Tu sei qui: Home Legislazione e dottrina Indice cronologico 2017 ottobre Nota MIUR 02.10.2017, prot. n. 12071
Nota MIUR 02.10.2017, prot. n. 12071 Legislazione e dottrina    

Nota MIUR 02.10.2017, prot. n. 12071

Autorità Garante per la Protezione dei Dati Personali. Nota del 16-3-2017 prot. U.0010074. Diffusione di dati personali riferiti ad alunni. Invito a conformarsi.

A seguito di alcune specifiche criticità sorte in relazione alle modalità di pubblicazione da parte delle istituzioni scolastiche di istruzione secondaria di secondo grado (di seguito "scuole") del curriculum dello studente dell'ultimo anno, l'Autorità Garante per la Protezione dei Dati Personali ha ritenuto di fornire al Miur chiarimenti e indicazioni.

A riguardo, nelle more di una opportuna rivisitazione, unitamente al Garante e al Ministero delle Politiche Sociali, della circolare precedentemente emanata dal Miur e Ministero del Lavoro e delle Politiche Sociali 4 agosto 2011, e quindi dell'intera materia concernente le modalità attuative in ambito scolastico dell'attività di intermediazione in relazione alla disciplina concernente la protezione dei dati personali, con particolare riferimento alla pubblicazione dei curricula degli studenti dell'ultimo anno, si trasmettono, in allegato, le "Indicazioni operative dello stesso Garante sull'art. 96 del Codice in materia di protezione dei dati personali (Codice) in tema di trattamento dei dati personali degli studenti da parte delle istituzioni scolastiche per finalità di orientamento, formazione e inserimento professionale", con preghiera di garantirne la più ampia diffusione tra le istituzioni scolastiche.

Tali indicazioni concernono, infatti, una fattispecie (quella, appunto, di cui all'art. 96 del Codice, d.lgs. 30 giugno 2003, n. 196) per molti aspetti analoga all'intermediazione e possono, quindi, risultare utili anche al fine di svolgere tale ultima attività garantendo la tutela dei diritti, delle libertà fondamentali e della dignità degli studenti, nel pieno rispetto della disciplina in materia di protezione dei dati personali.

Ciò premesso, si precisa che l'intermediazione è l'attività svolta a favorire l'incontro tra la domanda di lavoro, orientamento professionale o attività formative di uno specifico committente e l'offerta disponibile sul mercato.

In particolare, l'intermediazione di cui al d.lgs. 10 settembre 2003, n. 276 prevede che gli intermediari autorizzati si limitino - a determinate condizioni - a rendere pubblici e gratuitamente accessibili i curricula degli studenti, per almeno dodici mesi successivi alla data del conseguimento del titolo di studio.

Ne consegue, in primo luogo, che le scuole non possono disporre ex officio la diffusione dei curricula degli studenti, necessitando piuttosto di un'esplicita richiesta da parte dello studente a che venga favorito l'incontro tra la sua domanda con le possibili offerte di lavoro.

Pertanto, non risultano adeguati meccanismi di adesione all'iniziativa strutturati con la formula del c.d. "opt-out", in base al quale le scuole rendono noto di procedere alla diffusione dei curricula, salva diversa determinazione dell'interessato.

L'interessato, inoltre, deve essere posto nelle condizioni (e deve esserne pienamente consapevole) di poter, in ogni momento, revocare la sua richiesta con l'effetto di fermare l'ulteriore diffusione, da parte delle scuole, dei suoi dati personali. Ciò, ferma, ovviamente, restando la legittimità delle operazioni di trattamento effettuate prima della revoca.

La richiesta dell'interessato costituisce una vera e propria manifestazione di volontà. Come tale, in analogia a quanto previsto per il consenso, affinché possa considerarsi valida e consapevole, è necessario che sia preceduta da un'idonea informativa sul trattamento dei dati personali e che sia libera, specifica e, come detto, revocabile (art. 23 del Codice).

Le scuole, quindi, devono - nelle modalità e con gli strumenti più adeguati - fornire idonea informativa in ordine al trattamento di dati personali effettuato nell'esercizio dell'attività di intermediazione, ai sensi dell'art. 13 del Codice.

La diffusione dei dati personali degli studenti può concernere unicamente determinate categorie di informazioni, quelle cioè c.d. curriculari relative, quindi, alla carriera di studio e alle esperienze lavorative dello studente. A tal fine può tenersi conto dello schema di curriculum vitae predisposto in allegato al decreto del Ministero del lavoro e delle politiche sociali del 20 settembre 2011, recante "Modalità attuative di interconnessione a ClicLavoro di Università ed altri soggetti autorizzati all'esercizio dell'attività di intermediazione".

