Introduzione
I genitori e i rappresentanti hanno il diritto di sapere come la scuola gestisce i dati personali degli studenti. Questo documento fornisce domande chiare e utili da porre alla direzione scolastica o al gestore della piattaforma educativa, insieme a suggerimenti su cosa aspettarsi come risposta e come seguire.
Perché fare domande
- Trasparenza: capire quali dati sono raccolti e perché.
- Controllo: sapere chi può accedere ai dati e per quanto tempo sono conservati.
- Sicurezza: verificare le misure adottate per proteggere informazioni sensibili.
Domande pratiche da porre (ordine consigliato)
- Quali dati raccogliete e perché?
- Quali categorie di dati degli studenti raccoglie la scuola (anagrafici, giudizi, immagini, dati di salute, ecc.)?
- Per quali finalità vengono usati questi dati (istruzione, comunicazione, obblighi amministrativi, ecc.)?
Cosa aspettarsi: un elenco chiaro delle categorie di dati e delle finalità documentate.
- Qual è la base giuridica per il trattamento?
- Il trattamento si basa sul consenso, su obblighi scolastici o su altro? Come viene gestito il consenso dei genitori e degli studenti maggiorenni?
Cosa aspettarsi: informazioni su come è raccolto il consenso e su come può essere revocato.
- Chi può accedere ai dati?
- Quali membri del personale (docenti, amministrativi) e quali ruoli esterni (fornitori di piattaforme) hanno accesso?
- Esistono privilegi differenziati (accesso limitato solo a quanto necessario)?
Cosa aspettarsi: descrizione dei ruoli e delle procedure di autorizzazione.
- Come sono protetti i dati (misure tecniche e organizzative)?
- Vengono usati controlli di accesso, autenticazione a più fattori, cifratura dei dati a riposo e in transito?
- Come viene gestita la sicurezza fisica dei server o dei dispositivi?
Cosa aspettarsi: una panoramica delle misure di sicurezza; se le risposte sono generiche, chiedere evidenze scritte.
- Qual è la durata di conservazione dei dati?
- Quanto tempo sono conservati i dati personali e quali criteri determinano la cancellazione?
Cosa aspettarsi: politiche di retention documentate e criteri per l'eliminazione sicura.
- Chi sono i fornitori terzi e dove risiedono i dati?
- Quali piattaforme e servizi esterni elaborano o immagazzinano i dati degli studenti?
- I dati vengono trasferiti fuori dal paese o oltre confini giurisdizionali? Se sì, come sono tutelati?
Cosa aspettarsi: elenco dei fornitori con descrizione dei ruoli e delle garanzie tecniche/contrattuali.
- Esiste un contratto di trattamento (Data Processing Agreement) con i fornitori?
- Il contratto include obblighi di sicurezza, limitazioni d'uso e clausole di sub‑procurement?
Cosa aspettarsi: possibilità di visionare il contratto o un riassunto delle principali clausole.
- Come vengono gestiti gli incidenti di sicurezza?
- Esiste una procedura di risposta agli incidenti e come vengono informati i genitori in caso di perdita o violazione dei dati?
Cosa aspettarsi: tempi di notifica chiari e responsabilità definite.
- Quali diritti hanno i genitori e gli studenti?
- Come si richiede l'accesso ai dati, la rettifica o la cancellazione? Chi contattare per esercitare questi diritti?
Cosa aspettarsi: informazioni pratiche su come inoltrare richieste e tempi di risposta stimati.
- La scuola effettua valutazioni di impatto o audit di sicurezza?
- Sono state condotte valutazioni del rischio o audit esterni; con quale frequenza?
Cosa aspettarsi: riepilogo dei controlli effettuati e disponibilità a fornire rapporti sintetici.
Domande specifiche su piattaforme educative
- La piattaforma è pensata per contesti scolastici o è uno strumento generalista?
- Esiste una procedura per la gestione di account scolastici quando uno studente lascia l'istituto?
- Chi controlla i contenuti condivisi e quali regole valgono per la pubblicazione di immagini o materiale degli studenti?
Segnali d'allarme (red flag)
- Risposte vaghe o generiche su sicurezza e conservazione dei dati.
- Impossibilità di ottenere copie delle politiche o riassunti dei contratti con fornitori.
- Trasferimenti di dati non giustificati o opacità sui fornitori esterni.
Come prepararsi a un incontro con la scuola
- Portate una lista di domande stampata o inviatela in anticipo.
- Chiedete documentazione scritta (informativa privacy, DPA, policy di retention).
- Se possibile, coinvolgete il rappresentante dei genitori o un esperto di fiducia per chiarire risposte tecniche.
Esempio di email per chiedere informazioni
Gentile Dirigente,
in vista del prossimo incontro vorrei ricevere, se disponibile, copia dell'informativa privacy per le attività scolastiche e un elenco dei principali fornitori esterni che trattano i dati degli studenti. In particolare mi interesserebbero le informazioni su: categorie di dati raccolti, durata di conservazione, misure di sicurezza adottate e procedura per la notifica di eventuali incidenti.
Grazie per la collaborazione.
Prossimi passi e risorse utili
- Richiedere copia delle politiche e conservarle.
- Se le risposte non sono soddisfacenti, chiedere che la questione venga portata in collegio docenti o al consiglio di istituto.
- Valutare la richiesta di audit indipendenti o di aggiornamento delle policy.
Conclusione
Porre domande chiare e puntuali aiuta a costruire fiducia e a proteggere i diritti degli studenti. Le scuole devono essere in grado di spiegare come e perché usano i dati: se le risposte non sono chiare, è corretto insistere per avere documentazione e garanzie.
