Il Garante per la Protezione dei Dati Personali con provvedimento del 28 settembre 2021 ha ingiunto all’Universit\u00e0 Commerciale Luigi Bocconi di Milano il pagamento di 200.000,00 euro a titolo di sanzione amministrativa per le ripetute violazioni delle disposizioni del Regolamento (UE) 2016\/679.<\/p>\n\n\n\n
La condotta illecita \u00e8 stata portata all’attenzione dell’Autorit\u00e0 da\u202funo studente inglese, il quale alla\u202ffine di aprile 2020 si \u00e8 trovato a sostenere gli esami scritti con l’uso da parte dell’Universit\u00e0 di un software\u202fdi monitoraggio e controllo a distanza rilevandone dei profili di presunta illiceit\u00e0 sottoposti al vaglio dell’Autorit\u00e0 garante. <\/p>\n\n\n\n
Nel contesto dell’emergenza epidemiologica da SARS-CoV-2, \u00e8 stata predisposta dall’Universit\u00e0 Bocconi una modalit\u00e0 alternativa di svolgimento degli esami scritti, idonea a mantenere le medesime garanzie previste dagli esami in presenza, avvalendosi di un servizio software erogato dall’azienda statunitense Respondus Inc. il quale, attraverso un sistema di cd. proctoring, come accertato dall’Autorit\u00e0, \u00e8 in grado di acquisire e trattare dati biometrici.<\/p>\n\n\n\n
L’accertamento della sussistenza di un illecito nella condotta dell’Universit\u00e0 concretizzatasi nella conduzione degli esami ricorrendo all’ausilio del suddetto servizio software ha richiesto un’approfondita disamina delle caratteristiche tecnico-funzionali del servizio software, dell’informativa sul trattamento dei dati degli esaminati quale resa dall’Universit\u00e0 Bocconi agli studenti, dei chiarimenti e delle precisazioni fornite nel corso dell’istruttoria dall’Universit\u00e0 Bocconi. <\/p>\n\n\n\n
Oltre a inibire specifiche funzionalit\u00e0 dei dispositivi in uso agli studenti durante lo svolgimento della prova scritta, attraverso la funzione cd. \u201cLockDown Browser\u201d, il Garante ha accertato che Respondus attraverso la webcam acquisisce immagini ritraenti lo studente ed ha, altres\u00ec, visione del suo schermo indentificando e contrassegnando con un flag i comportamenti insoliti o sospetti dello stesso studente (quali: sguardo non rivolto verso il monitor, volto parzialmente assente, volto mancante) mediante registrazioni video e istantanee scattate a intervalli casuali. <\/p>\n\n\n\n
Al termine della prova d’esame, il sistema elabora una Review Priority, affinch\u00e9 il docente esaminatore possa rilevare condotte invalidanti o meno la prova d’esame nell’esercizio dei suoi poteri discrezionali. <\/p>\n\n\n\n
A seguito della segnalazione, compiuta l’attivit\u00e0 istruttoria, il Garante ha notificato all’Ateneo l’avvio del procedimento per l’adozione dei provvedimenti aventi ad oggetto diverse presunte violazioni. <\/p>\n\n\n\n
Nel ravvisare in capo all’Universit\u00e0 Bocconi \u2013 nella sua qualit\u00e0 di titolare del trattamento dei dati degli studenti esaminati \u2013 un trattamento dei dati non conforme ai principi di limitazione della conservazione e minimizzazione, nonch\u00e9 un’omessa valutazione sugli impatti derivanti dall’utilizzo del software, il Garante ha accertato nella propria Ordinanza diversi comportamenti illeciti dell’Universit\u00e0 forieri di diverse violazioni del Regolamento. <\/p>\n\n\n\n
In primis, la violazione degli artt. 5, par.1, lett. a) e 13 del Regolamento. <\/p>\n\n\n\n
\u00c8 noto che il titolare del trattamento di dati personali debba fornire all’interessato l’informativa \u201cin forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purch\u00e9 sia comprovata con altri mezzi l’identit\u00e0 dell’interessato.\u201d<\/p>\n\n\n\n
Dall’attivit\u00e0 istruttoria compiuta \u00e8 emerso che l’informativa sul trattamento dei dati fornita agli studenti non riportasse tutte le informazioni richieste dal Regolamento per assicurare un trattamento corretto e trasparente. <\/p>\n\n\n\n
