Tutti i dati personali possono essere raccolti e trattati da parte degli enti pubblici solo per lo svolgimento delle funzioni istituzionali. Ciò vale anche per i cosiddetti dati "sensibili", cioè quelli che concernono l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, e i dati personali idonei a rivelare lo stato di salute e la vita sessuale dell'individuo. Questi dati inoltre, se raccolti in forma sistematica, devono essere protetti da rischi di distruzione, perdita, accesso non autorizzato, ecc.
I dati sensibili, così come quelli di carattere giudiziario, possono dunque essere acquisiti e trattati anche dalla scuola, in modo corretto e per le finalità ammesse dalla legge. Tra le finalità pertinenti, si possono ricordare: favorire l'integrazione degli alunni non cittadini italiani, garantire la libertà religiosa, favorire la partecipazione alle attività educative e didattiche programmate, consentire la valutazione periodica, l'orientamento, la certificazione delle competenze, ecc.
I dati che la scuola gestisce possono essere comunicati anche ad altre amministrazioni. In particolare, il decreto del Ministero della Pubblica istruzione n. 305/2006 (v. soprattutto le schede allegate nn. 4 e 5) dispone che tali dati possono essere trasmessi agli Enti Locali, per la fornitura dei servizi ai sensi del D.Lgs. 31 marzo 1998, n. 112, e quindi per tutta l'attività dei servizi sociali, in quanto siano indispensabili all'erogazione del servizio in questione. I dati possono anche essere comunicati ai gestori pubblici e privati dei servizi di assistenza agli alunni e di supporto all'attività scolastica, ai sensi delle leggi regionali sul diritto allo studio, limitatamente ai dati indispensabili all'erogazione del servizio, nonché per le misure a favore dell'integrazione delle persone con disabilità (l. 104/1992).
La normativa sulla privacy (dlgs 196/2003), quindi, non ostacola la comunicazione di informazioni tra scuola e servizi; richiede però che i dati oggetto di tali comunicazioni siano acquisiti e gestiti (aggiornati, registrati, confrontati, e anche distrutti quando non più pertinenti) in modo rigoroso e controllato e che siano sempre chiare e legittime le finalità per le quali tali informazioni vengono condivise. La regola pertanto è che tutto ciò che attiene alla sfera personale di una persona, sia essa maggiore o minore d'età, può essere acquisito unicamente con il consenso della stessa.
Tra le finalità che consentono lo scambio tra scuola e servizi di informazioni sensibili senza il previo consenso dell'avente diritto non rientrano pertanto generiche richieste di collaborazione, non collegate alle specifiche prestazioni che l'ente locale deve erogare indicate nel Decreto citato del 2006. Al di fuori dei casi nominati, per condividere con soggetti esterni i dati sensibili di cui viene a conoscenza, la scuola deve ottenere il consenso di chi ha la rappresentanza del minore. Naturalmente, se la collaborazione richiesta ai servizi non richiede la messa in comune di dati sensibili relativi a singoli alunni, lo scambio di informazioni "generiche" tra le diverse istituzioni non è illegittimo.