Privacy, didattica a distanza e proctoring
Le FAQ del Garante richiedono verifiche operative da parte di ogni RPD | DPO di scuole ed enti di formazione o da chi utilizza piattaforme di terzi
Il punto non è se esami e corsi online si possano fare: si possono fare. Il vero tema è come si progettano i trattamenti in privacy by design e default. L’Autorità Garante per la protezione dei dati personali chiarisce che, in questi contesti, la base giuridica non è il consenso, ma l’adempimento di obblighi di legge e l’esecuzione di compiti di interesse pubblico.
Un focus importante riguarda il proctoring, cioè i sistemi di controllo a distanza durante gli esami online, ad esempio tramite webcam, microfono, controllo dello schermo o segnalazione di comportamenti anomali.
Non è vietato in assoluto, ma è un trattamento ad alto impatto e richiede una verifica rigorosa di necessità, proporzionalità e configurazione concreta dello strumento.
Per i DPO questo significa, in concreto, attivare alcune verifiche operative essenziali:
- Scelta di piattaforme che non comportino raccolte di dati eccedenti rispetto alla finalità didattica o di esame;
- Esclusione di funzioni non necessarie o sproporzionate rispetto allo svolgimento della prova;
- Predisposizione di un’informativa chiara, specifica e comprensibile;
- Corretta nomina del fornitore della piattaforma quale responsabile del trattamento ai sensi dell’art. 28 GDPR, ove ne ricorrano i presupposti;
- Adozione di misure di sicurezza adeguate rispetto ai rischi del trattamento (es. adottare procedure di autenticazione robusta per l’accesso alle piattaforme digitali; assicurare la tracciabilità degli accessi e delle operazioni compiute sui dati, nei limiti di quanto necessario e proporzionato; definire policy di conservazione e cancellazione)
- Svolgimento di una valutazione preventiva del rischio e, nei casi richiesti, di una DPIA, con tempestivo coinvolgimento del RPD/DPO;
- Definizione di tempi di conservazione limitati e coerenti, anche tenendo conto dell’eventuale periodo utile per contestazioni o reclami di studenti e partecipanti;
- Esclusione, in via di principio, dell’utilizzo di dati biometrici;
divieto di ricorrere a sistemi automatizzati di rilevamento di emozioni o comportamenti in assenza di un’idonea base giuridica e di un presupposto normativo adeguato; - Particolare attenzione all’impiego di piattaforme o fornitori con trattamenti di dati fuori dallo SEE, verificando trasferimenti, garanzie e localizzazione dei dati.
