Questo articolo prova a spiegarlo in modo accessibile, partendo dall'inizio.
Cos'è un MDM e da dove viene
MDM sta per Mobile Device Management. Si tratta di un software che permette a un'organizzazione di gestire da remoto e in modo centralizzato tutti i dispositivi connessi alla sua infrastruttura. In un'azienda di medie dimensioni, l'IT manager può aggiornare il sistema operativo di cinquecento laptop in un'ora, senza toccarli fisicamente uno per uno. Può installare un'applicazione su tutti i dispositivi contemporaneamente. Può bloccare l'accesso a certi siti. Può localizzare un laptop rubato e cancellarne i dati da remoto.
Questi sono usi del tutto ragionevoli quando i dispositivi in questione appartengono all'organizzazione. È lo stesso principio per cui un datore di lavoro può stabilire regole su come si usa il computer aziendale.
Il problema nasce quando la stessa tecnologia, progettata per gestire hardware aziendale, viene applicata a dispositivi di proprietà privata, inclusi quelli di minori.
La differenza che cambia tutto
Immagina di avere un'automobile tua. La usi per andare al lavoro, e il tuo datore di lavoro ti chiede di installare un'applicazione che tiene traccia degli spostamenti durante l'orario lavorativo. Potrebbe essere accettabile, con le giuste tutele e un consenso informato. Ma se quell'applicazione registrasse anche dove vai di sabato sera, e inviasse i dati a un server in un altro paese, senza che tu ne fossi consapevole, la situazione sarebbe radicalmente diversa.
Questa è esattamente la distinzione tra un dispositivo di proprietà scolastica, su cui è installato un profilo MDM, e un dispositivo personale dello studente, su cui la scuola ha installato lo stesso tipo di profilo.
Nel primo caso, la scuola è il proprietario dell'hardware. Ha il diritto di gestirlo come ritiene opportuno, con le limitazioni che il diritto alla privacy impone comunque quando si tratta di minori. Nel secondo caso, si sta installando un sistema di controllo capillare su un oggetto che appartiene alla famiglia. E quel controllo, come vedremo, non si spegne all'uscita da scuola.
Cosa può davvero vedere e fare chi controlla il profilo
Vale la pena elencare con precisione le capacità tecniche di un sistema MDM completo, come quelli usati in molte scuole europee, perché la lista è più sorprendente di quanto molte famiglie immaginino.
Chi gestisce il profilo MDM sul dispositivo di uno studente può vedere ogni sito internet visitato, usando sistemi DNS di filtraggio che intercettano il traffico anche quando il dispositivo è connesso alla rete domestica o ai dati mobili, non solo al WiFi della scuola. Può vedere tutte le applicazioni installate. Può accedere al numero seriale, all'indirizzo MAC e ad altri identificativi hardware. Può installare o rimuovere applicazioni senza che lo studente riceva una notifica. Può bloccare lo schermo del dispositivo in qualsiasi momento, anche di notte. Può cancellare completamente tutti i dati del dispositivo da remoto. Può impedire l'uso di applicazioni specifiche come FaceTime, iMessage o Siri. Può disabilitare la randomizzazione dell'indirizzo MAC, rendendo il dispositivo tracciabile fisicamente in modo permanente attraverso le reti WiFi che incontra.
Un dispositivo con un profilo MDM completamente dispiegato non è davvero "tuo" nel senso in cui normalmente intendiamo la proprietà. È un dispositivo che hai pagato tu, ma che qualcun altro controlla in modo molto ampio.
Il GDPR e la questione del consenso
Il Regolamento europeo sulla protezione dei dati personali, il GDPR, si applica ogni volta che vengono raccolti, elaborati o trasmessi dati personali di persone fisiche. Un profilo MDM raccoglie una quantità enorme di dati personali: abitudini di navigazione, applicazioni usate, posizione indirettamente ricavabile dall'indirizzo MAC fisso, comportamenti digitali in genere.
Quando la persona in questione è un minore, le cautele richieste dal GDPR sono ancora più stringenti. Per i minori sotto i sedici anni, il trattamento dei dati personali richiede il consenso del titolare della responsabilità genitoriale, e quel consenso deve essere informato, specifico, libero e inequivocabile.
Informato significa che chi firma deve capire esattamente cosa sta autorizzando: quali dati vengono raccolti, chi li elabora, per quanto tempo, con quale finalità e a chi vengono trasmessi. Libero significa che il rifiuto non può comportare conseguenze negative. Se firmare è la condizione implicita per poter accedere alla rete scolastica con il proprio dispositivo, la libertà del consenso è già compromessa.
