Voto elettronico a scuola, la checklist che ogni DPO dovrebbe usare per valutare il fornitore

Un fornitore di voto elettronico tratta dati degli aventi diritto, delle preferenze espresse e degli esiti delle sedute. Prima di adottarlo, un DPO valuta chi tratta cosa e con quali garanzie, indipendentemente da quale piattaforma sceglierà la scuola. Questa checklist raccoglie le otto domande che contano di più, pensate per essere fatte a qualsiasi fornitore, non solo a Camelot.

1. Chi è titolare del trattamento e chi è responsabile?

La scuola è titolare del trattamento, determina finalità e mezzi, delibera il regolamento, costituisce il registro degli aventi diritto e conserva agli atti verbali ed evidenze. Camelot è responsabile del trattamento ai sensi dell'articolo 28 del GDPR, tratta i dati esclusivamente su istruzione documentata della scuola, senza finalità proprie, commerciali o di profilazione. L'accordo tra le parti è corredato da quattro allegati, descrizione del trattamento, misure di sicurezza, elenco dei sub responsabili autorizzati, istruzioni documentate della scuola. Prima di adottare una piattaforma, verificare che questo accordo esista, sia firmabile prima dell'avvio e descriva con precisione le operazioni di trattamento delegate.

2. Dove risiedono i dati trattati?

Il trattamento avviene in via principale in data center dell'Unione Europea. Camelot tratta i dati su infrastruttura cloud con regione primaria in Irlanda e repliche a Francoforte e Stoccolma. I servizi accessori che coinvolgono fornitori extra UE, per esempio lo streaming delle assemblee o l'invio degli SMS con codice monouso nella versione Premium, non trattano dati di voto e sono comunque coperti dalle garanzie del GDPR sui trasferimenti internazionali. Chiedere l'elenco completo dei sub responsabili con luogo del trattamento e garanzie applicate, non solo la conferma generica che i dati sono in Europa.

3. Chi può accedere ai dati della scuola?

Ogni organizzazione tratta i propri dati in modo isolato dalle altre, chi opera su una scuola non vede i dati di un'altra. L'accesso al pannello di amministrazione è riservato e personale, con ruoli distinti tra chi amministra, chi collabora alla seduta e chi consulta soltanto. Verificare che il fornitore descriva con chiarezza quali ruoli interni hanno accesso ai dati e in quali circostanze.

4. Come è garantita la segretezza del voto segreto?

Nel voto segreto l'identità del votante viene separata dalla preferenza espressa. Il sistema registra che una persona ha votato, ai fini dell'affluenza e del quorum, ma la preferenza non è riconducibile alla persona, in nessuna schermata e in nessun report scaricabile. È una garanzia strutturale del funzionamento del voto, non un'impostazione che si attiva o disattiva. Attenzione a non confondere il voto segreto con il voto anonimo, il primo identifica il votante e poi separa l'identità dalla preferenza, il secondo non identifica affatto chi vota, quindi non permette di verificare che voti solo chi ne ha diritto e una sola volta.

5. Come sono tracciate le operazioni della seduta?

Le operazioni rilevanti, apertura e chiusura della votazione, deleghe, promozioni di ruolo, esiti, vengono registrate con data, ora e autore. La delega, quando prevista dal regolamento, è tracciata dall'inizio alla fine, con i pesi di voto di delegante e delegato. Verificare che il fornitore metta a disposizione un registro consultabile di queste operazioni, non solo un risultato finale.

6. Per quanto tempo vengono conservati i dati e come vengono cancellati?

Durante il servizio la scuola può esportare in autonomia dati, esiti e report. Alla fine del contratto, su richiesta i dati vengono restituiti in un formato standard, e vengono comunque cancellati decorso un periodo di grazia di 30 giorni dal termine del rapporto. Le copie di backup possono richiedere fino a 180 giorni per essere sovrascritte secondo i normali cicli di sicurezza. Verbali ed evidenze già acquisiti agli atti restano di competenza della scuola e seguono i suoi tempi di conservazione documentale. Farsi indicare questi numeri per iscritto, non una formula generica.

7. Come vengono gestiti gli incidenti di sicurezza?

Una violazione dei dati personali richiede due tempi distinti, non uno solo. Camelot invia alla scuola una prima notifica preliminare entro un'ora dalla classificazione dell'evento, poi la notifica completa con le informazioni richieste dal GDPR, natura della violazione, categorie e numero di interessati coinvolti, conseguenze probabili, misure adottate, entro 48 ore. Chiedere al fornitore se distingue questi due passaggi per contratto, una sola scadenza dichiarata spesso nasconde l'assenza dell'altra.

8. Cosa prevede il fornitore in tema di accessibilità?

L'aiuto in piattaforma include una modalità di ascolto, la stessa spiegazione della schermata letta ad alta voce invece che solo scritta, utile a chi preferisce non leggere o ha bisogno di un supporto in più. Verificare se il fornitore ha pensato all'accessibilità come parte del prodotto o come aggiunta successiva.

Questa checklist è pensata per essere usata con qualsiasi fornitore, non solo con Camelot. La versione scaricabile in PDF raccoglie le otto domande in una tabella pronta da compilare durante un confronto tra fornitori.