Quale infrastruttura giuridica e tecnologica per l’Emergency Remote Teaching?
di Chiara Angiolini
La pandemia legata alla diffusione del COVID-19 ha portato con sé la necessità di svolgere la didattica (anche) universitaria a distanza. Nel giro di qualche giorno è stata organizzata, o adattata alle nuove esigenze, la relativa infrastruttura tecnologica attraverso sistemi di Emergency Remote Teaching (ERT). In qualche caso, la scelta relativa agli strumenti da utilizzare per la didattica a distanza, specialmente nel momento iniziale, è stata lasciata ai singoli docenti. C’è stato dunque pochissimo tempo per valutare l’idoneità di tali servizi online, anche dal punto di vista dei termini e delle condizioni che essi propongono e delle privacy policies che adottano.
In tale quadro, un’equipe internazionale di ricercatori ha ritenuto utile iniziare a studiare i possibili aspetti critici relativi alla disciplina della proprietà intellettuale e della protezione dei dati, nascosti nella panoplia dei termini e delle privacy policies delle piattaforme più diffuse. In particolare, sono state analizzate nove fra le piattaforme più diffuse in Europa (Discord, Facebook, G-Suite for Education, Jisti Meet, Moodle Cloud, Microsoft Teams, Skype, YouTube e Zoom). Lo studio è stato pubblicato in inglese su Kluwer Copyright Blog – qui la prima parte e qui la seconda – e successivamente è apparso in traduzione come working paper in Law and Media Working Paper Series.
Questo studio preliminare, di cui qui si presentano i risultati in forma divulgativa, ha preso in esame le scelte in materia di proprietà intellettuale e protezione dei dati compiute dai fornitori del servizio nella redazione dei termini di utilizzo e delle privacy policies. Infatti, queste sono un elemento significativo da considerare nella scelta della piattaforma da parte dell’Università, non soltanto per comprendere gli obblighi e le responsabilità che si vanno assumendo, ma anche per identificare il tipo di Universitas che si vuole promuovere e costruire attraverso le scelte relative all’infrastruttura con cui si realizza la didattica a distanza.
Emergency Remote Teaching e proprietà intellettuale
Per quanto riguarda le questioni relative alla proprietà intellettuale, i principali aspetti su cui ci possiamo qui concentrare sono tre: i) il margine di controllo che l’utente esercita sui contenuti caricati; ii) la responsabilità relativa a tali contenuti in caso essi violino il diritto d’autore altrui; iii) l’esistenza di meccanismi di moderazione dei contenuti da parte delle piattaforme (in particolare di rimozione coatta e di relativa contestazione).
Per quanto riguarda il primo punto, nell’utilizzare le piattaforme gli utenti (i docenti e spesso anche gli studenti) utilizzano e caricano materiale didattico sia di loro creazione sia altrui (ad esempio, articoli, saggi, etc.). È allora importante comprendere quanto e che tipo di controllo essi concedono alle piattaforme su tali contenuti. In tutti i termini e le condizioni analizzate si legge che i diritti di proprietà intellettuale sui contenuti caricati dagli utenti rimangono di titolarità di questi ultimi. Tuttavia, l’effettivo controllo su come e da chi i contenuti vengano utilizzati non rimane mai interamente in capo all’utente. Un punto centrale è la licenza, che l’utente concede alla piattaforma per l’utilizzo dei contenuti caricati. L’ampiezza di tale licenza varia fra i diversi servizi; in molti casi include l’autorizzazione a utilizzare i contenuti al fine di fornire e migliorare il servizio offerto dalla piattaforma, o a fini promozionali. Talvolta, la licenza comprende anche l’utilizzo dei contenuti caricati da parte di terzi contraenti, ad esempio per assicurare la funzionalità e l’interoperabilità dei servizi online.
In generale, i termini delle licenze analizzate rimangano piuttosto vaghi e talvolta sono imprecisi. Alcuni servizi analizzati lasciano sostanzialmente implicita la regolazione della licenza concessa dagli utenti sui loro contenuti. Il risultato è una grande incertezza su cosa le piattaforme siano autorizzate a fare nella relazione con gli utenti e quali siano i limiti del loro agire.