Con riferimento ai tempi di diffusione del curriculum vitae dello studente, si ricorda che costituisce un principio generale della protezione dei dati personali, quello di proporzionalità, in base al quale, tra l'altro, i dati devono essere conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati, secondo quanto previsto dall'art.11, comma 1, lett. e) del Codice.

La pubblicazione di dati personali degli studenti è consentita soltanto per il tempo necessario e appropriato rispetto all'obiettivo perseguito. Tale lasso di tempo, nel caso in esame, è espressamente individuato dalla legge in "almeno 12 mesi". Deve ritenersi, quindi, che gli intermediari possono diffondere i dati per un periodo di tempo superiore solo su esplicita richiesta del soggetto interessato.

 

Allegato -Indicazioni operative sull'art. 96 del Codice in tema di trattamento dei dati personali degli studenti da parte delle istituzioni scolastiche per finalità di orientamento, formazione e inserimento professionale

1. I titolari del trattamento e i dati trattabili

L'art. 96 del Codice del Codice dispone che "al fine di agevolare l'orientamento, la formazione e l'inserimento professionale, anche all'estero, le scuole e gli istituti scolastici di istruzione secondaria, su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti scolastici, intermedi e finali, degli studenti e altri dati personali diversi da quelli sensibili o giudiziari, pertinenti in relazione alle predette finalità e indicati nell'informativa resa agli interessati ai sensi dell'articolo 13. I dati possono essere successivamente trattati esclusivamente per le predette finalità".

La disposizione individua come destinatari "le scuole e gli istituti scolastici di istruzione secondaria", quindi solo le scuole secondarie di secondo grado, statali e paritarie.

La comunicazione e la diffusione dei dati personali degli studenti possono concernere unicamente determinate categorie di informazioni, in particolare possono essere trattati i soli "dati relativi agli esiti scolastici, intermedi e finali, degli studenti e altri dati personali diversi da quelli sensibili o giudiziari. pertinenti in relazione alle predette finalità".

Su tale base, spetta dunque alle predette scuole individuare le specifiche informazioni, riferite agli studenti, che possono essere comunicate o diffuse, qualora questi ne facciano espressa richiesta.

In questo quadro, possono, ed esempio, essere comunicate o diffuse le seguenti tipologie di informazioni identificative degli studenti: nome, cognome, luogo e data di nascita, così come l'istituzione scolastica di appartenenza, la classe e la sezione di frequenza, nonché, come richiamato dalla stessa disposizione, gli esiti scolastici, intermedi e finali, che devono essere espressi secondo la specifica disciplina di settore vigente.

Devono, invece, considerarsi, in linea generale, eccedenti ulteriori informazioni identificative degli interessati, quali, ad esempio, il codice fiscale o l'indirizzo di residenza.

L'art. 96 del Codice prevede, poi, che possano essere comunicate o diffuse altre informazioni che siano pertinenti rispetto alla finalità di agevolare l'orientamento, la formazione e l'inserimento professionale degli studenti.

Le scuole, pertanto, sono tenute ad effettuare, caso per caso, un'accurata valutazione sull'effettiva inerenza e funzionalità, rispetto ai predetti fini, degli ulteriori dati personali riferiti agli studenti che si rendono disponibili a comunicare o diffondere (artt. 11, comma 1, e 18, comma 2, del Codice).

Può, ad esempio, trattarsi di informazioni relative alle esperienze formative e di apprendimento maturate dagli studenti nel corso della propria carriera scolastica, quali: la partecipazione alle attività e agli interventi educativi realizzati dalle istituzioni scolastiche anche fuori dalla propria sede, la partecipazione a percorsi di alternanza scuola-lavoro, la frequenza di insegnamenti opzionali, la partecipazione a corsi di formazione in materia di tutela della salute e della sicurezza nei luoghi di lavoro, la partecipazione ad iniziative di carattere sportivo ovvero alle Olimpiadi organizzate dal Ministero dell'Istruzione dell'Università e della Ricerca nelle diverse discipline.

