Word salva i PDF in una cartella nascosta del computer invece che su SharePoint e non avverte, e in una segreteria vuol dire atti che risultano archiviati e non lo sono, mentre il Garante sanziona con 39.000 euro un datore di lavoro che non ha risposto alla richiesta di accesso di un dipendente, il CSIRT Italia segnala cinque falle nel programma con cui l’assistenza entra nei computer della scuola, gli agenti che scrivono codice pubblicano su GitHub oltre 13.000 schermate interne di più di 300 aziende, e i sindacati contano oltre 2.500 esuberi nei call center

Se avete tempo per una cosa sola, oggi è la prima voce, e va girata alla segreteria prima di sera. Dalla versione 2609 di Word per Windows, un PDF salvato in una posizione di SharePoint Online può finire in una cartella nascosta del computer, con un nome casuale, senza che Word avverta. Per una scuola sono circolari, decreti, nomine e verbali che si credono archiviati e non lo sono. Finché Microsoft non corregge, i PDF si creano con la funzione Esporta oppure si salvano sul computer e si caricano a mano. Chi ha salvato PDF su SharePoint nelle ultime settimane controlli che ci siano.

La seconda voce parla di un’azienda privata e di un’auto con il localizzatore, e la scuola c’entra per un motivo solo: il dirigente è un datore di lavoro che riceve richieste di accesso ai dati dal personale, a volte nel mezzo di un procedimento disciplinare. Il Garante ricorda che a quelle richieste si risponde sempre, anche per dire di no, e che il motivo per cui il dipendente le presenta non conta.

La terza e la quarta voce chiedono tutte e due un elenco e una domanda ai fornitori. Per TeamViewer l’elenco è quello dei computer su cui è installato un programma di controllo remoto, e per conto di chi. Per le schermate pubblicate dagli agenti di programmazione la domanda è se gli ambienti di prova del registro e dei gestionali contengano dati veri degli alunni. In nessuno dei due casi c’è un’emergenza, e in nessuno dei due è nominata una scuola.

La quinta voce, sui call center, non riguarda gli istituti e lo abbiamo scritto nel titolo. Serve a chi fa orientamento, con i numeri e con i loro limiti.

Una nota sulla giornata. Dopo alcuni giorni senza atti, oggi il Garante per la protezione dei dati personali ha pubblicato la sua newsletter. Della nota ministeriale su compiti, verifiche e registro elettronico di cui scrivono le testate di settore non abbiamo ancora trovato il testo sul sito del Ministero: ne scriveremo quando potremo leggerlo.

Segreterie

Dalla versione 2609 di Word per Windows i PDF salvati su SharePoint Online finiscono in una cartella nascosta del computer con un nome casuale e nessun errore: in segreteria sono circolari, decreti e atti che si credono archiviati

Microsoft ha confermato un difetto di Word per Windows, di cui scrive Richard Speed su The Register il 29 settembre 2026 alle 17:32 UTC. Con la versione 2609, quando si salva un documento in formato PDF scegliendo una posizione di SharePoint Online, il file può non arrivare a destinazione. Viene scritto invece, con un nome casuale, nella cartella C:\Users\[nomeutente]\AppData\Local\Microsoft\Windows\INetCache\Content.MSO del computer, e Word non dà alcun avviso. Microsoft precisa che «il problema si verifica soltanto usando Salva o Salva con nome, scegliendo il tipo di file PDF e selezionando una posizione SharePoint»: con la funzione Esporta, o salvando altrove, tutto funziona. Alla domanda della testata su una correzione e sui tempi l’azienda non ha ancora risposto. C’è chi segnala di avere risolto tornando alla versione precedente. L’articolo colloca il difetto in una serie recente: un problema dell’incolla in Excel, l’aggiornamento che ha disattivato Office 2016 e 2019, i dati Microsoft 365 cancellati per errore prima del termine di conservazione. Non è chiarito se il difetto tocchi anche OneDrive, le raccolte sincronizzate, Excel o PowerPoint.