Per quanto riguarda il secondo punto, sempre in relazione ai docenti che mettono a disposizione materiale didattico agli studenti, un altro profilo rilevante è quello della responsabilità che potrebbe incombere sui docenti stessi a fronte di una violazione di diritti d’autore altrui. Le tipologie di opere a cui i docenti fanno più comunemente affidamento in scenari di ERT sono per lo più contenuti di autori terzi, quali articoli, file audio e video, capitoli di libri di testo, che rendono disponibile agli studenti in maniera autonoma. Gran parte dei materiali a uso didattico, inclusi i contenuti caricati ed utilizzati dai docenti in scenari di ERT, sono protetti dai diritti di esclusiva per la riproduzione, comunicazione e distribuzione al pubblico (tutela autoriale).
La condivisione di tali contenuti può costituire violazione del diritto d’autore e in queste ipotesi è necessaria l’autorizzazione dei rispettivi titolari. In alcuni casi il docente potrà far valere un’eccezione o limitazione al diritto d’autore prevista dalla normativa nazionale, che permette determinati usi del materiale tutelato dal diritto d’autore anche da parte di chi non è titolare (ad es. un docente può utilizzare una fotografia scattata da una grande fotografa per mostrarla ai propri studenti d’arte). In tale contesto, è di particolare importanza l’eccezione per uso didattico (art. 5(3)(a) dir. “InfoSoc”, 2011/29/CE; art. 70 legge 633/1941).
In linea generale, collegamenti ipertestuali, hyperlink e i cd. deeplink a contenuti già accessibili gratuitamente online e/o a banche dati a cui gli studenti hanno lecitamente accesso in quanto membri dell’università, sono permessi e pertanto privi di rischi dal punto di vista della possibile violazioni della disciplina in materia di diritto d’autore. Le formulazioni più problematiche dei termini d’uso analizzati sono quelle che impongono all’utente di dichiarare di essere il titolare dei contenuti caricati o di avere una autorizzazione per utilizzare tali materiali.
Tutti i termini analizzati sono caratterizzati dall’assenza di riferimenti specifici alle eccezioni e limitazioni del diritto d’autore, fra cui quella che permette, a certe condizioni, l’uso a fini didattici di materiali sottoposti a diritto d’autore. Questo può avere un significativo effetto dissuasivo per la digitalizzazione del materiale didattico e la sua condivisione online da parte dei docenti. Inoltre, un altro punto di convergenza tra le varie piattaforme è la previsione della sospensione o della chiusura dell’account dell’utente nel caso di violazioni del diritto d’autore e/o dei termini di servizio, ritenute tali a giudizio della piattaforma. Questo, nel caso dell’ERT, potrebbe creare interruzioni dell’attività didattica.
Per quanto riguarda il terzo punto, docenti e studenti hanno interesse e fanno affidamento sul perdurare della disponibilità dei contenuti online caricati sulla piattaforma scelta. Meccanismi di moderazione e rimozione unilaterale dei contenuti connessi ad una violazione del diritto d’autore, previsti nei termini di tutti i servizi analizzati, possono creare un ostacolo importante all’offerta di materiale didattico agli studenti. Sebbene alcune piattaforme si riservino il diritto di rimuovere contenuti secondo la loro discrezionalità, la maggior parte dei termini presi in esame prevede invece dettagliati strumenti di c.d. notice-and-take-down. Ciononostante, tali meccanismi rimangono molto problematici se affidati per lo più, se non in toto, a decisioni automatizzate. Secondo quanto riportato nello studio che qui si sta presentando “il filtraggio e la rimozione di contenuti caricati minaccia l’efficace svolgimento di attività didattiche online e va pertanto operato con estrema cautela e cognizione di causa”.
Al fine di minimizzare il rischio di rimozione erronea di contenuti caricati lecitamente, è necessario prevedere dei modi semplici con cui i docenti si possano opporre alla rimozione dei contenuti. L’assenza di tale meccanismo in alcune piattaforme è particolarmente problematica quando, come nel caso dell’attuale pandemia, le biblioteche e gli archivi fisici non sono facilmente accessibili e dove assumono maggior rilievo le eccezioni e limitazioni del diritto d’autore.
Emergency Remote Teaching e protezione dei dati personali
L’ERT presuppone la raccolta e l’elaborazione di dati personali che riguardano studenti e docenti (ad. es. audio, immagini, nomi, valutazioni, commenti). Si pone quindi il problema delle possibili ricadute per la protezione dei dati personali ingenerate dalla repentina migrazione dalla didattica in presenza a quella online. Tre aspetti si sono rivelati particolarmente problematici.
