Articolo a cura di: Redazione - Studio Legale Calvello

Scuole private, istituti paritari ed enti di formazione utilizzano quotidianamente le e-mail per inviare circolari, avvisi, convocazioni e comunicazioni alle famiglie. Alcune piattaforme consentono anche di verificare quando un messaggio viene aperto, quali destinatari consultano i contenuti e se vengono selezionati determinati collegamenti. Queste funzionalità, apparentemente utili per migliorare la gestione delle comunicazioni, possono comportare trattamenti di dati personali che richiedono una specifica valutazione ai sensi del GDPR e della disciplina sulla riservatezza delle comunicazioni elettroniche.

Il problema riguarda soprattutto gli istituti che utilizzano sistemi di invio massivo, newsletter, registri elettronici o software dotati di tracking pixel. Occorre distinguere la semplice trasmissione di una comunicazione scolastica dal monitoraggio individuale del comportamento dei destinatari. Una configurazione non corretta può esporre l’ente a reclami delle famiglie, richieste di chiarimenti e contestazioni sulla liceità del trattamento. Per questo, prima di attivare o mantenere il tracciamento delle aperture, è opportuno verificare le finalità perseguite, le tecnologie impiegate e le condizioni giuridiche che ne consentono l’utilizzo.

Quando il controllo delle aperture delle e-mail scolastiche diventa un problema di privacy

Un istituto scolastico può avere un interesse organizzativo concreto a sapere se le famiglie abbiano ricevuto una comunicazione. Pensiamo a una circolare relativa a una modifica degli orari, alla convocazione di un incontro oppure a un avviso che richiede una decisione dei genitori. Il personale di segreteria potrebbe ritenere utile disporre di un elenco dei destinatari che hanno aperto il messaggio, così da sollecitare soltanto quelli apparentemente inattivi.

Il fatto che questa funzionalità sia disponibile nel programma utilizzato dalla scuola non significa, però, che possa essere attivata senza ulteriori verifiche. Molti servizi di invio e-mail incorporano un’immagine invisibile, comunemente denominata tracking pixel, che permette al fornitore di registrare eventi collegati al caricamento del messaggio. A seconda della configurazione, il sistema può associare l’evento all’indirizzo e-mail del destinatario, all’orario di apertura e ad altri dati tecnici.

Quando queste informazioni sono riferibili a una persona identificata o identificabile, costituiscono dati personali. La loro raccolta rappresenta un trattamento ulteriore rispetto all’utilizzo dell’indirizzo e-mail per inviare la comunicazione. La scuola deve quindi verificare se il monitoraggio sia necessario, proporzionato e giuridicamente consentito, senza presumere che la legittimità dell’invio autorizzi automaticamente anche il controllo delle aperture.

La distinzione assume particolare rilievo nelle comunicazioni obbligatorie o amministrative. Un istituto può avere una base giuridica per informare i genitori su questioni relative alla frequenza scolastica, alla gestione delle attività didattiche o agli adempimenti connessi al rapporto educativo. Da ciò non deriva necessariamente la possibilità di inserire identificativi individuali nelle e-mail per ricostruire le abitudini di consultazione delle famiglie.

Occorre considerare anche l’affidabilità tecnica dei dati raccolti. L’apertura registrata dal software non dimostra necessariamente che il destinatario abbia letto e compreso il contenuto. Alcuni programmi di posta caricano automaticamente le immagini, mentre altri ne impediscono il caricamento. Sistemi di protezione della riservatezza, come Apple Mail Privacy Protection, possono rendere ulteriormente inattendibili le statistiche individuali. Un report che segnala un messaggio come aperto non equivale, quindi, a una prova certa della sua effettiva lettura.

Questo aspetto diventa particolarmente delicato quando l’istituto intende utilizzare le statistiche per contestare a un genitore la mancata presa visione di una circolare. Tracciamento dell’apertura, conferma di ricezione e attestazione della presa visione sono operazioni differenti, che devono essere valutate separatamente sia sul piano tecnico sia su quello giuridico.

La questione riguarda anche gli enti di formazione professionale, le accademie private e le organizzazioni che gestiscono corsi rivolti ad adulti. In questi contesti, il monitoraggio può interessare convocazioni, variazioni del calendario, comunicazioni amministrative o avvisi relativi alla partecipazione. Se la piattaforma registra sistematicamente le aperture associate ai singoli iscritti, il titolare deve valutare le medesime problematiche di liceità, trasparenza e proporzionalità.

