Ruoli, basi giuridiche, conservazione, sicurezza, servizi esterni e strumenti privacy di Moodle: una guida pratica al GDPR per chi gestisce una piattaforma di formazione online.
Un LMS è un archivio di dati personali, anche se non sembra
Chi gestisce una piattaforma e-learning pensa soprattutto a corsi, iscrizioni e attestati. Ma dietro ogni corso c'è una quantità notevole di dati personali: anagrafiche, indirizzi email, ruoli aziendali, log di accesso, tempi di permanenza, tentativi dei quiz, valutazioni, messaggi nei forum, certificati. In alcuni contesti si aggiungono dati più delicati, come informazioni sulla salute legate a esigenze di accessibilità o dati riferiti a minori.
Tutto questo rientra nel Regolamento (UE) 2016/679, il GDPR. E non è un tema da chiudere al lancio: ogni nuovo plugin, integrazione o tipologia di corso può cambiare il quadro. Vediamo i punti essenziali e gli strumenti privacy già presenti in Moodle.
Chi è chi: titolare e responsabile del trattamento
Il primo passo è chiarire i ruoli, da cui dipendono responsabilità e documenti.
- Titolare del trattamento: è chi decide perché e come trattare i dati. Di solito è l'azienda che forma i propri dipendenti, l'ente di formazione che vende corsi, la pubblica amministrazione che eroga formazione
- Responsabile del trattamento: è chi tratta i dati per conto del titolare. Il fornitore che ospita e gestisce la piattaforma rientra tipicamente in questa categoria
- Sub-responsabili: sono i fornitori di cui il responsabile si avvale, ad esempio il datacenter o il servizio di invio email
- Persone autorizzate: docenti, tutor e amministratori che accedono ai dati sotto l'autorità del titolare
Il rapporto tra titolare e responsabile va regolato da un contratto o atto giuridico ai sensi dell'art. 28 del GDPR. Il documento indica, tra l'altro, oggetto e durata del trattamento, tipi di dati, misure di sicurezza, regole per i sub-responsabili e destino dei dati a fine servizio.
Attenzione: il fornitore ha obblighi propri, ma le scelte su finalità e tempi di conservazione restano del titolare.
Informativa e basi giuridiche
Chi si iscrive alla piattaforma deve ricevere un'informativa chiara, ai sensi degli artt. 13 e 14 del GDPR: chi è il titolare, quali dati vengono trattati, per quali finalità, su quale base giuridica, per quanto tempo, a chi vengono comunicati, se escono dall'Unione europea e quali diritti può esercitare l'interessato.
Le basi giuridiche più comuni in un contesto e-learning sono queste.
| Situazione | Base giuridica tipica |
|---|---|
| Corso acquistato da un privato | Esecuzione di un contratto |
| Formazione obbligatoria per legge, ad esempio in materia di salute e sicurezza sul lavoro | Adempimento di un obbligo legale |
| Formazione interna erogata dal datore di lavoro | Contratto di lavoro o legittimo interesse, da valutare caso per caso |
| Newsletter e comunicazioni promozionali | Consenso |
| Registrazione video delle sessioni con immagine dei partecipanti | Da valutare: spesso serve il consenso o un'alternativa per chi non vuole comparire |
Un punto delicato riguarda il consenso nei rapporti di lavoro. Le autorità europee hanno chiarito che, dato lo squilibrio tra datore di lavoro e dipendente, il consenso difficilmente può essere considerato libero. Per la formazione aziendale è quindi preferibile individuare un'altra base giuridica e riservare il consenso ai trattamenti davvero facoltativi.
Minimizzazione: raccogliere solo ciò che serve
Il principio di minimizzazione chiede di trattare solo i dati adeguati, pertinenti e limitati a quanto necessario per la finalità. In un LMS è facile violarlo senza accorgersene, perché i campi del profilo e i plugin di tracciamento si accumulano nel tempo.
Domande da porsi:
- Ogni campo del profilo utente è davvero necessario? Data di nascita, indirizzo, telefono servono per tutti i corsi?
- I campi personalizzati del profilo sono visibili solo a chi ne ha bisogno?
- I report di attività sono accessibili solo ai ruoli che devono usarli?
- I plugin installati raccolgono dati ulteriori rispetto a quelli dichiarati nell'informativa?
Conservazione: log, quiz, certificati
La conservazione è spesso il punto più trascurato: molte piattaforme accumulano dati per anni senza una regola. Il GDPR chiede di conservarli solo per il tempo necessario alla finalità, salvo obblighi di legge.
Non esistono tempi validi per tutti. La tabella seguente è un esempio di ragionamento da valutare con il proprio consulente privacy, non una regola.
| Dato trattato | Finalità | Conservazione suggerita, da valutare |
|---|---|---|
| Account e profilo utente | Accesso alla piattaforma e gestione dei corsi | Per la durata del rapporto, poi disattivazione e cancellazione dopo un periodo definito |
| Log di accesso e navigazione | Sicurezza, supporto tecnico, tracciamento della fruizione | Periodo limitato, più breve per i log tecnici, più lungo solo se serve a dimostrare la frequenza |
| Tentativi dei quiz e valutazioni | Verifica dell'apprendimento | Per la durata del corso e del periodo di contestazione previsto |
| Attestati e registri di frequenza | Prova della formazione svolta, anche obbligatoria | Secondo gli obblighi normativi e contrattuali applicabili |
| Messaggi nei forum e nelle chat | Interazione didattica | Fino alla chiusura dell'edizione del corso, salvo esigenze motivate |
| Dati per newsletter e marketing | Comunicazioni promozionali | Fino alla revoca del consenso, con verifica periodica |
Utile distinguere tra dati di fruizione, da cancellare o anonimizzare presto, e dati di prova, come attestati e registri, che servono più a lungo.
