Garante - Relazione 2014

Risultano sempre numerosi i chiarimenti richiesti in relazione al trattamento di dati personali effettuato nell’ambito dell’istruzione scolastica ed universitaria.

Con riferimento ai dati pubblicati tramite gli albi scolastici, e' stato segnalato al Garante che un istituto statale comprensivo ha affisso agli albi delle scuole ed alle bacheche esterne dei plessi il testo di una comunicazione elettronica, nell’ambito della quale risultava visibile l’indirizzo di posta elettronica privato di uno dei destinatari, docente presso l’istituto medesimo.

Al riguardo, e' stato ribadito che i soggetti pubblici possono diffondere dati personali, diversi da quelli sensibili e giudiziari, unicamente quando tale specifica operazione di trattamento risulta ammessa da una norma di legge o di regolamento (art. 19, comma 3, del Codice). Cio' posto, l’Autorita', considerato che l’indirizzo di posta elettronica costituisce dato personale, ai sensi dell’art. 4, comma 1, lett. b), del Codice, e che la citata operazione di trattamento integra una diffusione di dati di dati personali, ai sensi dell’art. 4 comma 1, lett. m), del Codice, dopo aver constatato l’assenza di una base normativa che legittimasse la citata operazione di trattamento, ha rilevato l’illiceita' della predetta diffusione ed ha vietato all’istituto l’ulteriore diffusione, con qualunque mezzo, ivi compresa l’affissione all’albo ed alle bacheche delle scuole, del dato relativo all’indirizzo di posta elettronica personale del segnalante (provv. 23 gennaio 2014, n. 28, doc. web n. 2929890).

Un’altra segnalazione ha riguardato un istituto scolastico statale che, nel documento di programmazione di una classe, al capitolo programmazione alunni dislessici, aveva riportato i nominativi degli alunni affetti da disturbi specifici dell’apprendimento (dsa).

Al riguardo, l’Ufficio ha evidenziato che le istituzioni scolastiche pubbliche possono trattare dati sensibili, tra i quali rilevano quelli idonei rivelare lo stato di salute, solo se autorizzati da espressa disposizione di legge nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le finalita' di rilevante interesse pubblico perseguite. Nei casi in cui la legge, pur specificando la finalita' di rilevante interesse pubblico, non evidenzi, altresi', i tipi di dati sensibili e giudiziari e di operazioni eseguibili, il trattamento e' consentito, nel rispetto dei principi di cui all’art. 22 del Codice, ed, in particolare, del principio di indispensabilita', solo per lo svolgimento di specifiche finalita', in riferimento ai tipi di dati e di operazioni identificati e resi pubblici dal titolare in un atto di natura regolamentare adottato in conformita' al parere espresso dal Garante (artt. 20 e 22 del Codice; l. 8 ottobre 2010, n. 170; d.m. 12 luglio 2011, n. 5669).

Su tali basi, l’Ufficio ha rilevato la non conformita' della predetta condotta alla disciplina in materia di protezione dei dati personali, nella misura in cui non e' risultato effettivamente indispensabile alle finalita' perseguite l’indicazione dei nominativi degli studenti affetti da dsa nel citato documento. Anche in questo caso, tuttavia, l’Ufficio non ha promosso l’adozione di un provvedimento da parte del Collegio, tenuto conto del fatto che la condotta aveva esaurito i suoi effetti e delle rassicurazioni fornite dal titolare del trattamento circa l’immediato oscuramento dei predetti dati personali dal documento di programmazione della classe (nota 8 gennaio 2014).

E' stato inoltre segnalato che una scuola superiore di secondo grado ha diffuso sul proprio sito internet istituzionale gli elenchi degli alunni, distinti per classe, per supposte finalita' di trasparenza (art. 19, comma 3, del Codice).

A seguito della richiesta di chiarimenti avanzata dall’Ufficio, l’istituto scolastico ha provveduto all’immediata cancellazione dei predetti elenchi. Al riguardo, e' stato, infatti evidenziato che tali dati non rientrano tra quelli oggetto di pubblicazione obbligatoria per finalita' di trasparenza, ai sensi del d.lgs. n. 33/2013, ed e' stato ribadito che la diffusione di dati personali da parte di soggetti pubblici e' ammessa unicamente quando e' prevista da una norma di legge o di regolamento, nel rispetto del principio di pertinenza e non eccedenza (art. 19, comma 3, e art. 11, comma 1, lett. d), del Codice) e che, quindi, le amministrazioni, prima di diffondere sui propri siti istituzionali atti e documenti contenenti dati personali, devono verificare che esista una norma di legge o di regolamento che ne preveda l’obbligo di pubblicazione (punto 2, provv. 15 maggio 2014, n. 243, doc. web n. 3134436; nota 8 gennaio 2015).

Giudizi relativi ai partecipanti alla procedura di abilitazione scientifica nazionale

Nell’ambito dell’attivita' dell’Ufficio e' emerso che il Ministero dell’istruzione, dell’universita' e della ricerca ha diffuso sul proprio sito internet istituzionale gli atti e i giudizi individuali, anche negativi, relativi ai singoli partecipanti alla procedura di abilitazione scientifica nazionale per l’accesso al ruolo dei professori universitari, a norma dell’art. 16, l. 30 dicembre 2010, n. 240, consentendone, altresi', la reperibilita' anche attraverso i piu' comuni motori di ricerca generalisti (quali Google).

Come detto, il Codice dispone che i soggetti pubblici, nell’ambito delle proprie competenze istituzionali, possono diffondere dati personali solo qualora tale operazione di trattamento sia ammessa da una norma di legge o di regolamento. La diffusione, nel rispetto dei principi di necessita' e proporzionalita', puo' durare solo per il tempo necessario allo scopo per il quale e' stata effettuata (artt. 3, 11, 18 e 19, comma 3, del Codice).