In molti casi, la procedura reale è molto distante da questo standard. Il modulo viene incluso tra i documenti dell'iscrizione, firmato in blocco insieme a decine di altri fogli, senza una spiegazione tecnica delle conseguenze. Questo tipo di consenso, dal punto di vista del GDPR, ha un valore molto discutibile. Un tema simile, quello dei dati sensibili che circolano nelle reti scolastiche senza le tutele necessarie, emerge anche guardando cosa accade nelle chat tra genitori e docenti.
Il problema del trasferimento fuori dall'Europa
C'è un ulteriore livello di complessità che riguarda i dati dei minori europei. I principali software MDM usati nelle scuole europee, tra cui Jamf con sede a Minneapolis e Wandera, sono aziende americane. I dati raccolti dai dispositivi degli studenti vengono trasmessi a server situati negli Stati Uniti.
Questo non è un dettaglio tecnico marginale. Il GDPR stabilisce regole precise per il trasferimento di dati personali verso paesi terzi che non garantiscono un livello di protezione equivalente a quello europeo. Gli Stati Uniti non hanno, a livello federale, una legge sulla protezione dei dati personali paragonabile al GDPR. Il meccanismo di adeguatezza attualmente in vigore, il Data Privacy Framework del 2023, permette i trasferimenti verso aziende americane certificate, ma il suo status giuridico è ancora oggetto di discussione in sede europea, dopo le vicende di Schrems I e Schrems II che avevano invalidato i meccanismi precedenti.
In pratica, quando una scuola spagnola, francese o italiana installa Jamf sul tablet personale di uno studente minore, i dati di navigazione, le informazioni sui comportamenti digitali e gli identificativi hardware di quel minore viaggiano verso server americani. Questo avviene spesso senza che le famiglie ne siano consapevoli, e senza che la scuola abbia necessariamente effettuato la valutazione d'impatto sulla protezione dei dati personali che il GDPR richiede per trattamenti di questo tipo, specialmente quando riguardano minori.
Il Digital Markets Act e i diritti che spariscono
C'è un aspetto di questa vicenda che riguarda specificamente gli utenti europei ed è quasi sempre ignorato nel dibattito pubblico.
Il Digital Markets Act, il regolamento europeo entrato in vigore nel 2023 per riequilibrare il rapporto di forza tra le grandi piattaforme digitali e gli utenti, garantisce agli utenti europei il diritto di installare applicazioni al di fuori degli store ufficiali dei produttori, il cosiddetto sideloading. Per iPhone, questo significa che un utente europeo ha il diritto di installare applicazioni non presenti sull'App Store di Apple.
Un profilo MDM completamente dispiegato su un dispositivo iOS può disabilitare questa funzionalità. In altri termini, uno strumento installato da una scuola può privare uno studente europeo di un diritto che la legge europea gli riconosce esplicitamente. Questo è un aspetto che pochi hanno segnalato, ma che ha implicazioni dirette sulla legalità di certe configurazioni MDM sui dispositivi personali degli studenti nell'Unione Europea.
Cosa fare se ti ritrovi in questa situazione
Verifica cosa è installato. Su un iPad o iPhone: Impostazioni, Generali, VPN e gestione dispositivo. Se compare un profilo di gestione, il nome dell'organizzazione sarà visibile. Toccando il profilo si vede un elenco, spesso incompleto e in linguaggio tecnico, delle autorizzazioni concesse.
Chiedi l'informativa per iscritto. La scuola ha l'obbligo legale di fornirti una copia dell'informativa sul trattamento dei dati specifica per il profilo MDM: quali dati vengono raccolti, chi li elabora, dove vengono inviati e per quanto tempo vengono conservati.
Segnala all'autorità di controllo. Se sospetti che il trattamento non sia conforme al GDPR, puoi presentare un reclamo gratuito. In Italia: Garante per la protezione dei dati personali. In Spagna: Agencia Española de Protección de Datos.
La questione di fondo è capire la distinzione di cui abbiamo parlato. Se la scuola ha distribuito il dispositivo, il profilo MDM è atteso e in larga misura legittimo. Se hai comprato tu il dispositivo, hai il diritto di sapere cosa ci è stato installato sopra e con quale base legale. Non è una questione di diffidenza verso la scuola. È una questione di comprensione dei propri diritti, che è esattamente ciò che la scuola dovrebbe insegnare.
Vale la pena ricordare che il quadro normativo che circonda i ragazzi e i dispositivi digitali è molto più articolato di quanto appaia. Come si vede analizzando la responsabilità genitoriale legata alla SIM dei minori, la consapevolezza di genitori e studenti è la prima forma di tutela concreta, prima ancora di qualunque legge o regolamento.
A proposito di sorveglianza digitale e minori, vale la pena chiedersi anche se la sorveglianza tecnica protegga davvero i ragazzi, o se invece non crei soltanto l'illusione della protezione, lasciando intatti i rischi che vorrebbe eliminare.