Note di pubblica utilità su DAD e FAD

Ho letto diversi articoli di recente, ricevuto telefonate di allievi, colleghi e amici che avevano domande su cosa bisogna fare in questa benedetta didattica a distanza per essere conformi con tutti gli anagrammi di GDPR e AgID, compreso “gierredipi”.

Ho capito, dalle telefonate, che c’è una gran confusione in giro. E la confusione produce errori, che producono danni. Non abbiamo bisogno di altri danni.

Penso quindi che sia utile ed importante rassicurare le persone, oltre che le istituzioni scolastiche di ogni ordine e grado, e sfatare un mito che sta circolando in rete ed anche a voce tra sedicenti esperti della materia ed istituzioni impreparate e tese alla gestione dell’emergenza. Non è necessario richiedere alcun consenso ad alcuno.

Non sono sola: ne ho parlato con esimi colleghi che condividono il mio punto di vista e (un po’ a nome di tutti) ve lo racconto.

Nelle condizioni di emergenza in cui ci troviamo non val proprio la pena di perdersi in annose faccende burocratiche: le scuole hanno ben altro cui pensare che non alle carte per la DAD e la FAD. Quindi sappiatelo, per una volta la legge non si fa difficile da applicare: per la gestione delle attività di Didattica a Distanza (DAD) e Formazione a Distanza (FAD) è certamente necessario rispettare il Codice dell’Amministrazione Digitale, le collegate circolari AgID ed il GDPR, ma questo non richiede ulteriori sforzi burocratici rispetto all’impegno che già è profuso per mettersi in condizione di erogare le attività formative a distanza.

Provo a spiegarvi con facilità come DAD e FAD si possano dire “conformi”:

  1. Gli strumenti utilizzati per la gestione di DAD e FAD devono essere qualificati AgID.
  2. I trattamenti di dati personali per l’erogazione delle attività di DAD e FAD devono essere effettuati in esecuzione degli obblighi di legge emanati dalla Presidenza del Consiglio dei Ministri e dal MIUR per consentire alla scuola di svolgere i propri compiti nell’interesse pubblico rilevante.
  3. Gli Istituti Scolastici devono regolamentare l’utilizzo degli strumenti da parte dei docenti e le possibilità conferite agli alunni e informarne gli stessi.

Facendo in particolare riferimento ad alcuni interventi pubblicati recentemente su testate web, mi preme chiarire che non è necessaria alcuna autorizzazione da parte dei genitori per la fruizione delle classi virtuali. Non serve, non ha senso e, se non fosse autoevidente, mi pare ovvio che non sia libera (se non la dai non partecipi, che detto nel Terzo Millennio e da una donna fa anche un po’ impressione).

Chi pensasse di non conferire i dati per le connessioni alla DAD si comporterebbe come se non andasse a scuola o non utilizzasse il registro elettronico, tanto un allievo quanto un docente. Nessuno vi chiederà (né può chiedervi) se siete o meno concordi: o venite o non venite, con tutte le conseguenze del caso.

Per tornare alla mia versione più didattica: anche in ossequio al principio di accountability, ogni singola istituzione formativa sceglie di quali strumenti dotarsi per eseguire le attività e, fatto salvo il vincolo di garantire la sicurezza delle informazioni e dei dati personali e rispettare il requisito di qualificazione AgID in ambito pubblico, l’ente agisce in ottemperanza alle disposizioni di legge nell’erogare la formazione a distanza e non ha bisogno di richiedere alcuna autorizzazione o consenso da parte degli aventi potestà genitoriale sui minori o degli studenti maggiorenni.

Temo che chi ha proposto, promosso, suggerito o imposto la richiesta di autorizzazione ai genitori abbia mal interpretato il testo dell’articolo 8 del GDPR, in cui è scritto chiaramente che la richiesta di consenso per i servizi web si applica solo ai servizi della società dell’informazione prestati ai minori e fondati sul consenso. 

