Basta premere “invio” su Google per trovare un archivio inatteso di dati personali indicizzati: carte d’identità, passaporti, patenti, IBAN, contratti di lavoro, curriculum, PEC private e perfino password. Molti documenti rimandano a “Nuvola”, piattaforma di registro elettronico utilizzata dalla maggior parte degli istituti scolastici italiani, certificata ISO e presente anche sul portale dell’Agenzia per la Cybersicurezza Nazionale.
Registro elettronico Nuvola, dati sensibili su Google
Nonostante le garanzie formali sui sistemi di protezione, i documenti individuati risultano accessibili via web senza autenticazione e indicizzati dai motori di ricerca. Si tratta – secondo quanto si legge su Fanpage.it – di materiali caricati nell’ambito di pratiche scolastiche – documenti di identità completi di dati anagrafici, fotografie e firme – che espongono informazioni personali e, in alcuni casi, dati particolarmente sensibili.
Rischi economici e reputazionali per le scuole
Il caso apre interrogativi non solo sul piano della tutela della privacy, ma anche su quello economico e reputazionale. Le scuole italiane hanno accelerato la digitalizzazione dei processi amministrativi, affidandosi a fornitori privati per la gestione di archivi e comunicazioni. Un’eventuale vulnerabilità sistemica potrebbe tradursi in contenziosi, sanzioni e costi di adeguamento tecnologico, oltre a minare la fiducia di famiglie e personale scolastico. Sul fronte normativo, l’episodio richiama l’attenzione sull’applicazione del GDPR e sui protocolli di sicurezza richiesti ai fornitori di servizi digitali per la pubblica amministrazione.
L’allarme degli esperti sulla protezione dei dati
“Sono dati che per la loro natura sensibile, dovrebbero essere custoditi con la massima attenzione, e poiché la loro diffusione presenta un rischio elevato per i diritti e le libertà delle persone coinvolte”, ha spiegato Nicola Bernandi, presidente di Ferderprivacy, sul suo profilo LinkedIn. “Siamo di fronte a una falla che mette a rischio la privacy dei cittadini e solleva dubbi su come vengano protetti i dati nelle scuole italiane”.
Una questione di accessi e controlli
Ma come è possibile che decine di documenti appaiano indicizzati su Google? Secondo Bernandi, “ogni piattaforma web è come una casa con porte e finestre, e ogni file conservato su un server è potenzialmente accessibile a chiunque abbia una connessione internet. Ciascun punto d’ingresso deve essere dovutamente presidiato, e nei punti di accesso più delicati deve esserci anche una “guardia” che permetta di entrare solo a chi è autorizzato”.
Responsabilità dello sviluppatore
“Se tutti questi documenti sono finiti così alla mercè di tutti, significa che qualcuno ha lasciato le finestre spalancate e le chiavi sulla porta, permettendo a chiunque di accedere, e anche chi doveva vigilare sulla sicurezza non ha evidentemente fatto il suo dovere”, prosegue Bernandi.
Secondo Bernardi si tratta di un problema di progettazione, perché il GDPR richiede che la protezione dei dati dei software sia integrata fin dalla “by design” e che le impostazioni predefinite garantiscano il massimo livello di tutela “by default”. “Quindi, anche se spesso le diffusioni accidentali di dati sensibili sono causate da operatori maldestri, in questo caso non si possono addossare colpe ai singoli utenti, ma dovrebbe essere piuttosto lo sviluppatore della piattaforma a fornire spiegazioni sui motivi per cui i documenti, oltre a non essere protetti e liberamente accessibili, sono pure reperibili da chiunque faccia una semplice ricerca su Google.”
