Garante per la protezione dei dati personali - Relazione 2017

Il Garante e le pubbliche amministrazioni

Nel settore scolastico il Garante si è confrontato con il Miur e con le universita' e le Istituzioni scolastiche nel corso di numerosi incontri e contatti volti a fornire chiarimenti e indicazioni in merito alla corretta applicazione della disciplina in materia di protezione dei dati.

Tra gli atti più significativi si segnala il provvedimento 5 luglio 2017, n. 301 (doc. web n. 6843964) con il quale è stato espresso parere favorevole sullo schema di decreto del Miur volto a riordinare, in un unico provvedimento, l’insieme delle disposizioni secondarie concernenti l’Anagrafe Nazionale degli Studenti (Ans), intervenute successivamente all’emanazione del d.m. 5 agosto 2010, n. 74. L’Ans, istituita presso il Miur in base all’art. 3, d.lgs. 15 aprile 2005, n. 76, contiene i dati sui percorsi scolastici, formativi e di apprendistato dei singoli studenti, nonchè quelli relativi alla loro valutazione a partire dal primo anno della scuola primaria.

Il d.m. n. 74/2010 è stato negli anni oggetto di numerosi interventi (cfr. d.m. 25 gennaio 2016, n. 24; d.m. 26 luglio 2016, n. 595; d.m. 9 novembre 2016, n. 862), i quali hanno progressivamente ampliato le informazioni contenute nell’Ans, prevedendo l’inserimento dei dati degli alunni frequentanti le scuole dell’infanzia appartenenti al sistema nazionale di istruzione, i dati relativi agli alunni disabili (in una partizione separata) e, infine, la definizione del tempo di conservazione delle informazioni concernenti gli esiti finali della scuola secondaria di secondo grado.

Facendo seguito alle osservazioni rese dall’Autorita', il Ministero ha riformulato lo schema di decreto, precisando che: l’Ans, la cui titolarita' del trattamento viene attribuita al Miur, si configura non come soggetto giuridico, ma quale strumento di supporto per l’espletamento dei compiti conferiti dalle norme ai soggetti istituzionalmente competenti in materia; nelle more della definizione di un mezzo di identificazione d’uso generale nell’ambito delle pp.aa., lo studente viene identificato nell’Ans attraverso un codice meccanografico assegnato dal sistema al momento del primo inserimento dello stesso in anagrafe; al fine di monitorare l’evasione dall’obbligo di istruzione e la regolare frequenza scolastica, il Miur e le Istituzioni scolastiche possono consultare i dati contenuti nella Ans solo in forma aggregata.

Infine, sono state meglio specificate le misure tecniche e organizzative adottate a protezione dei dati degli alunni contenuti nell’Ans, rendendo maggiormente dettagliata la descrizione di taluni profili utente e aggiornando lo schema logico del servizio di autenticazione per comprendere tutti i soggetti coinvolti.

Nel corso dell’anno sono state altresì rilevate talune criticita' nella modalita' di redazione, da parte degli istituti scolastici, del cd. documento del 15 maggio, di cui all’art. 5, comma 2, d.P.R. 23 luglio 1998, n. 323, che hanno dato luogo ad ingiustificate diffusioni di dati personali riferiti a studenti, anche in internet. Il menzionato documento viene elaborato dai consigli di classe, entro il 15 maggio di ogni anno scolastico, al fine di consentire alla commissione esaminatrice di predisporre il testo della terza prova degli esami di Stato e descrive il percorso formativo e didattico e gli obiettivi raggiunti dalla classe. Tale documento, in base alla disciplina di settore, deve essere affisso all’albo dell’istituto e consegnato in copia a ciascun candidato. A seguito dell’entrata in vigore della legge n. 69/2009 − secondo cui gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicita' legale si intendono assolti con la pubblicazione da parte delle amministrazioni nei siti internet istituzionali − taluni istituti scolastici hanno erroneamente ritenuto di dover pubblicare i predetti documenti, contenenti numerose informazioni riferite agli studenti, sul sito internet istituzionale con conseguente indicizzazione in rete del documento. Tale prassi non risulta tuttavia conforme alla disciplina in materia di protezione dei dati personali e, al fine di evitare ulteriori indebite diffusione di dati personali degli studenti, sono state fornite al Miur indicazioni operative al fine di conformare le modalita' di redazione del documento del 15 maggio ai principi in materia di protezione dei dati personali (nota 21 marzo 2017).

Sempre con riferimento alla pubblicazione online di dati degli studenti, è inoltre pervenuta una segnalazione con la quale è stato rappresentato che, nel pubblicare gli esiti degli esami di Stato sull’albo e sul sito internet istituzionale, un istituto scolastico, avrebbe indicato anche l’indirizzo d’abitazione, la e-mail e/o il numero di telefono degli studenti interessati. Tale pubblicazione sarebbe stata effettuata nell’ambito dell’attivita' di intermediazione effettuata dagli istituti di scuola secondaria di secondo grado in attuazione dell’art. 6, d.lgs. 10 settembre 2003, n. 276.

A seguito dell’istruttoria preliminare, il Garante ha rilevato alcune specifiche criticita' nelle modalita' attuative della richiamata attivita' di intermediazione, avuto riguardo, in particolare, alla possibilita' di pubblicare i curricula degli studenti prescindendo dal consenso degli stessi. E' stato evidenziato che la pubblicazione dei curricula degli studenti ad opera dei soggetti legittimati, avvenendo nell’ambito di un’attivita' di intermediazione − intesa come attivita' volta a favorire l’incontro tra la domanda di lavoro, orientamento professionale o attivita' formative di uno specifico committente e l’offerta disponibile sul mercato − non possa essere disposta d’ufficio dal titolare del trattamento ma necessita di una esplicita richiesta dello studente. E' stato altresì chiarito che, in maniera similare, anche la disposizione di cui all’art. 96, comma 1, del Codice, individua nell’esplicita richiesta da parte degli interessati, o degli esercenti la potesta' genitoriale, il presupposto giuridico idoneo a legittimare la comunicazione o diffusione di dati personali degli studenti per finalita' di orientamento, formazione e inserimento professionale.

Con riferimento inoltre ai tempi di diffusione del curriculum dello studente in relazione all’attivita' di intermediazione, il Garante, richiamando il principio di pro- porzionalita', ha chiarito che la pubblicazione di dati personali degli studenti possa essere effettuata soltanto per il tempo necessario e appropriato rispetto all’obiettivo perseguito. Tale lasso temporale è espressamente individuato dalla legge in almeno 12 mesi. Gli intermediari, pertanto, possono diffondere i richiamati dati personali riferiti agli alunni per un periodo di tempo superiore solo su esplicita richiesta del soggetto interessato (nota 16 marzo 2017).