GDPR, CCPA, LGDP, CPRA… è difficile stare al passo con le normative sulla sovranità dei dati. Ma sono anche importanti dal punto di vista etico: in quanto minorenni, gli studenti sono particolarmente esposti al rischio di furto d’identità, e le scuole e le amministrazioni pubbliche hanno tutto l’interesse a proteggere i loro dati.
In questo articolo analizzeremo le principali normative in materia di sovranità dei dati che amministratori e professionisti tecnici devono conoscere. Ma soprattutto, vi mostreremo come tali normative si traducano in requisiti concreti per le piattaforme, in modo che sappiate esattamente cosa cercare la prossima volta che valuterete una soluzione EdTech. Che gestiate un sistema scolastico in America Latina o vi occupiate del monitoraggio delle vulnerabilità di sicurezza in Francia, questa guida vi aiuterà a chiarire il concetto di sovranità dei dati nel vostro lavoro quotidiano.
Punti chiave
- La sovranità dei dati non comporta solo obblighi giuridici. Restringe anche la gamma di piattaforme che il vostro istituto può adottare in tutta sicurezza, rendendo la conformità un requisito fondamentale in qualsiasi processo di selezione.
- L'enorme aumento dei dati nelle scuole ha reso la questione ancora più cruciale, rendendo la trasparenza e il consenso all'archiviazione requisiti imprescindibili. Le piattaforme che non sono in grado di documentare chiaramente dove e come archiviano i dati non dovrebbero rientrare nella vostra rosa di candidati.
- Le soluzioni chiuse e poco trasparenti rendono la conformità una questione di congetture, mentre i sistemi aperti consentono una verifica effettiva, fondamentale per le piattaforme cloud. Quando si valutano gli strumenti basati sul cloud, è opportuno dare la priorità alle piattaforme che rendono trasparenti la propria architettura e i flussi di dati.
- Le normative regionali, dal GDPR alla LGPD e al CCPA, differiscono sotto molti aspetti. Tuttavia, tutte prevedono la residenza configurabile, flussi di dati verificabili, la gestione dei consensi e la notifica delle violazioni.
Sovranità dei dati: le nozioni di base
La sovranità dei dati estende l'autorità del governo sui dati generati o raccolti in un determinato territorio. Ad esempio, l'Unione Europea ha l'autorità di emanare norme e regolamenti, come il Regolamento generale sulla protezione dei dati (GDPR), che disciplina i dati creati o archiviati all'interno degli Stati membri.
Tuttavia, la sovranità dei dati non è la stessa cosa della privacy dei dati. Quest'ultima si riferisce ai diritti che gli individui hanno riguardo alle modalità di raccolta, utilizzo e condivisione delle loro informazioni personali. In genere, ciò comprende il consenso, l'accesso e la cancellazione. La sovranità dei dati, invece, ha una portata più ampia e riguarda la questione di quale governo abbia la giurisdizione sui dati in primo luogo — e quali norme sulla privacy si applichino di conseguenza.
In pratica, ciò significa che una determinata piattaforma EdTech potrebbe soddisfare i requisiti in materia di privacy di un paese, violando al contempo la sovranità di un altro. Per i responsabili delle decisioni, è importante verificare che le soluzioni soddisfino sia i requisiti in materia di privacy dei dati sia quelli relativi alla sovranità dei dati.
In che modo la sovranità dei dati sta plasmando il panorama dell'EdTech
Poiché i sistemi scolastici ricorrono sempre più spesso alle soluzioni EdTech per test adattivi, valutazione basata sull'IA e apprendimento a distanza, generano enormi quantità di dati. Ad esempio, secondo The Data Scientist, le scuole del Regno Unito generano in un solo giorno più dati di quanti ne generasse l'intero Internet nel 2000. A livello di una singola scuola con 1.200 studenti, si tratta di una media di 10 GB di dati al giorno.
Una portata così vasta comporta una grande responsabilità. I sistemi scolastici devono rispettare le normative in materia di dati e hanno bisogno di soluzioni EdTech progettate appositamente per questo scopo. Ecco i requisiti chiave che una soluzione EdTech deve soddisfare per garantire la conformità alla sovranità dei dati, insieme alle domande da porre durante la valutazione della piattaforma.
Contenitori trasparenti
Molti paesi impongono che i dati sensibili generati all’interno dei loro territori vengano conservati in loco. Questo obbligo, noto come residenza dei dati, consente alle autorità di regolamentazione di verificare la conformità alle leggi nazionali. In teoria, dovrebbe garantire una maggiore sicurezza delle informazioni di identificazione personale (PII) rispetto all'archiviazione transnazionale.
Per garantire il rispetto dei requisiti relativi alla residenza dei dati, le soluzioni EdTech devono essere trasparenti riguardo alle loro politiche di archiviazione. Quando i fornitori di software non comunicano apertamente dove e come vengono archiviati i dati, i loro sistemi non sono verificabili e non è quindi possibile stabilire se siano conformi.