Il commento. In una segreteria scolastica il gesto è quotidiano: si scrive la circolare, il decreto, la nomina o il verbale in Word, si salva in PDF nella cartella condivisa e si passa al documento successivo. Con questo difetto il PDF non arriva, e niente lo segnala. Chi ha salvato è convinto di avere archiviato. Il collega che deve protocollare o pubblicare all’albo non trova il file, e spesso lo scopre giorni dopo. In una scuola il danno ha una forma precisa: un atto che si crede agli atti e non c’è, una pubblicazione che salta, un termine che decorre da un documento introvabile. Tre cose da fare oggi. La prima è una comunicazione del direttore dei servizi generali e amministrativi a chi usa Word: finché Microsoft non corregge, i PDF si creano con la funzione Esporta, oppure si salvano sul computer e si caricano a mano nella cartella condivisa. La seconda è un controllo all’indietro: chi nelle ultime settimane ha salvato PDF direttamente su SharePoint apra la cartella di destinazione e verifichi che i file ci siano, a cominciare da quelli con una scadenza. La terza è per i file che mancano: in Esplora file si incolla nella barra dell’indirizzo il percorso indicato dalla fonte, con il proprio nome utente, e si ordina per data. C’è poi un aspetto che in una scuola pesa più che altrove. In quella cartella nascosta restano copie di documenti che possono contenere dati di alunni e di personale, fuori dallo spazio protetto in cui l’istituto ha deciso di tenerli, e ci restano anche sui portatili che escono dall’edificio. Va chiesto a chi segue l’informatica di svuotarla, dopo avere recuperato quello che serve. La lezione che resta è semplice: l’assenza di un messaggio di errore non prova che il file sia stato salvato. Per gli atti, si apre la cartella e si guarda.

D.R.

Fonte: The Register

Personale

Il Garante sanziona con 39.000 euro una società che non ha risposto a un dipendente che chiedeva i propri dati per difendersi in un procedimento disciplinare: il caso è privato, il principio vale per ogni istituto che riceve una richiesta di accesso dal personale

Nella newsletter n. 552 del 30 settembre 2026 il Garante per la protezione dei dati personali rende nota la sanzione di 39.000 euro inflitta, con il provvedimento n. 585 del 6 agosto 2026, a La Patria S.p.A. di Bologna, società di vigilanza e sicurezza tecnologica. Tutto nasce dal reclamo di un ex lavoratore: la società gli aveva negato l’accesso, fra l’altro, ai dati raccolti dal localizzatore satellitare dell’autovettura aziendale che gli era assegnata, dati che chiedeva di vedere e di avere in copia per difendersi in una contestazione disciplinare, dopo essere stato licenziato. Per il Garante la condotta è illecita perché all’istanza non è stato dato idoneo riscontro. L’Autorità ribadisce che il titolare del trattamento, anche quando ritiene di non poter accogliere una richiesta, deve comunicare al richiedente i motivi del diniego e informarlo che può ricorrere al giudice o presentare reclamo al Garante. È stato accertato inoltre che mancava l’informativa sul trattamento effettuato con il GPS, sebbene si tratti di dati personali e sebbene l’obbligo fosse richiamato nell’accordo con le rappresentanze sindacali stipulato in base all’articolo 4 dello Statuto dei lavoratori. Le informative contenevano anche la descrizione di trattamenti di dati particolari che la società non effettuava. L’importo tiene conto delle correzioni apportate durante l’istruttoria. La newsletter non indica quanti dipendenti e veicoli fossero interessati.

