Registro dei provvedimenti
n. 535 del 15 ottobre 2015
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;
Vista la richiesta di parere del Ministero dell'Istruzione, dell'università e della ricerca;
Visto l'articolo 154, commi 1, lett. g) e 4, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito Codice);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore la prof.ssa Licia Califano;
PREMESSO
1. Il Ministero dell'Istruzione, dell'università e della ricerca (M.I.U.R) ha richiesto il parere del Garante in ordine a uno schema di regolamento in materia di "Trattamento dei dati idonei a rivelare lo stato di disabilità degli alunni censiti nell'Anagrafe nazionale degli Studenti".
Lo schema è adottato in attuazione del disposto di cui all'articolo 13, comma 2-ter, del decreto-legge 12 settembre 2013, n. 104, convertito, con modificazioni, dalla legge 8 novembre 2013, n. 128, in base al quale "al fine di consentire il costante miglioramento dell'integrazione scolastica degli alunni disabili mediante l'assegnazione del personale docente di sostegno, le istituzioni scolastiche trasmettono per via telematica alla banca dati dell'Anagrafe nazionale degli studenti le diagnosi funzionali di cui al comma 5 dell'articolo 12 della legge 5 febbraio 1992, n. 104, prive di elementi identificativi degli alunni.".
La medesima disposizione normativa prevede poi che, con decreto del Ministro dell'istruzione, dell'università e della ricerca avente natura regolamentare, siano definiti, previo parere del Garante, "i criteri e le modalità concernenti la possibilità di accesso ai dati di natura sensibile di cui al presente comma e la sicurezza dei medesimi, assicurando nell'ambito dell'Anagrafe nazionale degli studenti la separazione tra la partizione contenente le diagnosi funzionali e gli altri dati.".
RILEVATO
2. Lo schema di regolamento si compone di un unico articolo e di un allegato tecnico che ne costituisce parte integrante.
Tale articolo stabilisce che, per il perseguimento delle finalità di rilevante interesse pubblico di cui agli articoli 73, 86 e 95 del Codice, l'Anagrafe nazionale degli studenti (di seguito anche ANS) raccoglie in una "partizione separata" i dati che rivelano lo stato di disabilità degli alunni, la cui conoscenza sia indispensabile ai fini della loro integrazione scolastica, ma privi di elementi identificativi degli alunni stessi (diagnosi funzionale, profilo dinamico-funzionale, piano educativo individualizzato). L'allegato tecnico individua i tipi di dati e le operazioni su di essi eseguibili, indispensabili per le finalità anzidette ed indica i soggetti legittimati al trattamento, nel rispetto delle competenze attribuite dalla legge e dei principi di pertinenza, non eccedenza ed indispensabilità previsti dal Codice.
Al riguardo si osserva preliminarmente che lo schema in esame tiene conto delle indicazioni fornite dall'Ufficio del Garante ai competenti uffici del M.I.U.R. nel corso di incontri e contatti, anche informali, volte a rendere conforme il provvedimento ai principi e alle regole in materia di protezione dei dati personali e a garantire un elevato livello di tutela dei diritti, delle libertà fondamentali ed in particolar modo della dignità degli interessati; ciò, anche in considerazione della minore età degli studenti e della loro condizione di disabilità, che non possono in alcun modo costituire un ostacolo alla concreta realizzazione del diritto all'istruzione.
Nello specifico, visto che lo schema di regolamento concerne il trattamento di dati sensibili, idonei a rivelare lo stato di salute degli alunni, la predetta collaborazione è stata finalizzata all'individuazione delle finalità di rilevante interesse pubblico del trattamento, delle operazioni eseguibili, dei tipi di dati trattati e di modalità del trattamento lecite e corrette (artt. 11, 20, 22, 73, 86 e 95 del Codice).
