Nel settore scolastico il Garante ha interagito sia con il Miur che con università, istituzioni scolastiche ed altri soggetti pubblici nel corso di incontri e contatti voltia fornire chiarimenti e indicazioni in merito alla corretta applicazione della nuova disciplina in materia di protezione dei dati personali (on riguardo anche a Invalsi e Crui). In tale ambito, particolare rilievo ha assunto il provvedimento del 15 febbraio 2018, n. 76 (doc. web n. 8081291) con il quale il Garante ha espresso, ai sensi degli artt. 20, comma 2, e 154, comma 1, lett. g), d.lgs. n, 196/2003, parere favorevole sullo schema di regolamento relativo alle modalità di svolgimento delle prove Invalsi del terzo anno della scuola secondaria di primo grado, in attuazione del decreto legislativo 13 aprile 2017, n. 62. Quest’ultimo stabilisce che Invalsi effettua rilevazioni nazionali attraverso prove standardizzate, computer based, volte ad accertare i livelli generali e specifici di apprendimento conseguiti in italiano, matematica e inglese e che la partecipazione a tali rilevazioni rappresenta requisito di ammissione all’esame conclusivo del primo ciclo di istruzione. Lo schema di regolamento stabilisce pro-cedure e regole relative allo svolgimento delle prove Invalsi della “terza media” e disciplina, in particolare: le modalità di identificazione dello studente ai fini del corretto espletamento e della restituzione delle prove che, nel caso di alunni con disabilità (Dva) e di alunni con disturbi specifici di apprendimento (Dsa), possonoessere personalizzate; lo svolgimento delle prove, prevedendo che Invalsi predisponga un documento contenente informazioni che consentono la sicura identificazione di ciascuno studente; le modalità e i tempi di conservazione dei dati da partedi Invalsi, prevedendo la cancellazione del nome e del cognome degli studenti unavolta terminato lo svolgimento delle prove. Lo schema di decreto presentato ha tenuto conto degli approfondimenti effettuati nel corso di incontri di lavoro tenutisi con i rappresentanti di Invalsi e del Miur,volti a rendere lo schema in esame conforme alla disciplina vigente grazie all’adozione di misure tecniche e organizzative volte ad assicurare la protezione dei dati per-sonali per impostazione predefinita. In particolare, facendo seguito alle osservazioni rese dall’Autorità, Invalsi ha riformulato lo schema di regolamento con particolare riferimento a: l’individuazione, nel rispetto dei principi di pertinenza e non eccedenza, delle informazioni personali da utilizzare per l’identificazione degli studenti, la valutazione, la somministrazione e la restituzione delle prove; la limitazione dei tempi di conservazione dei dati, sia con riferimento al nome e al cognome, che in relazione ai dati idonei a rivelare lo stato di salute relativi allo svolgimento delle prove personalizzate da parte degli studenti con Dva e con Dsa; la necessità di adottare, in relazione ai dati idonei a rivelare lo stato di salute, tecniche crittografiche al fine direndere tali dati inintelligibili, nonché di conservarli in partizioni separate; l’adozione di idonee misure di sicurezza, in particolare, nello scambio di dati personali tra Miur ed Invalsi, nel rispetto delle misure necessarie già prescritte dal Garante con ilprovvedimento generale 2 luglio 2015, n. 393 (doc. web n. 4129029).

L’Ufficio ha ricevuto inoltre numerosi reclami e segnalazioni aventi ad oggetto la diffusione, sul sito web istituzionale di taluni istituti scolastici, di graduatorie d’istituto relative al personale docente o al personale Ata, contenenti anche informazionirelative all’indirizzo di residenza, al numero di telefono fisso o di cellulare e all’indirizzo e-mail del personale. Tali informazioni, in alcuni casi, sarebbero state indicizzate anche sui comuni motori di ricerca. A seguito degli approfondimenti effettuati, è stato riscontrato che tali graduatorie contenevano anche l’indicazione dei titoli di preferenza del personale scolastico e, tra questi, in particolare, dati relativi alla salute dei docenti, contrariamente a quanto previsto dalla disciplina di protezione dei dati che vieta esplicitamente la diffusione di tali informazioni. Grazie all’intervento dell’Autorità, gli istituti scolastici hanno prontamente rimosso tali dati dal sito istituzionale.

L’Ufficio ha inoltre ricevuto una segnalazione con la quale si rappresentava che nei moduli di iscrizione a scuola, anche dell’infanzia, in Alto Adige veniva richiesto di fornire anche informazioni relative alla madrelingua di appartenenza. È stata quindi avviata un’istruttoria preliminare volta a verificare la compatibilità del trattamento segnalato con la disciplina di protezione dei dati e con lo specifico quadro di garanzie previsto per il trattamento di quelli relativi all’appartenenza/aggregazione ai tre gruppi linguistici italiano, tedesco e ladino in provincia di Bolzano.

La Provincia autonoma di Bolzano, a seguito degli approfondimenti effettuati dall’Ufficio, ha chiarito che non vengono raccolti dati relativi alla madrelingua o altre informazioni che rivelino l’origine razziale o etnica dei minori o delle famiglie di appartenenza, ma che, all’atto dell’iscrizione nelle scuole, vengono richiesti i dati sulle lingue conosciute dagli alunni (italiano, tedesco o altra), senza specificare alcuna preferenza, ma indicando solo il livello di conoscenza di ciascuna lingua (ottimo, buono, sufficiente o insufficiente). Tale trattamento è necessario al fine di permettere all’istituto scolastico presso il quale l’alunno sarà iscritto di organizzare più efficacemente l’attività didattica, anche in sede di formazione delle classi.

Nell’ambito delle interlocuzioni con l’Ufficio, la Provincia ha inoltre individuato soluzioni tecniche e organizzative a tutela dei diritti e delle libertà degli interessati volte a rendere il trattamento in esame conforme alla disciplina in materia di protezione dei dati personali (nota 20 dicembre 2018).

Fonte: Autorità Garante - Relazione 2018