Registro dei provvedimenti
n. 177 del 21 aprile 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell'Istruzione, dell'università e della ricerca;

Visto l'articolo 154, comma 4, del Codice in materia di protezione dei dati person

ali (d.lg. 30 giugno 2003, n. 196, di seguito Codice);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

PREMESSO

1. Il Ministero dell'Istruzione, dell'università e della ricerca (M.I.U.R.) ha richiesto il parere del Garante in ordine ad uno schema di decreto volto a disciplinare il periodo di conservazione di alcune tipologie di dati personali relativi agli studenti, acquisiti all'Anagrafe nazionale degli studenti (ANS), di cui all'articolo 3 del decreto legislativo 15 aprile 2005, n. 76, recante "Definizione delle norme generali sul diritto-dovere all'istruzione e alla formazione, a norma dell'articolo 2, comma 1, lettera c), della L. 28 marzo 2003, n. 53".

RILEVATO

2. Il testo si compone di un unico articolo, recante due commi. In particolare, il primo comma dell'"Articolo unico" dispone che "Per gli esiti dei percorsi scolastici degli studenti, con riferimento agli esami finali del secondo ciclo e agli esami di qualifica, non si applica quanto disposto dall'art. 1, comma 7, del decreto ministeriale 5 agosto 2010, n. 74". Il citato comma 7 prevede che "Ai sensi del decreto legislativo n. 196/2003, i dati acquisiti all'Anagrafe sono conservati fino al termine dell'anno solare successivo alla conclusione di ogni ciclo scolastico".

Il secondo comma dell'"Articolo unico" dispone che "Per ogni studente censito nell'Anagrafe Nazionale degli Studenti che giunge al termine del percorso scolastico vengono conservati in modo perpetuo i dati relativi a: codice fiscale, codice della scuola che rilascia il titolo di studio, tipo di titolo, voto conseguito, anno solare di conseguimento".

RITENUTO

3. L'ANS è stata istituita dal citato decreto legislativo 15 aprile 2005, n. 76 per la realizzazione del diritto dovere all'istruzione e alla formazione e per la prevenzione ed il contrasto alla dispersione scolastica (cfr. l'art. 3; v. anche l'art. 1 e 3 del d.m. 5 agosto 2010, n. 74, sul quale il Garante ha reso parere il 16 giugno 2010, doc. web n. 1734404). L'ANS opera presso il M.I.U.R. il trattamento dei dati sui percorsi scolastici, formativi e in apprendistato dei singoli studenti e dei dati relativi alla valutazione degli studenti, a partire dal primo anno della scuola primaria (cfr. il citato art. 3, nonché gli artt. 1 e 2 del d.m. 5 agosto 2010, n. 74). Come previsto all'articolo 1, comma 6, del citato decreto, la consultazione da parte del MIUR deve avvenire esclusivamente in forma anonima o comunque con modalità che assicurino la non identificabilità dell'interessato. Nell'allegato tecnico al parere sono individuate le misure idonee a garantirne il rispetto, nonché le condizioni di accesso ed uso dell'Anagrafe da parte dei soggetti abilitati (quelli indicati all'articolo 5 del d.lgs. n. 76/2005, cui vanno aggiunte le università).

A seguito delle modifiche apportate dal comma 1 dell'articolo 48 (norma rubricata "Dematerializzazione di procedure in materia di università") del d.l. 9 febbraio 2012, n. 5, convertito in  legge  4 aprile 2012, n. 35, è stato aggiunto alla legge 2 agosto 1999, n. 264 (recante "Norme in materia di accessi ai corsi universitari") l'articolo 5-bis, il cui comma 1-bis prevede che, per effettuare le procedure di iscrizione alle università esclusivamente per via telematica - e in relazione a quanto previsto dall'articolo 15 della legge 12 novembre 2011, n. 183, in materia di certificati e dichiarazioni sostitutive- le università possano accedere all'ANS per verificare la veridicità dei titoli autocertificati.

Inoltre, allo scopo di evitare la duplicazione di banche dati contenenti informazioni similari, l'ANS e l'anagrafe degli studenti e dei laureati delle università sono considerate banche dati a livello nazionale, realizzate dal M.I.U.R., "alle quali accedono le regioni e gli enti locali ciascuno in relazione alle proprie competenze istituzionali. All'anagrafe degli studenti e dei laureati accedono anche le università […]" (così, l'art. 10, co. 8, d.l. 18 ottobre 2012, n. 179, convertito in legge 17 dicembre 2012, n. 221).