Con riferimento alla diffusione dei giudizi, anche negativi, sui singoli candidati, e' emerso che tale specifica operazione di trattamento e' espressamente prevista, per un periodo di 120 giorni, dall’art. 16, l. n. 240/2010 e dall’art. 8, comma 9, d.P.R. n. 222/2011 (Regolamento concernente il conferimento dell’abilitazione scientifica nazionale per l’accesso al ruolo dei professori universitari, a norma dell’art. 16, l. 30 dicembre 2010, n. 240). La circostanza che tale diffusione possa, legittimamente, concernere anche i giudizi negativi dei singoli candidati e' stata altresi' motivata alla luce dei pareri forniti dal Consiglio di Stato in sede consultiva sul predetto regolamento, in base ai quali tali procedure, consentendo l’accesso a ruoli di estremo valore culturale, devono essere improntate alla massima trasparenza per consentire il controllo diffuso dell’intera comunita' scientifica.

Con riferimento, invece, alla reperibilita' anche attraverso i piuÌ€ comuni motori di ricerca generalisti, dei giudizi individuali dei candidati, accertato che tale possibilita' risulta sproporzionata rispetto alle finalita' del trattamento, a seguito dell’intervento dell’Autorita' ed al fine di garantire un elevato standard di tutela del diritto alla protezione dei dati personali nell’ambito del trattamento in esame, il Ministero ha assicurato la rimozione dell’indicizzazione della pagine riportanti i risultati dell’abilitazione scientifica nazionale e l’implementazione di idonee misure atte ad impedire nuove indicizzazioni simili (nota 1 luglio 2014).

Archivio “Andrea Devoto”

Un interessante caso ha riguardato l’Universita' degli Studi di Firenze che ha in concessione il noto Archivio “Andrea Devoto”, di proprieta' della Regione Toscana, contenente le interviste che negli anni 80 il neuropsichiatra e psicologo Andrea Devoto rivolse, nell’ambito di uno studio, ad alcuni deportati sopravvissuti ai campi di sterminio nazisti. Da tali interviste emergono ovviamente dati sensibili, idonei a rivelare lo stato di salute degli intervistati dopo la deportazione.

Cio' posto, l’Ateneo ha formulato un quesito circa la possibilita' di rendere consultabili i materiali contenuti nell’Archivio Devoto ed eventualmente consentire la pubblicazione delle interviste, procedendo alla cancellazione dei nominativi degli interessati.

Al riguardo, l’Ufficio ha evidenziato che il Codice in materia di protezione dei dati personali rinvia al codice dei beni culturali e del paesaggio (d.lgs. 22 gennaio 2004, n. 42) per l’individuazione della disciplina relativa alla consultazione dei documenti conservati negli archivi di Stato, in quelli storici degli enti pubblici e in archivi privati (art. 103 del Codice; art. 122, comma 1, lett. b) e 126, comma 3, del codice dei beni culturali e del paesaggio, cit.). Inoltre, in base al codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici, All. A.2 al Codice (adottato ai sensi dell’art. 102 del Codice) – la cui osservanza costituisce condizione essenziale per la liceita' dei trattamenti di dati personali per la predetta finalita' – l’accesso agli archivi pubblici e' libero, con eccezione dei documenti di carattere riservato relativi alla politica interna ed estera dello Stato che divengono consultabili cinquanta anni dopo la loro data, e quelli contenenti i dati personali, sensibili e giudiziari, che divengono liberamente consultabili quaranta anni dopo la loro data. Il termine e' di settanta anni se i dati sono idonei a rivelare lo stato di salute o la vita sessuale oppure rapporti riservati di tipo familiare (art. 10, commi 1 e 2, codice di deontologia; art. 122, comma 1, lett. b), del codice dei beni culturali e del paesaggio, cit.).

Con riferimento, invece, alla possibilita' che le interviste dei pazienti vengano diffuse adottando accorgimenti idonei a rendere non identificabili gli intervistati, ad es. cancellando i nominativi degli stessi, e' stato evidenziato che la semplice cancellazione degli identificativi diretti non e' una tecnica idonea a garantire (con certezza) l’anonimizzazione dei dati personali. Infatti, fintantoche' persistano elementi sufficienti per consentire l’identificazione della persona interessata, le informazioni trattate devono considerarsi dati personali, ancorche' indirettamente identificativi, e come tali soggetti alla specifica disciplina di settore sopra richiamata (artt. 4, comma 1, lett. b) e n), del Codice).

E' stato, altresi', evidenziato che il Ministro dell’interno, previo parere del direttore dell’Archivio di Stato o del sovrintendente archivistico competenti e udita la Commissione per le questioni inerenti alla consultabilita' degli atti di archivio riservati istituita presso il Ministero dell’interno, puo' rilasciare l’autorizzazione alla consultazione dei documenti riservati prima dei termini sopra indicati agli utenti che presentino uno specifico progetto di ricerca. Tale autorizzazione, che e' personale e non delegabile a soggetti terzi, puo' contenere specifiche cautele volte a tutelare i diritti, la liberta' e la dignita' delle persone interessate (art. 10, del menzionato codice di deontologia; artt. 123 e 126, comma 3, del codice dei beni culturali e del paesaggio). L’Ufficio ha ricordato, infine, che gli archivisti possono trattare i documenti conservati negli archivi contenenti dati personali, in conformita' alle regole generali di condotta individuate nel citato codice di deontologia volte, in particolare, a favorire il rispetto dei diritti, delle liberta' fondamentali e della dignita' delle persone alle quali si riferiscono i dati trattati (nota 17 settembre 2014).