Software scolastico e GDPR: cosa conta davvero
Software scolastico e GDPR: la domanda di fondo è quasi sempre la stessa. Chi può vedere quali dati, dove si trovano e chi ne porta la responsabilità? La risposta breve: il titolare del trattamento ai sensi del GDPR è la scuola come istituzione, non il singolo docente e non il fornitore. Quest'ultimo tratta i dati per conto della scuola ed è vincolato alle sue istruzioni. Tutto il resto – contratto, ruoli, tempi di conservazione, registri – discende da questa ripartizione. Questa pagina mette ordine nei concetti e mostra quali punti conviene chiarire prima di un'adozione. Non sostituisce una consulenza legale: il diritto scolastico spetta ai singoli stati federati, e risposte vincolanti arrivano dal responsabile della protezione dei dati della scuola e dall'autorità di controllo dello stato.
Presto disponibile
- Conforme al GDPR
- Ospitato in Germania
- Gratuito per gli insegnanti
Un prodotto di SavePaper.work
Quattro punti da chiarire prima di un'adozione
Il titolare è la scuola
Il GDPR riconosce un titolare del trattamento: la scuola come istituzione. È lei a stabilire finalità e mezzi, anche quando i dati si trovano di fatto sul dispositivo personale di un docente.
Un contratto ai sensi dell'articolo 28
Chi tratta dati per conto della scuola ha bisogno di un contratto. Vi si fissa quali dati sono trattati e per quale finalità, quali sub-responsabili intervengono e cosa accade ai dati alla fine del rapporto.
Accesso in base al ruolo
Non tutto il corpo docente ha bisogno di ogni dato. Un modello di ruoli limita la visione a ciò che il compito richiede e permette poi di dimostrare chi ha consultato cosa e quando.
I termini li fissa lo stato
Quanto a lungo si conservano i documenti scolastici lo regola ogni stato federato in modo diverso, e i termini variano anche per categoria di dati. Un software dovrebbe rispecchiarlo invece di trattare tutto allo stesso modo.
Come si svolge una verifica privacy a scuola
La verifica segue quasi sempre lo stesso ordine: prima chiarire chi è responsabile, poi descrivere cosa viene trattato, quindi leggere il contratto e infine fissare ruoli e termini.
-
1
Chiarire la responsabilità
Chi decide su finalità e mezzi: la scuola, l'ente titolare o entrambi insieme? Questa domanda viene per prima, perché stabilisce chi firma il contratto e chi risponde alle famiglie.
-
2
Descrivere il trattamento
Quali dati, per quale finalità, visibili a chi e per quanto tempo? Queste voci vanno nel registro delle attività di trattamento che la scuola tiene da sé. Un fornitore può fornirne i tasselli.
-
3
Verificare contratto e misure
Il contratto e la descrizione delle misure tecniche e organizzative si leggono insieme: sede dei server, sub-responsabili coinvolti, cifratura, cancellazione alla fine del rapporto e la via con cui la scuola impartisce istruzioni.
-
4
Impostare ruoli e termini
Alla fine la configurazione: quale ruolo vede quale dato e quale termine di conservazione vale per ciascuna categoria. Entrambi dipendono dal diritto dello stato federato e si fissano una volta per tutta la scuola, non per docente.
Gli stessi dati, due modi di tenerli
I concetti che tornano in ogni verifica
Trattamento per conto, responsabilità e istruzioni
Il contratto previsto dall'articolo 28 del GDPR non è un modulo, ma la descrizione di un rapporto. La scuola resta titolare e stabilisce quali dati siano trattati e per quale finalità; il fornitore li tratta solo su istruzione e mai per fini propri. Si regolano inoltre durata e oggetto, le categorie di persone interessate, le misure di protezione, il supporto alle richieste di accesso, la notifica degli incidenti, il ricorso a sub-responsabili e la sorte dei dati alla scadenza. La stessa ripartizione spiega perché un elenco di voti su un portatile privato è un problema della scuola: essa resta responsabile, ma su un dispositivo altrui non può limitare l'accesso né dimostrare cosa sia accaduto al file.
Voti, assenze per malattia e articolo 9
Non tutti i dati scolastici sono ugualmente delicati. Il motivo di un'assenza per malattia è un dato sulla salute e rientra quindi nelle categorie particolari dell'articolo 9 del GDPR, soggette a requisiti più severi. Nella pratica la cosa si disinnesca: per la giustificazione di norma basta sapere che l'assenza è dovuta a malattia, e il motivo resta facoltativo. Voti e valutazioni non ricadono invece nell'articolo 9, il che non li rende innocui: descrivono il rendimento per anni e incidono su passaggi e titoli. Da entrambi discende la stessa conclusione: legare la visibilità al compito, usare con parsimonia i campi di testo libero e conservare cifrati i contenuti delicati anziché spargerli tra file e allegati.
Conservare, cancellare, dare riscontro
Ogni verifica finisce con tre domande: quanto restano i dati, come spariscono e cosa succede se una famiglia chiede di vederli. I tempi di conservazione dei documenti scolastici sono diritto dello stato federato e variano anche per categoria: presenze sul registro di classe, dati delle pagelle, giustificazioni per malattia e comunicazioni con le famiglie si conservano per periodi molto diversi. Fogli di calcolo e caselle di posta non sanno distinguerli, perciò lì non si cancella nulla. Gli articoli 15 e 20 impongono inoltre di consegnare tutto ciò che riguarda una persona, in forma leggibile e leggibile da una macchina. SchuleVernetzt riunisce tutto questo in una vista per la dirigenza: registro di accessi e modifiche, un termine per categoria basato sullo stato federato ed esportazione per persona.
Cosa una scuola può chiedere al fornitore
Prima di decidere si possono richiedere quattro documenti: il contratto di trattamento per conto, la descrizione delle misure tecniche e organizzative, un elenco dei sub-responsabili coinvolti con la loro sede e una descrizione dei trattamenti con cui la scuola alimenti il proprio registro delle attività di trattamento. Un fornitore che raccoglie queste carte solo su richiesta allunga la verifica di settimane. SchuleVernetzt le tiene pronte, così enti e responsabili della protezione dei dati non devono ricostruire nulla. L'applicazione e i dati scolastici sono ospitati in Germania.
Domande frequenti su software scolastico e protezione dei dati
Ci sarai al lancio di SchuleVernetzt
Stiamo sviluppando SchuleVernetzt a pieno ritmo. Lasciaci la tua e-mail e ti avviseremo non appena la tua scuola potrà iniziare – gratis e senza impegno.
Usiamo il tuo indirizzo solo per avvisarti al lancio e puoi annullare l'iscrizione in qualsiasi momento.