\u00c8 stato rilevato che la stessa facesse riferimento \u201ca titolo esemplificativo e non esaustivo\u201d solo al trattamento di alcuni dati dello studente, omettendo di informarlo sul tracciamento del comportamento durante la prova e le successive profilazioni. Inoltre, non vi era menzione n\u00e9 della fotografia al documento di identit\u00e0 fornito all’inizio della prova n\u00e9, tantomeno, alle riprese all’ambiente circostante che veniva chiesto allo studente prima dell’inizio della prova.<\/p>\n\n\n\n
Nessuna informazione veniva fornita in ordine ai tempi di conservazione dei dati, limitandosi a prevedere \u201cper un tempo strettamente necessario al perseguimento delle finalit\u00e0 indicate\u201d, mancando di fissare i diversi periodi in ordine alle diverse finalit\u00e0. <\/p>\n\n\n\n
Altres\u00ec, la correttezza e la trasparenza risultano lese nella misura in cui, sebbene il sistema Respondus non sia assimilabile ai sistemi di intelligenza artificiale, i quali si distinguono in relazione al processo decisionale totalmente automatizzato, pur non rilevando alcuna violazione legata alla comprensione all’algoritmo di funzionamento dell’IA, al pari non si conoscono (e non venivano esplicitati) i meccanismi del sistema di supervisione, i quali portavano alla profilazione dell’interessato. <\/p>\n\n\n\n
Altres\u00ec, il Garante ha rilevato, a danno degli studenti, la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento. <\/p>\n\n\n\n
Il Regolamento prevede espressamente che \u201c\u00e8 vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonch\u00e9 trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.\u201d <\/p>\n\n\n\n
Bisogna precisare che, affinch\u00e9 il trattamento del dato di immagine possa essere qualificato come biometrico, \u00e8 necessario che il confronto per il riconoscimento avvenga attraverso l’utilizzo di hardware o software, in ogni caso attraverso un trattamento tecnico specifico. <\/p>\n\n\n\n
Tale circostanza, pure se pacificamente ammessa e inserita nell’informativa, non \u00e8 stata ritenuta sorretta da un’adeguata base giuridica, di cui all’art. 6 del Regolamento.<\/p>\n\n\n\n
Il trattamento dei dati biometrici, finalizzato ad una profilazione dello studente, sarebbe avvenuto in assenza di un’idonea base giuridica e di una specifica esigenza giustificativa. Tali presupposti, come riportato dal Garante, sono presupposti indefettibili di liceit\u00e0 del trattamento di dati biometrici che, in virt\u00f9 della loro stretta relazione con l’identit\u00e0 personale, richiedono tutele e presupposti maggiori rispetto ad altri. <\/p>\n\n\n\n
Nello specifico, la base giuridica era stata rintracciata dall’Universit\u00e0 nel consenso preventivamente richiesto agli studenti. <\/p>\n\n\n\n
Tuttavia, laddove per consenso deve intendersi, ai sensi dell’art. 4 del Regolamento, una \u201cmanifestazione di volont\u00e0 libera\u201d, questo non potrebbe sussistere tutte le volte in cui si abbiano relazioni in disequilibrio, quali quelle intercorrenti tra Universit\u00e0 e professore su un fronte e studente sull’altro, tale per cui possa ingenerarsi nello studente uno stato di pressione psicologica di poter essere destinatario di un trattamento sfavorevole in sede d’esame in caso di rifiuto a che lo stesso potesse svolgersi a distanza con l’ausilio del software Respondus.<\/p>\n\n\n\n
Data l’impossibilit\u00e0 di far ricorso al consenso quale base giuridica del trattamento, il trattamento dei dati biometrici sarebbe stato concesso soltanto ove si fosse ritenuta sussistente una previsione normativa idonea a specificare oltre all’interesse pubblico rilevante, i tipi di dati, le operazioni eseguibili, nonch\u00e9 le misure appropriate per la tutela degli interessati.<\/p>\n\n\n\n
