Classi Virtuali e privacy (GDPR)

Buonasera,
pongo un quesito a chi è più esperto di me.
Avrei intenzione di utilizzare per i miei alunni delle scuole superiori delle classi virtuali utilizzando Moodle.
Il problema sorge nel fatto che per motivazioni di opportunità (maggiore flessibilità e funzionalità), non utilizzerei il Moodle della scuola, predisposto ma acerbo, bensi un moodle esterno gratuito, come quello messo a disposizione dalla comunità stessa (moodlecloud.com). I dati verrebbero quindi gestiti da una piattaforma esterna, in maniera analoga a quanto avviene gia per l'altro LMS Edmodo.
I dati che gli studenti fornirebbero nella registrazione sono, il proprio nome e cognome, la classe ed un loro indirizzo mail.
Secondo voi, in ottemperanza anche alla nuova normativa GDPR è possibile attuare il progetto, magari comunicando preventivamente per iscritto in segreteria la questione e predisponendo una policy ed eventuale modulo consenso, da far firmare agli studenti (genitori per i minori di 14 anni)?
La questione sembra dibattuta, da quello che ho letto la PA non chiede mai il consenso ma tratta i dati in forza di norma di legge o regolamentare, rilasciando informativa, caso contrario non potrebbe trattare dati e nessun consenso sanerà mai il trattamento. (dpr 275/99).
Eppure molte scuole incoraggiano la didattica virtuale, anche esternamente, su molti siti scolastici vi è un link diretto a piattaforme come edmodo.com, i cui server sono comunque esterni alla scuola. A volte appare difficile conciliare l'innovazione con la normativa.
Se qualcuno vuol dare un contributo con le proprie conoscenze o ha soluzioni da proporre al riguardo è il benvenuto.

Credo che ci siano due aspetti da valutare.

1) Il trattamento dei dati da parte della scuola, e qui non dovrebbero esserci problemi, poichè gli istituti gestiscono già i dati personali di alunni e famiglie per finalità didattiche. Al più si potrebbe suggerire, per un'ulteriore tutela, di far firmare ad inizio anno una liberatoria per l'uso di mail di alunni (ma anche foto e video) per finalità didattiche ed istituzionali.
2)Quando ci si iscrive a queste classi virtuali si accettano la privacy policy di questi siti, dietro ai quali spesso si celano aziende a fine di lucro che pur offrendo un servizio gratuito tracciano i nostri comportamenti per fini pubblicitari(il classico esempio di Google Classroom). Bisogna quindi capire qual è il trattamento dati di Moodle e se rispetta le prescrizioni del nuovo GDPR.

Quindi se ho capito bene concordiamo sul punto di far firmare una liberatoria ad inizio anno. Nella stessa dovrebbe però essere compresa l'email che l'alunno vorrà utilizzare per la gestione della piattaforma Moodle, visto che la scuola non ne fornisce una istituzionale per alunno.
Riferendoci a Moodle, la nuova versione ha integrato nuovi moduli per il GDPR. Il server moodlecoloud.org fornisce un'informativa ed un consenso aggiornato. Bisogna però inseririsi in prima persona come responsabile dei dati personali (gestione, revoca e conservazione) in quanto il modulo prevede espressamente che sia l'amministratore della piattaforma a gestire IL GDPR (e qui che mi pongo il problema). Il server resterebbe responsabile soltanto nella conservazione ed il trattamento dei dati. Riguardo la tracciatura per scopi commerciali il consenso rientrerebbe nelle politiche del sito. Vista però l'assenza di banner pubblicitari ed altro, lo studente si limiterebbe soltanto a scaricare il materiale, eseguire dei test e lavori didattici. Nessun dato sensibile avrebbe interesse commerciale, se non l'eventuale valutazione degli alunni.