Tracking pixel nelle comunicazioni scolastiche: base giuridica, consenso e obblighi GDPR

Il Regolamento (UE) 2016/679 richiede che ogni trattamento di dati personali rispetti i principi di liceità, correttezza, trasparenza, limitazione delle finalità e minimizzazione. Per il tracciamento delle aperture delle e-mail occorre considerare anche la disciplina speciale relativa alla riservatezza delle comunicazioni elettroniche e all’accesso alle informazioni contenute nei dispositivi degli utenti, quando applicabile alla tecnologia utilizzata.

Il Provvedimento n. 284/2026 del Garante per la protezione dei dati personali, dedicato ai tracking pixel nelle e-mail, costituisce un riferimento da esaminare per valutare queste tecnologie. Le indicazioni sul consenso e sulle eventuali deroghe devono essere applicate considerando le caratteristiche del sistema e le finalità effettivamente perseguite. Non sarebbe corretto ritenere che tutte le comunicazioni scolastiche siano automaticamente esentate dal consenso soltanto perché provengono da un istituto di istruzione.

La scuola deve anzitutto distinguere il trattamento necessario all’invio del messaggio dal tracciamento individuale della sua apertura. Per la prima attività può sussistere una base giuridica collegata all’adempimento di obblighi normativi, all’esecuzione di un contratto o allo svolgimento di compiti di interesse pubblico, secondo la natura dell’ente e della comunicazione. Il monitoraggio mediante pixel richiede invece una valutazione autonoma, che consideri anche l’eventuale necessità del consenso preventivo ai sensi della disciplina speciale applicabile.

Per gli istituti pubblici, il ricorso al compito di interesse pubblico non autorizza indiscriminatamente qualsiasi forma di monitoraggio. Per scuole private ed enti formativi, neppure il richiamo al legittimo interesse consente di superare eventuali requisiti di consenso previsti dalla disciplina sulle comunicazioni elettroniche. Le deroghe devono essere interpretate in relazione alle condizioni normative effettivamente applicabili, senza estenderle a strumenti utilizzati soltanto per ottenere statistiche di apertura o misurare il coinvolgimento dei destinatari.

Un ulteriore problema riguarda la libertà del consenso. Nel rapporto tra scuola e famiglia, soprattutto quando il servizio educativo è già in corso, occorre evitare che l’accettazione del tracciamento diventi una condizione per ricevere comunicazioni necessarie. Quando il consenso è richiesto, deve essere specifico, informato, libero e revocabile. Il genitore che non autorizza il monitoraggio deve poter continuare a ricevere le comunicazioni scolastiche dovute, senza subire conseguenze ingiustificate.

La distinzione è ancora più netta per le e-mail promozionali inviate da scuole private ed enti di formazione. Messaggi relativi a nuovi corsi, open day o iniziative commerciali possono richiedere una distinta valutazione delle regole sul marketing elettronico. L’eventuale consenso all’invio di comunicazioni promozionali non deve essere confuso con quello necessario per specifiche tecnologie di tracciamento. Le due attività perseguono finalità differenti e possono richiedere scelte separate da parte del destinatario.

Sul piano documentale, l’istituto deve verificare che l’informativa privacy descriva correttamente i trattamenti effettivamente svolti, indicando finalità, basi giuridiche, categorie di dati, destinatari e tempi di conservazione. Quando vengono utilizzati servizi esterni, occorre accertare il ruolo del fornitore, l’eventuale necessità di un accordo ai sensi dell’articolo 28 GDPR e le condizioni di accesso alle informazioni raccolte. Per approfondire le verifiche specifiche sulle tecnologie di monitoraggio è possibile consultare il nostro articolo sui tracking pixel nelle e-mail e le indicazioni del Garante Privacy.

Il responsabile della protezione dei dati, quando designato, deve essere coinvolto nelle valutazioni pertinenti alle sue funzioni di consulenza e sorveglianza. L’eventuale necessità di una valutazione d’impatto ai sensi dell’articolo 35 GDPR dipende dalle caratteristiche del trattamento e dal rischio elevato che potrebbe derivarne per i diritti e le libertà delle persone. Non ogni sistema di conferma delle aperture richiede automaticamente una DPIA, ma un monitoraggio sistematico e dettagliato, specie se combinato con ulteriori informazioni sui destinatari, merita un esame specifico.

Quali controlli devono effettuare scuole ed enti formativi sulle piattaforme di invio e-mail

Una scuola che utilizza sistemi di invio massivo deve conoscere le funzionalità effettivamente attive, anche quando il servizio viene gestito da un fornitore esterno. Il problema si presenta frequentemente negli istituti che hanno adottato piattaforme per newsletter, comunicazioni amministrative o gestione delle famiglie senza verificare se il monitoraggio delle aperture sia abilitato automaticamente. La presenza di un tracking pixel può passare inosservata al personale di segreteria, mentre il sistema continua a raccogliere informazioni associate ai destinatari.

