Il M.I. ha pubblicato alcune faq aggiornate al 1° dicembre 2020 riguardanti la privacy al tempo del Covid. Le riportiamo di seguito.
Quali informazioni la scuola può raccogliere dagli studenti o dai genitori, per gli alunni minorenni, nell’ambito delle azioni volte a prevenire il contagio da Covid-19?
Tra le misure di prevenzione e contenimento del contagio che le istituzioni scolastiche devono adottare in base al quadro normativo vigente (cfr. Protocollo d’intesa del Ministero dell’Istruzione n. 87 del 6/08/2020) vi è, in particolare, quella di informare studenti e famiglie in merito al divieto di fare ingresso nei locali scolastici:
- in presenza di temperatura superiore ai 37,5 °C;
- se provenienti da zone a rischio;
- se si è stati a contatto con persone positive al virus nei 14 giorni precedenti.
Le scuole non possono, nell’ambito dei cosiddetti “Patti di corresponsabilità” o attraverso altra modulistica, imporre invece alle famiglie e agli alunni di dichiarare periodicamente l’assenza di tali impedimenti all’accesso ai locali scolastici, ma, come indicato dall’Istituto Superiore di Sanità nel Rapporto n. 58/2020, possono invece richiedere alle famiglie di collaborare, informando il Dirigente scolastico o il referente scolastico per Covid-19, circa:
- eventuali assenze per motivi sanitari al fine di individuare eventuali focolai;
- il caso in cui un alunno risulti contatto stretto di un caso confermato Covid-19.
Sono consentite le riprese e le registrazioni audio-video delle lezioni svolte nell’ambito della DDI?
Nell’ambito della DDI il docente può mettere a disposizione degli studenti, anche per il tramite delle piattaforme utilizzate a tali fini, materiali didattici consistenti anche in proprie video lezioni, su specifici argomenti, per la consultazione e i necessari approfondimenti da parte degli alunni.
Diversamente non è invece ammessa la video registrazione della lezione a distanza in cui si manifestano le dinamiche di classe. Ciò in quanto l’utilizzo delle piattaforme deve essere funzionale a ricreare lo “spazio virtuale” in cui si esplica la relazione e l’interazione tra il docente e gli studenti, non diversamente da quanto accade nelle lezioni in presenza. Si raccomanda, inoltre, di adottare accorgimenti al fine di minimizzare i rischi derivanti da un uso improprio o dalla perdita di controllo dei materiali e delle videolezioni resi disponibili dai docenti sulla piattaforma, con possibile pregiudizio della protezione dei dati e di altri diritti (ad es. il diritto d’autore). In particolare, è opportuno regolamentare la funzionalità di registrazione audio-video e di download dei relativi documenti e fornire specifiche istruzioni ai soggetti autorizzati all’accesso (studenti, altri docenti, altro personale scolastico) per evitare che i materiali siano oggetto di comunicazione o diffusione impropri (ad esempio mediante la loro pubblicazione anche su blog o su social network, nei casi in cui siano accessibili sia da soggetti determinati che da chiunque).
L’istituzione scolastica può creare un account per la registrazione dello studente o del docente alle piattaforme per la didattica digitale integrata?
Quando la creazione di un account personale è necessaria per l’utilizzo di piattaforme per la didattica digitale integrata, il trattamento dei dati personali, riconducibile alle funzioni istituzionalmente assegnate all’istituzione scolastica, è ammesso purché vengano attivati, per impostazione predefinita, i soli servizi strettamente necessari allo svolgimento dell’attività didattica e non deve essere richiesto il consenso dell’utente (studente, genitore o docente) o la sottoscrizione di un contratto. Non è comunque ammessa l’attivazione automatica di servizi o funzionalità ulteriori, non necessari a fini didattici (es. geolocalizzazione o sistemi di social login).
Nella configurazione degli account associati a studenti e/o docenti, occorre, tra l’altro, adottare adeguate procedure di identificazione e di autenticazione informatica degli utenti, utilizzare robusti processi di assegnazione agli utenti di credenziali o dispositivi di autenticazione (es. evitando la pre-impostazione di password facilmente conoscibili), definire password policy adeguate e differenziate in funzione degli specifici rischi del trattamento e attribuire di profili di autorizzazione che assicurino l’accesso selettivo ai dati.