Il primo riguarda la posizione dell’Università, dei docenti e delle piattaforme rispetto al trattamento dei dati personali. Infatti, la principale disciplina di riferimento, il GDPR (Reg. Ue 2016/679) identifica diversi ruoli, cui corrispondono obblighi differenti, e un diverso grado di potere rispetto alle scelte relative all’uso e alla circolazione dei dati personali.
Nel caso dell’ERT, l’Università è in via di principio il soggetto che determina le finalità e i mezzi del trattamento dei dati relativi studenti e docenti per gli scopi istituzionali relativi alla didattica e alla formazione. L’Università ricopre cioè la posizione di “titolare del trattamento”, ruolo centrale nella costruzione del sistema di protezione dei dati personali, titolare di vari obblighi, non ultimo quello di fornire agli “interessati” – le persone fisiche i cui dati sono trattati – una serie di informazioni relative al trattamento. Qualora i servizi utilizzati per l’ERT vengano gestiti direttamente dall’università (alla stregua di un servizio “in-house”) la situazione è chiara, ed è quella appena descritta. Quando invece il trattamento dei dati è interamente o parzialmente esternalizzato a un soggetto esterno (ad es. Zoom, Microsoft Teams etc.), quest’ultimo dovrà essere coinvolto nel “circuito del trattamento”. Nell’identificare tale fornitore di servizi, che risulterà essere, secondo le definizioni normative “responsabile del trattamento”, e cioè il soggetto che tratta dati personali per conto del titolare del trattamento, l’Università dovrà verificare che esso offra adeguate garanzie in termini di protezione dei dati, in modo da assicurarsi di agire, essa stessa, secondo le regole poste dal GDPR. Quanto ai docenti, quando trattano dati per finalità di didattica perseguite dall’Università, essi agiscono come soggetti autorizzati al trattamento. A tal fine, l’Università, in quanto titolare, deve provvedere a fornire loro adeguate istruzioni (Art. 29 RGPD). Tuttavia, tale scenario è stato messo in discussione nella situazione venutasi a creare con l’emergenza COVID-19. In mancanza di (adeguate) istruzioni, molti docenti si sono mossi autonomamente – con grande dedizione e spesso a proprie spese – per garantire la continuità della didattica, divenendo, probabilmente a loro insaputa, titolari del trattamento. Essi, di fatto, hanno determinato i mezzi e la finalità del trattamento dei dati personali relativi ai propri studenti. Gli obblighi che discendono dalla qualità di titolare del trattamento sono significativi; ad esempio, vi sono gli obblighi di informazione degli interessati che si sono già menzionati (artt. 13 e 14 GDPR), e che il docente potrebbe avere difficoltà a governare agendo singolarmente.
Un secondo profilo riguarda le finalità dell’uso dei dati. Infatti, secondo il GDPR i dati possono essere trattati, appunto, solamente per finalità determinate. Spesso i servizi utilizzati per l’ERT, sia quelli “generalisti” come Facebook che quelli pensati per la didattica a distanza, come G-Suite for Education, pongono in essere, in un modo o nell’altro, anche trattamenti per finalità loro proprie, diverse da quelle didattiche. Seppur trattamenti ulteriori da parte del fornitore del servizio non sono illeciti a priori, essi devono essere compiuti in ragione di un’idonea base giuridica per il trattamento e i doveri informativi nei confronti degli interessati devono essere adempiuti. Inoltre, l’esistenza di tali trattamenti ulteriori (un esempio paradigmatico è quello del marketing), diversi da quelli connessi alla finalità educativa e di insegnamento, dovrebbe essere ponderata con attenzione da parte di un’Università nel momento in cui procede alla scelta di un fornitore per l’ERT. Difatti, come sottolineato dal Garante Privacy italiano, i dati trattati per conto di Università devono essere utilizzati solo per l’erogazione della didattica a distanza. In definitiva, la scelta del fornitore di servizi ERT da parte dell’Università o del docente riveste un ruolo fondamentale. La situazione di emergenza ha nella maggior parte di casi costretto gli atenei ad esternalizzare i trattamenti per la didattica online, l’Università ha, però, l’obbligo di scegliere un responsabile del trattamento per l’ERT che fornisca garanzie appropriate in tema di protezione dei dati, valutando attentamente l’opportunità di affidarsi a fornitori che perseguano finalità del trattamento autonome in ragione del loro modello di business.