Cosa verificare: I fornitori sono in grado di specificare le regioni in cui sono ospitati i vostri dati? Potete verificare tali informazioni tramite documentazione o una verifica indipendente, oppure dovete fidarvi della loro parola?
Consenso
Sebbene le normative varino a seconda della giurisdizione, il consenso è un elemento ricorrente. Sin dall’entrata in vigore del GDPR dell’UE, le caselle di consenso sono diventate una componente fondamentale dell’esperienza web. Il settore EdTech non fa eccezione: prima di archiviare i dati degli studenti, è necessario ottenere il consenso per soddisfare i requisiti di legge.
Cosa cercare: La piattaforma che state valutando include flussi di lavoro per il consenso integrati che possono essere configurati in base ai requisiti della vostra giurisdizione, oppure il vostro team dovrà implementare tale processo separatamente?
Accesso dei genitori
In molte regioni, i genitori hanno il diritto di accedere ai dati degli studenti e di correggerli. Negli Stati Uniti, tale diritto è sancito dal Family Educational Rights and Privacy Act, o FERPA. Per conformarsi al FERPA e a normative globali simili, le soluzioni EdTech devono consentire agli amministratori di concedere facilmente ai genitori (o agli studenti maggiorenni) l'accesso ai dati.
Cosa verificare: La piattaforma offre controlli di accesso basati sui ruoli che semplificano la concessione, la revoca e la verifica dell'accesso dei genitori senza coinvolgere il fornitore?
Approfondimenti sull'open source
Come è possibile verificare la conformità se non si può "alzare il cofano" della propria piattaforma EdTech? Non è possibile. Ecco perché il software open source è ampiamente riconosciuto per la sua resilienza di fronte al controllo normativo. Poiché le soluzioni open source rendono pubblici i propri codici sorgente, le organizzazioni possono verificare, modificare e far evolvere i sistemi per soddisfare le normative sui dati senza preoccuparsi di licenze o diritti d'autore.
Cosa verificare: Il codice sorgente della piattaforma è aperto e verificabile? In caso contrario, quale verifica indipendente fornisce il fornitore per dimostrare che il trattamento dei dati è conforme a quanto dichiarato?
Sovranità dei dati e piattaforme cloud
L'infrastruttura cloud è ormai diventata lo standard per la maggior parte degli strumenti EdTech, ma non appena i dati degli studenti vengono inseriti in un ambiente cloud commerciale, sorgono alcune domande: in quale regione sono ospitati i dati? Chi altro ha accesso ai sistemi sottostanti? Quali servizi di terze parti sono coinvolti, senza che se ne sia a conoscenza, nell'elaborazione dei dati?
Gli amministratori rimangono spesso sorpresi nello scoprire che un singolo flusso di lavoro può coinvolgere un insieme eterogeneo di bucket di archiviazione, strumenti di registrazione e servizi di analisi sparsi in diverse giurisdizioni.
È qui che le leggi sulla sovranità dei dati si scontrano con i limiti pratici delle principali piattaforme cloud. Anche quando i fornitori offrono opzioni di hosting regionale, raramente garantiscono alle scuole il livello di controllo necessario per soddisfare i rigorosi requisiti di residenza o di revisione. La replica transfrontaliera (copia dei dati su server in più paesi in caso di guasto del server), le routine di backup automatizzate e i modelli di responsabilità condivisa possono complicare la conformità più di quanto non aiutino. Ad esempio, una piattaforma potrebbe archiviare i dati primari all'interno del paese mentre replica i backup in una giurisdizione estera, il che tecnicamente viola le regole di residenza, senza che tu te ne accorga.
Purtroppo, non tutte le piattaforme cloud sono compatibili con requisiti di sovranità rigorosi. Per verificare la conformità, è necessario un sistema EdTech basato su standard aperti e dotato di opzioni di implementazione personalizzabili che consentano di scegliere il proprio cloud, applicare le regole di residenza e mantenere la proprietà dell'intero processo di valutazione.
Principali disposizioni in materia di sovranità dei dati per regione
Nonostante le analogie sopra elencate, la sovranità dei dati riflette i sistemi giuridici specifici delle diverse giurisdizioni. Piuttosto che elencare ogni singola normativa, tuttavia, è più utile individuare gli elementi che le accomunano ed evidenziare gli ambiti in cui le divergenze sono rilevanti ai fini degli appalti.
In contesti normativi quali il GDPR, FERPA, il California Consumer Privacy Act (CCPA), il Legge sulla protezione delle informazioni personali e dei documenti elettronici (PIPEDA), Legge generale sulla protezione dei dati del Brasile (LGPD) e la Legge sulla protezione dei dati personali (APPI), diversi requisiti sono coerenti:
- Consenso e notifica: Quasi tutte le giurisdizioni richiedono il consenso informato prima della raccolta dei dati personali e impongono che gli individui siano informati in caso di violazioni. Una piattaforma priva di flussi di lavoro configurabili per il consenso e di notifiche automatiche in caso di violazioni rappresenta un rischio in praticamente tutti questi mercati.
- Diritti di accesso e rettifica: Gli studenti e/o i genitori hanno quasi sempre il diritto di visualizzare, correggere e, in molti casi, cancellare i propri dati. Ciò significa che le piattaforme devono supportare l'accesso basato sui ruoli e la gestione autonoma dei dati.
- Verificabilità: Le autorità di regolamentazione di tutto il mondo si aspettano che le organizzazioni dimostrino la conformità, non si limitino ad affermarla. Ciò richiede flussi di dati verificabili, una documentazione chiara e, nel migliore dei casi, codici sorgenti aperti che facilitino la verifica indipendente.
Norme specifiche per regione
Alcune giurisdizioni, tra cui la Cina e l'Unione Europea, impongono che i dati rimangano all'interno dei propri confini territoriali. Altre, come il Giappone, consentono i trasferimenti transfrontalieri, ma il paese di destinazione deve soddisfare determinati standard minimi di qualità. Pertanto, se una piattaforma serve più regioni, deve disporre di opzioni di implementazione configurabili.
L'applicazione della normativa varia notevolmente da un luogo all'altro. Il GDPR è noto per un'applicazione rigorosa e per le multe salate, ma le autorità di regolamentazione dell'America Latina e dell'Asia meridionale dispongono di risorse limitate. Detto questo, la LGPD brasiliana e la legge indiana Digital Personal Data Protection Act richiedono entrambi una supervisione più rigorosa, quindi le piattaforme devono dimostrare di poter soddisfare standard più elevati in queste regioni.
Infine, nei paesi federali come gli Stati Uniti e il Canada vigono spesso normative statali e nazionali a più livelli. Il CCPA della California e la (PIPA) (PIPA) aggiungono ulteriori requisiti alle norme federali. Ciò significa che le piattaforme che soddisfano solo gli standard nazionali potrebbero non essere conformi alle normative a livello statale.
Conclusione
Con l'estensione delle norme sulla sovranità dei dati, la scelta della piattaforma sta diventando una questione di governance. Quando le normative stabiliscono dove devono essere conservati i dati, chi può accedervi e come devono essere segnalate le violazioni, la piattaforma scelta determinerà il tono delle vostre interazioni con i genitori e le autorità di regolamentazione per gli anni a venire.
Per garantire la conformità a lungo termine, i responsabili degli acquisti devono dare priorità alla privacy, alla trasparenza e al controllo, oltre alle funzioni educative più tradizionali. Poiché le normative sono in continua evoluzione e in qualche modo imprevedibili, la scelta più sostenibile è una piattaforma basata su standard aperti, sufficientemente flessibili da adattarsi all’emergere di nuovi obblighi.
Per scoprire in che modo le piattaforme basate su standard aperti possono favorire la sovranità dei dati in contesti normativi diversi, consulta queste utili risorse messe a disposizione da TAO:
- Perché le scuole e i governi stanno passando a software di valutazione Open Source
- Il futuro dei software di valutazione digitale: perché l'Open Source vince
- 3 modi in cui le scuole primarie e secondarie possono migliorare la sicurezza dei test e la privacy dei dati
Scopri come le tecnologie didattiche open source possono aiutarti a garantire la conformità
Se avete letto fino a questo punto, sapete già che il dibattito sulla sovranità dei dati non è solo una questione teorica. Influisce su ogni decisione che prendete riguardo agli strumenti che adottate nella vostra organizzazione. Anziché fidarvi ciecamente delle rassicurazioni altrui, richiedete una demo per scoprire come TAO gestisce i dati di valutazione senza affidarli a una miriade di servizi esterni. Una breve sessione vi dirà più di quanto potrebbero mai fare una dozzina di slogan di marketing. Prenotate oggi stesso la vostra demo.
Domande frequenti
Che cos’è la sovranità dei dati nel settore dell’istruzione?
La sovranità dei dati significa che i dati degli studenti sono soggetti alle leggi del Paese in cui vengono raccolti o archiviati. Le scuole e i fornitori devono attenersi a tali norme locali, non a ciò che una piattaforma ritiene conveniente.
Perché la residenza dei dati è importante per il settore EdTech?
Alcune giurisdizioni richiedono che le informazioni sugli studenti rimangano all'interno dei confini nazionali. Se una piattaforma non è in grado di garantire la sede di archiviazione, l'istituto rischia di non essere conforme alle normative e potrebbe perdere l'accesso ai dati degli studenti.
In che modo le istituzioni possono verificare che una piattaforma EdTech sia conforme?
Verificate che la documentazione sia chiara, accertatevi che i sistemi siano verificabili e assicuratevi di avere piena visibilità e controllo su dove e come vengono archiviati i dati.