Che vuol dire, per i comuni mortali, che bisogna che i genitori acconsentano a che i minori (di 14 anni in Italia) possano accedere a servizi privati, erogati via web sui loro cellulari o tablet o PC, che prevedono l’utilizzo – magari non tanto consapevole – di informazioni che li riguardano (compresa la pubblicità comportamentale, ovviamente).

La ratio della richiesta di consenso da parte degli esercenti potestà genitoriale per i servizi web erogati ai minori è scritta chiaramente nel Considerando 38 del mio amato Regolamento UE: 

I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali. Tale specifica protezione dovrebbe, in particolare, riguardare l’utilizzo dei dati personali dei minori a fini di marketing o di creazione di profili di personalità o di utente e la raccolta di dati personali relativi ai minori all’atto dell’utilizzo di servizi forniti direttamente a un minore. Il consenso del titolare della responsabilità genitoriale non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore.”

Qui non si tratta di servizi privati forniti direttamente ad un minore per i quali lo stesso potrebbe incorrere in rischi di cui non è consapevole (come per esempio il gaming on line), si tratta bensì di esercizio di compiti di interesse pubblico rilevante imposti per legge.

Il minore non ha voce in capitolo, il genitore non ha voce in capitolo, neanche il docente ha voce in capitolo.

Si può solo andare o non andare a scuola “ai tempi del Corononavirus”, di nuovo, con tutte le conseguenze del caso.

Vi dirò di più… nel paese in cui tutti si possono improvvisare esperti della materia e che ‘tanto se volemo bbene’, c’è la convinzione che “meglio un consenso in più”. Invece, secondo la legge, quel consenso in più è un consenso di troppo.

Non solo il consenso non va richiesto, bensì la richiesta di consenso in questo contesto è una violazione degli articoli 6 e 7 del GDPR (errato fondamento di liceità e mancata libertà nell’espressione del consenso) ed espone quindi a tutti i rischi di applicazione dei gemelli (allo specchio) Derrick del GDPR, ovverosia il meglio degli articoli 58 e 83: “la sanzione, quella grossa”.

Se posso quindi permettermi un suggerimento sincero, io consiglio a tutti i dirigenti scolastici e docenti che stanno improvvisando soluzioni per la gestione di questa devastante emergenza di non andare nel panico, non fare carte a caso, non produrre carta inutile.

Sentite i vostri DPO, buttate giù due informative (senza chiedere il consenso), scrivete semplici e precisi regolamenti sull’utilizzo degli strumenti di e-learning. E se avete sbagliato… correggete. Meglio tardi che mai.

In particolare, vi consiglio spudoratamente di porvi alcuni problemi semplici, quali:

  • Come volete utilizzare le immagini e le chat? (video dei docenti, video degli studenti, videolezione registrata o videolezione interattiva, possibilità di inibizione dei video degli studenti o divieto degli stessi, divieto di chat private, quali elementi possono essere registrati e quali non, relativi periodi di conservazione…)
  • Avete pensato a regolare il tipo di materiale e le modalità di scambio? (Utilizzo regolare di materiali didattici coperti da copyright, regolamentazione dell’utilizzo delle cartelle di condivisione digitale, quali documenti si possono caricare e quali non, come si uploadano gli oggetti di valutazione…)
  • Avete le idee chiare su chi sia responsabile di quali azioni e possa fare cosa con le informazioni? Cosa sia sotto il vostro controllo e cosa non? (Relazioni fra i soggetti coinvolti nell’erogazione della DAD ed in particolare delle piattaforme (e.g. registro elettronico, condivisione del materiale, sistemi di chat, sistemi di webconferencing) e relativi aspetti contrattuali (vi suggerisco in particolare di chiarire e rendere evidenti ai terzi quando la scuola ingaggia un responsabile del trattamento che agisce sotto la sua responsabilità, come ad esempio il fornitore del registro elettronico, e quando seleziona uno strumento di condivisione del materiale digitale che agisce in qualità di autonomo titolare del trattamento…)

Vi suggerisco, da ultimo ma non da meno, di essere rassicuranti con le famiglie.

