Aule sotto intercettazione: un accordo da 17 milioni di dollari svela la sorveglianza degli studenti nelle scuole di Chicago

Quando gli studenti di Chicago accedevano alle piattaforme educative imposte dalla scuola, in pochi immaginavano che i loro clic, messaggi e dati personali potessero essere tracciati a loro insaputa. Ma una causa rivoluzionaria ha costretto PowerSchool Holdings e le Chicago Public Schools a un accordo transattivo da 17,25 milioni di dollari, sollevando il velo sul mondo nascosto della sorveglianza digitale nelle aule americane.

La class action, presentata da uno studente identificato come Q.J., accusava il fornitore di software educativo PowerSchool e la sua controllata Hobsons, oltre alle Chicago Public Schools (CPS), di aver violato sistematicamente la privacy di milioni di studenti. L’atto sosteneva che, mentre le aziende proclamavano pubblicamente il loro rispetto per la privacy, in silenzio consentivano a società di analisi di terze parti di origliare gli studenti che utilizzavano la piattaforma Naviance - uno strumento online obbligatorio per la pianificazione universitaria e professionale.

Secondo i documenti giudiziari, PowerSchool e i suoi partner avrebbero acquisito di nascosto informazioni sensibili degli studenti, inclusi archivi personali e comunicazioni, tramite sondaggi e valutazioni online. La società di analisi Heap, inizialmente citata nella causa, è stata rimossa dal procedimento in Illinois ma resta coinvolta in un contenzioso separato a New York.

In base all’accordo proposto, PowerSchool, Hobsons e CPS contribuiranno a un fondo a beneficio di oltre 10 milioni di membri della classe - chiunque abbia effettuato l’accesso a Naviance tra agosto 2021 e gennaio 2026. L’intesa richiede più di un semplice risarcimento economico: PowerSchool dovrà istituire un comitato di “web governance” per supervisionare l’uso delle tecnologie pubblicitarie, astenersi dall’integrare codice di tracciamento di terze parti in Naviance per due anni e ordinare ai propri fornitori di eliminare tutti i dati raccolti dagli utenti interessati. CPS, da parte sua, dovrà imporre che tutti i fornitori certifichino annualmente la conformità alle leggi sulla privacy.

Non è la prima volta che le pratiche sui dati di PowerSchool finiscono sotto accusa. Nel gennaio 2025, l’azienda ha reso noto un attacco informatico che ha esposto dati sensibili, tra cui lo status di educazione speciale e cartelle di salute mentale, relativi a 62 milioni di studenti e 9,5 milioni di insegnanti. I critici sostengono che una cybersecurity debole - come la mancata implementazione dell’autenticazione multifattore - abbia lasciato la porta aperta agli aggressori e messo a rischio le popolazioni più vulnerabili.

Pur negando qualsiasi illecito, PowerSchool, con questo accordo, segna un momento spartiacque per la privacy digitale nell’istruzione. Indica un controllo crescente sui fornitori tecnologici i cui strumenti sono ormai intrecciati nel tessuto della vita scolastica quotidiana, spesso senza una supervisione o una trasparenza adeguate. Man mano che le piattaforme digitali diventano inseparabili dall’apprendimento, la battaglia su chi controlla - e trae profitto da - i dati degli studenti è tutt’altro che finita.

Con le aule sempre più digitali, la lotta per proteggere la privacy degli studenti è solo all’inizio. Questo accordo sarà un punto di svolta, o solo la punta dell’iceberg?

WIKICROOK

• Class: Una class action consente a un gruppo con reclami legali simili di citare in giudizio un’organizzazione insieme, snellendo il processo e condividendo risorse.
• Wiretapping: Il wiretapping è l’intercettazione o registrazione segreta di comunicazioni private, spesso da parte delle autorità per indagini, ma talvolta usata illegalmente per spiare.
• Analytics firm: Una società di analisi raccoglie e analizza dati per fornire insight che aiutano le organizzazioni a migliorare sicurezza, marketing e strategie aziendali.
• Multifactor authentication: L’autenticazione multifattore richiede agli utenti di fornire due o più forme di verifica dell’identità, rendendo gli account più sicuri contro accessi non autorizzati.
• Settlement fund: Un fondo transattivo è denaro accantonato dai convenuti per risarcire le vittime colpite da incidenti di cybersecurity, di solito nell’ambito di una causa o di un accordo legale.