Quali documenti deve fornire il fornitore di una piattaforma di voto secondo la nota MIM 3803
In breve. Secondo la sezione 9 dell'allegato tecnico della nota MIM prot. 3803 del 30 giugno 2026, prima di usare una piattaforma per le sedute a distanza e le votazioni degli organi collegiali la scuola acquisisce dal fornitore due documenti, la documentazione tecnica che attesta le caratteristiche del sistema e una dichiarazione di conformità ai requisiti dell'allegato. La verifica è preventiva ed è in capo all'istituzione scolastica. Non esiste un elenco ministeriale di piattaforme autorizzate, esistono i documenti del fornitore e la verifica della scuola. A questi due si aggiunge, sul versante della protezione dei dati, l'atto di nomina del fornitore a responsabile del trattamento.
Un dato per cominciare
Una ricerca di Camelot Società Benefit, pubblicata il 1 settembre 2026 su Agenda Digitale, ha analizzato 955 regolamenti per le sedute telematiche pubblicati dagli istituti statali italiani. Solo 4 prevedono che la scuola acquisisca dal fornitore la dichiarazione di conformità. Il dato misura ciò che i regolamenti scrivono, non la conformità dei singoli istituti, ma dice una cosa chiara. Il passaggio che la nota mette per ultimo, la verifica di conformità, è quello che quasi nessuno ha ancora messo nero su bianco.
Cosa dice la sezione 9 dell'allegato tecnico
La sezione 9 si intitola Verifica di conformità ed è breve. Le istituzioni scolastiche sono tenute a verificare preventivamente la coerenza delle soluzioni adottate con i requisiti dell'allegato, acquisendo idonea documentazione tecnica attestante le caratteristiche del sistema utilizzato e una dichiarazione di conformità da parte del fornitore o del partner tecnologico.
Tre cose vanno lette con attenzione. La verifica è preventiva, si fa prima della prima seduta e non dopo una contestazione. La verifica è della scuola, il fornitore fornisce i documenti ma la responsabilità di accertare la coerenza resta all'istituzione. E i documenti sono due, con funzioni diverse, uno descrive e uno dichiara.
Il primo documento, la documentazione tecnica
La documentazione tecnica è il documento che descrive come il sistema soddisfa ciascun requisito dell'allegato. Serve al dirigente per capire cosa sta adottando e al DPO per fare le sue valutazioni. Un documento utile ripercorre i capitoli dell'allegato uno per uno.
Identificazione e autenticazione, sezione 3. Come ogni accesso è ricondotto a un avente diritto, con identità digitali univoche e non condivise, e quali meccanismi di autenticazione sono usati. Come sono distinti i ruoli, presidente, segretario, componente, e come sono gestite le sessioni.
Operazioni di voto, sezione 4. Come è garantito che ogni avente diritto esprima un solo voto, come il voto è registrato in modo integro e non modificabile, come è tracciato il voto palese. Per lo scrutinio segreto, come è realizzata la separazione strutturale tra identità del votante e voto espresso, come è impedito a chiunque, amministratori di sistema e fornitore compresi, di risalire al voto individuale, e come sono trattati i metadati.
Sicurezza informatica, sezione 5. Cifratura, aggiornamenti, registrazione degli accessi, audit, segregazione degli ambienti, gestione degli incidenti, backup e ripristino. Per i servizi cloud, la localizzazione dei dati e le misure dichiarate.
Protezione dei dati personali, sezione 6. Quali dati sono trattati, per quali finalità, con quali misure, e i ruoli privacy.
Formazione e conservazione dei documenti, sezione 7. Come sono prodotti i verbali digitali e le evidenze di voto, come ne sono garantite immodificabilità e metadati, come si esportano per la conservazione secondo le Linee guida AgID.
Requisiti organizzativi, sezione 8. Come la piattaforma supporta le figure di conduzione e verbalizzazione e cosa prevede in caso di malfunzionamento, sospensione e ripetizione del voto.
Il criterio per giudicare una documentazione tecnica è semplice. Per ogni requisito dell'allegato deve dire come, non solo che sì.
Il secondo documento, la dichiarazione di conformità
La dichiarazione di conformità è un atto diverso. È resa dal fornitore o dal partner tecnologico sotto la propria responsabilità e afferma che il sistema rispetta i requisiti dell'allegato tecnico. Indica i prodotti a cui si riferisce, rimanda alla documentazione tecnica come parte integrante e dovrebbe impegnare il fornitore a comunicare le variazioni che incidono sulla conformità.
Una dichiarazione seria dice anche cosa resta in capo alla scuola, perché la conformità nel singolo istituto dipende da attività che nessun fornitore può fare al suo posto. L'adeguamento del regolamento d'istituto, la corretta configurazione dell'evento e dei ruoli, la nomina del responsabile del trattamento, la valutazione d'impatto quando prevista. Una dichiarazione che promette tutto senza condizioni è meno affidabile di una che indica i confini.
