Dati personali dei bambini online: cosa raccolgono davvero le app scolastiche

La digitalizzazione della scuola ha reso le app educative parte della routine quotidiana di alunni e famiglie. Dietro l’interfaccia pensata per compiti, messaggi ai docenti e registro elettronico, però, si muove una raccolta di dati che merita analisi tecnica. L’autrice, con esperienza di laboratori interculturali nella scuola dell’infanzia, osserva come l’incontro tra bambini, tecnologie e famiglie imponga trasparenza, linguaggio chiaro e scelte tecniche verificabili.

Quali dati vengono raccolti e come

Per “dato personale” si intende qualsiasi informazione che identifica o rende identificabile una persona fisica. Nelle app scolastiche i principali insiemi sono quattro: identificativi, dati d’uso, contenuti didattici e metadati tecnici.

I dati identificativi includono nome e cognome, classe, sezione, codice fiscale o matricola interna, indirizzi email scolastici, recapiti dei genitori o tutori. Possono essere trattati anche dati particolari ai sensi dell’art. 9 del GDPR: ad esempio indicazioni su bisogni educativi speciali, piani personalizzati, certificazioni di disabilità, allergie per l’uscita didattica.

Potrebbe interessarti anche

Quali sono i segnali precoci di bullismo a scuola? Come riconoscerli per agire subitoBambini iperattivi a scuola: come comportarsi? Strategie pratiche per insegnanti e genitoriCome favorire l’inclusione durante la ricreazione? L’attività collaborativa che crea nuove amicizieFotografia digitale in classe: L’attività creativa che aiuta i bambini a raccontare le emozioni

I dati d’uso comprendono log di accesso, orari di connessione, durata delle sessioni, interazioni con i contenuti (click, quiz svolti, tempo su attività), indirizzi IP e informazioni di rete. Nei dispositivi mobili possono comparire identificatori del dispositivo, token per notifiche push, e a volte dati di geolocalizzazione se abilitati.

I contenuti didattici sono compiti consegnati, elaborati, valutazioni, commenti, registrazioni audio o video quando previste da funzioni di lezione a distanza. I metadati tecnici descrivono formato dei file, versione dell’app, sistema operativo, errori di crash.

La raccolta avviene tramite: account scolastici forniti dall’istituto; sistemi di autenticazione federata (Single Sign-On, o SSO); Software Development Kit (SDK) di analisi e diagnostica integrati dall’editore dell’app; plugin per videoconferenza; moduli di segnalazione bug. Ciascun componente può generare flussi di dati autonomi verso server propri o di terze parti.

Ruoli, basi giuridiche e tutele per i minori

Nella scuola statale e paritaria, il titolare del trattamento è in genere l’istituto scolastico, che decide finalità e mezzi del trattamento. I fornitori delle app agiscono da responsabili del trattamento, ai sensi dell’art. 28 del GDPR, su istruzioni scritte del titolare e con adeguate misure di sicurezza.

La base giuridica più frequente per l’uso didattico è l’art. 6, par. 1, lett. e) del GDPR: esecuzione di un compito di interesse pubblico. Per i dati particolari (es. informazioni sanitarie collegate a bisogni educativi) occorre una delle condizioni di cui all’art. 9, par. 2, spesso riconducibile a motivi di rilevante interesse pubblico nel settore dell’istruzione, prevista dal diritto nazionale.

In Italia l’età per il consenso digitale autonomo è 14 anni (D.lgs. 101/2018). Sotto tale soglia, per servizi della società dell’informazione offerti direttamente al minore, serve il consenso del titolare della responsabilità genitoriale. Negli Stati Uniti si applica la legge COPPA per gli under 13, ma in ambito europeo il riferimento resta il GDPR e la normativa nazionale di attuazione.

Dal 2024, il Digital Services Act vieta la pubblicità mirata basata su profilazione ai minori sulle piattaforme coperte dal regolamento. Questo non elimina la raccolta tecnica dei dati, ma impone limiti alle finalità di targeting.

Per trattamenti che presentano un rischio elevato (es. monitoraggio sistematico di classi intere, proctoring o analisi comportamentale su larga scala) la scuola deve eseguire una valutazione d’impatto sulla protezione dei dati (DPIA, art. 35 GDPR). Devono inoltre essere nominati il responsabile della protezione dei dati (RPD o DPO) e mantenuti registri dei trattamenti aggiornati.

Tecnologie di tracciamento nelle app educative

Molte app includono SDK terzi per analisi di utilizzo, performance, crash reporting e messaggistica. Tali componenti possono raccogliere identificatori pubblicitari del sistema operativo (se non disattivati), fingerprint del dispositivo tramite combinazione di parametri tecnici, e dati su come l’utente interagisce con schermi e funzioni.