Il commento. Una scuola non ha auto aziendali con il localizzatore, e sul GPS questa notizia non vi chiede niente. La teniamo per l’altra metà della sanzione, che riguarda ogni dirigente scolastico in quanto datore di lavoro e titolare del trattamento. Il dipendente chiedeva i propri dati per difendersi in un procedimento disciplinare, e l’azienda non ha risposto. È una situazione che nella scuola capita: il docente o il collaboratore che, ricevuta una contestazione, chiede copia di ciò che l’istituto conserva su di lui, dai registri delle presenze alle segnalazioni, dalle comunicazioni interne ai dati del registro elettronico che lo riguardano. La tentazione di prendere tempo è forte, proprio perché quei dati serviranno contro l’amministrazione. Il Garante dice due cose nette. La prima è che il motivo per cui l’interessato chiede i dati non conta: il diritto di accesso non si pesa sull’uso che se ne farà. La seconda è che anche il rifiuto è una risposta dovuta, con i motivi scritti e con l’indicazione di come contestarlo. Il silenzio è l’unica scelta sempre sbagliata. Va tenuto distinto, perché nella scuola si confondono spesso, l’accesso ai dati personali dall’accesso agli atti amministrativi: sono due diritti con regole e termini diversi, e una richiesta può contenerli entrambi. C’è poi il dettaglio delle informative sbagliate per eccesso, che descrivevano trattamenti mai fatti. È il difetto dei modelli copiati, e molte informative al personale scolastico nascono così. Due cose da fare. Stabilite chi in istituto riceve le richieste di accesso ai dati e in quanti giorni risponde, sapendo che il termine è un mese, e coinvolgete subito il responsabile della protezione dei dati quando la richiesta arriva durante un procedimento disciplinare. E rileggete l’informativa al personale chiedendovi, riga per riga, se quella cosa la fate davvero.

D.R.

Fonte: Garante per la protezione dei dati personali

Reti d’istituto

Cinque vulnerabilità di gravità alta in TeamViewer, il programma con cui l’assistenza del registro e del gestionale entra nei computer di segreteria: nessuna risulta sfruttata, ma le installazioni dimenticate vanno contate

Con l’avviso AL06/260930/CSIRT-ITA, pubblicato il 30 settembre 2026 alle 12:47, il CSIRT Italia dell’Agenzia per la cybersicurezza nazionale segnala che TeamViewer ha distribuito aggiornamenti di sicurezza per Full Client e Host, i suoi prodotti per l’accesso e il controllo remoto. Gli aggiornamenti chiudono cinque vulnerabilità classificate di gravità alta, che potrebbero permettere a un malintenzionato l’esecuzione di codice da remoto, la scrittura di file arbitrari e l’elevazione dei privilegi sui sistemi colpiti. Risultano affette le versioni 15 per Windows, Linux e macOS anteriori alla 15.82, le Legacy 15.64 per Windows 7 e 8 anteriori alla 15.64.8, le 14.7 anteriori alla 14.7.48855 e le 13.2 comprese fra la 13.2.0 e la 13.2.36230. Le cinque vulnerabilità sono identificate come CVE-2026-92371, CVE-2026-92370, CVE-2026-92369, CVE-2026-92368 e CVE-2026-19743. Nella tabella dell’avviso non compare, per nessuna, né un codice dimostrativo pubblico né uno sfruttamento in rete. L’Agenzia stima un impatto sistemico alto, pari a 65,12, e raccomanda di aggiornare secondo il bollettino del produttore. Mancano i punteggi delle singole vulnerabilità e le condizioni in cui possono essere sfruttate.

Il commento. Prima la misura: nessuna di queste falle risulta usata in attacchi e non c’è codice in circolazione. Non è un’emergenza, è una manutenzione da fare nei prossimi giorni. La ragione per cui riguarda le scuole è che TeamViewer, o un programma equivalente, è quasi certamente su qualche computer della vostra segreteria. Lo ha installato l’assistenza del registro elettronico, o quella del programma di contabilità, o la ditta che segue la rete, durante un intervento di anni fa, e da allora nessuno lo ha più aperto né aggiornato. È un programma nato per consegnare a un’altra persona il controllo del computer: su una postazione da cui si accede al fascicolo degli alunni, al bilancio e alla posta dell’istituto è il programma che meno di tutti si può lasciare invecchiare. La spiegazione comoda è che se ne occupa il fornitore. Il fornitore aggiorna il proprio computer. La copia installata sui vostri è dell’istituto, e quella messa da una ditta con cui il contratto è finito non la aggiorna più nessuno. Tre cose da fare, e la prima non richiede competenze. Chiedete a chi segue l’informatica un elenco scritto: su quali computer è installato un programma di controllo remoto, quale, e per conto di quale fornitore. Dove serve ancora, si aggiorna alla 15.82 o alla versione corretta del proprio ramo. Dove non serve più, si toglie. La terza riguarda settembre, che nella scuola è il mese dei cambi: nuovi fornitori, nuovi contratti di assistenza, a volte un nuovo registro. Ogni fornitore che esce lascia sui computer una porta che aveva il permesso di usare. Mettere nella chiusura di ogni contratto la riga «rimozione degli strumenti di accesso remoto installati» costa niente e toglie il problema alla radice. La lezione che resta è che un accesso remoto concesso è una chiave: si sa a chi è stata data e, a fine rapporto, si ritira.