Ulteriore elemento emerso durante l’istruttoria e che ha determinato l’ingiunzione all’Universit\u00e0 Bocconi \u00e8 stato quello relativo alla violazione degli artt. 44 e 46 del Regolamento<\/strong>, relativo al trasferimento internazionale dei dati personali. <\/p>\n\n\n\n L’innovativo sistema, infatti, veniva fornito da Respondus Inc., societ\u00e0 con sede negli Stati Uniti, responsabile del trattamento, in virt\u00f9 dello specifico accordo tra le parti, ai sensi dell’art. 28 del Regolamento. <\/p>\n\n\n\n I trasferimenti di dati personali verso Paesi non appartenenti allo Spazio Economico Europeo sono consentiti a condizione che l’adeguatezza del Paese terzo sia riconosciuta da una decisione della Commissione; in assenza di detta decisione, \u00e8 necessario che il titolare del trattamento fornisca garanzie adeguate ed effettive agli interessati. <\/p>\n\n\n\n Il Garante ha cura di evidenziare che, per quanto riguarda i trasferimenti verso gli Stati Uniti d’America, la Corte di Giustizia dell’UE ha ritenuto che gli Stati Uniti non garantissero un livello di tutela equivalente a quello europeo e non riconosce agli interessati diritti azionabili nei confronti delle autorit\u00e0 statunitensi. <\/p>\n\n\n\n Nonostante l’accordo intervenuto tra l’Ateneo e Respondus Inc. prevedesse espressamente tale tutela, le misure tecniche e operative non sono sembrate idonee a soddisfare il requisito di sicurezza dei trasferimenti, dal momento che non erano state puntualmente e accuratamente descritte e non potendo a queste sopperire la pseudominizzazione dei dati oggetto di trasferimento. <\/p>\n\n\n\n Tale violazione \u00e8 stata ritenuta ancor pi\u00f9 rilevante per la natura dei dati (biometrici, come si \u00e8 visto) oggetto trasferimento all’estero. <\/p>\n\n\n\n In conclusione, <\/strong>sebbene il Garante abbia rilevato la prontezza dell’Ateneo nel fronteggiare le problematiche derivanti dal contesto emergenziale, avendo operato scelte e adottato misure tecniche e organizzative in tempi rapidi, nel rispetto della continuit\u00e0 didattica, lo stesso ha condannato l’ateneo applicando \u2013 altres\u00ec \u2013 la sanzione accessoria della pubblicit\u00e0 del provvedimento, pubblicit\u00e0 che rappresenta un contributo fondamentale in punto bilanciamento degli interessi di titolare e interessato nelle scelte di trattamento dei dati personali, anche in considerazione della peculiarit\u00e0 dei dati trattati e delle finalit\u00e0 perseguite dal titolare per alcuni versi innovative, che confermano il primato dell’adeguata informazione e del libero consenso dell’interessato sull’interesse imprenditoriale del titolare.<\/p>\n\n\n\n Coautore Camilla Lentini.<\/p>\n","protected":false},"excerpt":{"rendered":" Il Garante per la Protezione dei Dati Personali con provvedimento del 28 settembre 2021 ha ingiunto all’Universit\u00e0 Commerciale Luigi Bocconi di Milano il pagamento di 200.000,00 euro a titolo di sanzione amministrativa per le ripetute violazioni delle disposizioni del Regolamento (UE) 2016\/679. La condotta illecita \u00e8 stata portata all’attenzione dell’Autorit\u00e0 da\u202funo studente inglese, il quale alla\u202ffine di aprile 2020 si […]<\/p>\n","protected":false},"author":3,"featured_media":3830,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_robots_primary_cat":"none","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","iawp_total_views":243,"footnotes":""},"categories":[],"tags":[],"class_list":["post-1910","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1910","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/comments?post=1910"}],"version-history":[{"count":0,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1910\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media\/3830"}],"wp:attachment":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media?parent=1910"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/categories?post=1910"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/tags?post=1910"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}