Le notifiche push richiedono un token univoco associato al dispositivo. I servizi di videoconferenza possono trattare indirizzi IP, orari di connessione, qualità della rete, eventuali miniature video. In alcuni casi, per funzionalità di geofencing (ad esempio per bus scolastico o presenze), viene richiesto l’accesso alla posizione. Buone pratiche prevedono la geolocalizzazione disattiva per impostazione predefinita e l’attivazione solo quando strettamente necessaria e proporzionata.

Una criticità ricorrente riguarda i trasferimenti di dati verso Paesi terzi. In assenza di una decisione di adeguatezza, si fa ricorso a Clausole Contrattuali Standard (SCC) e a una Transfer Impact Assessment (TIA) per valutare i rischi residui. Il solo utilizzo di SCC non esonera dal dovere di verificare se la legislazione del Paese importatore consenta un livello di protezione sostanzialmente equivalente.

Tipologie di app e dati tipici

Rischi concreti per i minori

Il primo rischio è la costruzione involontaria di profili dettagliati. Dati di interazione e rendimento, combinati con informazioni di contesto familiare, possono generare etichette persistenti. Anche se non usate per pubblicità, tali etichette influiscono su percorsi educativi e opportunità.

Secondo, le vulnerabilità applicative e i data breach. Una cattiva gestione delle chiavi di cifratura o delle API può esporre registri e contatti. Gli incidenti su larga scala mostrano che la sicurezza va considerata sin dalla progettazione (principio di “privacy by design”).

Terzo, la portabilità involontaria dei dati. Backup in cloud, sincronizzazioni tra servizi e copia su dispositivi familiari aumentano le superfici di rischio.

In questo quadro, un’analisi dei rischi meno evidenti dell’educazione digitale può aiutare a leggere le dinamiche di classe e di casa con maggiore lucidità; a tal fine è utile questa riflessione sulle zone d’ombra che spesso sfuggono nella didattica connessa.

Come valutare un’app scolastica prima di adottarla

Una verifica tecnica e documentale strutturata riduce i rischi e chiarisce le responsabilità.

• Finalità e minimizzazione: verificare che ogni dato richiesto serva a uno scopo didattico o organizzativo definito.
• Privacy policy e informativa: linguaggio chiaro, indicazione di basi giuridiche, tempi di conservazione, diritti degli interessati.
• Contratti e DPIA: accordo di nomina a responsabile ex art. 28; DPIA quando si configurano rischi elevati.
• Sicurezza: cifratura a riposo e in transito (es. TLS 1.2+), gestione chiavi, audit logging, controllo accessi per ruoli.
• Trasferimenti dati: localizzazione dei server, SCC e TIA se extra-UE, misure supplementari di cifratura lato client quando possibile.
• Permessi e configurazioni: geolocalizzazione, fotocamera e microfono abilitati solo se necessari; opzioni di opt-out per tracciamenti non essenziali.
• Portabilità e cancellazione: esportazione in formati aperti, procedure di rettifica ed eliminazione su richiesta.
• Trasparenza sugli SDK: elenco dei componenti terzi integrati, finalità e durata di conservazione.

Per docenti e famiglie è utile integrare la valutazione tecnica con suggerimenti concreti di comportamento, come i consigli pratici per trovare un equilibrio sostenibile nell’uso della tecnologia in classe, così da allineare impostazioni, pratiche e aspettative.

Diritti delle famiglie e buone pratiche operative

I genitori possono esercitare i diritti di accesso, rettifica e limitazione del trattamento. La cancellazione potrebbe essere limitata quando il trattamento si fonda su obblighi legali o interesse pubblico, ma rimane possibile in presenza di dati trattati in eccesso o senza base giuridica adeguata.

Domande utili da porre alla scuola o al fornitore: quali categorie di dati sono obbligatorie; per quanto tempo vengono conservati i log; quali misure prevengono accessi da parte di personale non autorizzato; esistono audit indipendenti o certificazioni (es. ISO/IEC 27001).

Buone pratiche per famiglie e istituti includono: attivazione dell’autenticazione a due fattori; disattivazione degli identificatori pubblicitari sul dispositivo domestico; aggiornamenti software regolari; profili separati per uso scolastico e personale sui tablet condivisi; revisione periodica dei permessi delle app; formazione del personale e degli studenti su riconoscimento di phishing e gestione password.

Per le scuole, vale la pena definire policy di retention per ogni tipologia di dato (es. log di accesso 6-12 mesi, elaborati didattici per l’anno scolastico più un periodo amministrativo), con automatismi di cancellazione e registrazione delle operazioni.

Dalla trasparenza alla fiducia

La tecnologia può sostenere l’inclusione, soprattutto in contesti multiculturali, se gli strumenti sono selezionati con criteri di necessità, proporzionalità e sicurezza. Una comunicazione chiara con le famiglie, accompagnata da scelte tecniche verificabili e da procedure di controllo, crea fiducia. È così che l’ambiente digitale torna ad essere uno spazio educativo, dove ogni bambino può crescere senza essere trasformato in un profilo permanente.