PRIVACY A SCUOLA – IL GARANTE RICORDA IL DIVIETO DI PUBBLICAZIONE DEGLI ELENCHI DEI NOMINATIVI DEI COMPONENTI DELLE CLASSI PRIME. IL RECENTE PROVVEDIMENTO DEL GDP
Nello scorso mese di luglio il Garante della Privacy ha adottato un provvedimento di ammonimento (Provvedimento del 6.07.2023 / Registro dei Provvedimenti n. 288) nei confronti di una scuola emiliana che aveva pubblicato gli elenchi dei nominativi che avrebbero composto le classi prime del concluso anno scolastico 2022-2023. Analizziamo più nel dettaglio questa fattispecie, fra le più delicate nell’ambito della privacy a scuola.
Il punto dell’esperto!
Con riferimento al tema della privacy a scuola, anche in vista dell’avvento del nuovo anno scolastico, pare utile analizzare il provvedimento indicato con il quale l’Autorità Garante ha ritenuto illegittimo il trattamento dei dati effettuato da parte di un istituto scolastico che aveva pubblicato, sul proprio sito internet istituzionale, gli elenchi dei nominativi relativi alla composizione delle prime classi.
La procedura
La procedura prendeva avvio a seguito di una segnalazione che veniva riscontrata dal legale rappresentante dell’Ente. Quest’ultimo, con argomentazioni che poi venivano riproposte anche dinanzi l’Authority, rilevava che quella pubblicazione sarebbe avvenuta a seguito di una pressione delle famiglie desiderose di conoscere la classe dei propri figli aggiungendo, oltre alla carenza di personale, che, anche per questioni culturali e sociali, non sarebbe stato possibile attivare in tempo il portale del registro elettronico (<<…l’utenza dell’istituto scolastico, (…) è medio/bassa, spesso poco strutturata sia dal punto di vista culturale che economico e perlopiù ubicata nei diversi comuni limitrofi e montani”; “in buona sostanza, la carenza di organico ha reso non attuabile, concretamente, l’attivazione del registro elettronico, che avrebbe necessitato che una o più risorse venissero adibite all’incombente”; “in quel frangente, la scuola ha ritenuto che, inserendo la composizione delle classi sul sito, in area riservata, le famiglie avrebbero potuto, in modo semplice ed immediato, senza fare appello a particolari competenze informatiche (…) spesso del tutto assenti, senza spostarsi da un luogo all’altro, (…) conoscere le informazioni richieste;>>).
Il legale rappresentante, ancora, sosteneva che un siffatto tipo di pubblicazione non avrebbe avuto un impatto negativo sugli interessati in quanto sarebbe stato da ausilio agli stessi, ed alle famiglie, che in questo modo sarebbero state informate della destinazione del discente nella relativa classe.
La normativa applicabile
Del tutto evidente, tuttavia, come dette giustificazioni si scontrino con la normativa dettata dal Reg. UE 2016/679 con la conseguenza per cui la pubblicazione sul sito istituzionale degli elenchi nominativi relativi alla composizione delle classi prime per ha dato luogo a una “diffusione” di dati personali in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5 e 6 del Regolamento e 2-ter e del Codice.
Ed invero il Reg. UE 2016/679 prevede che il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) e paragrafo 2 e 3 del Regolamento; art 2-ter D.Lgs. n. 196/2003).
Le conclusioni dell’Authority
L’Authority, ancora, dopo aver ricordato che “le operazioni di trattamento che consistono nella “diffusione” di dati personali (come la pubblicazione online) e nella “comunicazione” sono ammesse solo quando previste da una norma di legge o di regolamento o da atti amministrativi generali (art. 2-ter, commi 1 e 3, del Codice)”, evidenziava come affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto pubblico, tale trattamento deve essere necessario per l’adempimento di un obbligo legale da parte del titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri e deve trovare il proprio fondamento in una disposizione che abbia le caratteristiche di cui all’art. 2-ter del D.Lgs. 196/2003.
Compete alla Amministrazione procedente verificare l’esistenza di una norma di legge o di regolamento che legittimi la pubblicazione dei dati personali degli interessati, anche se si tratta di “dati comuni”.
Mette conto di evidenziarsi che proprio in relazione alla pubblicazione degli elenchi delle classi il Garante, in collaborazione con il Ministero dell’Istruzione, è intervenuto con una specifica FAQ in merito alla questione relativa alla pubblicazione, sul sito internet degli istituti scolastici, di elenchi nominativi relativi alla composizione delle classi, fornendo specifiche indicazioni alle scuole in merito alle corrette modalità per assicurare la conoscibilità delle predette informazioni agli alunni e alle famiglie, nel rispetto della disciplina in materia di protezione dei dati personali (cfr. FAQ relative ai trattamenti dei dati personali nel contesto scolastico nel quadro dell’emergenza sanitaria, disponibili sul sito web dell’Autorità all’indirizzo www.gpdp.it doc. web n. 9337010, e, in particolare, FAQ n. 10, elaborata in collaborazione con il Ministero e disponibile anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html, oltre alle indicazioni fornite all’interno del Vademecum “La scuola a prova di privacy”, edizione 2023, doc. web 9887111).
Tramite la predetta FAQ è stato chiarito che la diffusione dei dati relativi alla composizione delle classi sul sito web degli istituti scolastici non è consentita in quanto tale operazione di trattamento è lecita solo nei casi previsti dal richiamato art. 2-ter del Codice. Gli istituti scolastici “che intendano garantire in via preventiva la conoscibilità di tali dati dovranno utilizzare modalità idonee ad assicurare la tutela dei dati personali e i diritti degli interessati. A tal fine i nominativi degli studenti distinti per classe potranno essere resi noti per le classi prime delle scuole di ogni ordine e grado, tramite apposita comunicazione all’indirizzo e-mail fornito dalla famiglia in fase di iscrizione all’a.s. (…), mentre per le classi successive, ove ritenuto necessario, l’elenco degli alunni potrà essere reso disponibile nell’area documentale riservata del registro elettronico a cui accedono tutti gli studenti della classe di riferimento. In caso di comunicazione tramite e-mail, dovrà essere prestata particolare attenzione a inviare la stessa a ciascun destinatario con un messaggio personalizzato oppure a inviarla utilizzando il campo denominato “copia conoscenza nascosta” (ccn) al fine di non divulgare gli indirizzi e-mail forniti dalle famiglie”.
Anche analizzando tale provvedimento risulta evidente come la decisione relativa a qualsivoglia elemento da pubblicare debba tener conto anche, e forse prima di tutto, la normativa dettata dal Reg. UE 2016/679, tutelando tutti i diritti degli interessati, a maggior ragione si trattasi di minori.
