I dati hanno un valore elevato anche in classe, come dimostra l’esempio seguente. Bea utilizza una bacheca virtuale in classe. Ogni bambino riceve un proprio account gratuito. Bea assegna ai bambini il compito di creare un profilo sulla bacheca condivisa. I profili possono essere successivamente consultati su Internet.

Immagine: l’insegnante assegna il compito di creare un breve profilo digitale.

In questo esempio, si presentano diverse difficoltà contemporaneamente:

Da un lato, gli alunni rivelano i loro dati personali sulla bacheca virtuale creando un profilo. La scuola deve garantire che la bacheca virtuale abbia un livello adeguato di protezione dei dati. A tal fine, l’insegnante o la scuola devono effettuare una valutazione dei rischi e verificare se il servizio online soddisfa i requisiti di protezione dei dati. Ciò è necessario poiché la scuola deve adempiere ai propri obblighi in materia di protezione dei dati e di sicurezza delle informazioni anche se i dati vengono esternalizzati (si veda più avanti).

Anche la pubblicazione di questi profili su Internet è problematica. Per proteggere gli studenti, i dati personali come cognome, nome, hobby, indirizzi, data di nascita ecc. non devono mai essere accessibili a estranei. Inoltre, il contenuto non deve essere indicizzato dai motori di ricerca o reperibile tramite questi ultimi. Poiché c’è il rischio che il crawling e l’indicizzazione automatica facciano sì che anche i link più criptici vengano rilevati dai motori di ricerca, l’accesso dovrebbe essere possibile solo tramite un nome utente individuale e una password sicura.

Anche in questo modo permangono problemi di protezione dei dati, in quanto i familiari degli studenti non hanno il diritto di visionare i dati, i dati personali speciali o persino i profili della personalità.

A causa della grande quantità di dati personali che vengono divulgati in un profilo, non è possibile utilizzare uno strumento qualsiasi. Molto meno problematica è invece la preparazione di una presentazione, per la quale gli studenti preparano solo dati di fatto e li compilano in una presentazione online. Tuttavia, è necessario tenere conto del diritto d’autore.

Cosa sono i dati?

Dati dal punto di vista tecnico

Dal punto di vista informatico, i dati sono rappresentazioni digitali di informazioni che possono essere lette ed elaborate dai computer. Da un lato, i dati vengono scambiati tra l’utente e il computer, ad esempio quando scriviamo un post in un social network o inseriamo il nostro indirizzo nel modulo di un negozio online quando effettuiamo un ordine. In questi casi, divulghiamo consapevolmente i dati. D’altra parte, i dati possono essere scambiati tra computer anche senza l’intervento dell’utente. Ciò accade, ad esempio, quando uno smartphone scarica autonomamente un aggiornamento software dal server o quando un dispositivo finale trasmette il proprio indirizzo IP (l’indirizzo univoco di un dispositivo su Internet) al server web quando richiama un sito web.

Questi pochi esempi mostrano già quanto siano diversi i dati e la loro elaborazione. Tuttavia, risulta anche chiaro che i gestori di siti web e piattaforme imparano molto sugli utenti. Dal punto di vista dell’utente, si può fare una distinzione tra i dati che le persone producono e divulgano consapevolmente sui siti web e i dati che vengono trasmessi agli operatori dei siti web in background, invisibili agli utenti.

Inserite i dati divulgati nella tabella sottostante, essi sono dati divulgati consapevolemente o non consapevolmente?