3.1. Giusta tale sintetica premessa sul quadro normativo di settore rilevante, con la disciplina recata dallo schema di decreto, il M.I.U.R. intenderebbe modificare il regime della conservazione dei dati personali acquisiti all'ANS- definito dall'articolo 1, comma 7, del vigente decreto-, prevedendo, da un lato, la conservazione "perpetua" delle informazioni previste dal comma 2 dell'articolo unico, rappresentate dal "codice fiscale, codice della scuola che rilascia il titolo di studio, titolo di studio, voto conseguito, anno solare di conseguimento" (comma 2); dall'altro, la "disapplicazione" dell'articolo 1, comma 7, del d.m. n. 74 del 2010 (che prevede la conservazione dei dati acquisiti all'ANS fino al termine dell'anno solare successivo alla conclusione di ogni ciclo scolastico) in relazione "agli esiti dei percorsi scolastici degli studenti con riferimento agli esami finali del secondo ciclo e agli esami di qualifica" (comma 1).

La ratio del nuovo regime risiederebbe nell'intento di "agevolare l'acquisizione e il controllo dei titoli di studio conseguiti dagli studenti da parte di altre pubbliche amministrazioni o enti tenuti per legge o regolamento ad acquisire d'ufficio tali informazioni" (così, il preambolo dello schema). Al riguardo, va innanzitutto evidenziato come il carattere generico del preambolo sul punto, pur consentendo di intuire la finalità perseguita (e richiamata dall'articolo 5 bis, co. 1 bis, della l. legge 2 agosto 1999, n. 264) non la esplicita nel testo della norma, non permettendo di comprendere in modo immediato quali siano le ragioni che giustificherebbero l'allungamento del periodo di conservazione dei dati. Occorre, quindi, che l'Amministrazione dia evidenza in modo chiaro e puntuale di tali motivazioni, non solo per la valutazione della congruità del termine di conservazione, ma anche in relazione alla pertinenza e non eccedenza dei dati oggetto di conservazione.

3.1.1. In merito alla tipologia dei dati personali a cui fanno riferimento i due commi dell'articolo unico, occorre inoltre evidenziare che:

- il comma 1, nel descrivere i dati personali di interesse, non li individua in modo puntuale, non consentendo di cogliere la coincidenza (come pare voglia intendersi) con i dati di cui al comma 2;

- il comma 2, pur individuando in modo specifico i dati che si intendono sottoporre al nuovo regime di conservazione, non utilizza la nomenclatura di cui all'allegato tecnico al d.m. n. 74 del 2010.

Ne consegue che l'articolo unico va riformulato in modo tale che si evincano con chiarezza le informazioni a cui lo stesso si riferisce e la disciplina del rispettivo periodo di conservazione (ferme restando le considerazioni che seguono in merito a quest'ultimo profilo), nel rispetto dei principi di finalità, necessità, pertinenza, non eccedenza e proporzionalità dei dati.

Inoltre, per ragioni di coerenza di linguaggio e di chiarezza, è necessario che tali informazioni (v., per esempio, "voto conseguito", "anno solare di conseguimento", etc.), riferite ad ogni singolo studente, siano indicate utilizzando la medesima nomenclatura presente nell'allegato tecnico al d.m. n. 74 del 2010, anche mediante il riferimento alle corrispondenti tabelle e numeri progressivi del tracciato record recato da tale allegato tecnico.

3.1.2. Con riguardo alla disciplina dei tempi di conservazione, occorre premettere che la conservazione di dati personali rappresenta un'operazione di trattamento, ai sensi dell'articolo 4, comma 1, lett. a), del Codice, particolarmente delicata. Il Codice prevede infatti che- in merito alle garanzie che devono sovraintendere al trattamento dei dati personali, con specifico riguardo alle modalità del trattamento e ai dati trattati (Titolo III, Capo I, del Codice)- la conservazione dei dati avvenga "in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati" (art. 11, co. 1, lett. e), del Codice). La violazione di tale obbligo comporta che i "dati personali non possono essere trattati" (art. 11, co. 2, del Codice) e, in caso di danni, la risarcibilità anche del danno non patrimoniale (art. 15, co. 2, del Codice). Inoltre, sussiste il divieto di comunicazione dei dati (per i soggetti pubblici come per i privati) nel caso in cui sia decorso il periodo di conservazione (artt. 11, co. 1, lett. e), 18, co. 5, e 25, co. 1, lett. a), del Codice).

