Garante per la protezione dei dati personali - Relazione 2015

Il Garante e le pubbliche amministrazioni

Il trattamento di dati personali effettuato nell’ambito dell’istruzione scolastica è stato oggetto di particolare attenzione anche nel 2015.

Con il provvedimento 28 maggio 2015 il Garante ha reso parere favorevole sullo schema di decreto del Ministero dell’istruzione dell’universita' e delle ricerca (Miur) recante la Regolamentazione per la realizzazione e consegna della Carta dello studente denominata “IoStudio”. Lo schema di decreto ha recepito le indicazioni fornite dall’Ufficio nel corso di numerosi contatti anche informali con i competenti uffici del Miur.

Tale schema prevede che il Ministero, per il tramite delle segreterie scolastiche, attribuisca una Carta, nominativa e idonea ad attestare lo status di studente, a tutti i frequentanti le scuole secondarie di secondo grado statali e paritarie. La Carta, utile per il conferimento di agevolazioni e sconti per l’accesso a beni e servizi di natura culturale, per la mobilita' nazionale ed internazionale, per l’acquisto di materiale scolastico, è prodotta da un fornitore designato quale responsabile del trattamento, non autorizzato alla conservazione dei dati degli studenti. Essa, inoltre, può essere utilizzata, su richiesta dello studente o di chi ne esercita la potesta' genitoriale, altresì come “borsellino elettronico”. A tal fine, previa autenticazione sul Portale dello studente, l’interessato è reindirizzato sul portale del fornitore della Carta che, in tal caso in qualita' di autonomo titolare del trattamento, effettua la raccolta dei dati necessari per l’espletamento del servizio richiesto (provv. 28 maggio 2015, n. 313, doc. web n. 4070802).

Il Miur ha altresì presentato uno schema di decreto che, in attuazione dell’art. 10, comma 8, d.l. 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla l. 17 dicembre 2012, n. 221, prevede l’integrazione dell’Anagrafe nazionale degli studenti (Ans) con i dati relativi agli iscritti alla scuola dell’infanzia.

Lo schema di decreto dispone in particolare che le istituzioni scolastiche dell’infanzia appartenenti al sistema nazionale di istruzione trasmettano un set di 10 informazioni anagrafiche relative ai propri frequentanti all’Ans (cfr. art. 3, d.lgs. 15 aprile 2005, n. 76; decreto del Miur 5 agosto 2010, n. 74, sul cui schema il Garante ha fornito il parere di competenza in data 16 giugno 2010, doc. web n. 1734404). Nel fornire parere favorevole, l’Autorita' ha richiamato l’attenzione del Ministero e di tutte le amministrazioni interessate sulla circostanza che i dati personali non possono essere trattati per finalita' di vigilanza sull’assolvimento dell’obbligo scolastico, non concernendo tale obbligo la scuola dell’infanzia (parere 8 ottobre 2015, n. 522, doc. web n. 4448919).

Il Miur ha inoltre sottoposto al parere del Garante uno schema di regolamento in materia di Trattamento dei dati idonei a rivelare lo stato di disabilita' degli alunni censiti nell’Anagrafe nazionale degli studenti. Tale schema regolamentare attua l’art. 13, comma 2-ter, d.l. 12 settembre 2013, n. 104, convertito, con modificazioni, dalla l. 8 novembre 2013, n. 128, il quale prevede che “al fine di consentire il costante miglioramento dell’integrazione scolastica degli alunni disabili mediante l’assegnazione del personale docente di sostegno, le istituzioni scolastiche trasmettono per via telematica alla banca dati dell’Anagrafe nazionale degli studenti le diagnosi funzionali di cui al comma 5 dell’art. 12 della l. 5 febbraio 1992, n. 104, prive di elementi identificativi degli alunni”. Lo schema di regolamento definisce in particolare i criteri e le modalita' di accesso ai dati di natura sensibile, le misure di sicurezza nonchè, nell’ambito dell’Ans, la separazione tra la partizione contenente le diagnosi funzionali e gli altri dati. Comportando la richiamata normativa il trattamento, con l’ausilio di strumenti elettronici, di dati idonei a rivelare lo stato di salute di un ingente numero di soggetti minori di eta', l’Ufficio ha fornito ai competenti uffici del Miur diverse indicazioni volte, in particolare, alla più rigorosa applicazione del principio di indispensabilita' nell’individuazione del tipo di dati trattati, alla definizione delle finalita' di rilevante interesse pubblico perseguite nonchè alle misure di sicurezza applicate per prevenire rischi di distruzione, perdita o accessi non consentiti ai predetti dati. L’Autorita' ha, quindi, condizionato il proprio parere favorevole richiedendo che nell’allegato tecnico allo schema di decreto sia individuato un termine certo e proporzionato per la conservazione dei file di logrelativi alla registrazione degli accessi (parere 15 ottobre 2015, n. 535, doc. web n. 4448995).

A seguito di una segnalazione, è emerso che una comunita' montana ha offerto un servizio di ginnastica correttiva ai ragazzi frequentanti le classi seconde della scuola secondaria di primo grado residenti nel comprensorio comunitario. A tal fine, ha proceduto, in assenza di idonea base normativa e senza rispettare il principio di necessita', alla raccolta presso le scuole di dati personali riferiti agli studenti che sono stati poi comunicati all’Asl territorialmente competente per il controllo medico previsto dal servizio. La predetta Azienda non ha fornito agli interessati alcuna informativa sul trattamento di dati personali effettuato per finalita' di cura (art. 76 del Codice). L’Autorita', nel ricevere per il futuro idonee assicurazioni in ordine alle modalita' di realizzazione di iniziative similari, ha raccomandato di prestare particolare attenzione al corretto adempimento degli obblighi imposti dalla normativa in materia di protezione dei dati personali, con particolare riferimento a quello di fornire idonea informativa agli interessati, e nelle ipotesi di trattamento per finalita' di cura, di acquisire uno specifico consenso da parte degli stessi, nonchè di procedere alla designazione degli incaricati e eventualmente anche di responsabili del trattamento (artt. 13, 76, 29 e 30 del Codice) (nota 2 luglio 2015).