Salvo diverse e rigorose valutazioni devono, invece, considerarsi non proporzionate, né pertinenti, alcune particolari categorie di informazioni che, seppur diverse da quelle sensibili e giudiziarie, possono presentare rischi specifici per i diritti, le libertà fondamentali e la dignità degli interessati, quali: informazioni riferite al contesto socio-educativo, la cittadinanza, ulteriori informazioni relative al nucleo familiare di appartenenza o all'interessato (coniugato, nubile o celibe, genitore), ma anche opinioni o altri apprezzamenti di tipo soggettivo del personale docente che non siano stati opportunamente formalizzati, in voti o giudizi, secondo la disciplina di settore (artt. 11 e 17 del Codice).

In linea con il più generale divieto di diffondere dati relativi allo stato di salute, l'art. 96 del Codice dispone, in maniera più stringente, che nessun tipo di dato sensibile e giudiziario può essere oggetto di comunicazione o diffusione per le finalità di orientamento, formazione e inserimento professionale, fermi gli specifici presupposti previsti dal Codice per gli ulteriori trattamenti di tali categorie di informazioni da parte delle istituzioni scolastiche (artt. 4, comma 1, lett. d) e e), 20-22 e 26-27, del Codice; d.m. 7 dicembre 2006, n. 305; parere del Garante 26 luglio 2006, doc. web n. 1321703; Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, n. 2 del 2014, doc. web n. 3619954; Autorizzazione al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni n. 3 del 2014, doc. web n. 3620014).

Devono, quindi, ritenersi vietate le comunicazioni e diffusioni, ai sensi dell'art. 96 del Codice, a titolo di esempio, della valutazione dell'insegnamento della religione cattolica, della presenza di disabilità accertate o di diagnosticati disturbi specifici dell'apprendimento, nonché di ulteriori informazioni idonee a rivelare l'origine razziale od etnica, la vita sessuale, le convinzioni filosofiche o le opinioni politiche dell'interessato.

Non possono, parimenti, essere diffusi dati giudiziari riferiti agli studenti, quali quelli idonei a rivelare la condizione di detenuto dell'interessato. Ciò, ferma restando la specifica disciplina di settore relativa all'istruzione e formazione negli istituti di detenzione e pena.

2. Presupposto del trattamento: "la richiesta da parte dell'interessato"

La disposizione di cui all'art. 96 del Codice individua nell'esplicita "richiesta" da parte degli interessati, o degli esercenti la potestà genitoriale (in caso di soggetti minori di età), il presupposto giuridico che legittima la comunicazione o diffusione di dati personali degli studenti per finalità di orientamento, formazione e inserimento professionale.

Essa costituisce una vera e propria manifestazione di volontà. Come tale, in analogia a quanto previsto per il consenso, affinché possa considerarsi valida e consapevole, è necessario cha sia preceduta da un'idonea informativa sul trattamento dei dati personali e che sia libera, specifica e revocabile (art. 23 del Codice).

Occorre, quindi, che la richiesta non sia frutto di condizionamenti o coercizioni esterne. Ciò avviene, ad esempio, tutte le volte in cui l'interessato ha la percezione che la mancata partecipazione all'iniziativa possa compromettere il buon esito di altri servizi offerti dalla scuola ovvero il suo coinvolgimento in altre iniziative, anche di carattere similare.

L'interessato, inoltre, ha il diritto a che la richiesta avanzata sia idonea a consentire, a sua scelta, la comunicazione o la diffusione (ovvero entrambe le operazioni di trattamento) dei sui dati personali per le finalità di orientamento, formazione e inserimento professionale, senza che da ciò debba derivare automaticamente anche il consenso a operazioni di trattamento volte e perseguire scopi ulteriori (e diversi) rispetto a quello originario (es. marketing).

Su tali basi, quindi, tenuto anche conto della peculiarità del contesto, e della minore età dei soggetti interessati, si ritiene opportuno che non vengano previsti meccanismi di adesione all'iniziativa strutturati con la formula del c.d. "opt-out", in base alla quale l'istituzione scolastica titolare del trattamento rende noto di procedere alla comunicazione o diffusione di dati personali salva diversa determinazione espressa dell'interessato.

L'interessato deve essere, inoltre, posto nelle condizioni (e deve esserne pienamente consapevole) di poter, in ogni momento, revocare la sua richiesta con l'effetto di fermare l'ulteriore comunicazione o diffusione, da parte delle scuole, dei suoi dati personali. Ciò ferma ovviamente restando la legittimità delle operazioni di trattamento effettuate prima della revoca.

A tal proposito si raccomanda alle scuole di porsi nelle condizioni di poter comprovare la presenza del presupposto legittimante le operazioni di trattamento di comunicazione o diffusione effettuate, ad esempio conservando eventuali moduli di richiesta.

