Smart teaching e smart learning in sicurezza

Lo sforzo di alunni e studenti, delle loro famiglie, di docenti e dirigenti scolastici e più in generale dell’Amministrazione scolastica, di mantenere la continuità del servizio educativo mediante la didattica a distanza è encomiabile, ma i recenti fatti di cronaca suggeriscono di considerare con grande attenzione tutta la questione.

Il 9 aprile si è verificato un attacco hacker alla piattaforma didattica Axios (La Repubblica) mentre nei giorni precedenti si erano verificati attacchi di hacker ad altre piattaforme didattiche. Con gli attacchi veniva introdotto materiale violento e pornografico durante le lezioni e alcuni istituti hanno dovuto interrompere per alcuni giorni le lezioni a distanza.

Chiediamoci, allora, cosa avrebbe potuto fare la scuola per arginare questi problemi.

La piattaforma didattica Axios ha subito un attacco hacker di tipo DDoS che provoca un enorme numero di accessi fraudolenti. Qualcosa di analogo a un tale tipo di attacco2 lo hanno subito quelle scuole che, senza rivolgersi a piattaforme free, offerte dal mercato, hanno cercato di veicolare la loro didattica a distanza optando invece per soluzioni offerte dai provider di altri servizi digitali scolastici, ad esempio dai registri elettronici, e che hanno visto il proprio sistema “sedersi” e non riuscire a gestire l’enorme mole di traffico digitale generato.

Questo tipo di difficoltà è stata sperimentata anche oltralpe dai nostri vicini francesi che, per dare continuità alle attività scolastiche, hanno utilizzato, su tutto il territorio nazionale e per ogni tipo di scuola, la piattaforma CNED chiamata “La mia classe a casa”. La scelta del Ministero francese di utilizzare questo sistema, tuttavia, ha incontrato alcune difficoltà. A causa delle troppo numerose connessioni contemporanee, l’accesso al sito è stato saturato ed è andato in blocco più volte.

In Italia, a parte le citate esperienze tentate in alcune scuole, si è scelto di non affidarsi a una piattaforma istituzionale nazionale, peraltro non disponibile, e che sarebbe stata da creare ad hoc.

Alla luce dell’esito della scelta effettuata dai francesi possiamo dire di essere stati più lungimiranti.

Ma ogni scelta che rinuncia a percorrere una strada porta come conseguenza che bisogna optare per l’altra alternativa, e il MIUR ha scelto di suggerire ai docenti l’utilizzo di piattaforme free offerte dal mercato.

Smart teaching e smart learning con piattaforme free

Nello svolgere attività didattiche a distanza, con riferimento alla tutela della privacy di alunni e studenti, bisogna considerare:

• le caratteristiche della postazione di lavoro dell’insegnante che la eroga (rif. Regolamento GDPR3);
• l formazione ad hoc e l’incarico per i singoli insegnanti;
• le indicazioni presenti nel Provvedimento “Didattica a distanza: prime indicazioni”4 del Garante per la protezione dei dati personali del 26 marzo 2020.

La postazione di lavoro dell’insegnante dovrà essere idonea a garantire che siano state previste le “misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento” (Rif. art. 28 comma 4 del Regolamento GDPR).

Per non correre rischi di data breach5, ciò dovrebbe comportare, a nostro parere, che il computer utilizzato per la didattica a distanza debba essere protetto da antivirus e da Firewall. Inoltre il PC non dovrebbe essere utilizzato dall’insegnante anche per proprie attività personali come posta elettronica, account nei social network, ecc. che potrebbero favorire l’intrusione di malware, spyware, ecc.

Inoltre, anche se sarebbe la soluzione ideale, non è possibile ipotizzare che:

La postazione di lavoro sia messa a disposizione, installata e collaudata a cura e a spese delle Istituzioni scolastiche e educative, sulle quali andrebbero a gravare i costi di manutenzione e di gestione dei sistemi di supporto per i lavoratori.

Eppure queste sono le condizioni previste contrattualmente per il telelavoro del personale scolastico (ART. 139 – disciplina del telelavoro CCNL Scuola 2006-2009) e anche se il telelavoro non era normato per gli insegnanti ai tempi della firma del CCNL la nuova situazione, a nostro avviso, permette l’analogia.

Tutte le condizioni sopra elencate sono evidentemente impossibili nelle attuali condizioni emergenziali.

Riteniamo, però, che sarebbe utile liberare il personale scolastico dalle responsabilità conseguenti a eventuali violazioni dei dati personali degli studenti, dovuti al fatto che i docenti operino con Computer personali che, in molti casi, non hanno le caratteristiche sopraindicate come necessarie.

Auspichiamo in tal senso un intervento del Ministero che possa fare chiarezza a riguardo.

Per svolgere la didattica a distanza i docenti dovrebbero avere seguito un apposito corso di formazione6 sulla normativa inerente alla privacy7 e avere ricevuto dai rispettivi dirigenti scolastici una specifica lettera di incarico contenente le istruzioni specifiche per il trattamento dati personali area IT.

Vista le grandi novità connesse alla situazione attuale e l’urgenza di garantire continuità all’attività educativa, ci sembrano presenti difficoltà oggettive nell’attuazione puntuale di quanto sopra segnalato.

Le indicazioni presenti nel Provvedimento “Didattica a distanza: prime indicazioni” del Garante per la protezione dei dati personali del 26 marzo 2020 sono il riferimento sulla base del quale abbiamo analizzato le varie piattaforme di DAD utilizzabili.

I dati personali dei minori, del resto, “meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate, nonché dei loro diritti in relazione al trattamento dei dati personali” (cons. 38 del Regolamento).

Siamo partiti da questa considerazione del Garante nel procedere alla verifica delle piattaforme DAD che abbiamo analizzato.

Indicazioni sulla procedura seguita per analizzare le piattaforme DAD

Segnaliamo che le indicazioni che ora illustreremo possono essere seguite anche da quei docenti che volessero verificare la rispondenza alle norme sulla privacy di piattaforme DAD che stanno utilizzando, o si apprestano ad utilizzare.

Innanzitutto, per la verifica bisogna leggere i disclaimer nella sezione “Privacy” della piattaforma. Segnaliamo che, per accertarsi di avere letto l’informativa sulla privacy nella sua interezza, non bisogna accontentarsi di riepiloghi e riassunti, ma bisogna recuperare la versione completa. Spesso le piattaforme offrono l’accesso alla versione integrale solo mediante l’utilizzo di pulsanti e link attivabili con un click.

Va segnalato che quando il disclaimer della privacy è scritto per più servizi offerti o riguarda sia utenti del servizio, sia dipendenti dell’azienda, risulta estremamente difficile capire quali specifiche possano riguardare gli altri e quali riguardano studenti o professori.

Il secondo passo è leggere l’informativa completa sui cookies per verificare quali informazioni raccolgono.

Il terzo passaggio è confrontare quanto dichiarato dal fornitore della piattaforma DAD con quanto previsto nel Provvedimento “Didattica a distanza: prime indicazioni” del Garante per la protezione dei dati personali al fine di evitarne l’utilizzo, per svolgere la DAD, nel caso la piattaforma considerata non soddisfi le indicazioni del Garante.

Analizzando numerose piattaforme8 DAD abbiamo individuato alcune criticità.

Relativamente ai problemi legati alla profilazione, Il Garante afferma:

Laddove, invece, si ritenga necessario ricorrere a piattaforme più complesse e “generaliste”, che non eroghino servizi rivolti esclusivamente alla didattica, si dovranno attivare, di default, i soli servizi strettamente necessari alla formazione, configurandoli in modo da minimizzare i dati personali da trattare, sia in fase di attivazione dei servizi, sia durante l’utilizzo degli stessi da parte di docenti e studenti (evitando, ad esempio, il ricorso a dati sulla geolocalizzazione, ovvero a sistemi di social login che, coinvolgendo soggetti terzi, comportano maggiori rischi e responsabilità).

