LUCCA, 24 agosto 2026 – L’attacco informatico che ha interessato Modulistica Smart della piattaforma Bergantini del Gruppo Spaggiari Parma solleva interrogativi che vanno oltre il singolo episodio. A esprimere forte preoccupazione è il Coordinamento Nazionale Docenti della disciplina dei Diritti Umani (CNDDU), che richiama l’attenzione sulla sicurezza dell’intero ecosistema digitale scolastico e sulle responsabilità legate alla gestione di informazioni riferibili a studenti, famiglie e personale.
In attesa che siano le autorità competenti a chiarire definitivamente la dinamica dell’attacco, il CNDDU invita alla prudenza sulla quantità e sulla natura degli eventuali dati sottratti e sulle possibili finalità estorsive dell’azione. La cautela, tuttavia, non deve ridimensionare la portata della vicenda.
Il fatto che l’incidente abbia riguardato un applicativo distinto dal registro elettronico ne delimita il perimetro tecnico, ma non cancella la questione centrale: documenti affidati a un servizio utilizzato dalle istituzioni scolastiche potrebbero essere usciti dalla sfera di controllo nella quale avrebbero dovuto rimanere.
La sicurezza al centro della digitalizzazione
La progressiva digitalizzazione della scuola ha trasferito sulle infrastrutture informatiche una quantità crescente di informazioni prodotte nel rapporto tra istituzioni scolastiche, studenti e famiglie. Una trasformazione che ha reso più rapide numerose procedure amministrative, ma che ha anche modificato profondamente la natura dei rischi.
Quanto maggiore è la concentrazione dei dati, osserva il CNDDU, tanto più significative possono essere le conseguenze di una compromissione. Per questo la sicurezza informatica non può essere considerata un elemento accessorio, ma deve diventare una componente essenziale dell’affidabilità di qualsiasi servizio digitale destinato alla scuola.
Particolare attenzione deve essere riservata ai minori, che utilizzano strumenti digitali scelti nell’ambito dell’organizzazione scolastica senza poter intervenire direttamente sulle piattaforme, sulle modalità di conservazione delle informazioni o sulle misure di protezione adottate.
Una condizione che, secondo il Coordinamento, determina una precisa responsabilità per tutti i soggetti coinvolti nella raccolta, nella gestione e nella conservazione dei dati.
Il richiamo al GDPR
Nel suo intervento, il CNDDU richiama il quadro delineato dal Regolamento europeo 2016/679 (GDPR). I principi dell’articolo 5, la protezione dei dati fin dalla progettazione prevista dall’articolo 25 e gli obblighi relativi alla sicurezza del trattamento contenuti nell’articolo 32 delineano un modello nel quale la prevenzione deve essere incorporata nella progettazione e nell’organizzazione dei sistemi.
Gli articoli 33 e 34 disciplinano invece la gestione delle violazioni dei dati personali e, nei casi previsti, la comunicazione agli interessati.
Il principio che emerge è chiaro: la protezione dei dati non può cominciare dopo che l’incidente si è verificato.
Da qui la necessità, secondo il CNDDU, di interrogarsi sul possibile divario tra la velocità con cui vengono digitalizzate le procedure scolastiche e la capacità di valutarne preventivamente rischi e conseguenze.
L’efficienza amministrativa, sottolinea il Coordinamento, non può essere l’unico criterio nella scelta degli strumenti destinati a gestire informazioni personali su larga scala. Alla funzionalità di una piattaforma deve corrispondere un’analisi altrettanto rigorosa della sua esposizione al rischio.
Quanti dati conservare e per quanto tempo?
Un altro tema riguarda la quantità di informazioni conservate. La crescente disponibilità di spazio di archiviazione può favorire la permanenza dei documenti oltre il periodo effettivamente necessario.
Il principio di minimizzazione impone invece di interrogarsi costantemente sulla pertinenza dei dati raccolti e sui tempi della loro conservazione. Meno informazioni vengono conservate senza una finalità attuale, minore è anche la quantità di dati potenzialmente esposta in caso di violazione.