Se avete scelto strumenti seri (tra i quali magari quelli che consiglia il MIUR e quelli qualificati AgID), non potete fare niente di male. Non entrerete nelle loro case, non registrerete le immagini dei loro figli, non profilerete il loro comportamento, non venderete i loro dati al primo cacciatore di informazioni sui minori che avete incontrato…

Diteglielo. A questo serve una informativa.

Vi saluto sperando di essere stata #comeunainformativa: semplice, concisa, trasparente, intelligibile, Chiara.

***

Mi preme ringraziare, per la redazione di questo post, i cari amici e colleghi avv. Emanuela Caricati, avv. Graziano Garrisi, prof. Marco Mancarella (in rigoroso ordine alfabetico), oltre a LiquidLaw srl.

Mi preme altresì precisare, per la loro reputazione, che le informazioni sono condivise ed approvate dai colleghi, mentre lo stile comunicativo (e la vena irriverente) devono essere attribuiti solo alla sottoscritta.

8 commenti su “Note di pubblica utilità su DAD e FAD”

  1. Letto con interesse (da genitore).

    Sono perplesso dal fatto che, presi dall’attuale momento, ci siano forti pressioni dal mondo scolastico sui genitori per anticpare l’uso di mezzi DAD e obbligare anche bimbi di 7 – 8 anni all’accesso ed utilizzo obbligatorio di strumenti di e-learning.

    Da un lato capisco la spinta verso “avanti” del mondo ma per bimbi questa spinta ( a mio parere) andrebbe piu’ “guidata” dalla scuola e meno “forzata” dagli eventi.
    Ora la scuola ci fa avere una informativa il cui sunto è “questa è la situazione, questa è l’informativa, dobbiamo andare avanti senza alcun consenso del genitore”.

  2. Grazie. Molto interessante. Ma questo significa che una delle piu’ diffuse piattaforme utilizzate a scuola come EDMODO non potra’ piu’ essere utilizzata? C’e’ la possibilita’ di continuare ad utilizzare queste piattaforme senza dover ricominciare da zero?
    Grazie ancora
    Iacopo Balocco

    1. In realtà… basterebbe che EDMODO fosse qualificata AgID o che si sottoponesse al processo di qualificazione.
      Essendo un prodotto americano, se ne fregano della nostra regolamentazione, sia della digitalizzazione della PA in Italia sia del GDPR, ma si può provare a capire se e come attestarne la conformità alle nostre regole.
      Avete un buon DPO a scuola che possa darvi una mano?
      Se no attivo la rete e vediamo di farvi arrivare qualche buon consiglio.

  3. Grazie per i chiarimenti, davvero molto utili e finalmente un approccio “pratico” al problema. Nella mia scuola, secondaria di primo grado, non è ancora stata attivata una piattaforma, pertanto molti docenti si sono ”arrangiati” utilizzando piattaforme diverse a titolo personale e non attraverso un sistema di Istituto, che preveda un account dedicato per ogni studente, generato solo allo scopo della DaD.
    Inoltre alle famiglie non è stata fornita alcuna informativa, ma molti docenti hanno invece richiesto direttamente il consenso ai genitori.
    La domanda è se questo sistema sia opportuno, a tutela di studenti e docenti, in base alle normativa, o se c’è il rischio di possibili future contestazioni anche in sede giudiziaria.
    Grazie

    1. Mi pare evidente (ed altrettanto triste) che la soluzione “arrangiata” sia per definizione non conforme e sì, potrebbe, essere contestata in futuro.
      Sarebbe quindi davvero importante che il personale docente richiedesse all’Istituto Scolastico una linea guida, delle istruzioni scritte su cosa fare e cosa non (insomma, un benedetto regolamento). Nelle condizioni più disperate il regolamento potrebbe anche lasciare la libertà a ciascuno di scegliere lo strumento più adatto, ma sempre sotto la vigilanza e la responsabilità della scuola. Il docente, da solo, non nessuno (o meglio, è solo un dipendente pubblico).
      Contestazioni se ne potrebbero fare a iosa. La fortuna (o la tristezza) sta nel fatto che nessuno conosce, coltiva e rispetta questa norma, e quindi nessuno contesterà.
      Ma forse sono solo più realista del re ed andrà meglio di così.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *