L'autore
La tendenza degli ultimi anni verso la didattica a distanza ha reso necessario accrescere una maggiore attenzione sul tema della tutela della privacy e dei dati personali. Nonostante, però, l’attenzione verso questo tema sia recente, la questione non è nuova dal punto di vista normativo.
Il DPO è, infatti, obbligatorio per gli istituti scolastici già da maggio 2018, grazie all’entrata in vigore del Regolamento generale sulla protezione dei dati n.2016/679 (di seguito GDPR). La normativa prevede, infatti, che il DPO sia obbligatorio per ogni ente pubblico o privato che tratti dati personali di cittadini europei.
Nuove necessità: il DPO nella scuola
Se partiamo dal presupposto che l’intento del GDPR è quello di tutelare il diritto delle persone ad avere il controllo totale delle informazioni che le riguardano in un mondo sempre più esposto allo sviluppo della tecnologia, gli istituti scolastici non possono certamente essere esclusi dal campo applicativo della normativa in esame.
Seppur obbligatoria ormai da qualche anno, la figura del DPO in ambito scolastico non è mai stata così indispensabile. Sia esso soggetto parte dell’organico aziendale o una persona fisica o giuridica esterna, la sua presenza è ormai inderogabile. Negli ultimi anni, infatti, la mole di dati trattati è aumentata esponenzialmente e l’utilizzo di tools di terze parti come Zoom e Google Meet, che permettono l’erogazione della didattica a distanza, ha reso la governance sul trattamento dei dati un’attività ben più complessa.
Il garante è intervenuto in materia il 26 marzo 2020 con un provvedimento recante le prime indicazioni sulla didattica a distanza, sottolineando la necessità di conformare l’attività delle scuole ai principi del GDPR, offrendo agli interessati valide garanzie sul piano della protezione dei dati personali. Per quanto la responsabilità ultima in materia di privacy spetti alla singola istituzione, il DPO entra in gioco per la risoluzione di tutte le problematiche del caso, potendo agire su più fronti. Partendo dall’offerta di consulenza per la valutazione d’impatto (DPIA) e dall’adozione di misure di sicurezza, il responsabile per la protezione dei dati personali può essere un grande aiuto per la scelta delle tecnologie più appropriate per lo svolgimento delle attività scolastiche in conformità alle disposizioni normative. Può fornire, inoltre, supporto nella ricerca e nella redazione del contratto con i fornitori degli strumenti operativi per lo svolgimento della DAD e svolgere campagne di sensibilizzazione sulla tutela della privacy per il personale.
A chi è meglio affidarsi, DPO esterno o DPO interno?
Difficile stabilire se la scelta migliore per un istituto scolastico sia la nomina di un DPO esterno o interno. Le ipotetiche soluzioni applicative restano due. La prima prevede la nomina di un DPO esterno e l’individuazione di uno o più soggetti interni che siano formati adeguatamente per la gestione dei vari compiti in materia di privacy. La seconda prevede la nomina di un DPO interno che operi con l’appoggio di un consulente esterno. Resta a vedere quali siano le concrete necessità di un istituto scolastico per potersi approcciare alla soluzione più adeguata. Certo è che il DPO resta una figura chiamata a svolgere attività che non possono essere incompatibili con ulteriori attività svolte all’interno dell’istituzione, incompatibilità esclusa alla radice nel caso in cui il ruolo sia affidato a un soggetto esterno. Senza dimenticare che tale scelta costituirebbe un risparmio di tempo e denaro che sarebbero destinati alla formazione del personale dipendente a cui verrebbe affidato tale compito, che dovrebbe cimentarsi con le tematiche della privacy e della protezione dei dati personali, non esattamente il pane quotidiano della maggior parte delle realtà scolastiche. Per approfondire la questione si veda l’articolo il paradosso del DPO.