Riguardo ai dati relativi alla geolocalizzazione dell’utente, tale dati possono essere individuati anche acquisendo l’indirizzo IP9 o l’indirizzo MAC10.

Per la profilazione dell’utente (lo studente) il Garante afferma:

Tale specifica protezione dovrebbe, in particolare, riguardare l’utilizzo di tali dati a fini di marketing o di profilazione e, in senso lato, la relativa raccolta nell’ambito della fornitura di servizi ai minori stessi.

Al riguardo, in alcune piattaforme DAD analizzate, abbiamo trovato indicazioni non proprio tranquillizzanti, ad esempio:

• “Faremo anche sforzi ragionevoli per garantire che non utilizziamo i nostri prodotti per raccogliere informazioni quando visiti siti Web offerti da società diverse dalla nostra”;
• “La disattivazione dei Cookies tecnici indicati […] potrebbe impedire la corretta navigazione sul Sito e/o limitarne la fruibilità”11

Per approfondire riteniamo anche utile segnalare in nota alcuni articoli12 che hanno evidenziato criticità di piattaforme DAD che gli insegnanti hanno usato e che in molti casi continuano ancora ad utilizzare.

Della piattaforma ZOOM, Jules Polonetsky – amministratore delegato del Future of Privacy Forum – afferma che:

I termini di servizio di Zoom includono alcune clausole che potrebbero invadere la privacy degli utenti. Per cui, come per tutti i prodotti, gli utenti dovrebbero fare attenzione ad utilizzare Zoom senza essere consapevoli di alcuni problemi di privacy che lo riguardano. Sempre Polonetsky afferma che la politica standard di Zoom sulla privacy consente di condividere i dati per il marketing mirato. E alcuni dei termini standard dell’azienda non sono coerenti con lo statunitense Family Educational Rights and Privacy Act, o FERPA, oltre ad altre norme in materia di protezione dei dati personali (possiamo indicare il GDPR)13.

Segnaliamo anche l’attacco di phishing alla piattaforma Webex14 di Cisco, per le indicazioni sulle cautele da avere e di cui rendere consci gli studenti circa i rischi legati a mail fraudolente che possono essere loro recapitate. È, infatti, importante tutelare la classe virtuale da eventuali attacchi hacking effettuati da chi, conquistando la fiducia del destinatario con mail fraudolente, riesce ad ottenere le credenziali per accedervi e svolgere poi azioni di disturbo o peggio15.

Conclusioni

L’intervento del Garante per la protezione dei dati personali, sulle caratteristiche specifiche che le piattaforme di DAD devono garantire, relativamente alla tutela della privacy dei minori (alunni e studenti), ha evidenziato in modo esplicito che esiste un problema privacy.

È evidente che le competenze multidisciplinari16 necessarie per accertare se una piattaforma DAD garantisce il giusto livello di privacy non possono essere possedute e quindi pretese dai singoli insegnanti né dai singoli Dirigenti scolastici.

In particolare risulta improbabile che, per tali piattaforme DAD, gli insegnanti e i Dirigenti scolastici siano in grado, senza rischiare di sbagliare, di “attivare, di default, i soli servizi strettamente necessari alla formazione, configurandoli in modo da minimizzare i dati personali da trattare, sia in fase di attivazione dei servizi, sia durante l’utilizzo degli stessi da parte di docenti e studenti” come richiesto dal Garante della privacy.

Per questo auspichiamo un intervento del Ministro che possa fare chiarezza sulla questione e permettere al personale della scuola di potere continuare le sue attività di didattica a distanza con la necessaria serenità.

Fulvio Oscar Benussi

Biografia

Il prof. Fulvio Oscar Benussi, socio AIDR, è docente di scuola secondaria di secondo grado, formatore e pubblicista. Esperto di innovazione didattica ha tenuto numerosi speech in Università italiane ed estere. Vari suoi contributi, molti redatti in collaborazione con Annamaria Poli, ricercatrice dell’Università degli studi di Milano  Bicocca, sono stati pubblicati in riviste scientifiche dell’ambito universitario.

Note bibliografiche