Ulteriori limiti alla raccolta e all’uso dei dati personali sono posti dal GDPR attraverso previsione delle “basi giuridiche del trattamento”, che devono essere presenti perché i dati possano essere trattati e sono scelte dal titolare del trattamento. Sono cioè normate le ipotesi in cui i dati personali possono essere raccolti e utilizzati, fra cui i casi dove il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Un’altra base giuridica del trattamento è il consenso dell’interessato, che secondo il GDPR deve essere libero, specifico, informato e deve consistere in una chiara azione affermativa. Sul punto, alcune scelte compiute dalle piattaforme risultano problematiche. Si può fare l’esempio delle modalità con cui i singoli prestano il consenso al trattamento dei dati personali che li riguardano contenuti nelle videoregistrazioni delle riunioni svolte attraverso le piattaforme. In alcune piattaforme si prevede che quando un utente (ad esempio un docente) registra un incontro, gli studenti possono “scegliere” se accettare il trattamento dei loro dati o rifiutare abbandonando la lezione. In questo caso, difficilmente il consenso potrà essere considerato come liberamente prestato, in quanto se lo studente non presta il consenso, non potrà fruire della lezione, e dunque della formazione cui ha diritto.
Un altro profilo problematico riguarda le informazioni che il titolare del trattamento dà in relazione all’esercizio dei diritti di cui l’interessato è titolare; ad esempio, il diritto alla cancellazione dei dati personali, o di ottenerne una copia. A tal riguardo, quasi tutte le privacy policies analizzate forniscono una lista dei diritti degli interessati e indicano come possano essere esercitati. Ad ogni molto, il rispetto pro forma degli obblighi di informazione relativi ai diritti dell’interessato non garantisce che in concreto questi ultimi possano essere esercitati, specie se altri aspetti rilevanti del trattamento rimangono sostanzialmente opachi, e cioè difficilmente conoscibili dagli interessati. Sul punto, i risultati preliminari della presente ricerca mostrano una pressoché sistematica violazione del principio di trasparenza (Art.12 GDPR), che è la precondizione, per l’interessato, per essere consapevole del trattamento dei dati che lo riguardano, e per esercitare i relativi diritti. Spesso non è chiaro quali dati vengano trattati, per quali scopi e secondo quali basi giuridiche. Seri dubbi rimangono circa la concreta possibilità che l’interessato possa effettivamente esercitare quei diritti se alcune informazioni sostanziali sul trattamento mancano o non sono chiare. Gli atenei dovrebbero dunque in ogni caso fornire a studenti e docenti informazioni complete e chiare sul trattamento effettuato nell’ambito dell’ERT nel suo complesso, specificando il proprio ruolo e quello del servizio online, e spiegando cosa può fare l’interessato in caso di dubbi o problemi.
Per un dibattito e una ricerca sulla infrastruttura da utilizzare nella didattica in emergenza e a distanza
In conclusione, la didattica in emergenza pone una sfida notevole alle Università e alla comunità accademica tutta. L’insegnamento a distanza rimarrà una realtà per qualche tempo, come dimostrato dalle dichiarazioni di molti Atenei, e potrebbe portare a mutamenti significativi sul modo di concepire l’attività didattica, formativa e culturale. L’infrastruttura tecnologica e giuridica di tale modalità di insegnamento deve essere funzionale alle necessità dell’Università e deve risultare opportuna per realizzare gli obbiettivi che tale istituzione svolge e deve svolgere. Da tempo si discute degli orari delle aule studio, della loro disponibilità, dei numeri degli studenti per corso, considerandoli non soltanto questioni pratiche ma scelte culturali e di indirizzo, che connotano il tipo di istituzione di cui si è parte. Ora si aggiunge un tassello, quello del tipo di infrastruttura attraverso cui viene svolta la didattica a distanza. È quindi opportuno continuare a indagare e discutere le questioni giuridiche e sociali che questo rapido ma radicale cambio di rotta verso l’insegnamento a distanza sta ponendo.
Chiara Angiolini è assegnista di ricerca in Diritto privato all’Università di Trento.