Viceversa, l'articolo unico dello schema di decreto mira ad introdurre un regime di conservazione dei dati con valenza perpetua (comma 2), in contrasto con le disposizioni summenzionate ed, in particolare, con il principio di proporzionalità dei tempi di conservazione dei dati rispetto alle finalità del trattamento, portato dall'articolo 11 comma 1, lettera e), del Codice. In ogni caso, né dallo schema di decreto (ivi compreso il relativo preambolo), né dalla normativa richiamata dall'Amministrazione (nel medesimo schema e nella nota di trasmissione) è possibile desumere una qualche giustificazione idonea a supportare tale conservazione ad aeternum delle informazioni in discorso.

Né può trascurarsi la circostanza che tale conservazione perpetua di dati personali porterebbe ad una duplicazione di banche dati, tenuto conto che le istituzioni scolastiche già sono obbligate- in virtù della disciplina in materia di conservazione dei beni culturali- alla conservazione perpetua dei propri documenti. Inoltre, sotto altro profilo, va notato che l'ANS non risulta istituita per svolgere la funzione di archivio delle scuole, né quella di certificazione rispetto alle informazioni in essa contenute.

Pertanto, atteso che la conservazione dei dati deve avvenire per un periodo di tempo non superiore a quello necessario al perseguimento degli scopi per i quali i dati sono raccolti e trattati, e quindi, di norma, per un lasso di tempo circoscritto (e non perpetuo, seppure ampio), l'articolo unico dello schema va opportunamente riformulato, con l'indicazione del termine di conservazione dei dati, decorso il quale i dati devono essere cancellati o resi anonimi.

A questo proposito, si consideri che la disciplina di settore prevede l'integrazione dell'ANS con le anagrafi regionali degli studenti e con l'anagrafe della popolazione residente (Anpr). In virtù di tale integrazione, il decesso dell'interessato, oltre a dare luogo alla cancellazione dall'Anpr, potrebbe altresì comportare l'automatica cancellazione dall'ANS delle informazioni relative agli esiti finali del secondo ciclo di istruzione e degli esami di qualifica senza compromettere la certezza e celerità delle funzioni istituzionali delle università (art. 3 d.lgs. n. 76/2005; art. 11 d.P.R. n. 223/1989).

Per esigenze di certezza, si ritiene preferibile- sotto il profilo di tecnica normativa- che lo schema di decreto preveda la modifica del vigente d.m. n. 74 del 2010 e del relativo allegato tecnico, tenendo conto dei rilievi formulati in questa sede.

4. Nel preambolo dello schema si legge che il M.I.U.R. intenderebbe consentire alle Università, nonché ad altre pubbliche amministrazioni od enti tenuti per legge o regolamento ad acquisire di ufficio tali informazioni, di accedere all'ANS per la verifica ed il controllo delle dichiarazioni sostitutive presentate dagli studenti in merito all'esito degli esami finali del secondo ciclo di istruzione e agli esami di qualifica. A tale proposito vale ricordare, per quanto di interesse, che ai sensi della normativa in materia di certificati e dichiarazioni sostitutive, le amministrazioni pubbliche e i gestori di pubblici servizi sono tenuti ad acquisire d'ufficio le informazioni oggetto delle dichiarazioni sostitutive, nonché i dati e i documenti in possesso delle pubbliche amministrazioni (cfr. l'art. 43, co. 1, del d.P.R. 28 dicembre 2000, n. 445). Al fine di agevolare l'accertamento d'ufficio di stati, qualità e fatti ovvero il controllo sulle dichiarazioni sostitutive presentate dai cittadini, le amministrazioni certificanti sono tenute a consentire ai gestori di pubblico servizio o alle amministrazioni procedenti la consultazione diretta per via telematica (previo rilascio di apposita autorizzazione, in cui vengono indicati i limiti e le condizioni di accesso volti ad assicurare la riservatezza dei dati personali ai sensi della normativa vigente) dei loro archivi informatici, nel rispetto della riservatezza dei dati personali e fermo restando il divieto di accesso a dati diversi da quelli di cui è necessario acquisire la certezza o verificare l'esattezza (cfr. l'art. 43, co. 2, 3 e 4, cit.).

Con specifico riferimento alla disciplina di settore relativa agli esami di stato conclusivi dei corsi di istruzione secondaria superiore, va evidenziato che le decisioni in ordine al superamento di detti esami sono assunte dalle commissioni esaminatrici, che rilasciano ad ogni singolo candidato un diploma e una certificazione contenente una serie di informazioni (cfr. la legge 10 dicembre 1997, n. 425, il d.p.r. 23 luglio 1998, n. 323 e il d.m. 23 gennaio 2006, n. 8). Inoltre, le istituzioni scolastiche sono tenute alla conservazione dei registri di classe e dell'ulteriore documentazione da essi prodotta ai sensi del d.lgs. 22 gennaio 2004, n. 42, recante il Codice dei beni culturali e del paesaggio (cfr. l'art. 10 della legge 6 luglio 2002, n. 137).

