La nota è del 30 giugno, il primo collegio in cui potrà servire è quello di questi giorni. E nelle sale docenti se ne parla in un modo solo: basta la piattaforma che abbiamo già?
Chi ha condotto un collegio docenti in palestra capisce perché la domanda pesa. Le sedie che non bastano e arrivano dalle aule al primo piano, il microfono che fischia, le prime quattro file occupate da chi interviene sempre e le ultime da chi non interviene mai, e non perché non abbia niente da dire. Trentacinque punti all’ordine del giorno, il caldo di settembre, e dopo la seconda ora una specie di consenso per sfinimento che chiamiamo, con una certa indulgenza, “clima collaborativo”.
Quando quel collegio si è spostato dentro uno schermo abbiamo scoperto due cose insieme. La prima è che funzionava meglio di quanto temessimo: si sentiva tutto, il documento stava davanti agli occhi di tutti invece che letto ad alta voce, e chi non aveva mai parlato in palestra scriveva in chat, qualche volta la cosa più intelligente della serata. La seconda è che qualcosa se n’era andato, e non era il rumore. Era il corridoio: la frase detta a mezza voce al collega mentre si cerca posto, il momento in cui una perplessità si trasforma in un intervento perché qualcun altro ti ha detto “no, dillo”. Le decisioni di un collegio si formano lì almeno quanto dentro la seduta, e in una griglia di riquadri il corridoio non c’è.
Per due anni e mezzo quelle sedute le abbiamo fatte in una zona grigia, deliberando online senza una cornice normativa e sperando che nessuno chiedesse conto. Adesso la cornice c’è: la nota ministeriale n. 3803, con il suo allegato tecnico di nove sezioni. Dice cosa serve per deliberare a distanza. E quello che serve va messo a confronto, riga per riga, con quello che abbiamo installato da anni.
A cavaddu rialatu
A cavaddu rialatu nun si talìa ‘nta vucca. A caval donato non si guarda in bocca. È il proverbio con cui abbiamo accolto, dieci anni fa, l’arrivo nelle scuole di Google Workspace for Education nella sua versione gratuita, e poi di Microsoft 365. Account per tutti, spazio illimitato, videoconferenza, moduli, niente da pagare. In un sistema in cui la voce di bilancio per il digitale si misura in centinaia di euro, non era poco.
Per la prima volta, adesso, quel cavallo va guardato in bocca. Non per diffidenza verso il donatore: perché la sezione 9 dell’allegato tecnico chiede alle scuole di “verificare preventivamente la coerenza delle soluzioni adottate ai requisiti del presente documento”. Cioè di controllare i denti, uno per uno.
Facciamolo.
La verifica, requisito per requisito
| Requisito dell’allegato | Google Workspace | Verdetto |
|---|---|---|
| Identificazione certa (§3.1) | Account nominali di dominio, purché disattivati accesso ospiti e partecipazione anonima | Regge |
| Autenticazione adeguata (§3.2) | Verifica in due passaggi imponibile a livello di dominio | Regge |
| Distinzione dei ruoli (§3.3) | Gestione host di Meet, presidente e segretario come organizzatori | Regge |
| Evidenza delle presenze per il quorum (§4.1) | Rapporti di partecipazione disponibili solo su Education Plus e Teaching and Learning Upgrade | Dipende dall’edizione |
| Voto palese tracciabile (§4.2) | Il report dei sondaggi Meet inviato al moderatore include nomi e risposte, esportabile e allegabile | Regge |
| Voto a scrutinio segreto (§4.3) | Anonimato dichiarato ma non dimostrato tecnicamente | Non regge |
| Localizzazione dei dati (§5) | Regioni dati non disponibili su Education Fundamentals | Dipende dall’edizione |
| Nomina responsabile ex art. 28 (§6) | Coperta dalle condizioni contrattuali, da verificare per questa finalità | Regge con adempimento |
| DPIA (§6) | A carico della scuola, obbligatoria per i sistemi di voto | A carico della scuola |
| Conservazione a norma (§7) | Workspace non è un sistema di conservazione AgID | Serve la segreteria digitale |
| Dichiarazione di conformità (§9) | Non rilasciata per questo specifico uso | Non regge |
Sette righe su undici in verde o quasi. Le altre quattro meritano un discorso.