Il primo controllo riguarda la configurazione tecnica del servizio. Occorre verificare se vengono registrate le aperture delle e-mail, i clic sui collegamenti, gli orari di consultazione e gli eventuali identificativi utilizzati per collegare gli eventi ai singoli destinatari. È necessario comprendere anche chi può accedere ai report, se le informazioni vengono condivise con altri soggetti e per quanto tempo rimangono disponibili. La responsabilità della scuola non viene meno perché il tracciamento è una funzionalità predefinita del software acquistato.

Un secondo controllo riguarda la finalità del trattamento. Se l’obiettivo consiste nell’accertare che una famiglia abbia preso visione di una comunicazione importante, occorre valutare se il tracking pixel sia realmente idoneo a raggiungerlo. Come abbiamo osservato, il caricamento delle immagini non costituisce una prova affidabile della lettura. Per determinate comunicazioni può essere più appropriato utilizzare una funzione di presa visione esplicita, accessibile mediante un’area riservata, purché anche tale soluzione sia configurata nel rispetto del GDPR e raccolga soltanto le informazioni necessarie.

La scelta deve tenere conto della natura della comunicazione. Un avviso relativo alla chiusura straordinaria dell’istituto presenta esigenze differenti rispetto a una newsletter dedicata alle attività extrascolastiche. Anche una convocazione individuale o una comunicazione contenente informazioni riservate su uno studente richiede cautele specifiche. Non è corretto applicare indistintamente lo stesso sistema di monitoraggio a tutte le e-mail inviate dalla scuola, senza distinguere le finalità e i relativi presupposti giuridici.

Particolare attenzione merita il trattamento dei dati dei minori. Sebbene le comunicazioni siano frequentemente indirizzate ai genitori, il loro contenuto può riguardare direttamente gli studenti e comprendere informazioni sulla frequenza, sul rendimento, sulle condizioni personali o su particolari esigenze educative. La scuola deve evitare che i sistemi di tracciamento determinino una raccolta di informazioni eccedenti rispetto alle necessità amministrative e organizzative. Quando vengono trattate categorie particolari di dati personali, occorre verificare anche i presupposti specifici previsti dall’articolo 9 GDPR.

Un ulteriore profilo riguarda il rapporto con il fornitore della piattaforma. Se quest’ultimo tratta dati personali per conto dell’istituto, devono essere verificate le condizioni dell’accordo previsto dall’articolo 28 GDPR, comprese le istruzioni documentate, le misure di sicurezza, l’eventuale impiego di subresponsabili e le modalità di restituzione o cancellazione dei dati. Qualora il servizio comporti trasferimenti verso Paesi esterni allo Spazio economico europeo, occorre esaminare anche le garanzie applicabili. Per le verifiche sui rapporti contrattuali con i fornitori può essere utile il nostro approfondimento sul contratto ex articolo 28 GDPR e le clausole obbligatorie.

La documentazione interna deve rispecchiare le attività realmente effettuate. Se il tracciamento costituisce un trattamento distinto o comporta una modifica sostanziale di quello già censito, occorre valutare l’aggiornamento del registro delle attività di trattamento, delle informative e delle istruzioni impartite al personale autorizzato. È opportuno stabilire chi possa consultare i report, per quali finalità e con quali limiti. L’accesso indiscriminato alle statistiche individuali da parte di docenti, segreterie o altri operatori può risultare incompatibile con il principio di minimizzazione e con la necessità di limitare la conoscibilità dei dati.

Quando emerge che il monitoraggio è stato attivato senza un’adeguata valutazione, l’istituto deve esaminare tempestivamente la situazione. Può essere necessario sospendere la funzionalità, verificare i dati già raccolti, correggere la documentazione e rivedere le impostazioni della piattaforma. La semplice disattivazione del tracking pixel non risolve automaticamente tutte le eventuali irregolarità pregresse, soprattutto quando sono presenti dati storici conservati dal fornitore o richieste già formulate dagli interessati.

Il coinvolgimento del DPO, ove nominato, permette di esaminare il trattamento sotto il profilo della liceità, della proporzionalità e della gestione dei rischi. Nei casi più complessi, soprattutto quando sono già emerse contestazioni delle famiglie o dubbi sulla correttezza delle procedure adottate, può essere opportuno affiancare alla verifica tecnica una valutazione legale. Per le organizzazioni che intendono rivedere complessivamente i propri adempimenti è disponibile anche il nostro approfondimento sull’audit privacy e sulle verifiche di conformità GDPR.