Al fine di contribuire alla formazione e crescita della consapevolezza dei minori anche rispetto ai propri diritti fondamentali, con particolare riferimento alla protezione dei dati personali, è opportuno che questi siano adeguatamente informati e, in ragione della diversa età, consultati prima della formalizzazione alla scuola della richiesta in esame. Ciò anche al fine di consentire all'interessato, una volta raggiunta la maggiore età, di poter revocare ovvero confermare la richiesta per lui avanzata dal rappresentante legale al fine di consentire, rispettivamente, l'interruzione o il perseguimento delle operazioni di trattamento.

3. Le operazioni eseguibili

L'art. 96 del Codice consente alle scuole, su richiesta degli interessati, di effettuare comunicazioni o diffusioni dei propri dati personali.

La disposizione in esame deve essere intesa nel senso che le scuole devono offrire agli studenti la possibilità di scegliere, consapevolmente, quali operazioni di trattamento richiedere tra la semplice comunicazione o la diffusione, ovvero entrambe (art. 4, comma 1, lett. m) e n), del Codice).

Tutte le volte in cui le scuole, su richiesta degli interessati, effettuano la diffusione di dati personali dei propri studenti tramite la rete internet, si raccomanda di adottare opportune cautele che prevengano l'indiscriminata reperibilità di tali dati tramite i motori di ricerca esterni (es. Google).

A tal fine, le scuole dovrebbero, quindi, adottare funzionalità di ricerca interne al proprio sito internet istituzionale, favorendo accessi più selettivi e coerenti con le finalità della diffusione.

4. Finalità del trattamento

Secondo il principio di finalità, i dati personali possono essere trattati solo per scopi, determinati, espliciti e legittimi ed ulteriormente trattati in termini compatibili con tali scopi (art. 11, comma 2, lett. b), del Codice).

Su tale base, l'art. 96 del Codice presume in via assoluta l'incompatibilità di qualunque ulteriore finalità di trattamento dei dati comunicati o diffusi su richiesta degli interessati per agevolarne l'orientamento, la formazione e l'inserimento professionale.

I dati degli studenti non potranno, quindi, essere legittimamente trattati né, come già anticipato, dalle scuole né dai soggetti terzi, pubblici o privati, che li raccolgono, per finalità diverse da quelle indicate all'art. 96 del Codice (es. marketing, propaganda elettorale), in assenza degli ulteriori presupposti che legittimano tali trattamenti.

5. Durata della diffusione

Costituisce un principio generale della protezione dei dati personali quello di proporzionalità, in base al quale, tra l'altro, i dati devono essere conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11, comma 1, lett. e), del Codice).

Applicando tale principio all'operazione di trattamento in esame, ne deriva che la pubblicazione di dati personali degli studenti è consentita soltanto per il tempo necessario e appropriato rispetto all'obiettivo perseguito.

Spetta, quindi, ad ogni istituzione scolastica valutare, anche alla luce della peculiarità del contesto (storico, sociale, culturale e economico) di riferimento, la durata per la diffusione delle informazioni degli studenti considerata proporzionata rispetto alle finalità perseguite, fermo restando che, anche sulla scorta del tempo massimo legislativamente previsto per la diffusione dei curricula degli studenti da parte degli istituti di istruzione secondaria di secondo grado autorizzati all'attività di intermediazione, si ritiene tale diffusione non debba, comunque, superare i dodici mesi dalla richiesta dello studente interessato.

6. Informativa

L'art. 96 del Codice prevede poi che la scuola debba rendere l'informativa ai sensi dell'art. 13 del Codice, in relazione alle operazioni di trattamento in esame, e che tale informativa debba espressamente indicare gli specifici dati personali che saranno oggetto di comunicazione o diffusione.

La prassi attualmente in uso presso le istituzioni scolastiche è quella di aggiungere all'informativa fornita agli interessati in sede di iscrizione una clausola per l'acquisizione del "consenso" ai trattamenti ai sensi dell'art. 96 del Codice, senza, per altro, evidenziare, come richiesto dalla legge, i dati oggetto di comunicazione o diffusione.

Si ritiene, pertanto, opportuno, da un canto, raccomandare alle scuole di fornire agli interessati, in concomitanza con la richiesta di questi ultimi di comunicazione o diffusione dei propri dati personali, un'informativa specifica in ordine ai trattamenti di dati personali effettuati ai sensi dell'art. 96 del Codice.

Invero, l'uso di inserire l'informativa all'interno di quella resa all'atto dell'iscrizione rischia di essere inefficace, in quanto la richiesta di comunicazione/diffusione da parte degli studenti può avvenire anche in un tempo molto successivo.