Diritti degli interessati
Gli utenti della piattaforma hanno diritto di accedere ai propri dati, chiederne la rettifica o la cancellazione, limitarne il trattamento, opporsi in determinati casi e, quando applicabile, ricevere i dati in formato strutturato (portabilità). La risposta va data senza ingiustificato ritardo e, di norma, entro un mese dalla richiesta, prorogabile nei casi previsti.
Ti è utile questo articolo?
Iscriviti alla newsletter per ricevere guide, case study e novità su Moodle, AI e automazione. Niente spam, mai.
Serve quindi una procedura chiara: chi riceve la richiesta, come si verifica l'identità, come si estraggono i dati da tutti i componenti, come si documenta la risposta. Il diritto alla cancellazione non è assoluto: se esiste un obbligo di legge di conservare un attestato, quel dato può essere mantenuto.
Sicurezza: art. 32 e data breach
L'art. 32 del GDPR chiede misure tecniche e organizzative adeguate al rischio. Per una piattaforma e-learning, le misure di base includono:
- Aggiornamenti regolari del core e dei plugin
- Connessioni cifrate su tutta la piattaforma
- Password robuste e autenticazione a più fattori almeno per amministratori e docenti
- Ruoli e permessi configurati secondo il principio del minimo privilegio
- Backup regolari, cifrati e periodicamente testati con un ripristino reale
In caso di violazione dei dati personali (data breach), il titolare deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, vanno informati anche gli interessati. Il responsabile del trattamento deve avvisare il titolare senza ingiustificato ritardo. Ogni violazione, anche se non notificata, va documentata internamente.
Servizi esterni e trasferimenti extra UE
Video incorporati, analytics, videoconferenza, font di terzi, plugin cloud e, sempre più spesso, funzionalità di intelligenza artificiale via API esterne: ognuno può comportare un trattamento da parte di un altro soggetto, talvolta fuori dall'Unione europea.
Cosa verificare per ogni servizio esterno:
- Quali dati riceve: indirizzo IP, identificativi, contenuti inviati dagli utenti
- Dove vengono trattati e con quale garanzia per il trasferimento: decisione di adeguatezza, clausole contrattuali standard o altri strumenti previsti dal Capo V del GDPR
- Se il fornitore usa i dati per scopi propri, ad esempio per addestrare modelli
- Se esiste un accordo di trattamento dati adeguato
- Se il servizio è indicato nell'informativa
Per tutor virtuali o correzione automatica conviene valutare quali contenuti arrivano al modello, escludere l'uso dei dati per l'addestramento e, dove possibile, pseudonimizzare i dati prima dell'invio.
Cookie
Anche un LMS usa cookie. Quelli tecnici, come il cookie di sessione necessario per restare autenticati, non richiedono consenso. Cookie di analytics non anonimizzati, pixel di profilazione e contenuti incorporati di terze parti che installano cookie richiedono invece il consenso preventivo, secondo le linee guida del Garante in materia di cookie. In pratica: banner con possibilità di rifiutare con la stessa facilità con cui si accetta, nessun cookie non tecnico prima della scelta, cookie policy aggiornata.
Gli strumenti privacy nativi di Moodle
Moodle include da anni strumenti pensati per il GDPR, spesso poco sfruttati.
Privacy e policy (tool_dataprivacy)
Lo strumento di privacy e policy offre:
- Registro delle richieste: gli utenti possono inviare richieste di accesso o di cancellazione dei propri dati, che l'amministratore o il responsabile della protezione dei dati gestisce e documenta
- Esportazione dei dati: Moodle raccoglie i dati di un utente da core e plugin compatibili e li fornisce in un archivio scaricabile
- Eliminazione dei dati: le richieste di cancellazione vengono eseguite in modo coordinato su tutti i componenti
- Registro dei dati: permette di definire finalità, categorie e periodi di conservazione per contesto, ad esempio per l'intera piattaforma, per categoria di corsi o per singolo corso
- Elenco dei plugin: mostra quali componenti dichiarano come trattano i dati personali, utile per individuare plugin non conformi
Policy da accettare
Il gestore delle policy consente di pubblicare informativa, condizioni d'uso e altre policy, con versioni successive, e di richiederne l'accettazione al primo accesso o quando cambiano. Le accettazioni vengono registrate, e questo aiuta a dimostrare cosa è stato comunicato e quando.
Richiedono un lavoro iniziale, ma trasformano richieste e scadenze di conservazione da attività manuali a processi gestiti.
Una nota importante
Questo articolo ha scopo informativo e non costituisce consulenza legale. Per decisioni su basi giuridiche, tempi di conservazione e trasferimenti è opportuno confrontarsi con il proprio consulente privacy o con il responsabile della protezione dei dati, se nominato.
Vuoi una piattaforma Moodle configurata con attenzione alla privacy?
ITN, attiva dal 2004 nella formazione online, gestisce piattaforme Moodle per aziende, enti di formazione e pubblica amministrazione: hosting, aggiornamenti, sicurezza, configurazione di ruoli e permessi, verifica dei plugin e impostazione degli strumenti privacy. Possiamo affiancare il tuo consulente privacy nella parte tecnica, dalla configurazione del registro dei dati alla valutazione dei servizi esterni integrati.
Prenota una consulenza gratuita di 30 minuti: contattaci dalla pagina Contattaci e facciamo insieme il punto sulla tua piattaforma.
Ti è piaciuto questo articolo?
Contattaci per una consulenza gratuita sul tema trattato.
Prenota una consulenza gratuita
