Stakka stakka 93 - Pillole di Radio Blackout
con stakka stakka
(da 47'), a raccontar di
Parliamo di didattica a distanza per sottolineare alcune criticita’ ancora troppo poco discusse, in particolare di dati raccolti dalle piattoforme comunemente utilizzate dalle scuole italiane, una raccolta dati completamente al di fuori della normativa.
Cominciamo da Schrems II
A seguito delle rivelazioni di Edward Snowden sulla partecipazione di Facebook ed altri provider di servizi statunitensi al programma di sorveglianza di massa del governo USA denominato “PRISM”, nel 2013, Maximillian Schrems, attivista austriaco, presentava denuncia al Data Protection Commissioner irlandese sostenendo l’illecito trattamento dei suoi dati personali che sarebbero stati trasferiti negli USA e sottoposti al controllo massivo delle autorità governative statunitensi, insieme a quelli di milioni di cittadini europei. Ciò sarebbe stato facilitato dall’accordo noto come “Safe Harbor”, approvato nel 2000 dalla Commissione UE, che consentiva il libero trasferimento, a certe condizioni, dei dati personali tra UE e USA.
Dopo aver deferito la questione alla Corte di giustizia dell’Unione europea, quest’ultima accoglieva le doglianze di Schrems con sentenza C-362/14 del 6 ottobre 2015 (sentenza “Schrems I”), invalidando la decisione 2000/520/CE con cui la Commissione UE aveva giudicato adeguato il livello di protezione assicurato dai Safe Harbor Privacy Principles e rinviando la questione al Garante irlandese per una nuova pronuncia.
Con la sentenza Schrems II del 16 luglio 2020, la Corte di Giustizia Europea dichiara l’illiceità dei trasferimenti di dati negli Stati Uniti. In poche parole, la sentenza dice che si possono trasferire dati in paesi fuori dall’Unione solo e soltanto se quei paesi garantiscono una protezione dei dati equivalente alla nostra (il GDPR). Questo esclude gli Stati Uniti, in quanto alcune loro leggi permettono alle agenzie governative di accedere ai dati senza un mandato del giudice, rendendo la sorveglianza di massa una realtà. Come conseguenza, tutte le soluzioni giuridiche per trasferire dati negli USA sono, ad oggi, illegittime in assenza di misure di garanzia ulteriori. Tra le altre, è stato invalidato il Privacy Shield, ovvero l’accordo che escludeva gli Stati Uniti dal normale trattamento dei dati e che permetteva all’azienda statunitense di Tizio di importare dati senza porsi particolari problemi. Per quanto riguarda le misure di garanzie ulteriori, sono possibili, ma ad oggi è molto complesso, dal punto di vista giuridico, individuare in modo preciso quali siano e, dal punto di vista tecnico, implementarle. Quindi, è bene diffidare di tutti i trasferimenti di dati verso gli USA.
Cosa cambia quindi per la scuola italiana? Cambia che – in forza del GDPR – le scuole devono essere in grado di dimostrare la sicurezza dei dati degli studenti e molte big tech (Google in primis, ma anche Microsoft) hanno sede legale e processano dati negli USA, dove è molto difficile, se non impossibile, assicurare un livello di sicurezza equivalente a quello europeo. Nonostante queste aziende abbiano delle sedi anche in paesi come l’Irlanda e i dati vengano inviati in queste ultime, è responsabilità della scuola assicurarsi che queste sedi non li rigirino poi in America. Operazioni simili, per intenderci, non vengono fatte neanche dalle grandi aziende; pensare che una scuola possa farle è oltre i limiti dell’assurdo. Detto in parole povere, le scuole che utilizzano questi strumenti stanno infrangendo la legge. Ovvero, pressoché tutta Italia.