Il punto in cui si rompe
Google Meet ha una funzione di sondaggio anonimo. Prima di lanciare il sondaggio il moderatore può attivare l’opzione che fa comparire le risposte senza i nomi, e la documentazione ufficiale precisa che in quel caso “i nomi dei partecipanti non vengono condivisi” nel report che arriva via email.
Condivisi. Non “non raccolti”, non “non memorizzati”, non “resi tecnicamente irrecuperabili”. È una garanzia su cosa viene mostrato, non su cosa viene tenuto.
La sezione 4.3 dell’allegato chiede esattamente l’opposto: una “separazione strutturale tra la fase di autenticazione e quella di espressione del voto”, un anonimato “non reversibile e tecnicamente dimostrabile”, l’esclusione della possibilità che “amministratori di sistema, fornitori o altri soggetti” possano risalire al voto individuale. E chiude con la frase che decide la partita: “Non sono sufficienti soluzioni che dichiarino l’anonimato senza garantirlo tecnicamente.”
Con Google Moduli il problema si presenta in forma ancora più netta, ed è una tenaglia logica. Per garantire che ciascuno voti una volta sola, come richiede la sezione 4.1, bisogna attivare il limite a una risposta, che impone l’accesso con l’account. Google precisa che i nomi utente vengono registrati solo se si attiva la raccolta degli indirizzi email, quindi la risposta può restare senza identificativo nel foglio dei risultati. Ma l’associazione tra account e modulo compilato deve esistere da qualche parte, altrimenti il limite non funzionerebbe. E se si rinuncia al limite per ottenere l’anonimato pieno, cade l’univocità del voto.
Le due condizioni non stanno insieme. Non è un difetto del prodotto: è che quel prodotto è stato progettato per raccogliere questionari, non per gestire un’urna.
Resta il metadato, che è il convitato di pietra. In un collegio di dodici persone che votano in diretta nell’arco di un minuto, log e timestamp raccontano abbastanza. L’allegato lo sa e lo scrive: i metadati vanno trattati in modo da non consentire “neanche indirettamente” la re-identificazione.
Le due righe che dipendono da quanto avete pagato
Ci sono poi due sorprese che riguardano l’edizione in uso, e che quasi nessuna scuola ha verificato.
I rapporti di partecipazione di Meet, cioè l’evidenza automatica di chi era collegato e per quanto, che è il modo più semplice per documentare il quorum, sono disponibili solo su Education Plus e Teaching and Learning Upgrade. Sull’edizione Fundamentals, quella gratuita che ha la stragrande maggioranza delle scuole italiane, le presenze vanno verbalizzate a mano.
C’è però un modo per rimediare a un costo quasi nullo, ed è bene che i dirigenti lo sappiano prima di rassegnarsi al verbale scritto a mano. Il componente aggiuntivo Teaching and Learning Upgrade si può acquistare anche per una sola licenza, non necessariamente per l’intero corpo docente: basta attivarla sull’account di chi presiede o verbalizza il collegio, e programmare da quello stesso account la videochiamata di Meet in cui si delibera. Da quel momento il rapporto di partecipazione si genera automaticamente, con nomi e minutaggio di collegamento di ciascuno. Il costo di quella singola licenza è di 3,75 euro al mese, una cifra che qualunque scuola può assorbire senza passare da un capitolo di bilancio dedicato.
Le regioni dati, cioè la possibilità di stabilire dove i dati riposano geograficamente, sono disponibili su Education Standard ed Education Plus. La documentazione di Google è esplicita nel dire che la funzione non è disponibile per Education Fundamentals. La verifica sulla localizzazione dei dati che la sezione 5 chiede alle scuole, su quell’edizione, semplicemente non si può fare.
Il cavallo regalato, guardato in bocca, ha qualche dente in meno di quelli che servono.
