GUIDA PER DIRIGENTI E DPO
Deleghe scolastiche e privacy: si possono conservare le fotocopie dei documenti?
Cosa raccogliere sui delegati, cosa evitare e come verificare l’identità al ritiro senza creare un archivio di copie dei documenti.
Aggiornato il 3 ottobre 2026
Questa guida offre indicazioni generali e non sostituisce la valutazione del Titolare del trattamento e del DPO/RPD dell’istituto.
Il problema delle fotocopie
In molte scuole la delega al ritiro viene consegnata insieme alla fotocopia del documento di identità dei genitori e di ogni delegato. Moltiplicato per centinaia di alunni, significa migliaia di copie di documenti conservate in raccoglitori, spesso per anni, a volte inviate via email.
Una copia di un documento di identità è un dato delicato: contiene foto, data e luogo di nascita, numero del documento, e può essere usata per furti d’identità. Più copie circolano, più cresce il rischio in caso di smarrimento, accesso non autorizzato o invio al destinatario sbagliato.
I principi del GDPR da applicare
- Minimizzazione (art. 5, par. 1, lett. c): raccogliere solo i dati adeguati, pertinenti e limitati a quanto necessario.
- Limitazione della conservazione (art. 5, par. 1, lett. e): conservare i dati solo per il tempo necessario alla finalità.
- Integrità e riservatezza (art. 5, par. 1, lett. f e art. 32): proteggere i dati con misure adeguate.
- Protezione fin dalla progettazione (art. 25): scegliere procedure e strumenti che raccolgano di default il minimo indispensabile.
Quali dati servono davvero
La finalità della delega è una sola: permettere al personale di affidare l’alunno alla persona giusta. Per farlo servono:
| Dato | Serve? | Nota |
|---|---|---|
| Nome e cognome del delegato | Sì | Per riconoscere la persona autorizzata. |
| Alunni per cui è delegato e validità | Sì | Per sapere se la delega vale quel giorno. |
| Recapito telefonico | Utile | Per contatti in caso di imprevisti. |
| Tipo e numero del documento | Spesso | Per collegare la verifica a un documento preciso. |
| Copia integrale del documento | Da valutare | Se l’identità si verifica mostrando il documento al ritiro, la copia può non essere necessaria. |
Un’alternativa diffusa è la verifica in presenza: il delegato mostra il documento una volta, l’operatore controlla che corrisponda e registra solo l’esito, il tipo di documento, la data e chi ha effettuato la verifica.
Per quanto tempo conservare
Le deleghe servono per l’anno scolastico in cui sono valide. Terminato quel periodo, vanno cancellate o conservate solo per il tempo eventualmente previsto dal piano di conservazione dell’istituto. Lo stesso vale per eventuali immagini dei documenti: se raccolte, devono avere una scadenza e una cancellazione effettiva.
Titolare, responsabili e fornitori
Il titolare del trattamento è l’istituto scolastico. Se le deleghe vengono gestite con un software esterno, il fornitore tratta i dati per conto della scuola ed è responsabile del trattamento: serve un atto di nomina ai sensi dell’art. 28 GDPR, che descriva istruzioni, misure di sicurezza e sub-responsabili.
Prima di adottare un nuovo strumento è buona prassi coinvolgere il DPO/RPD e valutare se sia necessaria una valutazione d’impatto (art. 35 GDPR), soprattutto se si trattano immagini dei documenti o dati biometrici.
Checklist per l’istituto
- La delega raccoglie solo i dati necessari al ritiro?
- L’identità del delegato si può verificare senza conservare la copia integrale del documento?
- Esiste un’informativa per genitori e delegati?
- È definito per quanto tempo si conservano deleghe e verifiche?
- Le revoche arrivano subito a chi controlla l’uscita?
- Gli accessi agli elenchi sono limitati al personale che ne ha bisogno?
- Il fornitore del software è nominato responsabile del trattamento?
Domande frequenti
La scuola può chiedere la fotocopia del documento del delegato?
Non esiste un divieto generale, ma il GDPR impone di raccogliere solo i dati necessari alla finalità. Se l’identità può essere verificata mostrando il documento al ritiro, conservare una copia integrale va valutato con attenzione insieme al DPO/RPD.
Chi è il titolare del trattamento dei dati delle deleghe?
L’istituto scolastico. Un fornitore di software che tratta i dati per conto della scuola opera come responsabile del trattamento e deve essere nominato con un atto ai sensi dell’art. 28 GDPR.
Per quanto tempo si conservano le deleghe?
Per il tempo necessario alla finalità, di norma l’anno scolastico di validità, più l’eventuale periodo stabilito dall’istituto nel proprio piano di conservazione. I tempi vanno definiti dalla scuola con il DPO/RPD.
I delegati devono ricevere un’informativa privacy?
Sì. I dati del delegato vengono raccolti tramite i genitori, quindi la scuola deve rendere disponibile l’informativa prevista dall’art. 14 GDPR; nei moduli si chiede spesso ai genitori di consegnarla ai delegati.