Prove e corsi a distanza: sì al proctoring, no al trattamento dei dati biometrici

Legittima la supervisione con sistemi di proctoring (programmi che consentono l’identificazione di ciascuna persona fisica che partecipa al corso o sostiene la prova) nell’ambito dello svolgimento di prove e corsi a distanza, sempre a seguito dell’adozione delle misure tecniche e organizzative che garantiscano la conformità dei trattamenti alla disciplina di protezione dei dati. Come stabilito dal Regolamento Ue 2016/679, se i sistemi utilizzati sono forniti da terzi sarà necessario impartire al responsabile le necessarie istruzioni, assicurando che vengano disabilitate per esempio le funzioni prive di base giuridica. Andranno privilegiate invece le soluzioni che si limitino a inibire specifiche funzionalità, come l’apertura di finestre diverse da quella in cui si svolge la prova o il corso, senza tenere traccia delle operazioni effettuate. Lo ribadisce il Garante della privacy con alcune Faq riguardanti i sistemi di supervisione per la regolarità di prove d’esame e corsi a distanza.

In base ai singoli contesti di riferimento, sarà possibile valutare la necessità di registrare video e audio dell’esame, anche riprendendo il volto della persona ma senza l’estrazione dei dati biometrici. Dovrà poi essere individuato un congruo termine di conservazione della registrazione stessa, come statuito dal Regolamento, in considerazione anche dei termini previsti per impugnare l’esito della prova o il mancato riconoscimento della frequenza al corso. I sistemi, comunque, non possono comportare un’eccessiva ingerenza nella sfera dell’interessato, né un monitoraggio invasivo delle sue attività che costituisca un trattamento sproporzionato rispetto all’interesse pubblico perseguito, come aveva stabilito il presidente del Garante con la Memoria del 27 aprile 2021 presso due commissioni del Senato.

Non possono invece essere trattati i dati biometrici di chi partecipi ai corsi e agli esami poiché per il loro trattamento è prevista un’idonea base giuridica e tutela degli interessati, come sottolinea il Regolamento. Proibite quindi, in assenza di una specifica base giuridica, le tecnologie che consentono l’identificazione dei partecipanti e la rilevazione di eventi anomali. Anche l’uso di sistemi che elaborino il comportamento degli studenti durante l’esame, come movimenti del corpo o operazioni compiute sulla tastiera, è vietato secondo quanto prevede il Regolamento in materia di profilazione. Non è consentito infatti il ricorso ad algoritmi che generino informazioni nuove e ulteriori rispetto a quelle direttamente fornite dall’interessato, salvo idonea base giuridica. Consentito invece il ricorso a fornitori di sistemi di supervisione stabiliti al di fuori dell’Unione europea, a patto che sussistano le condizioni previste dalla normativa in materia di protezione dei dati. Per quanto riguarda la valutazione d’impatto, invece, come chiarisce il Regolamento, è necessaria solo in caso di impiego di sistemi di proctoring e, qualora emerga un rischio elevato non mitigabile con le misure adeguate, il titolare è tenuto a consultare preventivamente l’Autorità di controllo.

In ogni caso è necessario fornire un’informativa specifica a studenti e fruitori dei corsi a distanza, specifica il Regolamento. Durante lo svolgimento di esami a distanza, infine, devono essere adottate specifiche misure di sicurezza volte a mitigare il rischio, come la tracciabilità degli accessi o l’adozione di procedure di autenticazione, secondo quanto statuito dal Regolamento. Infatti, gli strumenti informatici usati per le lezioni e per gli esami da remoto dalle università, dagli enti di alta formazione e dagli altri enti abilitati devono essere configurati in modo da minimizzare i dati personali da trattare, il tempo dell’eventuale conservazione ed evitare trattamenti non necessari.