Al riguardo, l'Autorità richiama l'attenzione dell'Amministrazione interessata sull'importanza della materia in esame e in particolare dell'Anagrafe degli studenti - che, insieme all'Anagrafe nazionale degli studenti e dei laureati delle università, di cui all'articolo 1-bis del decreto legge 9 maggio 2003, n. 105, rappresenta una importante banca dati "a livello nazionale" realizzata dal M.I.U.R. (art. 10, comma 8, primo periodo, d.l. n. 179/2012), sia per la delicatezza dei dati che vi sono registrati, i quali, appunto possono avere anche natura di dati sensibili e giudiziari, sia per la vasta platea di soggetti legittimati, per legge, ad accedervi, in relazione alle proprie competenze istituzionali (Ministero, regioni, enti locali, Università, istituzioni scolastiche).
In proposito si rammenta che il d.m. 5 agosto 2010, n. 74, stabilisce che in relazione alle finalità di rilevante interesse pubblico individuate dall'articolo 95 del Codice, l'Anagrafe "può contenere dati idonei a rivelare lo stato di salute, le convinzioni religiose o di altro genere e dati giudiziari indispensabili ad individuare il soggetto presso il quale lo studente assolve l'obbligo scolastico" (art. 2, comma 3), e "i soggetti che comunicano dati personali all'Anagrafe….rispondono della loro veridicità e autenticità" (art. 2, comma 4).
CONSIDERATO
3. I tipi di dati trattati.
La riforma normativa cui lo schema di regolamento intende dare attuazione mira a consentire la realizzazione della procedura per l'assegnazione del personale docente di sostegno agli studenti disabili attraverso le nuove funzionalità dell'ANS, le indicazioni rese dall'Ufficio negli incontri di lavoro hanno pertanto riguardato, in via principale, l'individuazione delle informazioni idonee a rivelare lo stato di salute da inserire nella predetta Anagrafe indispensabili a tal fine.
Tali informazioni concernono, in particolare:
• "la certificazione dello stato di handicap o dello stato di handicap in situazione di gravità" ai sensi della legga 104 del 1992 (verbale di accertamento);
• "la diagnosi funzionale" dell'alunno alla cui redazione provvede l'unità multidisciplinare di cui all'art. 3,comma 2, del d.P.R. 24 febbraio 1994;
• "il profilo dinamico funzionale" alla cui redazione provvedono congiuntamente, con la collaborazione dei genitori dell'alunno, l'unità multidisciplinare prevista dall'art. 3, comma 2, del d.P.R. 24 febbraio 1994 e, per ciascun grado di scuola, il personale specializzato della scuola (art. 12, l. 104 del 1992 e art. 4 d.P.R. del 24 febbraio 1994);
• "il piano educativo individualizzato" formulato dai soggetti di cui all'art. 5, comma 2 del d.P.R. 24 febbraio 1994 per la formulazione della proposta relativa all'individuazione delle risorse necessarie, ivi compresa l'indicazione del numero delle ore di sostegno (art. 3, d.P.C.M. 23 febbraio 2006, n. 185).
Il dettaglio delle informazioni e della documentazione inviate alla costituenda "partizione" dell'ANS (di seguito anche partizione separata) dalle istituzioni scolastiche è descritto nel tracciato record di cui al paragrafo 1 dell'allegato tecnico al regolamento.
Lo schema di regolamento prevede che i dati idonei a rivelare lo stato di salute degli studenti disabili siano raccolti privi di elementi identificativi nella partizione separata, distinta sia dal punto di vista logico che fisico dalla parte dell'ANS che contiene i dati identificativi (anagrafici, curriculari e di frequenza) riferiti agli studenti.
Tenendo conto delle indicazioni rese nell'ambito dell'attività collaborativa, il Ministero ha, quindi, stabilito che i predetti documenti siano inseriti, come richiesto dalla norma, privi di tutti gli elementi identificativi degli interessati. I file contenenti la citata documentazione sono, infatti, caricati nella partizione separata in formato pdf, previa cancellazione di tutte le informazioni anagrafiche dell'alunno.
