Requisiti GDPR per le votazioni digitali a scuola, cosa fa l'istituto e cosa fa il fornitore

Aggiornato al 2 novembre 2026

Per votare in digitale nel rispetto del GDPR la scuola deve avere in ordine sei cose. Un accordo sul trattamento dei dati con il fornitore ai sensi dell'articolo 28, una base giuridica individuata, un'informativa resa a chi vota, un elenco di aventi diritto limitato ai dati necessari, tempi certi di conservazione e cancellazione, una valutazione dei rischi fatta con il proprio DPO. La scuola resta titolare del trattamento, il fornitore della piattaforma ne è responsabile e agisce solo su istruzione documentata della scuola.

In breve

• La scuola è titolare del trattamento, decide finalità e mezzi e risponde verso gli interessati.
• Il fornitore della piattaforma è responsabile del trattamento e firma con la scuola l'accordo previsto dall'articolo 28 del GDPR.
• La base giuridica è l'esecuzione di un compito di interesse pubblico, articolo 6, paragrafo 1, lettera e) del GDPR, non il consenso dei votanti.
• L'informativa ai votanti la adotta e la pubblica la scuola, il fornitore può darle un modello da adattare.
• Nel voto segreto la preferenza è separata in modo irreversibile dall'identità, quindi non è un dato riconducibile alla persona.
• Alla fine del contratto i dati si restituiscono su richiesta e si cancellano entro termini scritti, i verbali restano alla scuola.
• Se serva una valutazione d'impatto lo decide la scuola con il DPO, il fornitore la supporta.

Chi è titolare e chi è responsabile del trattamento

Il titolare del trattamento è il soggetto che decide perché e come vengono trattati i dati personali. Il responsabile del trattamento è il soggetto che tratta i dati per conto del titolare, secondo le sue istruzioni e senza finalità proprie.

Nelle votazioni digitali della scuola il titolare è l'istituzione scolastica. È la scuola che delibera il regolamento delle sedute o delle elezioni, costituisce il registro degli aventi diritto, adotta l'informativa, designa le persone autorizzate come presidente, segretario e assistenti, e conserva agli atti verbali ed evidenze. Il fornitore della piattaforma è responsabile del trattamento. Nel caso di Camelot questo significa trattare i dati esclusivamente su istruzione documentata della scuola, senza finalità proprie, commerciali o di profilazione, con obblighi di riservatezza, sicurezza e assistenza al titolare.

La distinzione ha una conseguenza pratica per il dirigente. Le scelte sul trattamento restano in capo alla scuola anche quando la tecnologia è di un altro, per questo il rapporto con il fornitore va messo per iscritto prima della prima votazione.

L'accordo sul trattamento dei dati, articolo 28 del GDPR

L'accordo ai sensi dell'articolo 28 è il contratto con cui la scuola designa il fornitore responsabile del trattamento e gli dà istruzioni. Va firmato prima dell'avvio del servizio e deve descrivere con precisione cosa il fornitore può fare con i dati e cosa no.

L'accordo che Camelot propone alle scuole si può sottoscrivere come atto autonomo oppure come appendice del contratto di servizio ed è corredato da quattro allegati.

1. Descrizione del trattamento, cioè finalità, categorie di interessati e di dati, durata.
2. Misure di sicurezza tecniche e organizzative adottate dal fornitore.
3. Elenco dei sub responsabili autorizzati dalla scuola, i fornitori tecnici a cui il responsabile si appoggia.
4. Istruzioni documentate della scuola.

Al DPO conviene controllare soprattutto due punti. Il primo è l'elenco dei sub responsabili, con il luogo del trattamento di ciascuno, perché è lì che si vede dove vanno davvero i dati. Il secondo è come vengono comunicate le modifiche a quell'elenco e con quale possibilità per la scuola di opporsi. Le altre domande da fare a qualsiasi fornitore sono raccolte nella checklist per valutare il fornitore di voto elettronico.

