Il GDPR nel settore dell’istruzione: cosa devono effettivamente fare le scuole

Per una scuola, il GDPR, noto nei Paesi Bassi come AVG, si riassume in un unico principio: è possibile utilizzare i dati degli studenti solo per lo scopo per cui sono stati raccolti, è possibile conservarli solo per il tempo necessario e bisogna essere in grado di dimostrare di gestirli con attenzione. Può sembrare una questione di burocrazia, ma nella pratica quotidiana si tratta soprattutto di comportamenti: chi condivide quale file con chi, attraverso quale canale, e chi ha ancora accesso a un sistema che ha smesso di utilizzare due anni fa.

Di seguito analizzeremo quali dati vengono effettivamente gestiti dalle scuole, chi ne è responsabile, quali accordi stipulare con i fornitori degli strumenti didattici digitali, come avvengono effettivamente le violazioni dei dati in una scuola e in che modo tutto ciò si ricollega al Normenkader IBP, obiettivo verso cui le scuole stanno lavorando.

Quali dati trattano le scuole e perché sono sensibili

Le scuole detengono una quantità di dati personali superiore a quella della maggior parte delle organizzazioni di pari dimensioni, e gran parte di essi riguarda i minori. È proprio per questo che in questo ambito le norme sono più severe rispetto a quelle applicate in un’azienda con lo stesso numero di dipendenti.

• Dati di base degli studenti. Nomi, indirizzi, date di nascita, numeri di identificazione civile, informazioni sui genitori o sui tutori. Dati apparentemente banali, ma preziosi per chiunque voglia tracciare un profilo.
• Progressi e risultati scolastici. Voti, punteggi dei test, pagelle, annotazioni nel sistema di monitoraggio degli studenti. Dati sensibili perché accompagnano il bambino nel corso degli anni.
• Documentazione relativa all’assistenza e al sostegno. Dichiarazioni relative alla dislessia, referti medici, relazioni dei team di sostegno. Si tratta di dati appartenenti a una categoria speciale che richiedono il massimo rigore nella gestione all’interno dell’edificio.
• Immagini e registrazioni. Fotografie sul sito web della scuola, video di una gita scolastica, registrazioni di una lezione. In questo caso il consenso è specifico, revocabile e spesso dimenticato.
• Comunicazione con i genitori. E-mail e messaggi riguardanti singoli alunni, comprese le controversie e le situazioni difficili in ambito familiare.

Ciò che distingue questa situazione da un’attività commerciale è la combinazione di diversi fattori: i dati sono sensibili, i soggetti coinvolti sono bambini che non sono in grado di valutare le conseguenze e le persone che li gestiscono sono insegnanti il cui compito è insegnare, non garantire la protezione dei dati.

Chi è responsabile del GDPR in una scuola?

Dal punto di vista formale, il consiglio scolastico è il titolare del trattamento. È questo l’ente che determina le finalità e le modalità del trattamento dei dati personali, nonché il soggetto a cui l’Autoriteit Persoonsgegevens si rivolgerà qualora si verifichino problemi. Molti consigli scolastici nominano un responsabile della protezione dei dati e, nel settore dell’istruzione, di solito è presente anche un coordinatore IBP che si occupa di garantire, nella pratica, la sicurezza delle informazioni e la tutela della privacy.

Il divario che causa maggiori problemi è proprio quello tra la responsabilità formale e la realtà quotidiana. Il consiglio di istituto ne è responsabile, ma l’effettiva attuazione avviene in classe e nella segreteria: un insegnante che esporta l’elenco degli alunni, un amministratore che inoltra una cartella clinica, un supplente che accede con un account condiviso. Una politica che non arriva mai nelle loro mani non è conformità, è solo documentazione.

Accordi di lavorazione con i vostri fornitori

Le scuole utilizzano strumenti esterni: il sistema di monitoraggio degli studenti, materiali didattici digitali, un’app di comunicazione per i genitori, un servizio di archiviazione cloud. Ogni fornitore che gestisce i dati degli studenti per vostro conto è un responsabile del trattamento, e tale rapporto richiede un accordo di trattamento che definisca cosa può fare con i dati, come li protegge, per quanto tempo li conserva e cosa succede alla scadenza del contratto.

Due aspetti pratici. Innanzitutto, verificate se tale accordo esista effettivamente per ogni strumento in uso, compresi quelli introdotti da un singolo insegnante entusiasta senza avvisare nessuno. In secondo luogo, ricordate che la firma dell’accordo non trasferisce la vostra responsabilità: se un fornitore divulga dati, la scuola rimane comunque il titolare del trattamento e deve comunque informare le persone interessate.

Come avvengono effettivamente le violazioni dei dati nelle scuole

Quasi mai a causa di un attacco informatico spettacolare. Le segnalazioni che giungono all’Autoriteit Persoonsgegevens dal settore dell’istruzione sono in stragrande maggioranza di natura banale, e questa è una buona notizia, perché le cause banali sono proprio quelle che si possono risolvere con la formazione.

1. Destinatario sbagliato. Un elenco degli alunni, una panoramica dei voti o una pagella inviati via e-mail all’indirizzo sbagliato, oppure a un intero gruppo di genitori nel campo “A” anziché in “CCN”. La violazione più comune in ambito scolastico.
2. Accessi condivisi. Un unico account per il sistema di monitoraggio degli studenti utilizzato da tutto il team, poiché la creazione di account separati richiedeva troppo tempo. In seguito, nessuno è in grado di stabilire chi abbia consultato quali dati.
3. Dispositivi e supporti di archiviazione che finiscono chissà dove. Un portatile lasciato in macchina, una chiavetta USB con il backup dei risultati, un cellulare personale con le foto scolastiche.
4. Phishing mirato agli account scolastici. Gli hacker sanno bene che una casella di posta scolastica offre accesso a una grande quantità di dati relativi ai minori. Basta un solo clic su una pagina di accesso fasulla.
5. Un accesso che non è mai stato revocato. Il sostituto della scorsa primavera che ha ancora un account attivo, il collega che se n’è andato e a cui nessuno ha disattivato l’accesso all’unità condivisa.

