Giochi della Gioventù pubblicano dati sensibili studenti

L'attenzione del Parlamento italiano si è focalizzata recentemente su un episodio critico di data breach e gestione impropria delle informazioni personali durante i Nuovi Giochi della Gioventù. Secondo quanto emerso dall'interrogazione a risposta in commissione 5/05992 presentata da Mauro Berruto il 12 novembre 2026, durante la pubblicazione dei risultati della fase nazionale sarebbero state rese pubblicamente accessibili, accanto al nome degli studenti-atleti con disabilità, le indicazioni relative alle specifiche condizioni di salute degli stessi.

Tale diffusione non autorizzata rappresenta una violazione diretta delle tutele previste dal Regolamento UE 2016/679 (GDPR), che impone garanzie particolarmente rigorose per il trattamento dei dati sensibili, specialmente quando riguardano soggetti minorenni. Il fatto critico risiede nel passaggio da sistemi di gestione sicuri, come il software OlimpyaWin — che per anni ha garantito la riservatezza indicando esclusivamente la lettera «P» (paralimpico) senza rendere pubblica la specifica condizione di salute — a piattaforme diverse utilizzate per la fase nazionale, le quali hanno invece esposto i dati sanitari in chiaro online.

L'interrogazione sottolinea come il Ministero dell'Istruzione e del Merito e gli uffici scolastici abbiano predisposto specifiche autorizzazioni sottoscritte dai genitori per consentire la registrazione degli atleti sui portali federali. Tuttavia, la gestione di queste informazioni durante la trasmissione e la successiva pubblicazione dei risultati avrebbe compromesso la riservatezza e la dignità degli studenti-atleti, esponendo i minori a una diffusione non necessaria di informazioni particolarmente delicate. Il rischio identificato è quello di una violazione sistematica dei diritti fondamentali degli studenti coinvolti in attività sportive scolastiche.

Cosa stabilisce il regolamento UE 2016/679 (GDPR)

Il regolamento generale sulla protezione dei dati personali, accessibile tramite il portale del Ministero dell'Istruzione e del Merito, stabilisce che la scuola sia un luogo di condivisione che non deve però trasformare la vita privata degli studenti in dominio pubblico. Sebbene alcuni dati, come i voti dei compiti o delle interrogazioni, siano considerati pubblici all'interno della classe poiché parte del processo di apprendimento, la normativa impone limiti stringenti sulla loro diffusione esterna.

In particolare, il quadro normativo vieta ai docenti di:

• Diffondere i voti a studenti di classi diverse;
• Pubblicare online elenchi che associno i nomi degli alunni ai relativi voti;
• Utilizzare le valutazioni o le note per umiliare gli studenti pubblicamente.

Il trattamento dei dati relativi alla salute è consentito esclusivamente per l'adozione di misure di sostegno per gli alunni con disabilità, per i disturbi specifici di apprendimento (DSA), per i bisogni educativi speciali (BES), per la partecipazione ad attività sportive o viaggi di istruzione e per le allergie alimentari. Qualsiasi pubblicazione che vada oltre queste finalità specifiche e che non sia strettamente necessaria per l'inclusione scolastica è considerata una violazione della normativa vigente.

Contesto e precedenti tecnologici

La gestione dei dati degli studenti-atleti ha visto negli anni l'adozione di strumenti tecnologici specifici per bilanciare la necessità di monitoraggio agonistico e il rispetto della privacy. Il software OlimpyaWin, ideato dal professor Roberto Romano, è stato il punto di riferimento per la gestione dei risultati a livello provinciale e regionale, distinguendosi per l'approccio cautelativo che limitava la visibilità delle disabilità alla sola sigla «P».

Il recente incidente legato ai Giochi della Gioventù 2026 evidenzia invece una frattura tecnologica e procedurale tra la gestione locale e quella nazionale. Mentre le piattaforme regionali hanno mantenuto standard di riservatezza, le piattaforme utilizzate per la fase nazionale hanno fallito nel garantire la pseudonimizzazione dei dati, rendendo consultabili online informazioni che dovrebbero restare confinate all'ambito istituzionale scolastico. Questo scenario mette in luce la vulnerabilità dei dati sensibili quando vengono trasferiti su piattaforme non adeguatamente configurate o prive di protocolli di sicurezza uniformi.

