Privacy e didattica a distanza: una guida per le scuole

Lo Studio Associato Masi Borsari Girani Quercioli ha preparato un Help Book per guidare le scuole nell’organizzazione della didattica a distanza nel rispetto della privacy.

Infatti, sebbene l’emergenza Covid-19 abbia imposto la chiusura degli istituti scolastici, dal punto di vista della protezione dei dati personali lo stato d’emergenza non comporta nessuna deroga alla corretta applicazione degli istituti: sia con riferimento all’organizzazione della didattica a distanza che allo smart working è necessario valutare, fin dalla progettazione, come trattare i dati personali in modo lecito, corretto, trasparente, sicuro, e proporzionale alle finalità.

In questa guida per le scuole sono illustrati una serie di scenari pratici con alcuni suggerimenti per prevenire incidenti, oltre a un metodo per gestire la progettazione dei servizi da remoto secondo il principio privacy by default.

Lo Studio ha organizzato la propria attività #restandoacasa ma garantendo la continuità dei propri servizi di consulenza in tutti gli ambiti del diritto, per affiancare i clienti in questo grave momento per il Paese.

PERCHÉ È NECESSARIO VALUTARE L’IMPATTO PRIVACY
Organizzare didattica a distanza (DAD) secondo l’approccio privacy by default consente di prevenire e gestire una serie di problemi pratici fin dall’inizio. Ecco alcuni spunti di riflessione:

• Immagini e webcam
• Creazione di account
• Utilizzo degli account aziendali da parte degli studenti
• Impedire il controllo a distanza dei lavoratori
• Si possono registrare le lezioni?
• Dispositivi personali
• DSA e BES

QUALI SONO I PUNTI DA APPROFONDIRE

• Minimizzazione dei dati
• Serve acquisire il consenso?
• Contratto con le piattaforme
• Sicurezza delle piattaforme
• Trasferimenti dati extra UE

COSA BISOGNA FARE?
Il MIUR con nota del 17 Marzo 2020 ha invitato le scuole a prevedere una vera e propria “progettazione delle attività”, che veda il coinvolgimento del corpo docenti, del Dirigente Scolastico, dell’Animatore Digitale e del Team digitale. Oltre alle questioni finora viste, altre misure suggerite dalla nota MIUR (come l’invio di video o di messaggi vocali) devono prevedere una progettazione anche a livello privacy. Ad esempio, nell’ambito della messaggistica istantanea (es. Whatsapp, Telegram) è preferibile l’utilizzo di canali piuttosto che di gruppi. La progettazione deve essere, quindi, globale in tutti gli ambiti.
La nota MIUR, inoltre, prescrive alle scuole statali precise istruzioni dal punto di vista della privacy, ovvero di informare gli interessati ai sensi degli articoli 13-14 GDPR, di stipulare contratti ex art. 28 GDPR per l’attivazione delle piattaforme di didattica a distanza, di garantire l’applicazione dei principi di cui all’art. 5 GDPR e di effettuare una valutazione di impatto sulla protezione dei dati personali di cui all’art. 35 GDPR.
Le misure indicate dal MIUR sono consigliabili a tutte le scuole e, inoltre, è necessario adottare misure organizzative che consentano di diffondere rapidamente, tra studenti docenti e famiglie, le regole per l’utilizzo corretto della didattica a distanza.
Il Garante per la protezione dei dati personali in data 30 Marzo 2020 ha diffuso il proprio provvedimento “Didattica a distanza: prime indicazioni”, nel quale precisa gli aspetti salienti inerenti la minimizzazione dei dati personali e limitazione delle finalità del trattamento, oltre a indicazioni sulla progettazione dei servizi di didattica a distanza.
In particolare, il Garante privacy restringe i casi in cui è obbligatorio effettuare una valutazione di impatto ex art. 35 GDPR.
Particolare attenzione è stata posta sulla scelta dei fornitori delle piattaforme e sulla trasparenza del trattamento.

Effettuare una valutazione di impatto ex art. 35 GDPR
La valutazione consente di seguire una metodologia per rilevare tutti i rischi e organizzare tutte le misure tecniche e organizzative.
Non è richiesta la valutazione di impatto per il trattamento effettuato da una singola scuola nell’ambito dell’utilizzo di un servizio on line di videoconferenza o di una piattaforma che non consente il monitoraggio sistematico degli utenti o comunque non ricorre a nuove soluzioni tecnologiche particolarmente invasive.

Aggiornare il registro delle attività di trattamento ex art. 30 GDPR
Il registro deve essere aggiornato con la descrizione dei nuovi trattamenti.

Informare gli interessati
Aggiornare o redigere nuove informative ai sensi degli art. 13-14 GDPR, con un linguaggio comprensibile anche ai minori in ordine, in particolare, alle caratteristiche essenziali del trattamento.

Regolamento
Redigere un regolamento che definisca le misure che i lavoratori devono adottare per rendere sicuro il trattamento. Ad esempio, è necessario regolamentare l’utilizzo di dispositivi personali e utilizzo delle piattaforme. Tra le misure previste, attenzione particolare deve essere data all’aggiornamento dell’antivirus e del sistema operativo, dei rischi legati alla ricezione di email (c.d. Phishing), limitare l’uso della carta, limitare la conservazione di files su dispositivi personali, prescrivere l’utilizzo di wifi e reti sicure.

Vademecum e infografiche
Per creare una condivisione delle regole, è bene creare vademecum e infografiche che consentano a docenti e studenti di comprendere in modo veloce e efficace le misure da applicare.
Ad esempio nel vademecum il docente potrebbe essere invitato, all’inizio della lezione, ad avvisare i partecipanti se la stessa verrà registrata, o visualizzare una slide con l’avviso in attesa dell’inizio della lezione. I vademecum potrebbero contenere consigli pratici sull’utilizzo delle piattaforme utilizzate, ad esempio mostrando i passaggi per eseguire la sfocatura dello schermo.

PROTEGGERE I DATI PER AVERE CURA
La protezione dei dati personali vuol dire “avere cura” ed è parte del rapporto educativo.