D'altro canto, fermo restando che, secondo quanto disposto dall'art. 13, comma 2, del Codice, l'informativa, potrà non contenere gli elementi già noti agli interessati, si evidenzia che essa dovrà riportare gli ulteriori specifici elementi previsti dall'art. 96 del Codice e, in particolare, le tipologie di dati personali riferiti agli studenti che, a richiesta, possono essere comunicati o diffusi (cfr. punto 1).

Si suggerisce, inoltre, di provvedere sin da subito ad integrare le informative sul trattamento dei dati personali con gli ulteriori elementi individuati dal richiamato Regolamento generale dell'Unione europea sulla protezione dei dati personali n. 679 del 2016, evidenziando, in particolare:

- la base giuridica del trattamento;

- il periodo di conservazione dei dati personali, oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

- l'esistenza del diritto alla revoca della richiesta;

- il diritto di proporre reclamo al Garante.

7. Tempi e modalità di raccolta della richiesta dell'interessato

L'individuazione del momento più opportuno in cui offrire agli studenti la possibilità di avanzare una richiesta di diffusione o comunicazione ha una rilevanza determinante, potendo incidere in maniera sostanziale sulla determinazione degli interessati.

Da un punto di vista strettamente normativo, la disposizione in esame non precisa se le richieste degli interessati debbano, necessariamente, pervenire in un dato momento della carriera scolastica (es. all'atto dell'iscrizione o al termine del primo anno di corso). Sotto altro profilo, si rileva come, all'atto dell'iscrizione, gli studenti non hanno ancora conseguito voti né sostenuto esami, con la conseguenza che difficilmente possono considerarsi in grado di effettuare una scelta consapevole in ordine al trattamento di informazioni che li riguarderanno ma che al momento della richiesta gli sono sconosciute.

Ne consegue che le scuole dovrebbero consentire agli studenti di avanzare la richiesta di essere agevolati nell'orientamento e nella formazione, tramite l'attivazione dei predetti flussi di dati personali, nel corso di tutto il secondo ciclo di istruzione (artt. 11, 13 e 96 del Codice).

È auspicata l'instaurazione di un clima di fiducia tra gli studenti, le loro famiglie e le scuole nell'erogazione di queste tipologie di servizi e, attraverso un ruolo attivo delle scuole quali titolari del trattamento, l'insegnamento di un approccio responsabile e consapevole alla rete internet. Ciò anche al fine di garantire concreta attuazione al diritto degli studenti minorenni di essere sempre maggiormente coinvolti nelle determinazioni relative alla loro vita personale.

Si ritiene, pertanto, opportuno che le scuole, nell'annunciare alla comunità scolastica la prossima pubblicazione degli esiti intermedi o finali si preoccupino, altresì, di ricordare agli studenti non solo la facoltà, per chi non l'abbia ancora fatto, di richiedere la diffusione e/o la comunicazione dei propri dati ai sensi dell'art. 96 del Codice, ma anche di revocare la richiesta precedentemente avanzata. Ciò, in particolar modo, al fine di prevenire un'inconsapevole comunicazione o diffusione di esiti negativi o insufficienti riferiti agli alunni, che potrebbero essere, per altro, poco funzionali o addirittura controproducenti per l'interessato rispetto alle finalità del trattamento.

Ferma restando l'autonomia organizzativa delle istituzioni scolastiche, potrà essere valutato dalle scuole, ad esempio, che le operazioni di raccolta, prima, e attivazione dei flussi, poi, abbiano luogo ogni giorno dell'anno scolastico ovvero in specifiche giornate, avendo cura di informare adeguatamente gli studenti al riguardo.

La conoscenza delle possibilità offerte dalla scuola ai sensi dell'articolo 96 del Codice potrebbe essere garantita, ad esempio, attraverso la realizzazione di specifiche campagne informative, l'illustrazione dell'iniziativa durante le giornate di presentazione al pubblico della scuola (c.d. open day), l'inserimento di un apposito avviso sul sito internet istituzionale della stessa, oltre che mediante uno specifico richiamo nell'ambito del documento recante il piano triennale dell'offerta formativa.

Ricerca norme mediante:


Inserire alcuni estremi del documento e fare click su cerca. Verranno forniti un massimo di 150 risultati.

Data:

Inserire i termini da cercare e fare click su cerca

e o frase

Selezionare la voce su cui effettuare la ricerca e fare click su cerca

Carta del Docente