Esami universitari a distanza, le regole della Privacy: no a dati biometrici e localizzazione

ROMA – Le università, gli enti di alta formazione, gli altri soggetti che fanno istruzione possono organizzare esami e anche corsi a distanza. E in questo caso hanno il diritto di verificare che studentesse e studenti sostengono le prove d’esame senza trucchi; e che siano effettivamente presenti a lezione. Ma il dovere di controllare non autorizza all’uso di qualunque tecnologia, e senza freni.

Il Garante Privacy chiarisce che i dati personali di studenti e candidati vanno trattati solo per assicurare il regolare svolgimento delle prove e lezioni, evitando strumenti sproporzionati o invasivi. Le verifiche devono rispettare sempre i principi di necessità, proporzionalità, trasparenza.

In sintesi: sì alla didattica e agli esami a distanza, no a forma esasperate di sorveglianza.

Ecco una nostra sintesi delle domande e risposte che il Garante ha preparato per fugare i dubbi.

Esami e corsi online sono legittimi?

Sì. Il Garante spiega che università pubbliche e private, ed altri enti con obiettivi di interesse pubblico, possono svolgere prove d’esame e corsi a distanza “in ambiente virtuale” e “mediante strumenti telematici o piattaforme digitali”. Simili attività rientrano tra le attività “istituzionalmente assegnate” a questi soggetti, dunque sono legittime.

Gli strumenti digitali come devono essere configurati?

Le tecnologie – ad esempio i servizi di videoconferenza – non potranno raccogliere “dati non pertinenti”. Due esempi: non dovranno individuare il luogo dove lo studente si trova né acquisirne i dati biometrici (come il volto, le impronte digitali, la firma autografa). Acquisizioni indebite avrebbero un impatto sui “diritti e le libertà” delle persone.

La sorveglianza digitale durante un esame online (o pictoring) è sempre ammessa?

Il Garante non esclude in assoluto i sistemi di supervisione digitale, ma avverte che il loro uso comporta rischi elevati. Alcune soluzioni disponibili sul mercato possono implicare profilazione dei candidati, decisioni automatizzate, trasferimenti di dati verso Paesi terzi, trattamenti ulteriori rispetto a quelli necessari per seguire un corso o sostenere un esame. Per questo le università devono valutare con attenzione le caratteristiche del sistema scelto, anche con il supporto del Responsabile della protezione dei dati, se nominato.

Qual è il criterio indicato dal Garante per scegliere questi sistemi?

Buon senso suggerisce di utilizzare strumenti che impediscano di aprire finestre diverse rispetto a quella dove si svolge la prova d’esame. Buon senso suggerisce anche di privilegiare strumenti che non traccino in modo continuo le scelte dell’utente (come la digitazione dei tasti o i movimenti del mouse).

Si possono registrare audio e video durante l’esame?

Il Garante ammette la registrazione audio-video dell’esame, anche con la ripresa del volto, purché questa non produca una estrazione di dati biometrici. Le registrazioni possono essere conservate non certo in eterno, ma per un periodo congruo. L’università deve adottare adeguate misure di sicurezza, limitando l’accesso alle registrazioni alle sole persone che hanno motivo di vederle.

Come si fa a capire se il periodo di conservazione delle registrazioni è congruo?

La legge fissa dei termini entro i quali il candidato può impugnare l’esito dell’esame e lo studente, il mancato riconoscimento della frequenza al corso (ricorsi che si possono presentare davanti alla commissione esaminatrice o al Tar).

Ma è ammesso il riconoscimento facciale per accertare che sta sostenendo l’esame la persona che può e deve farlo?

Soltanto se esiste una norma che lo autorizzi espressamente e che stabilisca anche le necessarie garanzie per il candidato. La norma deve anche precisare quale interesse pubblico viene tutelato attraverso il riconoscimento facciale. In assenza di questa base normativa, il Garante vieta tutti i sistemi che trattano dati biometrici. Il divieto vale anche il sistema punta a rilevare le anomalie durante la lezione o la prova.

È lecito usare algoritmi che analizzano il comportamento dello studente?

Non sono ammessi sistemi di supervisione che analizzano il comportamento dello studente durante l’esame — per esempio movimenti del corpo, click del mouse, digitazione sulla tastiera, tentativi di aprire altre applicazioni, attività online — quando questi dati vengono elaborati da algoritmi per generare “indici di rischio” o “segnali di allerta” su possibili frodi.

Si possono scegliere fornitori extra-Ue di tecnologie?

Soltanto se sono rispettate le condizioni previste dalla normativa europea sullo spostamento di dati personali verso Paesi terzi. Il Garante richiama espressamente gli articoli 44-49 del GDPR e le raccomandazioni europee in materia di trasferimenti internazionali.

La valutazione d’impatto è sempre obbligatoria?

Non sempre. Se il titolare usa strumenti ordinari, come piattaforme di videoconferenza che non consentono monitoraggio automatizzato e non introducono tecnologie particolarmente invasive, la valutazione d’impatto può non essere necessaria. Diventa invece necessaria – e prima di iniziare il trattamento – quando si impiegano sistemi di vigilanza o proctoring, perché questi comportano forme di monitoraggio sistematico. Se dalla valutazione emerge un rischio elevato che non può essere mitigato, il titolare deve consultare preventivamente il Garante.

Gli studenti devono essere informati sulle tecnologie in uso e le tutele assicurate?

Sì. L’informativa deve essere chiara e trasparente. Spiegherà le finalità del trattamento, la base giuridica, le modalità di svolgimento delle prove o dei corsi, l’uso di sistemi di supervisione, i tempi di conservazione dei dati, i destinatari dei dati stessi e l’eventuale trasferimento verso Paesi terzi. Se si usano strumenti di proctoring o altre forme di monitoraggio, l’informativa deve anche descrivere in modo preciso quali funzioni vengono attivate e quali dati sono trattati.

Vanno adottate specifiche misure di sicurezza per lo svolgimento di esami a distanza?

Bisogna usare sistemi di autenticazione robusta per essere certi che acceda alla piattaforma il candidato autorizzato. Bisogna anche assicurare la tracciabilità degli accessi (sia pure entro limiti proporzionati); verificare che i fornitori delle piattaforme digitali offrano delle garanzie in termini di sicurezza; definire regole chiare per conservazione e cancellazione dei dati; formare in modo specifico il personale coinvolto nelle attività didattiche a distanza.