Dal modulo cartaceo al modulo online: che cosa cambia davvero

Una società di ginnastica di Bellinzona iscrive ogni anno circa centoventi bambini ai corsi giovanili. Funziona nello stesso modo da anni: in agosto una pila di fogli d’iscrizione sta in palestra, i genitori li compilano a bordo allenamento, la monitrice li raccoglie e in due serate li trascrive in un foglio di calcolo. Poi i fogli finiscono in un classificatore nell’armadio, accanto al deposito del materiale.

Quest’anno lo stesso modulo dovrebbe passare online. La domanda che si pone raramente non è se sia possibile — lo è. È: che cosa esattamente è diverso dopo? Una parte è un sollievo reale. Una parte è più difficile di prima. E una terza non è né migliore né peggiore: sposta lavoro da un punto a un altro, dove prima non ce l’aveva nessuno.

Il percorso cartaceo, passo per passo

Prima di poter confrontare qualcosa conviene scrivere una volta il percorso esistente. Ha più tappe di quante sembri avere nella pratica quotidiana.

Il foglio viene stampato e messo a disposizione. Qualcuno lo porta a casa o lo compila sul posto. Torna indietro — all’allenamento, per posta, nella buca delle lettere della società, oppure non torna affatto. La monitrice decifra la calligrafia, trascrive i dati e ripone il foglio nel classificatore. Il classificatore resta nell’armadio. Dopo qualche anno viene distrutto, di regola nel distruggidocumenti del datore di lavoro di qualcuno del comitato.

Di questo percorso colpiscono due cose. Primo: esiste esattamente una copia e tutti sanno dov’è. Secondo: esiste un passaggio che non produce nulla se non una seconda versione degli stessi dati, cioè la trascrizione.

Che cosa diventa più semplice

Il passaggio di trascrizione sparisce, e con esso i suoi errori. È il guadagno più grande e meno spettacolare. La trascrizione produce esattamente gli errori che costano cari in seguito: una cifra invertita in un numero di telefono, una riga saltata scorrendo l’elenco, un cognome che arriva nel foglio di calcolo scritto diversamente da come stava sul foglio. Chi tratta dati personali deve accertarsi della loro esattezza ai sensi dell’art. 6 cpv. 5 LPD e prendere tutte le misure adeguate affinché i dati inesatti o incompleti rispetto alla finalità siano rettificati, cancellati o distrutti. Un passaggio in meno nella catena è una fonte di errore in meno.

La calligrafia non è più un tema. Non si discute più se sul foglio ci sia scritto «Gian» o «Giann», e non si tira a indovinare sulla terza cifra di un numero d’emergenza.

Le risposte stanno in un unico posto. Anche su carta finiscono in un unico posto, ma solo dopo che qualcuno ce le ha portate. Online ci stanno dal momento dell’invio.

Una singola risposta si ritrova. Sembra una comodità ed è in realtà il presupposto di altro: secondo l’art. 25 LPD chiunque può chiedere al titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento, e ottiene fra l’altro i dati personali in quanto tali, la finalità del trattamento e la durata di conservazione oppure i criteri per stabilirla. Rispondere una volta a questa domanda per un singolo bambino significa mezz’ora di ricerca nel classificatore e un secondo in un elenco.

Il momento non conta più. Il genitore che ha dimenticato il foglio la sera dell’allenamento lo compila la domenica. In Svizzera è un’ipotesi realistica per quasi tutti: secondo l’Ufficio federale di statistica, nel 2025 il 98 per cento della popolazione ha usato Internet almeno una volta alla settimana, contro una media europea del 93 per cento.

Il modulo può verificare ciò che viene inserito. Un modulo cartaceo accetta qualsiasi compilazione, anche vuota. Un modulo online può segnalare che manca la data di nascita. Le WCAG 2.2 del W3C descrivono il caso al criterio di successo 3.3.4: per le pagine che generano impegni giuridici o che modificano o cancellano dati memorizzati, l’invio dev’essere reversibile, oppure i dati inseriti devono essere verificati con possibilità di correzione, oppure dev’essere disponibile un meccanismo per rileggere, confermare e correggere prima dell’invio definitivo.

Che cosa diventa più difficile

Non tutti se la cavano allo stesso modo. L’Ufficio federale di statistica rileva che la distribuzione dei livelli di competenze digitali varia fortemente secondo il livello di formazione: fra le persone con formazione terziaria quasi nove su dieci dispongono di competenze digitali di base o superiori, mentre fra le persone senza formazione postobbligatoria solo una su tre; di queste, la metà ha competenze digitali scarse e il 13 per cento nessuna. In una società con centoventi famiglie non sono righe di statistica, ma alcuni genitori concreti che alla riunione chiedono se il foglio esiste ancora.

Il foglio si consegnava a mano, il link si inoltra. Un modulo cartaceo raggiunge chi è in palestra. Un link funziona per chiunque ce l’abbia, comprese le persone a cui è stato inoltrato. Un modulo pensato per il pubblico non ha alcun problema; un modulo pensato per un gruppo preciso scopre che il suo limite stava nella carta, e che online quel limite è qualcosa che qualcuno deve costruire.