Quando qualcosa va storto, il tempo è fondamentale. Una violazione dei dati che comporti un rischio per le persone coinvolte deve essere segnalata all’Autoriteit Persoonsgegevens senza indebito ritardo e, in linea di principio, entro 72 ore; inoltre, le persone interessate devono essere informate qualora il rischio a loro carico sia elevato. Tale termine è realistico solo se un insegnante che sospetta qualcosa lo segnala la mattina stessa, il che è una questione di cultura piuttosto che di procedura. Mantenere vivo l’argomento aiuta: la sensibilizzazione alla privacy somministrata a piccole dosi funziona meglio di un briefing annuale, e un formato leggero come i giochi formativi sul GDPR ottiene una maggiore partecipazione da un team molto impegnato rispetto a un documento sulle politiche aziendali.

Il collegamento con il Normenkader IBP

La privacy e la sicurezza delle informazioni sono un unico pacchetto per le scuole. Il quadro normativo Normenkader IBP per l’istruzione primaria e secondaria riunisce entrambi in requisiti concreti, e le scuole stanno lavorando per adeguarvisi con l’obiettivo del 1° gennaio 2027. Gran parte di quanto richiesto dal quadro normativo coincide con quanto già previsto dal GDPR: conoscere quali dati si detengono, gestire correttamente l’accesso, stipulare accordi con i fornitori ed essere in grado di dimostrare che il proprio personale sappia cosa fare.

Vale la pena sfruttare questa sovrapposizione. Una scuola che prende sul serio la componente di sensibilizzazione del Normenkader sta contemporaneamente adempiendo ai propri obblighi previsti dal GDPR, e viceversa. Considerarli come due progetti distinti porta i consigli di amministrazione a svolgere due volte lo stesso lavoro, con due diverse serie di pratiche burocratiche.

In che modo Guardey aiuta le scuole dal punto di vista umano

Il corso di formazione sulla sicurezza informatica di Guardey è pensato per i team che non hanno tempo da perdere: sfide settimanali della durata di circa tre minuti, elementi di gamification con classifiche e serie di risultati consecutivi, e contenuti che tengono conto delle minacce effettivamente in circolazione. Per le scuole, ciò si traduce in scenari riconoscibili, da un’e-mail di phishing mirata a un account scolastico alla questione di quale fotografia possa essere pubblicata sul sito web.

KONOT, un’organizzazione scolastica operante nel settore dell’istruzione, utilizza Guardey per migliorare la consapevolezza in materia di sicurezza dei propri insegnanti, e il nostro corso di formazione sulla sicurezza informatica per le scuole è pensato proprio per questo contesto. Gli insegnanti seguono la formazione tramite l’app mobile per iOS e Android oppure semplicemente dal browser; le simulazioni di phishing integrate verificano se la capacità di riconoscimento si traduce in un comportamento concreto, mentre i report forniscono al consiglio di istituto dati concreti da presentare nell’ambito del Normenkader IBP. La configurazione richiede pochi minuti.

Domande frequenti sul GDPR nel settore dell'istruzione

Una scuola può pubblicare le fotografie degli alunni?

Solo con un consenso valido, che nel caso dei bambini più piccoli significa il consenso dei genitori o dei tutori; tale consenso deve specificare chiaramente dove verrà utilizzata l’immagine e può essere revocato in qualsiasi momento. In pratica, il problema raramente riguarda il modulo di consenso in sé, ma piuttosto tenere traccia di chi ha espresso il proprio rifiuto e assicurarsi che il collega che pubblica il contenuto sui social media ne sia a conoscenza.

Per quanto tempo una scuola può conservare i dati degli studenti?

Solo per il tempo necessario al raggiungimento dello scopo, con periodi di conservazione previsti dalla legge per alcune parti del fascicolo. La questione pratica non riguarda la durata esatta, ma piuttosto se qualcuno cancelli effettivamente qualcosa: molte scuole conservano fascicoli risalenti a diversi anni fa semplicemente perché a nessuno è stato affidato il compito di eliminarli.

Un insegnante è personalmente responsabile di una violazione dei dati?

Quasi mai. Il consiglio scolastico è l’organo di controllo e ne assume la responsabilità. Vale la pena dirlo ad alta voce nella sala riunioni, perché il timore di essere incolpati è il motivo principale per cui un errore viene segnalato in ritardo, e proprio la segnalazione tardiva è ciò che trasforma un piccolo incidente in un problema di supervisione.

Abbiamo bisogno di un responsabile della protezione dei dati?

Le autorità e gli enti pubblici devono nominarne uno, e le scuole rientrano generalmente in questa categoria, anche se le modalità organizzative variano: alcuni consigli scolastici ne nominano uno proprio, altri ne condividono uno tra un gruppo di scuole. Ciò che conta di più è che questa figura sia effettivamente raggiungibile per le persone che hanno domande di carattere quotidiano.

Le scuole che hanno il GDPR in regola sono raramente quelle con il fascicolo delle politiche più voluminoso. Sono quelle in cui un insegnante sa come comportarsi di fronte a un’e-mail sospetta, in cui un account viene disattivato la settimana stessa in cui qualcuno lascia l’istituto e in cui segnalare un errore è una cosa normale, piuttosto che imbarazzante. Questa è una cultura, e le culture si costruiscono a piccoli passi.