Parere del Garante n. 747 del 18/12/2025

Implementazione del Curriculum della studentessa e dello studente nella Piattaforma Unica

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministero dell’Istruzione e del Merito attuativo dell’art. 1, comma 4, del d.l. 9 settembre 2025, n. 127 e dell’art. 11, comma 4, del d.m. 10 ottobre 2023, n. 192. L’atto concerne l’implementazione del modello di "Curriculum della studentessa e dello studente" nell’ambito della Piattaforma Unica, ai sensi dell’art. 21, commi 4-quater e seguenti, del d.l. 22 giugno 2023, n. 75, convertito dalla l. 10 agosto 2023, n. 112.

Quadro normativo di riferimento

Nel parere sono richiamati il GDPR, il Codice privacy, la disciplina sull’istruzione e la normativa che ha introdotto e successivamente aggiornato il Curriculum dello studente. In particolare, vengono citati:

• l’art. 1, commi 28 e 30, della l. 13 luglio 2015, n. 107, che prevede la funzione del Curriculum anche ai fini dell’orientamento e del colloquio d’esame;
• il d.lgs. 13 aprile 2017, n. 62, come modificato dal d.l. 9 settembre 2025, n. 127;
• il d.m. 6 agosto 2020, n. 88, quale modello originario del Curriculum;
• il d.m. 10 ottobre 2023, n. 192, sulla disciplina del trattamento dei dati nella Piattaforma Unica;
• il d.m. 18 giugno 2024, n. 124, richiamato quale precedente intervento attuativo;
• il ruolo di INVALSI, anche alla luce del d.lgs. 19 novembre 2004, n. 286.

Contenuto dello schema di decreto

Lo schema modifica e implementa il Curriculum già esistente, integrandolo con una nuova sezione dedicata alle prove nazionali. Il Curriculum risulta articolato in quattro parti:

• Parte I, "Istruzione e formazione", con i dati della sezione "Percorso di studi" dell’E-Portfolio;
• Parte II, "Certificazioni", con le certificazioni presenti nella sezione "Sviluppo competenze";
• Parte III, "Attività extrascolastiche", con le attività svolte in ambito extrascolastico;
• Parte IV, "Prove Nazionali", con la descrizione dei livelli di apprendimento nelle prove scritte a carattere nazionale e la certificazione di inglese.

Lo schema prevede inoltre che il Curriculum sia associato al diploma tramite un numero identificativo, ma possa essere acquisito separatamente, in base a una scelta informata dello studente.

Modalità di alimentazione e disponibilità del Curriculum

Il decreto disciplina una progressiva alimentazione del Curriculum. Durante l’anno scolastico lo studente compila la Parte III; dopo lo scrutinio finale si aggiornano le Parti I, II e III; dopo l’esame di maturità viene inserita la Parte IV, con alimentazione da parte di INVALSI.

Prima dello svolgimento dell’esame, il Curriculum composto dalle sole Parti I, II e III è messo a disposizione delle commissioni, così da consentire un adeguato coinvolgimento dello studente nel colloquio. Dopo l’emissione del diploma, il Curriculum definitivo è reso disponibile agli studenti diplomati nell’E-Portfolio della Piattaforma Unica.

Scelta informata, accesso differenziato e alert privacy

Una parte rilevante del parere riguarda la possibilità per lo studente diplomato di acquisire il Curriculum in forme differenziate. Lo schema consente infatti di scaricare:

• il Curriculum integrale;
• la versione comprensiva delle Parti I e II;
• la versione comprensiva delle Parti I, II e III;
• la sola Parte IV, autonoma e separata.

Nel caso di acquisizione dell’intero Curriculum o della sola Parte IV, la Piattaforma mostra un alert specifico sui rischi in materia di protezione dei dati personali. Il Garante valorizza tale soluzione perché rafforza la consapevolezza dell’interessato e consente una scelta effettivamente informata.

Soggetti coinvolti e studenti minorenni

Lo schema individua i soggetti coinvolti nel trattamento e regola l’accesso al Curriculum attraverso l’E-Portfolio, previa identificazione e autenticazione informatica. L’accesso è garantito, in particolare:

• allo studente diplomando, ai docenti e agli esercenti la responsabilità genitoriale, per la versione contenente le Parti I, II e III, se lo studente è minorenne;
• allo studente diplomato e agli esercenti la responsabilità genitoriale, nel caso di studente diplomato minorenne, per la versione contenente le Parti I, II, III e IV.

Il Garante segnala come positiva la corretta individuazione dei ruoli dei soggetti coinvolti, inclusi gli esercenti la responsabilità genitoriale quali autorizzati ad accedere ai dati del minore.

Valutazioni del Garante e conformità ai principi del GDPR

Il Garante evidenzia che la nuova versione dello schema tiene conto delle osservazioni già formulate in sede di interlocuzione informale, con l’obiettivo di assicurare il rispetto dei principi di:

• liceità, correttezza e trasparenza;
• minimizzazione dei dati;
• privacy by design e by default.

In particolare, viene apprezzato che il Curriculum non sia qualificato come parte integrante del diploma e che, quindi, lo studente possa scegliere se allegarlo integralmente o solo in alcune sue parti. Sono inoltre ritenute coerenti con il GDPR le previsioni che limitano la disponibilità della Parte IV, introducono misure informative e alert e chiariscono i ruoli dei soggetti del trattamento.

Rilievo specifico sulle prove nazionali INVALSI

Il parere contiene un richiamo espresso, con riferimento all’inserimento nel Curriculum dei livelli di apprendimento conseguiti nelle prove nazionali INVALSI, al fatto che tale disciplina non è stata oggetto di consultazione specifica. Per questa parte, il Garante ribadisce che i trattamenti effettuati da INVALSI devono comunque rispettare i principi di liceità, correttezza, trasparenza e limitazione della finalità ai sensi dell’art. 5, par. 1, lett. a) e b), GDPR.

Viene inoltre precisato che le prove nazionali non hanno una finalità valutativa del singolo studente, ma servono alla valutazione complessiva della qualità dell’offerta formativa delle istituzioni scolastiche e al miglioramento dell’efficacia dell’azione didattica.

Conclusione

Alla luce delle modifiche apportate e delle garanzie previste, il Garante esprime parere favorevole sullo schema di decreto. Il parere è quindi positivo e non subordina l’assenso a ulteriori condizioni formali, ferma restando la necessità di assicurare, nell’attuazione concreta, la conformità dei trattamenti ai principi del GDPR, in particolare per la componente INVALSI.