Cosa se ne ricava, concretamente
Google Workspace basta per riunirsi e per deliberare a voto palese, che è la larghissima maggioranza di quello che un collegio fa. A condizione che la scuola integri il Regolamento d’istituto, faccia la DPIA, verifichi la nomina a responsabile del trattamento e scriva le procedure da seguire quando cade la connessione a metà votazione.
Non basta per il voto segreto con effetti deliberativi. E il voto segreto non è una scelta di stile: l’articolo 37, comma 4 del decreto legislativo 297/1994 lo impone quando si fa questione di persone, cioè funzioni strumentali, tutor, comitato di valutazione. Le sedute in cui si decide davvero.
Le strade concretamente percorribili sono due, e conviene guardarle una per una.
La prima è tenere in presenza le sole sedute in cui compare una questione di persone: la nomina delle funzioni strumentali, la composizione del comitato di valutazione, qualunque punto che l’articolo 37 costringe al voto segreto. Tutto il resto, che è la maggioranza dell’ordine del giorno di un anno scolastico, resta su Meet. Costo aggiuntivo zero, flessibilità ridotta solo nei collegi che contano davvero.
La seconda è affiancare alla piattaforma già in uso uno strumento dedicato al voto, che dichiari la conformità richiesta dalla sezione 9 perché è stato costruito apposta per separare identità ed espressione del voto, non adattato in corsa per farlo. Esistono già soluzioni pensate per il mondo della scuola, reperibili anche sul mercato elettronico della pubblica amministrazione, a prezzi che partono da qualche centinaio di euro l’anno: una spesa contenuta, sostenibile anche fuori da un progetto a finanziamento esterno, che sposta la responsabilità tecnica dalle mani del dirigente a quelle di un fornitore che se ne fa garante con la propria dichiarazione di conformità.
Ce ne sarebbe una terza, che quasi nessuno sta considerando e che merita almeno di essere nominata. Esistono da anni sistemi di voto elettronico liberi e gratuiti, nati dentro la ricerca universitaria europea, che fanno tecnicamente quello che la sezione 4.3 chiede: la scheda viene cifrata sul dispositivo di chi vota e il server non la vede mai in chiaro, per aprire l’urna serve la collaborazione di più garanti e nessuno di loro, da solo, può risalire al voto di un singolo, il votante verifica con un codice che la propria scheda sia stata contata e chiunque può controllare la correttezza del conteggio senza vedere i voti. Di alcuni di questi sistemi esistono prove matematiche pubblicate e verificate da altri ricercatori: non la dichiarazione di essere anonimi, la dimostrazione di esserlo.
Il paradosso è che davanti alla nota questa è la soluzione più scoperta di tutte. La sezione 9 non chiede una dimostrazione crittografica: chiede la dichiarazione di conformità del fornitore. E quando la scuola installa sui propri server un software libero, il fornitore è la scuola stessa: quella dichiarazione la deve firmare il dirigente scolastico, assumendosene la responsabilità in proprio, insieme alla manutenzione, agli aggiornamenti e alla DPIA di un sistema che nessuno ha venduto a nessuno. Un software con le prove matematiche in bella vista resta formalmente più esposto di una piattaforma commerciale che si autocertifica in una riga di contratto.
È un difetto della norma, non del software, ma il dirigente che deve decidere entro settembre se ne fa poco.
Quello che la domanda tecnica nasconde
C’è però un’ultima cosa, e non riguarda le piattaforme.
Stiamo discutendo con grande precisione di come garantire la segretezza di un voto, ed è giusto. Nel frattempo, nei collegi che conosco, il numero di votazioni in cui l’esito non era scontato prima dell’apertura della seduta si conta sulle dita di una mano. Un organo collegiale che delibera all’unanimità trentacinque punti in centoventi minuti non ha un problema di crittografia.
La seduta a distanza non ha creato quel problema e non lo risolverà. Ma ha il merito involontario di metterlo in piena luce: quando togli la palestra, il caldo, le sedie e la stanchezza, e resta solo la griglia dei riquadri con dentro le facce, si vede benissimo quanti di quei riquadri hanno parlato.
Da settembre potremo contare anche quelli.
