Quali accorgimenti sulla Privacy si devono osservare per rispettare il Trattamento dei Dati Personali nel caso di formazione didattica a distanza?
L’attuale emergenza sanitaria generata dal Coronavirus COVID-19 ha portato ad un blocco quasi totale di tutte le attività e tra queste vi è compresa anche l’istruzione e il mondo della formazione in generale.
Quantomeno nel settore della didattica, parallelamente al blocco, hanno iniziato tuttavia a diffondersi modalità alternative d’istruzione attraverso l’utilizzo di diverse piattaforme di comunicazione, strumenti che di fatto coinvolgono anche il trattamento dei dati personali.
La didattica a distanza, se da un lato permette ai vari enti di formazione, scuole, università, (…) di fornire agli allievi la possibilità di riprende o continuare il loro percorso di formazione, dall’altro pone svariati quesiti con riferimento alla privacy di utenti e docenti.
In data 26 Marzo 2020, il Garante per la privacy ha infatti deciso di intervenire con un primo provvedimento denominato “Didattica a distanza: prime indicazioni” integrato con una lettera del 30 marzo 2020, inviata al Ministro dell’Istruzione, al Ministro dell’Università e della Ricerca e al Ministro per le Pari Opportunità e la Famiglia, al fine di illustrare gli obiettivi del provvedimento suddetto. Tale provvedimento è dovuto al fatto che, superata la fase emergenziale generata dal COVID-19, in cui sono state avviate d’urgenza queste iniziative di didattica a distanza, le scuole e gli altri enti potranno decidere di mantenere attive tali procedure di formazione valutando gradualmente di adottare ulteriori misure per raggiungere la piena conformità al Regolamento GDPR e al Codice Privacy.
Il garante ha quindi affrontato e chiarito alcune grandi tematiche relative alla formazione a distanza:
- Base giuridica del trattamento dei dati personali -
Le scuole e le università sono autorizzate a trattare i dati, anche relativi a categorie particolari, di insegnanti, alunni (anche minorenni), genitori e studenti, funzionali all’attività didattica e formativa in ambito scolastico, professionale, superiore o universitario (art. 6, parr. 1, lett. e), 3, lett. b) e 9, par. 2, lett. g) del Regolamento GDPR e artt. 2-ter e 2-sexies del Codice privacy).
Non deve pertanto essere richiesto agli interessati (docenti, alunni, studenti, genitori) uno specifico consenso al trattamento dei propri dati personali funzionali allo svolgimento dell’attività didattica a distanza, in quanto riconducibile, nonostante tali modalità innovative, alle funzioni istituzionalmente assegnate a scuole o altro genere di enti di formazione.
- Privacy by design e by default:
scelta e configurazione degli strumenti da utilizzare -
Al titolare del trattamento (scuola o altro ente di formazione) spetta la scelta e la regolamentazione degli strumenti più utili per la realizzazione della didattica a distanza.
Varie piattaforme o servizi online permettono di effettuare attività di didattica a distanza, consentendo la configurazione di “classi virtuali”, la pubblicazione di materiali didattici, la trasmissione e lo svolgimento online di video-lezioni.
Tra i criteri di scelta circa lo strumento da utilizzare, devono comunque essere sempre prese in considerazione le garanzie offerte sul piano della protezione dei dati personali.
- Valutazione d’impatto -
La valutazione di impatto, prevista dall’art. 35 del GDPR per i casi di rischi elevati, non è necessaria se il trattamento effettuato dalle istituzioni scolastiche e universitarie non presenta ulteriori caratteristiche suscettibili di aggravarne i rischi per i diritti e le libertà degli interessati.
Ad esempio, non è richiesta la valutazione di impatto per il trattamento effettuato da una singola scuola (non, quindi, su larga scala) nell’ambito dell’utilizzo di un servizio online di videoconferenza o di una piattaforma che non consente il monitoraggio sistematico degli utenti o comunque non ricorre a nuove soluzioni tecnologiche particolarmente invasive (quali, tra le altre, quelle che comportano nuove forme di utilizzo dei dati di geolocalizzazione o biometrici).
- Il ruolo dei fornitori dei servizi online e delle piattaforme -
La piattaforma prescelta per la formazione a distanza, implicando il trattamento di dati personali, si configura quale fornitore (ossia responsabile del trattamento) dell’ente di formazione (titolare del trattamento), pertanto tale rapporto dovrà essere regolato con contratto o altro atto giuridico ex art. 28 GDPR.
- Limitazione delle finalità del trattamento -
Le istituzioni scolastiche dovranno assicurarsi che i dati trattati per loro conto siano utilizzati solo per la didattica a distanza.
L’eventuale ulteriore trattamento dei dati degli utenti, da parte dei gestori delle piattaforme, nella diversa veste di titolari del trattamento, dovrà naturalmente osservare, tra gli altri, gli obblighi di informazione e trasparenza secondo quanto previsto dall’art. 13 GDPR.
È peraltro inammissibile il condizionamento, da parte dei gestori delle piattaforme, della fruizione dei servizi di didattica a distanza alla sottoscrizione di un contratto o alla prestazione, da parte dello studente o dei genitori, del consenso al trattamento dei dati connesso alla fornitura di ulteriori servizi online, non necessari all’attività didattica.
Inoltre il Garante ha affermato che vigilerà sull’operato dei fornitori delle principali piattaforme online.
- Liceità, correttezza e trasparenza del trattamento -
Al fine di garantire la trasparenza e la correttezza del trattamento, le istituzioni scolastiche e universitarie devono assicurare la trasparenza del trattamento informando gli interessati (alunni, studenti, genitori e docenti), così come previsto dall’art.13 GDPR.
Nel trattare i dati personali dei docenti funzionali allo svolgimento della didattica a distanza, gli enti erogatori dovranno limitarsi a utilizzare quelli strettamente necessari senza effettuare indagini sulla sfera privata o interferire con la libertà di insegnamento.
Con particolare riferimento alla Regione Veneto, si segnala che la stessa ha comunicato di voler promuovere e incrementare le abilità dei docenti nell’utilizzo delle metodologie di formazione a distanza.
L’assessore regionale all’istruzione e alla formazione, Elena Donazzan, ha affermato che:
“la Regione ha promosso percorsi rivolti agli insegnanti per promuovere la conoscenza e l’utilizzo delle piattaforme informatiche utili per l’insegnamento e l’apprendimento a distanza. Gli insegnanti che vi hanno preso parte hanno potuto riscontrare un beneficio diretto per le proprie competenze e una risposta più che positiva da parte degli studenti coinvolti”.
Condividi questo post: