Basta un solo codice per scaricare foto di minori e documenti: “La cultura della privacy è un problema”

Sul web sono presenti migliaia di file contenenti immagini e dati personali di studenti, insegnanti e personale scolastico. La stragrande maggioranza di questi contenuti vengono pubblicati direttamente dalle scuole, caricati su sistemi informatici messi a disposizione da aziende esterne. Non sempre però ciò che finisce online dovrebbe essere reso pubblico. Talvolta, per errore o negligenza, chi gestisce gli istituti scolastici pubblica fotografie, documenti e comunicazioni che, invece, dovrebbero rimanere privati. Il problema è che questi contenuti rimangono poi a disposizione di chiunque, senza un vero controllo riguardo il loro utilizzo. Noi di Fanpage.it siamo accorti della questione durante l'analisi di un recente furto di dati ai danni di una di queste realtà che sviluppano e gestiscono software scolastici.

Tutto è partito dall'analisi del recente furto di dati ai danni del Gruppo Spaggiari. La società ha subito una maxi-violazione informatica organizzata da gruppo hacker che ha poi messo in vendita online oltre 6 Terabyte di dati sottratti. Si tratta di una vicenda che ha destato particolare interesse perché potrebbe riguardare milioni di famiglie italiane. Spaggiari è infatti il titolare di ClasseViva, il registro elettronico utilizzato da circa 3.000 scuole, e gestisce uno degli ecosistemi digitali più diffusi nel mondo dell’istruzione italiana. La stessa Spaggiari ha però precisato a Fanpage.it che il furto non ha coinvolto in alcun modo né il registro elettronico, né i dati sensibili degli studenti, ma un servizio di modulistica contenente immagini e PDF relativi a richieste di natura burocratica.

Nei giorni immediatamente successivi al fatto siamo però venuti a conoscenza anche di un'altra possibile criticità del sistema. Un esperto informatico ci ha fatto notare la presenza di un file pubblicamente visibile sul web, richiamato attraverso una funzione PHP basata su un identificativo numerico progressivo. In pratica, modificando il numero finale presente nell’URL era possibile richiamare e scaricare documenti differenti, tutti provenienti da un grande archivio che contiene migliaia di documenti e immagini caricate sui siti delle singole scuole che si affidano all'ecosistema Spaggiari. Siamo dunque tornati dall'azienda per fare chiarezza sulla questione.

La società  ha avviato una verifica interna, svelando in poco tempo l'origine del problema. "Le pagine in questione sono volutamente pubbliche, quindi per definizione scaricabili", ci ha spiegato il portavoce di Spaggiari, negando pertanto l'esistenza di una falla. "Nello specifico si tratta di una piattaforma che permette alle scuole di creare il proprio sito web con aree pubbliche e/o private per la condivisione di notizie, iniziative, progetti, eventi, gallerie fotografiche e documenti come circolari che si intendono diffondere alle famiglie a titolo di marketing e comunicazione". I documenti sono quindi accessibili perché gli istituti hanno scelto di renderli pubblici: se smanettando con il codice ci si imbatte nell’immagine di un minore è perché la scuola di riferimento ha postato il contenuto sul proprio sito. Nulla di segreto, nulla che richieda una password o un ulteriore filtro.

Resta però una domanda più ampia, che esula dall'operato della singola azienda ma riguarda il rapporto tra trasparenza amministrativa, strumenti digitali e tutela della privacy. Una questione che diventa particolarmente delicata quando nei documenti pubblicati compaiono dati personali o immagini di minori. Ne abbiamo parlato con Nicola Bernardi, presidente di Federprivacy: "Il problema riguarda tutte le software house che si occupano della gestione di documenti e dati delle scuole. Troppo spesso si fa il minimo indispensabile per proteggere la privacy di studenti e docenti".

Privacy e documenti online: i tre rischi secondo Federprivacy

Per Bernardi, il fatto che non vi sia un adeguato controllo su ciò che le scuole possono pubblicare e, soprattutto, lasciare online per diverso tempo, comporta potenziali violazioni di tre aspetti fondamentali previsti le vigenti normative della privacy. Il primo è la durata della pubblicazione. "Gli obblighi di trasparenza non significano che un documento contenente dati personali possa restare online per un periodo indefinito", spiega Bernardi. "Il principio di finalità previsto dal GDPR (il Regolamento europeo in materia di privacy, ndr) impone che i dati siano conservati e diffusi per il tempo necessario allo scopo per cui sono stati pubblicati. Non è giustificabile che online si trovino ancora documenti del 2020, 2022 o 2023, che peraltro potrebbero non essere più aggiornati come hanno invece diritto ad avere gli interessati".

Il secondo è la minimizzazione dei dati. "Pubblicare un atto amministrativo non significa rendere disponibili tutte le informazioni contenute al suo interno. Dati sanitari o altri elementi particolarmente delicati, per esempio, dovrebbero essere omessi o oscurati quando non necessari alla finalità di trasparenza". Il terzo aspetto riguarda direttamente la tutela dei minori. "Immagini e dati riferiti a bambini e ragazzi", sottolinea Bernardi, "non possono essere considerati semplicemente come informazioni qualsiasi da diffondere online e richiedono una maggiore tutela".

Privacy by Design: può essere il software a prevenire gli errori?

Ma fino a che punto la responsabilità può essere attribuita al singolo operatore scolastico che carica un documento? Per Bernardi, oggi non è più sufficiente parlare di "errore umano". Il GDPR introduce infatti i principi di Privacy by Design e Privacy by Default, secondo i quali la protezione dei dati dovrebbe essere incorporata negli strumenti tecnologici fin dalla loro progettazione. "Il software non può essere un mero esecutore passivo", sostiene Bernardi. Un sistema potrebbe, per esempio, utilizzare strumenti di riconoscimento del testo e delle immagini per individuare la possibile presenza di dati sanitari o fotografie di minori e, almeno nei casi più delicati, mostrare un avviso o richiedere una conferma esplicita prima della pubblicazione.

È una prospettiva che abbiamo sottoposto anche a Spaggiari, con il portavoce che si è mostrato disponibile a valutare l'istanza: "Potrebbe essere un'idea di prodotto che ci impegniamo a sottoporre ai nostri sviluppatori". Viene però evidenziato anche un limite concreto: "Se una scuola pubblica una foto di classe dopo aver ottenuto tutte le liberatorie dalle famiglie dei ragazzi, noi possiamo farci poco". Su questo, lo stesso Bernardi ha le idee chiare: "Sarebbe ora di iniziare a pensare seriamente alla necessità di formare adeguatamente il personale scolastico per aumentare la consapevolezza e le competenze in materia di privacy laddove non arrivano algoritmi e tecnologia". Un compito che, però, non può essere delegato alle sole aziende che sviluppano software per le scuole: serve un intervento serio da parte della politica, che finora non si è mostrata particolarmente reattiva quando in gioco c’è la tutela di milioni di ragazzi e insegnanti.