Nei limitati casi in cui i predetti dati idonei a rivelare lo stato di salute devono essere associati all'interessato (cfr. c.d. "assegnazione dei posti in deroga" di cui oltre), una chiave numerica, memorizzata sulla base dati in formato crittografato e mai visualizzata, "separata e custodita in un server ad accesso limitato e controllato (…) accessibile esclusivamente dal software applicativo che utilizza la chiave di cifratura", consente di effettuare tale operazione.
Sono state, invece, espunte le informazioni relative agli studenti affetti da Disturbi Specifici dell'Apprendimento (DSA), il cui diritto all'integrazione scolastica risulta, infatti, garantito da una specifica e differente disciplina di settore (cfr. l. 8 ottobre 2010. n. 170; d.m. 12 luglio 2011; Direttiva ministeriale 27 dicembre 2012; circolare ministeriale n. 8 del 6 marzo 2013).
4. Le operazioni eseguibili.
L'allegato tecnico al decreto, nel descrivere le operazioni eseguibili, individua, in particolare, le modalità ed i soggetti legittimati ad accedere alla partizione separata e le funzionalità abilitate per ogni singola categoria di utente.
Sotto il primo aspetto, è precisato che l'accesso avvenga "attraverso funzionalità web internet erogate dall'infrastruttura del sistema informativo del MIUR (SIDI) utilizzando il protocollo HTTPS" mediante credenziali costituite da un codice identificativo e una password.
Con riferimento al secondo aspetto, si evidenzia che al profilo "utente scuola", assegnato al dirigente scolastico, sono abilitate le funzionalità di inserimento, consultazione modifica e ricerca di tutti i dati idonei a rivelare lo stato di salute relativi ai propri iscritti per il periodo di frequenza dell'istituto.
La partizione separata conserva le informazioni degli alunni per il periodo di frequenza degli stessi nel sistema nazionale di istruzione, anche al fine di garantire "la continuità educativa fra i diversi gradi di scuola, prevedendo forme obbligatorie di consultazione tra insegnanti del ciclo inferiore e del ciclo superiore ed il massimo sviluppo dell'esperienza scolastica della persona handicappata in tutti gli ordini e gradi di scuola" (art. 14, comma 1, lett. c) l. 104 del 1992).
Sulla base delle osservazioni emerse nel corso dell'attività di collaborazione, il regolamento evidenzia, inoltre, che i dati vengono irreversibilmente cancellati dalla nuova partizione dell'ANS all'uscita dal sistema scolastico e del percorso formativo dell'alunno attraverso una procedura di batch calendarizzata a completamento delle attività di avvio dell'anno scolastico.
Al profilo "gruppo di lavoro per l'integrazione scolastica" sono abilitate le funzionalità di "inserimento del parere relativo all'assegnazione del docente di sostegno per singolo alunno" e "di consultazione di tutte le informazioni elencate nel tracciato" prive di dati identificativi diretti.
Sempre sulla base delle indicazioni fornite dall'Ufficio del Garante, il regolamento precisa che possono essere abilitati all'accesso massimo tre membri del gruppo, scelti tra il personale dell'amministrazione scolastica all'uopo specificamente designati incaricati del trattamento. Il MIUR, inoltre, conserva copia di tutte le designazioni che prevedono l'abilitazione all'accesso alla partizione seperata.
Al profilo "Ufficio scolastico regionale per ambito territoriale e Direzione generale regionale", responsabili delle procedure dell'organico di sostegno, sono abilitate le funzionalità di inserimento del numero delle ore assegnate per il sostegno e consultazione delle richieste formulate dalla scuola e delle valutazioni del gruppo di lavoro per l'integrazione scolastica, documenti che, come detto, non recano alcuno dato direttamente identificativo degli studenti.
Il personale in possesso di detto profilo può, inoltre, accedere a dati di riepilogo, relativi alla consistenza degli alunni per classe, privi di qualsiasi informazione che possa consentire di individuare i singoli alunni frequentanti.