L’iscrizione compilata a metà. Su carta è un foglio che resta nella tasca della giacca. Online è sparita oppure è stata salvata come frammento, e sono entrambe decisioni. Le WCAG 2.2 trattano il caso come una questione di tempo: il criterio 2.2.1 richiede che un limite di tempo impostato dal contenuto possa essere disattivato o prolungato, oppure che l’utente sia avvisato prima della scadenza; il criterio 2.2.6, più esigente, chiede che gli utenti siano avvisati di una durata d’inattività che può comportare una perdita di dati, a meno che i dati non siano conservati per più di venti ore.

Alla fermata del bus, sul telefono. Una parte delle iscrizioni nascerà ormai in piedi, con una mano sola, su uno schermo piccolo. Che funzioni dipende da dettagli che sulla carta non esistono affatto: le WCAG 2.2 indicano al criterio 2.5.8 una dimensione minima del bersaglio di 24 per 24 pixel CSS per gli input di puntamento, con eccezioni per i bersagli più piccoli sufficientemente distanziati. Una casella da spuntare sulla carta è grande quanto serve alla penna.

Il desiderio di una copia cartacea. Non sparisce. Chi finora compilava il foglio e ne teneva una copia vuole ancora avere qualcosa in mano — e se il modulo online dopo l’invio non mostra nulla di stampabile, si apre una lacuna proprio lì dove prima non ce n’era.

Che cosa è semplicemente diverso

Un terzo gruppo di cambiamenti si lascia registrare male come guadagno o come perdita. È uno spostamento.

L’armadio e l’account. La carta stava dietro un’anta e chi aveva la chiave aveva l’accesso. L’ordinanza sulla protezione dei dati conosce entrambe le cose e le nomina separatamente: alla confidenzialità appartengono il controllo dell’accesso ai dati — le persone autorizzate hanno accesso soltanto ai dati personali di cui necessitano per adempiere i loro compiti — e il controllo dell’accesso ai locali e agli impianti in cui sono trattati dati personali (art. 3 cpv. 1 OPDa). Con l’armadio, l’uno è contenuto nell’altro. Online sono due cose distinte, e l’elenco degli accessi è qualcosa che qualcuno mantiene.

Adesso qualcuno amministra degli account. La monitrice dei corsi giovanili ha bisogno di un accesso. Anche la cassiera, ma forse soltanto ai dati di pagamento. In autunno qualcuno lascia il comitato e l’accesso dev’essere tolto. Questa operazione è nuova: sulla carta non esisteva un momento in cui qualcuno dovesse attivamente ritirare qualcosa — la chiave tornava indietro, oppure il foglio restava semplicemente dov’era.

La disponibilità diventa una proprietà. Un classificatore nell’armadio funziona anche durante un’interruzione di corrente. L’OPDa elenca espressamente la disponibilità fra i quattro obiettivi della sicurezza dei dati — i dati devono essere disponibili quando sono necessari (art. 2 lett. b OPDa) — e richiede fra l’altro misure affinché la disponibilità dei dati personali e l’accesso ad essi possano essere ripristinati rapidamente in caso di incidente fisico o tecnico (art. 3 cpv. 2 lett. d OPDa). In pratica: la sera prima del termine d’iscrizione, la domanda su che cosa succede se il servizio non è raggiungibile è diversa da quella che poneva il classificatore — non più grande, ma nuova.

Distruggere e cancellare non sono la stessa cosa. Secondo l’art. 6 cpv. 4 LPD i dati personali sono distrutti o anonimizzati appena non sono più necessari per la finalità del trattamento. Con il classificatore è un passaggio al distruggidocumenti, e dopo il foglio non esiste più. Con un’iscrizione online la stessa voce può trovarsi nella banca dati, in una copia di sicurezza, in un’e-mail di notifica e nel foglio di calcolo che qualcuno ha scaricato due anni fa. L’OPDa comprende anche il lato fisico: alla disponibilità e all’integrità appartengono misure affinché persone non autorizzate non possano leggere, copiare, modificare, spostare, cancellare o distruggere supporti di dati (art. 3 cpv. 2 lett. a OPDa). Dove possono trovarsi le risposte lo abbiamo percorso tappa per tappa in un articolo a parte.

Il caso in cui la carta resta

Non tutti i moduli guadagnano dal passaggio. Un esempio dalla stessa società: il foglio di consenso per gli spostamenti in auto condivisa alla trasferta. Serve due volte all’anno, a dodici famiglie, la stessa sera, nella stessa palestra. Nessuno lo trascrive, perché nessuno riutilizza i dati: viene conservato fino alla fine della manifestazione e poi distrutto. Qui non c’è nessun passaggio di trascrizione da risparmiare, nessuna ricerca che diventerebbe più rapida e nessuna valutazione di cui qualcuno abbia bisogno. Online, lo stesso foglio richiederebbe due account, una regola di cancellazione e una risposta alla domanda sul luogo di conservazione.

Il metro più utile non è dunque se un modulo possa essere digitalizzato, ma che cosa succede alle risposte dopo. I moduli le cui risposte vengono rielaborate, cercate, contate o seguite negli anni guadagnano il passaggio di trascrizione e la possibilità di ritrovare. I moduli che si leggono una volta e poi si ripongono guadagnano soprattutto amministrazione.

Con Formulare sviluppiamo un’app web per il primo caso: moduli le cui risposte vengono cifrate già nel browser della persona che risponde e restano memorizzate in Svizzera. Non toglie a nessuno la decisione su quali moduli debbano fare questo percorso — il foglio dell’auto condivisa resterà forse un foglio di carta, e questa è una risposta difendibile.