Dati dal punto di vista giuridico

Da un punto di vista legale, la distinzione tra i dati che gli utenti divulgano consapevolmente e quelli che vengono scambiati in background non è al centro dell’attenzione. La protezione dei dati mira piuttosto a garantire che i dati vengano raccolti ed elaborati solo quando ciò è necessario e legalmente consentito. Si applica la seguente classificazione dei dati:

• I dati fattuali non contengono informazioni personali. (Esempio: Previsioni del tempo, struttura delle cellule, habitat delle rane, teorema di Pitagora, ecc.)
• I dati personali sono informazioni che si riferiscono a una persona specifica o identificabile. (Esempio: cognome, nome, età, sesso).
• I dati personali particolari sono informazioni sensibili in quanto sussiste un particolare rischio di violazione della personalità. Ciò include informazioni su opinioni religiose, ideologiche o politiche, salute e privacy, origine etnica o misure di assistenza sociale. Tra i dati personali particolarmente meritevoli di tutela rientrano anche le raccolte di informazioni che consentono di valutare aspetti essenziali della personalità.

Riconsiderando le pagelle e le competenze generiche, come devono essere elencate nella pagella, le assenze, le decisioni sulla carriera scolastica, le misure educative speciali? Gli insegnanti sono raccoglitori di dati personali particolari?

Trattare i dati

La scuola può raccogliere ed elaborare i dati personali di cui ha bisogno per adempiere ai propri obblighi legali. Le scuole si avvalgono spesso dei servizi di terzi per l’elaborazione dei dati. Se un insegnante o una scuola fa trattare dati di fatto, personali o particolari da privati o da altri enti pubblici, si parla di “trattamento per conto di terzi”. Questo accade non appena i servizi online (servizi cloud) vengono utilizzati in classe. In questo caso, l’insegnante utilizza servizi informatici di terzi. Tuttavia, l’insegnante rimane responsabile del trattamento dei dati, indipendentemente dal fatto che i servizi cloud siano utilizzati per archiviare i dati o per comunicare e collaborare. Di conseguenza, la scuola deve continuare ad adempiere ai propri obblighi in materia di protezione dei dati e sicurezza delle informazioni ed effettuare una valutazione dei rischi in ogni singolo caso. In generale, più i dati sono sensibili, più i requisiti tecnici, legali e organizzativi che il servizio cloud deve soddisfare sono ampi.

Mentre alcuni servizi possono essere utilizzati in modo anonimo e senza registrazione, altri richiedono un account utente che di solito è collegato all’indirizzo e-mail e ad altri dati personali (nome, data di nascita, ecc.). Finché gli indirizzi e-mail degli studenti non consentono di trarre conclusioni sulla persona (pseudonimi), questo non è un problema. Se, invece, è possibile trarre conclusioni o se devono essere memorizzati altri dati personali, le richieste al servizio cloud aumentano. I genitori o i tutori devono essere informati sull’uso del servizio cloud. In linea di principio, gli studenti devono rimanere anonimi e i dati personali devono essere inseriti con molta parsimonia.

Valutazione del rischio e misure per l’outsourcing

Per poter utilizzare un servizio cloud nella scuola in modo conforme alla protezione dei dati, è necessaria un’analisi completa dei rischi. È necessario verificare se la sensibilità dei dati e i rischi e le misure associate consentono di esternalizzare i dati nel cloud. In questo caso, è possibile determinare la necessità di protezione. Il fatto che il fornitore di un servizio cloud soddisfi i requisiti e che il servizio cloud possa quindi essere utilizzato dipende in larga misura da quali dati fattuali e/o personali devono essere trattati. Se, ad esempio, vengono trattati dati personali speciali degli alunni, i requisiti sono più elevati e devono essere adottate misure più estese per garantire la sicurezza rispetto a quelle previste per i dati personali e materiali.

Per valutare se un servizio cloud può essere utilizzato in modo conforme alla protezione dei dati, esistono una serie di criteri e misure che devono essere determinati e definiti a seconda dell’uso del servizio.

Informazioni ulteriori

• Prevenzione Svizzera della criminalità: Brochure e pieghevoli informativi in PDF
• Protectyourdata.ch: Una piattaforma di materiali di approfondimento e didattici sulla sicurezza dei dati, per giovani e adulti
• Emma e Momentum: Una raccolta di 4 video d’animazione in italiano con schede didattiche sulla privacy, adatto ad allievi a partire dalla quinta elementare.