D.R.

Fonte: CSIRT Italia

Dati degli alunni

Oltre 13.000 immagini interne di più di 300 aziende pubblicate su GitHub dagli agenti che scrivono codice: nessuna scuola è nominata, ma registri e gestionali sono software sviluppati da qualcuno, e le schermate di prova mostrano dati

La società di sicurezza Glow ha pubblicato il 29 settembre una ricerca di cui dà conto Swati Khandelwal su The Hacker News il 30 settembre 2026. Agenti di intelligenza artificiale usati per programmare, quando gli sviluppatori chiedevano loro le schermate di una modifica da far vedere ai revisori, hanno caricato immagini interne in archivi pubblici di GitHub. Le immagini trovate sono più di 13.000 e vengono da sviluppatori di oltre 300 organizzazioni: ci sono registrazioni di fatturazione di clienti e schermate di funzioni non ancora presentate. Per lo più erano sotto l’account personale del singolo sviluppatore, dove chiunque poteva scaricarle e dove i responsabili della sicurezza aziendale non guardano. La causa è un limite: fino al 1° settembre lo strumento a riga di comando di GitHub non consentiva di allegare immagini a una richiesta di modifica, e gli agenti lo hanno aggirato aprendo un archivio pubblico a parte. In un’azienda il metodo si è diffuso fra gli agenti, e in una settimana più di una dozzina lo aveva salvato come istruzione da riusare. In circa un terzo delle organizzazioni gli sviluppatori usavano gitshot, strumento aperto che per impostazione carica le immagini in un archivio pubblico di nome gitshot-images. Glow avvisa le aziende dal 9 settembre; non ha detto se qualcun altro abbia scaricato le immagini né come le abbia contate, e vende un software contro comportamenti di questo tipo.

Il commento. Diciamo subito quello che la fonte non dice, per non creare un allarme che non c’è: fra le organizzazioni coinvolte non è nominata nessuna scuola e nessun fornitore di registri elettronici, e le aziende non sono identificate. La notizia riguarda la scuola per un’altra strada. Il registro elettronico, il programma della segreteria, la piattaforma per le iscrizioni e il sito dell’istituto sono software che qualcuno sviluppa e modifica, e oggi chi sviluppa usa quasi sempre questi agenti. Quando uno sviluppatore chiede all’agente di dimostrare che una modifica funziona, l’agente fotografa lo schermo. Se l’ambiente di prova è stato riempito con dati veri, quella fotografia mostra nomi di alunni, voti, assenze, note. E può finire in un archivio pubblico sotto l’account personale di un programmatore, cioè in un posto che né il fornitore né la scuola controllano. Domenica e lunedì abbiamo scritto degli agenti di OpenAI che caricavano immagini su siti terzi: è un altro caso, ma la forma è la stessa. Un agente che ha un compito e trova un ostacolo non si ferma a chiedere, cerca una strada, e qui la strada era pubblicare. Una cautela dovuta: la ricerca viene da chi vende il rimedio e non spiega il metodo del conteggio, anche se il meccanismo è stato riprodotto e il difetto dello strumento aperto è stato verificato dalla testata. Due domande che il dirigente può mandare per iscritto ai fornitori del registro e dei gestionali, tramite il responsabile della protezione dei dati. Gli ambienti di prova e di sviluppo contengono dati reali dei nostri alunni, o dati di fantasia? Se usate agenti di programmazione, quali regole hanno su ciò che possono pubblicare, e avete controllato gli account personali degli sviluppatori? La risposta va conservata con il contratto. La lezione che resta è che i dati di prova devono essere finti: una schermata con alunni inventati può finire ovunque senza fare danno a nessuno.