4.1. In proposito, con riguardo alle università, si evidenzia che, sebbene il M.I.U.R. non sia l'amministrazione certificante, sussiste comunque una specifica norma di legge (l'art. 5-bis della l. n. 264 del 1999), che prevede espressamente l'accesso delle università all'ANS per la verifica della veridicità dei titoli autocertificati. Ne consegue la necessità di integrare i profili di autorizzazione previsti dall'allegato tecnico al d.m. n. 74 del 2010 con un nuovo profilo per l'accesso da parte del personale incaricato delle università, individuandone le associate funzionalità e avendo cura di evidenziare le specifiche garanzie in ordine al tracciamento e alla conservazione dei file di log relativi agli accessi all'ANS, nel rispetto delle misure tecniche ed organizzative adottate a protezione dei dati degli studenti contenuti nell'ANS.

4.2. In relazione alle altre pubbliche amministrazioni od enti, a cui si fa riferimento nel preambolo dello schema, tenuti ad effettuare d'ufficio il controllo dei titoli di studio autocertificati dagli studenti, devono rilevarsi le seguenti criticità.

Ai sensi della richiamata normativa di settore, l'amministrazione o l'ente tenuto alla verifica dei titoli autodichiarati devono rivolgersi alle amministrazioni certificanti, le quali sono tenute a consentire agli stessi la consultazione per via telematica dei propri archivi informatici. Nel caso in esame, quindi, la verifica delle autocertificazioni relative agli esiti degli esami finali del secondo ciclo di istruzione e degli esami di qualifica deve essere condotta, di regola, dalle amministrazioni procedenti presso le singole istituzioni scolastiche dove si è insediata la commissione esaminatrice che ha rilasciato il titolo, salva anche per le altre pubbliche amministrazioni od enti in discorso l'esistenza di una specifica previsione normativa che disponga espressamente come per le università l'accessibilità all'ANS. Ciò, tenuto anche conto che, come sopra rilevato, l'ANS non risulta istituita al fine di svolgere la funzione di archivio per le istituzioni scolastiche o le commissioni esaminatrici (art. 43, d.P.R. 445 del 2000), fermo restando che le regioni e gli enti locali possono comunque accedere all'ANS in relazione alle rispettive competenze istituzionali (cfr. il cit. art. 10, co. 8, d.l. n. 179 del 2012), nel rispetto della normativa dettata in materia di protezione dei dati personali e delle specifiche modalità di cui all'allegato tecnico al d.m. n. 74 del 2010.

TUTTO CIO' PREMESSO IL GARANTE

esprime parere, nei termini di cui in motivazione, sullo schema di decreto del Ministro dell'Istruzione, dell'università e della ricerca concernente il periodo di conservazione di alcune tipologie di dati recate dall'ANS, con le seguenti condizioni:

a) sia data evidenza in maniera chiara e puntuale delle ragioni che giustificherebbero l'allungamento del periodo di conservazione dei dati rispetto a quanto già previsto dal d.m. n. 74 del 2010 (punto 3.1.);

b) dal preambolo sia eliminato il riferimento alla possibilità di accesso all'ANS per le pubbliche amministrazioni o gli enti diversi dalle università (punto 4.2.);

c) l'articolo unico sia opportunamente riformulato, con l'indicazione del termine di conservazione dei dati, eventualmente anche legato alla permanenza in vita dell'interessato, decorso il quale i dati devono essere cancellati o resi anonimi (punto 3.1.2.);

d) l'articolo unico indichi le informazioni riferite ad ogni singolo studente utilizzando la medesima nomenclatura presente nell'allegato tecnico al d.m. n. 74 del 2010, anche mediante il riferimento alle corrispondenti tabelle e numeri progressivi del tracciato record recato da tale allegato tecnico (punto 3.1.1.);
e con la seguente raccomandazione:

e) si integrino i profili di autorizzazione previsti dall'allegato tecnico al d.m. n. 74 del 2010 con un nuovo profilo per l'accesso da parte del personale incaricato delle università, individuandone le associate funzionalità e avendo cura di evidenziare le specifiche garanzie in ordine al tracciamento e alla conservazione dei file di log relativi agli accessi all'ANS, nel rispetto delle misure tecniche ed organizzative adottate a protezione dei dati degli studenti contenuti nell'ANS (punto 4.1.).

Roma, 21 aprile 2016

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia