Registro elettronico e pubblicità, il consenso che non dovrebbe esserci

Con l’accesso ormai obbligatorio tramite SPID o CIE, molti genitori stanno entrando per la prima volta nel registro elettronico dei figli con la propria identità digitale.
A metà settembre uno di loro, sulla piattaforma di Axios Italia, uno dei principali fornitori di registri elettronici per le scuole italiane, ha trovato nella sezione dedicata alla privacy qualcosa che non si aspettava e ha pubblicato le schermate su X, domandandosi se fosse il solo a trovare assurdo che un servizio della scuola pubblica ponesse una domanda del genere.

Secondo la ricostruzione di DDay e del Corriere della Sera, la sezione conteneva quattro richieste di consenso distinte, per i banner pubblicitari di Axios e di terzi e per le email promozionali dell’azienda e di altre imprese. Ciascuna aveva un campo obbligatorio in cui scegliere tra «Acconsento» e «Non acconsento».
Nel testo che le precedeva, l’azienda dichiarava di svolgere marketing diretto su prodotti inerenti al solo ambito scolastico, invocando il proprio legittimo interesse.

Interpellato dal Corriere, il direttore generale di Axios Italia, Alessandro Patrizi, si è scusato parlando di un modello obsoleto comparso per errore e ha assicurato che la funzione non è mai stata operativa e che nessuna attività promozionale è stata effettuata.

Non ho ragioni per contraddire l’azienda sul fatto che quei consensi non siano mai stati usati, anche se un refuso articolato in quattro distinte manifestazioni di consenso, con tanto di base giuridica dichiarata, resta un refuso piuttosto “intraprendente”.
Secondo DDay, del resto, è rimasto in circolazione abbastanza a lungo da comparire in alcuni tutorial scolastici. Quello che interessa è soprattutto ciò che l’episodio rivela, perché arriva dopo due note ministeriali che quel genere di richiesta l’avevano già esclusa e dopo un caso analogo che, un anno e mezzo fa, aveva coinvolto un altro fornitore.
Tutto questo si aggiunge ai profili di protezione dei dati dei registri elettronici di cui avevo parlato in questo video.

Il precedente di ClasseViva

Nel marzo 2025 un’inchiesta de La Stampa aveva portato alla luce “MyTools”, un’estensione di ClasseViva, il registro elettronico di Gruppo Spaggiari.
Attraverso l’estensione genitori e studenti, previo consenso, potevano raggiungere lo shop online del fornitore, giocare a una serie di minigiochi e perfino richiedere consulenze con psicologi e sessuologi.
L’azienda aveva precisato che l’estensione era attiva in circa trecento scuole, su accettazione dei rispettivi dirigenti, e che non proponeva pubblicità ma servizi di partner riservati a chi li accettava espressamente, ma l’aveva comunque sospesa in attesa che gli istituti rivedessero le proprie scelte, come ricostruiscono la rassegna stampa del Garante per la protezione dei dati personali e La Scuola Oggi.

Oltre al ministro dell’Istruzione e del Merito, Giuseppe Valditara, che aveva definito inaccettabile la presenza di pubblicità sul registro, era intervenuto Agostino Ghiglia, componente del Collegio del Garante il quale, esplorata l’estensione dal profilo della scuola del figlio, aveva osservato che il consenso lì richiesto era «meno libero», perché espresso su uno strumento il cui uso è obbligatorio per famiglie e studenti e si era chiesto chi fosse, in quel contesto, il titolare del trattamento.

Il dettaglio dell’attivazione su accettazione dei dirigenti conta più di quanto sembri, perché mostra che, almeno in quel caso, la porta non è stata forzata dal solo fornitore, ad aprirla sono state le scuole stesse, titolari del trattamento, per il tramite di chi le rappresenta.

Vietato due volte, per iscritto

Il Ministero era intervenuto con la nota prot. n. 2773 del 4 aprile 2025, che riconduce i registri elettronici alle sole finalità di organizzazione e gestione delle attività educative.
La nota esclude iniziative commerciali e di marketing, trasferimenti di dati a terzi non necessari e contenuti estranei alla didattica, compresi i rinvii a siti che propongono libri o materiali scolastici, cioè proprio quei prodotti attinenti al mondo della scuola a cui faceva riferimento la schermata di Axios.
Poiché le segnalazioni non erano cessate, sette mesi dopo il Ministero ha dovuto ribadire ogni divieto con la nota prot. n. 8916 del 21 novembre 2025.

Come ha riportato Obiettivo Scuola, la nuova nota dava atto che in alcuni registri e nelle app collegate erano ancora presenti pubblicità, link esterni, promozioni di servizi privati e minigiochi.

A stretto giro Assoscuola, l’associazione che riunisce diversi fornitori, aveva precisato con una nota ripresa da Orizzonte Scuola che nessuna delle imprese associate aveva mai introdotto nei propri applicativi pubblicità commerciale o attività di marketing.
Tra le associate figura la stessa Axios, sulla cui piattaforma, dieci mesi più tardi, un genitore avrebbe trovato quattro richieste di consenso pubblicitario e riletta oggi, lo confesso, quella rassicurazione suona in modo un po’ diverso.

Entrambe le note, peraltro, si rivolgono ai dirigenti scolastici e non ai fornitori.
Chiedono alle scuole di verificare contratti e funzionamento dei registri e delle relative app e di pretendere per iscritto la rimozione dei contenuti non conformi.
Ne risulta un divieto molto chiaro, ma affidato quasi per intero alla vigilanza dei singoli istituti e privo di un apparato sanzionatorio proprio.
Almeno nei casi divenuti pubblici, il meccanismo si è messo in moto soprattutto dopo le segnalazioni delle famiglie e l’attenzione della stampa.

Il Garante, che pure dal 2024 ha incluso i registri elettronici tra gli ambiti della propria attività ispettiva (provvedimenti del 29 dicembre 2023 e del 4 luglio 2024), non ha pubblicato finora, a quanto mi risulta, provvedimenti sull’uso commerciale delle piattaforme da parte dei fornitori, quelli noti in materia riguardano soprattutto errori del personale scolastico.
Le conseguenze contrattuali e quelle previste dal GDPR restano possibili, ma nessuno sembra averle ancora messe alla prova.

Un consenso difficile da considerare libero

L’osservazione di Ghiglia ha un fondamento normativo preciso, perché il GDPR definisce il consenso, all’art. 4, n. 11, come manifestazione di volontà libera, specifica, informata e inequivocabile e chi si occupa di consensi per mestiere sa che, fra queste quattro qualità, quella che cede più spesso è la prima.
Il considerando 42 precisa che il consenso non può dirsi libero quando l’interessato non dispone di una scelta effettiva o non può rifiutare senza subire un pregiudizio e, pur non derivandone l’invalidità automatica di ogni consenso raccolto in quel contesto, l’onere di dimostrarne la libertà, che l’art. 7, par. 1, pone sempre a carico del titolare, diventa particolarmente gravoso.

Il registro elettronico non è un servizio che la famiglia sceglie sul mercato confrontando offerte e condizioni, bensì lo strumento con cui la scuola comunica voti, assenze, note e scadenze.
Nel caso di Axios il rifiuto era formalmente possibile, perché ogni voce ammetteva il «Non acconsento» e il campo obbligatorio imponeva di rispondere, non di acconsentire.
Resta però il contesto in cui la domanda veniva posta, perché chi incontra una schermata di consensi al primo accesso a un servizio che è tenuto a usare non ha modo di sapere se un rifiuto avrà conseguenze e spesso finisce per cliccare dove gli sembra necessario per arrivare ai voti del figlio.

Il considerando 43 aggiunge che il consenso difficilmente costituisce una base giuridica valida quando esiste un evidente squilibrio tra titolare e interessato, in particolare se il titolare è un’autorità pubblica.
Lo squilibrio non scompare nemmeno quando a chiedere il consenso è il fornitore e non la scuola, perché la richiesta arriva dentro uno spazio che la famiglia percepisce come scolastico e che non ha scelto.
A tutto questo si sommano le tutele che il considerando 38 riserva ai minori, con specifico riferimento all’uso dei loro dati a fini di marketing e di profilazione.

Per le scuole statali il quadro è ancora più netto. Nell’esercizio dei propri compiti non possono fondare un trattamento sul legittimo interesse, precluso alle autorità pubbliche dall’art. 6, par. 1, secondo comma, del GDPR, e la promozione commerciale non rientra tra i loro compiti di interesse pubblico, sicché per il marketing resterebbe soltanto il consenso, cioè la base giuridica che quel contesto rende più fragile.
Per le paritarie cambia il ragionamento sul legittimo interesse, non quello sullo squilibrio e sulla tutela dei minori.

Chi risponde quando il fornitore decide per sé

Resta la domanda di Ghiglia sul titolare del trattamento.
Nel rapporto ordinario la scuola è titolare del trattamento e il fornitore del registro è responsabile, designato ai sensi dell’art. 28 del GDPR e tenuto a trattare i dati soltanto secondo le istruzioni ricevute e per le finalità del contratto, ma quando raccoglie consensi per finalità proprie, come la promozione dei suoi prodotti o di quelli di terzi, esce da quel perimetro.
L’art. 28, par. 10, stabilisce infatti che il responsabile che determina finalità e mezzi di un trattamento è considerato titolare di quel trattamento, lettura che trova conferma nelle Linee guida 07/2020 del Comitato europeo per la protezione dei dati.
Per quel trattamento, quindi, il fornitore risponde come titolare, pur restando responsabile della scuola per la gestione del registro.

