CNIL (Francia) ricorda alle scuole le regole sulla protezione dati negli strumenti collaborativi online

Contesto

La trasformazione digitale nell'istruzione ha portato a un aumento dell'uso di strumenti collaborativi online, come gli Spazi Numerici di Lavoro (ENT) o alternative, spesso basati su cloud computing. Questi strumenti facilitano la collaborazione tra personale amministrativo, insegnanti, studenti e i loro responsabili legali. I servizi implicano il trattamento di dati personali, quali i contenuti delle comunicazioni, i lavori degli studenti, i documenti personali e le valutazioni. I responsabili del trattamento devono garantire la conformità di questi strumenti alla normativa sulla protezione dei dati, avvalendosi del supporto del loro delegato alla protezione dei dati (DPO). La base legale per il trattamento dei dati, se i trattamenti rientrano nelle missioni di servizio pubblico degli istituti scolastici (pubblici o privati, in particolare ai sensi dell'articolo L.131-2 del codice dell’educazione), è l'esecuzione di una missione di interesse pubblico. Il consenso è spesso difficile da utilizzare come base legale valida, perché deve essere libero, non forzato o influenzato dalla posizione di autorità del responsabile del trattamento. Le persone interessate devono avere una scelta reale, senza conseguenze negative in caso di rifiuto. I responsabili del trattamento devono anche verificare che gli strumenti collaborativi non utilizzino tracker pubblicitari, in quanto vietati dal principio di neutralità commerciale del servizio pubblico di educazione. Se questi dispositivi sono presenti a fini pubblicitari o di profilazione, le funzionalità devono essere disattivate. Le persone interessate (studenti, responsabili legali e personale) devono essere informate in modo conciso, trasparente, comprensibile e facilmente accessibile (articoli 12, 13 e 14 del RGPD). Le informazioni devono includere l'identità del responsabile e del DPO, le finalità e la base legale dei trattamenti, i destinatari dei dati, eventuali trasferimenti fuori dall'UE, la durata di conservazione e i diritti degli interessati. Per i minori, l'informazione deve essere semplice e pedagogica, adattata alla loro fascia d'età, ispirandosi a standard come ISO 24495-1:2023 e ISO 24495-2:2025 o alla metodologia "facile à lire et à comprendre" (FALC).

Perché conta

L'uso di strumenti collaborativi online nelle scuole senza adeguata protezione dei dati espone gli istituti a rischi di non conformità con il GDPR. La corretta gestione dei dati personali, inclusi quelli sensibili dei minori, è un obbligo legale. Le scuole devono identificare una base giuridica corretta e fornire informazioni chiare a studenti, genitori e personale. Chi si assicura che gli strumenti non usino tracker pubblicitari e che le informative siano comprensibili per tutti, inclusi i più giovani?

Cosa fare

• Verificare la conformità alla normativa sulla protezione dei dati personali per tutti gli strumenti collaborativi online in uso.
• Determinare e documentare una base legale adeguata per ogni trattamento di dati, preferendo la missione di interesse pubblico per le attività istituzionali.
• Disattivare o assicurarsi che i fornitori disattivino le funzionalità che usano tracker pubblicitari o di profilazione.
• Fornire informazioni complete e accessibili (ai sensi degli articoli 12, 13 e 14 del RGPD) a studenti, responsabili legali e personale.
• Adattare le informative sulla protezione dei dati per i minori, usando un linguaggio semplice e pedagogico.

Cosa evitare

• Utilizzare il consenso come base legale per i trattamenti principali se non può essere garantito come libero e informato.
• Ignorare la presenza di tracker pubblicitari o di profilazione integrati negli strumenti forniti da terzi.
• Fornire informative privacy generiche o non facilmente comprensibili, specialmente per i minori.

Implicazioni pratiche

L'adozione di strumenti collaborativi in ambito scolastico implica la gestione di dati personali sensibili, inclusi quelli dei minori. Le organizzazioni scolastiche devono effettuare una due diligence sui fornitori di servizi cloud per assicurarsi che le loro pratiche rispettino la normativa. La mancata conformità può portare a sanzioni e danneggiare la reputazione dell'istituto.

Errori da evitare

• Assumere che il consenso sia sempre la base legale idonea per i trattamenti dati scolastici.
• Omettere di informare le persone interessate sui trattamenti dei dati personali.
• Ignorare l'uso di tracker pubblicitari da parte dei fornitori degli strumenti collaborativi.

Domande di self-assessment

• Abbiamo una base legale chiara e documentata per ogni trattamento di dati tramite gli strumenti collaborativi?
• Abbiamo verificato e disattivato eventuali tracker pubblicitari o di profilazione negli strumenti?
• Le nostre informative sulla privacy sono specifiche per i minori e conformi agli articoli 12, 13 e 14 del GDPR?
• Conosciamo i destinatari dei dati e le politiche di trasferimento al di fuori dell'UE per ogni strumento utilizzato?

Riferimenti

Normativa nazionale: RGPD (Regolamento Generale sulla Protezione dei Dati) · Articoli 12, 13 e 14 del RGPD · Legge dell'8 luglio 2013 (Francia) · Articolo L.131-2 del codice dell’educazione (Francia) · ISO 24495-1:2023 · ISO 24495-2:2025