La base giuridica delle votazioni digitali

La scuola tratta i dati di una votazione digitale per eseguire un compito di interesse pubblico, ai sensi dell'articolo 6, paragrafo 1, lettera e) del GDPR e dell'articolo 2-ter del Codice in materia di protezione dei dati personali, il decreto legislativo 196 del 2003. Non serve quindi raccogliere il consenso di docenti, genitori o studenti per farli votare a distanza.

Il compito di interesse pubblico è definito da norme diverse a seconda del tipo di votazione.

• Per le sedute del collegio dei docenti e dei consigli di classe, interclasse e intersezione, il decreto legislativo 297 del 1994, il D.P.R. 275 del 1999, l'articolo 44 del CCNL Istruzione e Ricerca 2019-2021 e la nota MIM 3803 del 30 giugno 2026 che lo attua.
• Per le elezioni dei rappresentanti di genitori e studenti, il decreto legislativo 297 del 1994, l'ordinanza ministeriale 215 del 1991 e il regolamento che la scuola adotta nella propria autonomia. La nota MIM 3803 non riguarda le elezioni.

La verbalizzazione e la pubblicità degli atti si fondano anche sull'articolo 6, paragrafo 1, lettera c), cioè sugli obblighi di documentazione e trasparenza della scuola. Se dal contenuto di una delibera palese emergono dati di categorie particolari, per esempio sulla salute, si applica l'articolo 9, paragrafo 2, lettera g), motivi di interesse pubblico rilevante.

L'informativa a chi vota

Chi vota deve essere informato del trattamento secondo gli articoli 13 e 14 del GDPR, e l'informativa la adotta e la pubblica la scuola, in quanto titolare. Deve raggiungere tutte le componenti coinvolte, personale, genitori e, dove previsto, studenti.

Un'informativa sulle votazioni digitali completa indica finalità e base giuridica per ciascuna fase, dalla convocazione al voto fino alla verbalizzazione, le categorie di dati, la fonte dei dati non raccolti presso l'interessato, il ruolo del fornitore come responsabile, i tempi di conservazione e i diritti. Per il voto segreto deve spiegare espressamente perché alcuni diritti non si possono esercitare sul contenuto del voto, come descritto più avanti. Camelot fornisce alle scuole un modello di informativa da adattare e pubblicare sul sito istituzionale.

Quali dati servono, il principio di minimizzazione

Il principio di minimizzazione, articolo 5, paragrafo 1, lettera c) del GDPR, chiede di trattare solo i dati adeguati, pertinenti e limitati a quanto necessario. Per una votazione digitale bastano i dati identificativi e di contatto degli aventi diritto, cioè nome, cognome, categoria o ruolo e indirizzo email.

Il registro degli aventi diritto lo costituisce la scuola partendo dalle anagrafiche che già detiene, e lo aggiorna a ridosso di ogni votazione. È buona pratica non caricare in piattaforma campi ulteriori, come codici fiscali o dati di classe non necessari. Per votare non sono richiesti dati di categorie particolari né dati relativi a condanne penali.

Voto segreto e diritti degli interessati

Nello scrutinio segreto la piattaforma deve separare l'identità del votante dalla preferenza espressa. Nel voto segreto Camelot registra che l'avente diritto ha votato, ai fini dell'affluenza e del quorum, mentre la preferenza è anonimizzata in modo irreversibile e nessun archivio, schermata o report conserva la coppia tra identità e voto.

Questa garanzia ha un effetto sui diritti degli interessati che il DPO deve conoscere. Una preferenza anonimizzata non è più riconducibile a una persona, quindi ai sensi dell'articolo 11 del GDPR i diritti di accesso, rettifica, cancellazione, limitazione e portabilità, articoli da 15 a 20, non si esercitano sul contenuto del voto segreto. È la condizione che rende il voto davvero segreto. Sui dati di partecipazione, come presenze e voto palese, i diritti restano esercitabili presso la scuola.