Nel caso di Axios la qualificazione è resa più semplice dalla stessa informativa, che riconduceva il marketing al legittimo interesse dell’azienda, cioè a una finalità propria del fornitore e non della scuola, con un richiamo che peraltro reggeva poco anche nel merito.
Per le email promozionali la normativa richiede infatti il consenso e ammette un’eccezione soltanto per chi ha fornito il proprio indirizzo nel contesto dell’acquisto di un prodotto o di un servizio del titolare, mentre i genitori non sono clienti del fornitore che il contratto lo ha stipulato con la scuola.

Dal lato della scuola la domanda che farei da consulente è una sola, cioè chi abbia premuto il pulsante di attivazione.
Se il fornitore agisce all’insaputa dell’istituto, la scuola non diventa per questo titolare del trattamento promozionale, ma resta da verificare se abbia adempiuto agli obblighi che le competono nella scelta del responsabile, nella definizione delle istruzioni e, una volta conosciuta la condotta, nella vigilanza sulla loro osservanza, obblighi che l’art. 28, par. 1, collega alla scelta di un responsabile dotato di garanzie sufficienti.

Più delicato è il caso in cui la funzione sia stata attivata con l’accettazione del dirigente.
Con la sentenza Fashion ID (C-40/17) la Corte di giustizia ha riconosciuto forme di contitolarità limitate alle fasi del trattamento in cui più soggetti concorrono a determinarne finalità e mezzi, e un’autorità di controllo potrebbe, a seconda delle concrete modalità di attivazione, leggere in quei termini l’attivazione di un’estensione commerciale dentro un servizio istituzionale, anche se la semplice accettazione contrattuale di una funzione non basta a farne una decisione congiunta.

Su questa ipotesi mantengo una certa prudenza, dato che il dirigente agisce in nome e per conto dell’istituzione e le stesse Linee guida dell’EDPB ricordano che titolare è di norma l’organizzazione, non la persona fisica che la rappresenta.
La qualificazione dipende poi da contratti e modalità di attivazione che dall’esterno non si conoscono, ed è proprio lì che si gioca la differenza, perché Ghiglia, nel 2025, presumeva titolare la piattaforma ragionando su un pacchetto che la scuola si trovava preconfezionato, mentre l’accettazione dei dirigenti riferita da Spaggiari sposta almeno in parte la decisione sull’istituto.
Se prevalesse la lettura della contitolarità, per un ente pubblico sarebbe la posizione più scomoda possibile, perché lo renderebbe corresponsabile di un trattamento commerciale estraneo ai propri compiti istituzionali, per il quale trovare una base giuridica valida sarebbe quantomeno problematico.

Cosa può fare un genitore davanti a una richiesta di consenso

Un genitore che trovi nel registro una richiesta di consenso per finalità promozionali può semplicemente negarlo e, se il rifiuto comportasse una limitazione del servizio, sarebbe già un indizio di invalidità del consenso alla luce dell’art. 7, par. 4, mentre chi lo avesse già prestato può revocarlo in qualsiasi momento, con la stessa facilità con cui l’ha dato, come impone il par. 3 dello stesso articolo.

Il passo successivo, ed è la prima cosa che suggerisco quando un genitore mi pone la domanda, è scrivere alla scuola, mettendo in copia il responsabile della protezione dei dati dell’istituto, per chiedere quale sia il fondamento della richiesta e se il contratto con il fornitore la preveda, visto che, secondo le stesse note ministeriali, spetta alla scuola pretendere la rimozione e rispondere alle famiglie.
Se la risposta non arriva o non convince, resta la segnalazione o il reclamo al Garante.

Il registro elettronico è diventato, per milioni di famiglie, la porta d’accesso quotidiana alla vita scolastica dei figli, e la fiducia con cui lo si apre ogni mattina si fonda sull’idea che al suo interno parli soltanto la scuola.
Ogni volta che un fornitore lo tratta come uno spazio da valorizzare commercialmente, quella fiducia si consuma un po’ e due circolari rimaste senza conseguenze non bastano a ricostituirla, perché una regola che nessuno fa rispettare finisce per insegnare, anche ai ragazzi che osservano, che il limite vale soltanto finché qualcuno non se ne accorge.