Esempio pratico: una scuola privata scopre che le e-mail alle famiglie vengono tracciate automaticamente

Consideriamo il caso di un istituto scolastico privato che utilizza una piattaforma esterna per inviare circolari, comunicazioni amministrative e avvisi alle famiglie. Il personale di segreteria consulta periodicamente i report delle aperture per individuare i genitori che non sembrano aver letto i messaggi. Dopo una richiesta di chiarimenti da parte di una famiglia, la direzione scopre che il sistema registra automaticamente le aperture attraverso identificativi individuali, senza che tale funzionalità sia stata oggetto di una specifica valutazione privacy.

In una situazione di questo tipo, il nostro intervento professionale sarebbe diretto anzitutto a ricostruire il funzionamento della piattaforma, le categorie di dati raccolti e le finalità perseguite dall’istituto. Verificheremmo la documentazione disponibile, il rapporto contrattuale con il fornitore e le condizioni giuridiche del monitoraggio. L’aspetto più delicato consisterebbe nel distinguere l’esigenza legittima di comunicare tempestivamente con le famiglie dalla raccolta sistematica di informazioni sulle loro abitudini di consultazione.

In base agli esiti della verifica, l’istituto potrebbe decidere di disattivare il tracciamento individuale, modificare le procedure di comunicazione e utilizzare, per gli avvisi che lo richiedono, un sistema di presa visione esplicita. Andrebbero inoltre valutati i dati precedentemente raccolti, i tempi di conservazione e gli eventuali aggiornamenti documentali. L’obiettivo sarebbe ricondurre le modalità operative a un trattamento giuridicamente sostenibile, mantenendo la capacità della scuola di comunicare efficacemente con le famiglie.

Domande frequenti sul tracciamento delle e-mail di scuole ed enti formativi

Una scuola può controllare se i genitori hanno aperto le e-mail?

La possibilità tecnica di verificare le aperture non equivale a un’autorizzazione giuridica. Occorre valutare il sistema utilizzato, la finalità del monitoraggio, la disciplina applicabile ai tracking pixel e gli eventuali requisiti di consenso. L’invio legittimo di una comunicazione scolastica non rende automaticamente lecito il tracciamento individuale della sua apertura.

Il consenso dei genitori è sempre necessario per tracciare le aperture?

La risposta dipende dalla tecnologia impiegata e dalle condizioni previste dalla normativa applicabile. Quando il sistema ricade nella disciplina che richiede il consenso per l’accesso alle informazioni contenute nei dispositivi degli utenti, eventuali deroghe devono essere valutate rigorosamente. Non è sufficiente richiamare genericamente l’interesse organizzativo della scuola o la necessità di inviare comunicazioni alle famiglie.

La conferma di apertura dimostra che un genitore ha letto una circolare?

No. I sistemi di tracciamento possono registrare il caricamento automatico delle immagini oppure non rilevare aperture effettivamente avvenute. Il dato non costituisce, da solo, una prova certa della lettura e della comprensione del messaggio. Per comunicazioni che richiedono un’attestazione documentabile può essere necessario adottare modalità differenti, proporzionate alla finalità perseguita.

Un istituto deve effettuare una DPIA per monitorare le e-mail?

La valutazione d’impatto non è automaticamente obbligatoria per ogni sistema di comunicazione elettronica. Deve essere effettuata quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, secondo i criteri dell’articolo 35 GDPR. Un monitoraggio sistematico, dettagliato e associato a ulteriori informazioni personali può richiedere un esame approfondito della necessità di una DPIA.

Cosa deve fare una scuola che ha già utilizzato tracking pixel senza adeguate verifiche?

Occorre ricostruire le caratteristiche del trattamento, verificare le condizioni di liceità e valutare l’eventuale sospensione del monitoraggio. Devono essere esaminati i dati già raccolti, la documentazione privacy, le impostazioni del fornitore e le eventuali richieste degli interessati. Se emergono violazioni, le misure correttive devono essere definite in relazione alla loro natura e alle conseguenze concretamente riscontrate.

Consulenza legale e assistenza GDPR per scuole private ed enti di formazione

Il nostro Studio assiste scuole private, istituti paritari ed enti di formazione nella verifica della conformità GDPR delle comunicazioni elettroniche, con particolare attenzione ai tracking pixel, ai sistemi di conferma delle aperture, ai rapporti con i fornitori tecnologici e alla gestione delle richieste delle famiglie.

Possiamo intervenire per valutare le funzionalità di monitoraggio già attive, esaminare informative e documentazione privacy, supportare il DPO e individuare le modifiche organizzative e contrattuali appropriate. Prestiamo assistenza anche quando l’istituto abbia ricevuto reclami, contestazioni o richieste di chiarimenti relative al trattamento dei dati personali.

Per sottoporre una situazione concreta alla nostra valutazione professionale è possibile richiedere una consulenza allo Studio Legale Calvello in materia di privacy e compliance.