Il terzo documento, la nomina a responsabile del trattamento
Non sta nella sezione 9 ma nella sezione 6. Quando il servizio è erogato da un fornitore esterno che tratta dati personali per conto della scuola, il fornitore deve essere nominato responsabile del trattamento ai sensi dell'art. 28 del GDPR. L'atto di nomina lo predispone di norma il fornitore e lo firma la scuola come titolare. Per i sistemi di voto digitale l'allegato richiama anche la valutazione d'impatto sulla protezione dei dati, che è un adempimento della scuola e per la quale il fornitore mette a disposizione le informazioni necessarie.
Non esiste un elenco di piattaforme autorizzate
È la domanda che arriva più spesso e la risposta è no. La nota e l'allegato non prevedono un elenco ministeriale né una certificazione rilasciata dal Ministero. L'allegato stesso, alla sezione 1, definisce sistemi di voto online certificati quelli che, anche sulla base della documentazione tecnica disponibile, garantiscono sicurezza, integrità, univocità e verificabilità del voto. La certificazione, in questo senso, è la documentazione, e chi la verifica è la scuola.
Questo vale anche per gli strumenti di uso corrente. L'allegato ammette che la scuola usi strumenti già in dotazione, anche integrandone più di uno, purché risultino conformi ai requisiti sulla base delle funzionalità disponibili e della documentazione tecnica resa disponibile dal fornitore. La regola è la stessa, senza documentazione non c'è verifica, e senza verifica lo strumento resta utilizzabile solo per attività senza rilevanza deliberativa.
Cosa fa la scuola con i documenti
I due documenti si allegano alla delibera con cui l'organo competente approva il regolamento delle sedute telematiche, insieme all'atto di nomina. Si consegnano al DPO, che li legge prima di esprimersi sulla valutazione d'impatto e sull'informativa. Si conservano con gli atti, così in caso di contestazione di una delibera la scuola può dimostrare di aver fatto la verifica preventiva che l'allegato le chiede.
Cinque domande da fare al fornitore prima di acquisirli.
- La documentazione tecnica risponde a tutte le sezioni dell'allegato, dalla 3 alla 8, o solo ad alcune?
- La dichiarazione di conformità è datata, firmata dal legale rappresentante e riferita ai prodotti che la scuola acquista?
- Sullo scrutinio segreto, la separazione tra identità e voto è descritta come meccanismo tecnico o solo dichiarata?
- Dove sono localizzati i dati e chi può accedervi?
- L'atto di nomina ex art. 28 è pronto e include le istruzioni sul trattamento e l'elenco delle misure di sicurezza?
I documenti di Camelot
Per Camelot Voto e Camelot Assemblee i documenti sono pubblici e si scaricano senza lasciare dati. La documentazione tecnica di rispondenza all'allegato tecnico ripercorre le sezioni da 3 a 8 con la corrispondenza requisito per requisito. La dichiarazione di conformità del produttore è rilasciata da Camelot S.r.l. SB e indica anche cosa resta in capo alla scuola. Per il DPO c'è la sintesi sulla protezione dei dati, mentre l'atto di nomina, la scheda di supporto alla DPIA e il modello di informativa si ricevono compilando il modulo della sezione normativa della pagina scuole.
Se serve capire come si applicano alla propria scuola, si può chiedere un video, una chiamata o un posto al prossimo webinar dalla pagina scuole.
Domande frequenti
Due documenti, secondo la sezione 9 dell'allegato tecnico, la documentazione tecnica che attesta le caratteristiche del sistema e la dichiarazione di conformità ai requisiti dell'allegato, resa dal fornitore o dal partner tecnologico. A questi si aggiunge l'atto di nomina a responsabile del trattamento previsto dalla sezione 6.
No. La nota MIM 3803 e il suo allegato tecnico non prevedono un elenco ministeriale né una certificazione rilasciata dal Ministero. La conformità si dimostra con la documentazione tecnica e la dichiarazione del fornitore, e la verifica preventiva spetta alla scuola.
L'istituzione scolastica. La sezione 9 dell'allegato tecnico le chiede di verificare preventivamente la coerenza della soluzione con i requisiti, sulla base dei documenti acquisiti dal fornitore. Il fornitore documenta e dichiara, la scuola verifica e delibera.
L'affermazione, resa sotto la responsabilità del fornitore, che il sistema rispetta i requisiti dell'allegato tecnico, con la data di rilascio, i prodotti a cui si riferisce, il rimando alla documentazione tecnica e l'indicazione di ciò che resta in capo alla scuola, come il regolamento, la configurazione e gli adempimenti privacy.
Serve che la documentazione tecnica descriva come il sistema separa in modo strutturale l'identità del votante dal voto espresso e come impedisce a chiunque, fornitore compreso, di risalire al voto individuale. La sezione 4.3 dell'allegato esclude le soluzioni che dichiarano l'anonimato senza dimostrarlo tecnicamente.
Li allega alla delibera di approvazione del regolamento delle sedute telematiche, li consegna al DPO per la valutazione d'impatto e l'informativa, e li conserva con gli atti come prova della verifica preventiva.
