Negli ultimi anni, la diffusione della didattica digitale ha trasformato profondamente il modo in cui scuole e università organizzano corsi ed esami. Ciò che inizialmente era una soluzione emergenziale si è progressivamente consolidato come una modalità strutturale. In questo scenario, l’intervento del Garante per la protezione dei dati personali assume un rilievo centrale, perché ridefinisce i confini entro cui l’innovazione tecnologica può muoversi senza comprimere i diritti fondamentali degli studenti.
Il punto di partenza è chiaro: lo svolgimento di esami e attività formative a distanza è pienamente legittimo. Università ed enti di formazione operano infatti nell’ambito di compiti di interesse pubblico e, in quanto tali, sono autorizzati a trattare i dati personali necessari allo svolgimento delle proprie funzioni. Tuttavia, questa legittimazione non è illimitata. Il trattamento dei dati deve rimanere strettamente funzionale allo scopo, evitando qualsiasi forma di raccolta eccedente o sproporzionata.
In concreto, ciò significa che le piattaforme digitali utilizzate devono essere configurate secondo criteri di minimizzazione. Non è sufficiente scegliere strumenti tecnologici affidabili: è necessario anche impostarli in modo da ridurre al minimo l’invasività. L’inquadratura della videocamera, la qualità della registrazione, l’eventuale attivazione di funzioni accessorie devono essere valutate con attenzione, privilegiando sempre soluzioni meno intrusive.
Particolarmente delicato è il tema del cosiddetto “proctoring”, cioè dei sistemi di supervisione digitale degli esami. Il Garante non ne vieta l’utilizzo in assoluto, ma ne circoscrive rigorosamente l’ambito. Il principio guida è quello della proporzionalità: il controllo non può trasformarsi in sorveglianza pervasiva. Le soluzioni preferibili sono quelle che agiscono sull’ambiente tecnologico — ad esempio limitando l’accesso ad altre applicazioni — senza monitorare in modo sistematico il comportamento dell’utente.
È qui che emerge una linea di demarcazione netta: sono esclusi, in assenza di una base normativa specifica, i sistemi fondati su dati biometrici o su analisi comportamentali automatizzate. Il riconoscimento facciale, così come gli algoritmi capaci di “interpretare” movimenti, click o attività online per individuare condotte sospette, viene considerato incompatibile con l’attuale quadro giuridico. Non si tratta solo di una questione tecnica, ma di una scelta di fondo: evitare che la valutazione dello studente venga mediata da logiche opache e automatizzate.
Un altro aspetto cruciale riguarda le registrazioni audio-video. La loro eventuale utilizzazione deve essere giustificata da esigenze concrete e accompagnata da una chiara definizione dei tempi di conservazione. Non è ammesso un accumulo indiscriminato di dati: la durata deve essere correlata, ad esempio, ai termini per eventuali contestazioni o impugnazioni dell’esito dell’esame. Anche in questo caso, la logica è quella della stretta necessità.
Sul piano organizzativo, il ruolo del Responsabile della protezione dei dati (DPO) diventa strategico. È attraverso la valutazione di impatto (DPIA) che l’ente può verificare preventivamente i rischi connessi all’uso di determinati strumenti. Qualora tali rischi risultino elevati e non adeguatamente mitigabili, è addirittura prevista la consultazione preventiva del Garante. Questo passaggio evidenzia come la protezione dei dati non sia un adempimento formale, ma un processo sostanziale di governo del rischio.
Non meno rilevanti sono gli obblighi di trasparenza. Gli studenti devono essere informati in modo chiaro e completo sulle modalità di svolgimento degli esami, sugli strumenti utilizzati e sulle eventuali forme di monitoraggio. L’informativa non può ridursi a un documento generico: deve consentire una reale consapevolezza del trattamento.
Infine, resta fermo un principio spesso sottovalutato nella prassi: la responsabilità non si trasferisce ai fornitori tecnologici. Anche quando l’ente utilizza piattaforme esterne, continua a essere il titolare del trattamento e deve garantire che i fornitori operino come responsabili, sulla base di istruzioni precise e verificabili. In altre parole, l’esternalizzazione del servizio non comporta una esternalizzazione delle responsabilità.
In definitiva, le indicazioni del Garante delineano un modello di didattica digitale “sostenibile”, in cui l’efficienza organizzativa non sacrifica la tutela dei diritti. Il messaggio è netto: la tecnologia può supportare i processi educativi, ma non può trasformarsi in uno strumento di controllo invasivo. Per le istituzioni formative si tratta di una sfida culturale, prima ancora che giuridica: progettare ambienti digitali che siano non solo funzionali, ma anche rispettosi della dignità e della libertà degli studenti.