Solo nelle ipotesi di "assegnazione dei posti in deroga", in base alle sentenza della Corte Costituzionale n. 80 del 2010, al personale con profilo "Ufficio scolastico regionale per ambito territoriale e alla Direzione generale regionale" è consentito l'accesso alle informazioni anagrafiche dell'alunno. Come emerso nel corso dei citati approfondimenti, tale accesso può avvenire solo previa abilitazione da parte del dirigente scolastico (profilo utente: scuola) a seguito di specifica istanza da parte della famiglia interessata; tale operazione è "tracciata dal sistema in appositi log".
Al riguardo, deve precisarsi che con la citata sentenza la Corte Costituzionale ha dichiarato l'illegittimità costituzionale dell'articolo 2, comma 413, della legge 24 dicembre 2007, n. 244 (Disposizioni per la formazione del bilancio annuale e pluriennale dello Stato – legge finanziaria 2008), nella parte in cui fissa un limite massimo al numero dei posti degli insegnanti di sostegno; e dell'articolo 2, comma 414, della medesima legge, nella parte in cui esclude(va) la possibilità, già contemplata dalla legge 27 dicembre 1997, n. 449, di assumere insegnanti di sostegno in deroga, in presenza nelle classi di studenti con disabilità grave, una volta esperiti gli strumenti di tutela previsti dalla normativa vigente.
Al profilo "amministrazione centrale", assegnato al personale selezionato della Direzione generale per il Personale Scolastico e della Direzione generale per i contratti, gli acquisti e per i sistemi informativi e la statistica, è abilitata la funzionalità di consultazione di dati di sintesi aggregati a livello regionale e provinciale. Tale accesso risulta funzionale allo svolgimento delle funzioni istituzionali delle predette Direzioni, tenuto anche conto che l'ANS può essere utilizzata dal M.I.U.R. anche per l'assolvimento dei propri compiti istituzionali (art. 48, comma 1-bis, d.l. n. 5 del 2012, convertito con modificazioni in legge n. 35 del 2012 e d.P.R. 11 febbraio 2014, n. 98).
5. Tutto ciò considerato, con riferimento ai profili descritti ai punti 3 e 4 l'Autorità non rileva criticità nello schema di regolamento e non ha, pertanto, osservazioni da formulare.
RITENUTO
6. Le misure di sicurezza
Nell'allegato tecnico – come sommariamente descritto ai punti 3 e 4 - sono individuati accorgimenti e misure di sicurezza volti a garantire la selettività degli accessi all'anagrafe e il corretto utilizzo dei dati, nonché a scongiurare il rischio di accessi abusivi o non autorizzati.
Fra le misure previste rilevano anche i file di log relativi alla registrazione degli accessi, per i quali il regolamento prevede un periodo di conservazione "non inferiore a" 12 mesi (all. tecnico, paragrafo 2, ultimo periodo).
Al riguardo, poiché per rispettare il principio di cui all'articolo 11, comma 1, lett. e), del Codice, è necessario individuare termini certi di conservazione dei dati (senza ricorrere a locuzioni indefinite come "non inferiore a", utilizzata nello schema) l'allegato tecnico va perfezionato stabilendo un termine di conservazione dei log che sia congruo e proporzionato rispetto alle finalità perseguite e la cui individuazione si rimette alla prudente valutazione dell'Amministrazione interessata.
IL GARANTE
esprime parere favorevole sullo schema di regolamento in materia di "Trattamento dei dati idonei a rivelare lo stato di disabilità degli alunni censiti nell'Anagrafe nazionale degli Studenti", adottato in attuazione dell'articolo 13, comma 2-ter, della legge 8 novembre 2013, n. 128, con la seguente condizione:
a) l'allegato tecnico dello schema sia perfezionato con l'individuazione di un termine di conservazione dei log congruo e proporzionato, come specificato nei termini di cui in motivazione (punto 6).
Roma, 15 ottobre 2015
IL PRESIDENTE
Iannini
IL RELATORE
Califano
IL SEGRETARIO GENERALE
Busia
