenza artificiale introducono obblighi che si intrecciano con quelli del GDPR, con soglie, tempistiche e autorità diverse. La costruzione di procedure interne integrate è oggi un’esigenza concreta, non teorica.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