Inoltre, il contesto è segnato da una crescente digitalizzazione dei percorsi inclusivi. Molte istituzioni scolastiche hanno già adottato la gestione informatizzata del Piano Educativo Individualizzato (PEI) tramite la piattaforma SIDI del Ministero. In questi casi, la scuola richiede esplicitamente ai genitori la sottoscrizione di moduli di autorizzazione per il trattamento di dati sensibili (salute e situazione familiare), specificando che tali informazioni non saranno soggette ad alcuna forma di pubblicazione esterna all'Istituzione Scolastica. Il contrasto tra queste procedure consolidate e quanto accaduto durante i Giochi della Gioventù sottolinea la necessità di una vigilanza costante sugli strumenti utilizzati per le manifestazioni sportive di massa.

Linee guida per docenti, ATA e scuole

L'episodio dei Giochi della Gioventù 2026 impone un cambio di paradigma operativo immediato per tutti gli attori coinvolti nella gestione degli studenti-atleti e dei dati sensibili. Le scuole e gli uffici scolastici devono ora prestare una massima attenzione alla conformità delle piattaforme utilizzate per la raccolta, la trasmissione e la pubblicazione dei risultati, assicurandosi che non vi sia alcuna sovrapposizione tra dati identificativi e condizioni di salute.

Per i dirigenti scolastici e gli uffici amministrativi, le azioni concrete includono:

• Verificare che ogni piattaforma esterna (federali, regionali o software di terze parti) rispetti i requisiti di pseudonimizzazione previsti dal GDPR;
• Richiedere ai fornitori di servizi tecnologici garanzie scritte sulla sicurezza dei dati e sulla loro cancellazione post-evento;
• Adottare procedure uniformi per la raccolta dei dati, evitando l'uso di moduli non protetti o piattaforme non certificate.

Per i docenti di sostegno e i responsabili delle attività sportive, è fondamentale:

• Garantire che le autorizzazioni firmate dai genitori siano utilizzate esclusivamente per le finalità dichiarate (es. partecipazione sportiva) e non vengano cedute a terzi senza ulteriore consenso;
• Monitorare che le informazioni sulle disabilità non vengano comunicate verbalmente o digitalmente in contesti non protetti;
• Collaborare con la segreteria per assicurarsi che i dati sensibili non siano inseriti in campi di testo "aperti" o visibili su portali pubblici.

Per il personale ATA e gli uffici di segreteria, la gestione dei flussi documentali deve essere blindata: è vietata la pubblicazione di elenchi nominativi associati a dati sanitari su siti web istituzionali o bacheche digitali. Qualsiasi dato relativo alla salute deve essere trattato con il principio di minimizzazione, ovvero utilizzando solo le informazioni strettamente necessarie per l'adempimento del compito scolastico, eliminando ogni dettaglio non essenziale che possa compromettere la dignità del minore.

Il dibattito sulla sicurezza dei dati

Il dibattito sulla sicurezza dei dati scolastici è arricchito dalle preoccupazioni dei sindacati europei. Il Comitato sindacale europeo per l'istruzione (ETUCE) ha lanciato un allarme sulla possibile "vendita" dei dati degli studenti e dei docenti alle Big Tech. Secondo le organizzazioni di categoria, l'uso di dati personali per addestrare sistemi di intelligenza artificiale senza un consenso esplicito e consapevole rappresenterebbe un depotenziamento delle tutele storiche.

In questo contesto, il Garante per la protezione dei dati personali ha recentemente espresso pareri favorevoli su schemi di decreto per l'uso dell'IA nelle scuole, ma ha posto condizioni rigorose. L'Autorità ha sottolineato la necessità di misure organizzative di sicurezza per la pseudonimizzazione delle utenze e ha invitato il Ministero a definire standard e requisiti che i fornitori di servizi debbano adottare per essere conformi alla normativa. La posizione generale dei sindacati e delle autorità di controllo converge sulla necessità di proteggere il "serbatoio" di dati degli studenti da utilizzi commerciali o non finalizzati esclusivamente al benessere educativo.

In sintesi, mentre la scuola promuove l'innovazione e la partecipazione sportiva, la tutela della privacy degli studenti con disabilità rimane il perimetro non negoziabile. La gestione impropria dei dati durante i Giochi della Gioventù funge da monito sulla necessità di una vigilanza tecnica costante e di una formazione specifica per il personale scolastico sulla gestione dei dati sensibili in ambito digitale.

Le autorità competenti sono state sollecitate a intervenire con la massima urgenza per rimuovere e cancellare dai portali interessati i dati personali relativi alle specifiche condizioni di disabilità degli studenti-atleti, verificando che tali informazioni non risultino ulteriormente accessibili attraverso altri canali digitali.