La questione riguarda anche il rapporto tra scuole, fornitori tecnologici e istituzioni pubbliche.
Quando una piattaforma privata viene utilizzata su larga scala per attività legate al funzionamento delle scuole, la sicurezza non può essere considerata esclusivamente una questione contrattuale tra amministrazione e fornitore. L’utilizzo dello stesso ecosistema tecnologico da parte di un numero elevato di istituti introduce infatti un elemento di carattere sistemico.
Un singolo incidente, in questo scenario, può produrre conseguenze potenzialmente estese a numerose comunità scolastiche.
Serve maggiore capacità di controllo pubblico
È proprio sulla dimensione sistemica che il CNDDU chiede una riflessione istituzionale. La digitalizzazione della scuola non dovrebbe tradursi in una dipendenza crescente da infrastrutture la cui architettura, sicurezza e vulnerabilità sono difficilmente valutabili in autonomia dalle singole istituzioni scolastiche.
Alla crescente complessità tecnologica dovrebbe corrispondere una maggiore capacità istituzionale di indirizzo, verifica e controllo.
Un altro elemento decisivo è la comunicazione successiva a un incidente. Informare tempestivamente e in modo comprensibile le persone eventualmente coinvolte non rappresenta soltanto un obbligo o un principio di trasparenza: può consentire agli interessati di adottare comportamenti utili a limitare le conseguenze della violazione.
La comunicazione, dunque, dovrebbe essere considerata parte integrante della strategia di gestione dell’emergenza e non soltanto una questione reputazionale.
La contraddizione con l’educazione digitale
La vicenda, secondo il CNDDU, presenta anche un ulteriore profilo: quello educativo.
Nelle scuole agli studenti viene insegnato a proteggere i propri dati personali, a riconoscere i rischi della rete e ad adottare comportamenti consapevoli nell’utilizzo delle tecnologie. Sarebbe quindi contraddittorio concentrare l’attenzione esclusivamente sulla responsabilità individuale dei giovani senza sottoporre a un livello di controllo altrettanto rigoroso gli ambienti digitali nei quali essi sono necessariamente inseriti.
La responsabilità, sottolinea il Coordinamento, non può essere scaricata su chi dispone di minori possibilità di scelta.
Quanto più limitata è la possibilità di studenti e famiglie di incidere sulla scelta dell’infrastruttura digitale utilizzata dalla scuola, tanto maggiore deve essere la responsabilità di chi quella scelta compie e di chi gestisce il servizio.
Una riflessione che riguarda tutta la scuola digitale
Per il CNDDU, dunque, l’attacco alla piattaforma di modulistica non dovrebbe essere archiviato con il semplice ripristino delle condizioni tecniche di sicurezza.
L’episodio rappresenta piuttosto un segnale che riguarda l’intero processo di digitalizzazione scolastica e impone di verificare se gli attuali modelli di affidamento, conservazione e controllo dei dati siano ancora adeguati alla dimensione raggiunta dai servizi digitali utilizzati nelle scuole.
La vera sfida non consiste soltanto nel capire come reagire al prossimo attacco, ma nel ridurre le condizioni che potrebbero amplificarne gli effetti.
Questo significa ripensare la valutazione delle piattaforme, la quantità di dati conservati, i tempi di conservazione e la distribuzione delle responsabilità tra amministrazioni e fornitori tecnologici.
La digitalizzazione, in altre parole, non può essere misurata soltanto dal numero di procedure trasferite online. Deve essere valutata anche sulla base della capacità delle istituzioni di governare i rischi generati dalla trasformazione digitale.
La domanda posta dall’episodio Spaggiari resta quindi aperta: chi controlla realmente la sicurezza dell’enorme patrimonio informativo che la scuola italiana sta progressivamente trasferendo sulle piattaforme digitali?
È su questo interrogativo, più che sulle rassicurazioni contingenti, che il CNDDU ritiene necessario aprire una riflessione istituzionale. Perché quando la gestione digitale raggiunge una dimensione sistemica, conclude il Coordinamento, anche la responsabilità della sua sicurezza deve diventare sistemica.