Le richieste degli interessati si rivolgono alla scuola, ai recapiti indicati nell'informativa. Se arrivano a Camelot, Camelot le trasmette alla scuola entro 5 giorni lavorativi. Poiché il trattamento si fonda su un compito di interesse pubblico, il diritto alla portabilità non si applica. Non ci sono profilazione né decisioni automatizzate ai sensi dell'articolo 22.

Conservazione e cancellazione dei dati

I tempi di conservazione vanno scritti nell'accordo con il fornitore, con numeri e non con formule generiche. Con Camelot, per tutta la durata del servizio la scuola può esportare in autonomia dati, esiti e report. Alla fine del contratto i dati vengono restituiti su richiesta in un formato standard e comunque cancellati decorso un periodo di 30 giorni. Le copie di backup vengono sovrascritte nei normali cicli di sicurezza entro 180 giorni.

La conservazione dei verbali e delle evidenze acquisiti agli atti resta in capo alla scuola, che la gestisce secondo il proprio piano di conservazione e le Linee guida AgID sulla formazione, gestione e conservazione dei documenti informatici. Il fornitore produce il verbale, la scuola lo conserva.

Sicurezza e violazioni dei dati

L'articolo 32 del GDPR chiede misure di sicurezza adeguate al rischio, sia al titolare sia al responsabile. Gli elementi da verificare sono dove si trovano i dati, chi vi accede e come si gestisce un incidente. Camelot tratta i dati in data center dell'Unione Europea, con impegno contrattuale di residenza nell'Unione, e il suo sistema di gestione della sicurezza delle informazioni è certificato secondo la norma ISO/IEC 27001:2022.

In caso di violazione dei dati personali il responsabile deve avvisare il titolare senza ingiustificato ritardo, perché è la scuola che deve valutare la notifica al Garante entro 72 ore, articolo 33 del GDPR. Camelot invia alla scuola una prima notifica preliminare entro un'ora dalla classificazione dell'evento e la notifica completa entro 48 ore.

Serve una valutazione d'impatto, la DPIA?

La valutazione d'impatto sulla protezione dei dati, DPIA, è l'analisi dei rischi che l'articolo 35 del GDPR richiede quando un trattamento può presentare un rischio elevato per i diritti delle persone. Decidere se farla, e redigerla, spetta alla scuola come titolare, con il parere del proprio DPO. Il fornitore ha l'obbligo di assisterla, articolo 28, paragrafo 3, lettera f). Camelot consegna alle scuole che attivano il servizio una scheda di supporto alla DPIA, precompilata nelle parti tecniche, con la valutazione dei rischi e una proposta di rischio residuo. Quando e come fare la DPIA per il voto elettronico è il tema di una guida dedicata, in preparazione.

Cosa fa la scuola e cosa mette a disposizione Camelot

Riassunto operativo dei passaggi, nell'ordine in cui di solito si affrontano.

1. La scuola firma con Camelot l'accordo sul trattamento ai sensi dell'articolo 28, con i quattro allegati.
2. La scuola adatta e pubblica l'informativa ai votanti, partendo dal modello fornito da Camelot.
3. La scuola, con il DPO, valuta la necessità della DPIA e, se la redige, usa la scheda di supporto di Camelot per le parti tecniche.
4. La scuola delibera o aggiorna il regolamento delle sedute telematiche o delle elezioni e designa le persone autorizzate.
5. La scuola carica il registro degli aventi diritto con i soli dati necessari.
6. Dopo ogni votazione la scuola acquisisce agli atti il verbale e lo conserva secondo il proprio piano.

La sintesi per il DPO in PDF raccoglie ruoli, misure di sicurezza, ciclo di vita dei dati e scrutinio segreto in dieci pagine. L'accordo sul trattamento, il modello di informativa e la documentazione tecnica si possono richiedere dalla pagina delle soluzioni Camelot per le scuole, dove si può anche fissare una chiamata con il team.