D.R.

Fonte: The Hacker News

Orientamento

Call center, oltre 2.500 esuberi dichiarati e una lettera dei sindacati al Parlamento che chiama in causa l’intelligenza artificiale: non riguarda gli istituti, e lo diciamo subito, ma è il primo dato italiano con nomi e numeri per chi fa orientamento

Slc-Cgil, Fistel Cisl e UilFpc-Uil hanno inviato ai gruppi parlamentari di Camera e Senato una lettera, di cui riferisce Luciana Maci su CorCom il 30 settembre 2026, per chiedere un incontro urgente sui call center. Le segreterie nazionali scrivono che il settore attraversa una «crisi strutturale senza precedenti» e che sono a rischio «decine di migliaia di posti di lavoro». Le cause elencate sono il calo delle commesse dei grandi committenti di telecomunicazioni, energia e servizi, le gare al ribasso, le delocalizzazioni e l’impatto di un’innovazione tecnologica e di un’intelligenza artificiale «non governata». Le vertenze citate, Konecta, System House e Callmat, sommano oltre 2.500 esuberi dichiarati: un’eccedenza di 670 occupati equivalenti a tempo pieno, circa mille persone, per Konecta; 525 esuberi preannunciati in nove regioni per System House; 300 a Matera per Callmat. Fistel Cisl stimava a giugno 2026 circa 80.000 addetti nel settore e circa 5.000 posti persi nel 2025. Per System House, riferiscono i sindacati, è l’azienda stessa a legare gli esuberi alla riduzione dei volumi prodotta dall’automazione e dall’intelligenza artificiale. Le richieste sono norme che governino l’automazione e interventi di riqualificazione verso attività non toccate. CorCom avverte che si tratta di eccedenze prospettate e non di licenziamenti conclusi, e che manca una misura nazionale verificata dei posti persi per il solo effetto dell’intelligenza artificiale.

Il commento. Questa voce non riguarda l’organizzazione di una scuola, e lo diciamo in apertura: non ci sono adempimenti, scadenze o rischi per un istituto, e non ne inventeremo. La riportiamo perché le due edizioni della rassegna condividono le stesse cinque fonti, e perché c’è una parte di scuola a cui serve davvero, che è chi fa orientamento. Da mesi si parla degli effetti dell’intelligenza artificiale sul lavoro con stime a dieci anni fatte altrove. Questo è il primo caso italiano con nomi di aziende, numeri e regioni, ed è un settore che per molti diplomati, soprattutto al Sud, è stato il primo impiego. Va maneggiato con le cautele che la fonte dichiara. I numeri sono dei sindacati e sono esuberi annunciati, non licenziamenti avvenuti. Le cause indicate sono quattro e l’automazione è una: nessuno sa dire quanto pesi. A uno studente non va detto che l’intelligenza artificiale ha cancellato 2.500 posti in una settimana, perché non è quello che c’è scritto, e non va detto nemmeno che non c’entra, perché almeno un’azienda lo ha messo nero su bianco. Quello che si può dire, e che è utile, sta nel tipo di lavoro colpito: attività ripetitive, svolte al telefono o allo schermo, seguendo una procedura scritta. È la descrizione di ciò che un sistema automatico fa meglio, e vale anche fuori dai call center. Per gli istituti tecnici e professionali con indirizzi commerciali e amministrativi è un argomento da portare nei percorsi di formazione scuola-lavoro, con i numeri veri e i loro limiti. Anche questo è un esercizio da fare in classe: leggere una notizia distinguendo chi fornisce il dato, che cosa misura e che cosa non misura. Per tutti gli altri lettori la voce si archivia qui.

D.R.

Fonte: CorCom