Big tech e scuole: perplessità e inviti a dismettere servizi online di multinazionali come Google o Microsoft. E non solo per mancata conformità al GDPR

Big tech e scuola: in principio fu la Germania

In Europa, ad "aprire le danze" contro le Big tech nelle scuole è stato lo Stato Federale Tedesco dell'Assia. Stato che si è occupato dell'implementazione di servizi cloud in tempi non sospetti, cioè antecedenti alla pandemia, periodo che ha segnato il dilagare di servizi cloud, di sharing e per le video-lezioni nelle scuole di tutta Europa.

Nell'Agosto 2017 il Garante per la Protezione dei dati personali dell'Assia ha scoperto e potuto provare, a seguito di istruttoria, che il cloud di Microsoft si appoggiava su server negli Stati Uniti. Già al tempo quindi lanciò l'allarme, reputando i servizi Microsoft non conformi alle regole comunitarie in fatto di protezione dei dati.

L'anno dopo Microsoft era già corsa ai ripari, specificando che d'ora in poi avrebbe spostato dati e servizi per l'Europa in server europei. Mossa che non ha convinto il Garante dell'Assia, che ha invece ribadito il proprio diniego all'uso di questi servizi. Il motivo? La legge USA:

“Microsoft Office 365 non dovrebbe essere attualmente utilizzato nelle scuole a causa di problemi di privacy per studenti e docenti, perché, anche se i server sono in Europa, per effetto del Cloud Act di Trump i dati possono essere trasmetti all’intelligence Usa”.

Insomma, per il Garante dell'Assia, lo spostamento dei dati personali in server europei non risolve il problema perchè la legge statunitense consente alle autorità USA l'accesso ai dati qualora siano ravvisati rischi alla sicurezza nazionale. Il cloud di Office 365 quindi consente alle autorità di uno stato estero di accedere alle informazioni personali degli studenti tedeschi, in violazione al GDPR.

Decisione poi ribadita dal Datenschutzkonferenz, il Garante Privacy federale, che ha sollevato però due ulteriori problemi. Da una parte la scarsa trasparenza di Microsoft, che non dettaglia quali operazioni svolge sui dati raccolti, dall'altra il fatto che tra i dati trattati ci sono quelli di studenti che hanno meno di 13 anni e che quindi non possono esprimere alcun consenso legalmente valido al trattamento dati.

Big tech e scuola: anche la Francia contro l'uso di Microsoft 365 gratuito nelle scuole

In Francia Microsoft 365 ha concesso a scuole e università di scaricare una versione gratuita del proprio pacchetto. Spinti dall'emergenza Covid, molteplici istituzioni scolastiche e accademiche hanno proceduto al download e l'utilizzo di questi strumenti messi gratuitamente a disposizione. Ne è seguita una interrogazione parlamentare alla quale ha poi risposto Pap Ndiaye, Ministro per l'educazione nazionale e la gioventù. E la risposta è stata nettissima.

Il Ministro ha spiegato che le versioni gratuite sia di Microsoft 365 che di Google Workspace non dovrebbero essere usate nelle scuole nonostante l'attrattività dell'uso senza costi di queste piattaforme. Alla base di questa risposta non c'è solo la preoccupazione, sempre crescente, della sovranità digitale dei paesi europei, ma anche un problema di conformità al GDPR. Nuovamente si ripropone infatti il problema di dati personali stoccati in un servizio cloud statunitense. In questo caso, oltrettutto, si parla anche di moltissimi dati sensibili di studenti minorenni.

Nella risposta ufficiale, consultabile qui, il Ministro fa riferimento a tre aspetti

• conformità al GDPR: il vuoto normativo conseguente alla sentenza Schrems II (che ha dichiarato insufficiente il Privacy Shield ) non è ad oggi colmato. Queste applicazioni quindi mettono a rischio i principi del GDPR;
• rispetto dei codici statali di appalto: il codice degli appalti francese prevede che i contratti di appalto pubblico debbano essere a titolo oneroso. Nei fatti quindi la legge francese esclude le offerte gratuite dal campo di applicazione dei codici sui pubblici appalti;
• sovranità digitale: il Ministro fa riferimento ad una Circolare della Presidenza del Consiglio dei Ministri nella quale i vari ministeri sono invitati a garantire che l'uso di servizi in cloud negli enti pubblici siano "immuni da ogni regolamentazione extracomunitaria e beneficino di qualificazioni come SecNumCloud o qualificazione europea equivalente.

Big tech e scuola: anche Google bandito

Non solo Microsoft: anche Google ha incontrato forti perplessità da parte dei garanti europei. Ad esempio il Garante danese ha stabilito che tutte le scuole danesi devono dismettere l'uso sia di Gmail che di tutti i servizi cloud di Google. In breve, ha dichiarato illegittimo l'uso dell'intera suite Google Workspace. Dopo una prima dichiarazione sul tema, risalente a Luglio 2022, il Garante ha fatto seguire una decisione chiara. Il trattamento dei dati personali degli alunni eseguito da Google tramite i servizi della suite Workspace non soddisfa i requisiti del GDPR. Il divieto di uso nelle scuole ha effetto immediato e resta in vigore almeno fino a quando Google non renderà disponibili adeguata documentazione e valutazione d'impatto che dimostrino l'adeguamento al GDPR o quantomeno a livelli di protezione dei dati e tutela dei diritti equivalenti. 

A questo netto divieto hanno fatto seguito decisioni simili da parte anche del Garante Olandese.

Big tech e scuola: la situazione in Italia

In Italia, come nel reso d'Europa, Google e Microsoft hanno proposto gratuitamente i propri servizi alle scuole. Così Microsoft 365 e Google Workspace sono diventati strumenti molto utilizzati nelle scuole e perfino pubblicizzati dal sito del Ministero dell'Istruzione. Queste soluzioni sono finite cioè elencate sul sito ufficiale del Ministero, fatto che ha indotto molti a credere che queste piattaforme fossero scelte e indicate dal Ministero stesso.

I componenti dello scorso collegio del Garante italiano scrissero, nel 2020, all'allora Ministro Azzolina per sollecitare il

"il perfezionamento della disciplina dell’utilizzo del registro elettronico e l’adozione del “Piano per la dematerializzazione delle procedure amministrative in materia di istruzione, università e ricerca e dei rapporti con le comunità dei docenti, del personale, studenti e famiglie. [...] In assenza di direttive specifiche, gli istituti scolastici hanno sinora provveduto ricorrendo a soluzioni tecnologiche, offerte da vari fornitori, non sempre caratterizzate da garanzie adeguate in termini di protezione dei dati personali e talora notevolmente vulnerabili”.

L'invito del Garante era quello di incentivare l'uso del Registro elettronico, dotato di gran parte delle funzionalità offerte dalle suite di servizi Google e Microsoft. Qui la lettera completa inviata dal Garante Antonello Soro alla Ministra dell'istruzione Lucia Azzolina. Da quel momento, da questa lettera, il tema è oggetto di dibattito politico senza che siano però state prese decisioni o misure.