Avvertimento n. 476 del 02/08/2024

Regione Puglia: avvertimento sui trattamenti di dati sanitari collegati all'iscrizione scolastica subordinata alla vaccinazione anti-HPV

Il Garante esamina la compatibilità con la disciplina privacy dell'art. 4-bis inserito nella legge regionale pugliese n. 1/2024 dalla legge regionale n. 22/2024. La disposizione collega l'iscrizione ai percorsi di istruzione nella fascia 11-25 anni, compreso l'universitario, alla presentazione di documentazione attestante la vaccinazione anti-HPV, l'avvio del ciclo, il rifiuto o il colloquio informativo sui benefici della vaccinazione.

Contesto normativo e origine del procedimento

Il provvedimento è adottato all'esito di una richiesta di informazioni rivolta alla Regione Puglia. Nel testo si richiama anche l'impugnazione governativa della legge regionale n. 22/2024, deliberata dal Consiglio dei ministri, per il contrasto di talune disposizioni con la normativa statale ed europea e con parametri costituzionali.

Quadro statale sugli adempimenti vaccinali per l'iscrizione scolastica

L'Autorità richiama il d.l. 7 giugno 2017, n. 73, convertito dalla l. 31 luglio 2017, n. 119, che disciplina le vaccinazioni obbligatorie e gratuite per l'accesso ai servizi educativi per l'infanzia, alle istituzioni del sistema nazionale di istruzione, ai centri di formazione professionale regionale e alle scuole private non paritarie. I dirigenti scolastici possono chiedere solo la documentazione prevista da quella normativa, relativa alle vaccinazioni obbligatorie, all'esonero, omissione o differimento, oppure alla formale richiesta all'ASL. Il Garante evidenzia che la vaccinazione anti-HPV non è tra quelle richieste dalla disciplina statale per l'iscrizione scolastica e che non esiste un analogo obbligo per l'accesso ai corsi universitari.

Criticità sulla base giuridica e sulla competenza normativa

Secondo il Garante, la previsione regionale introduce un trattamento di dati personali, anche appartenenti a categorie particolari e relativi alla salute, che incide su diritti e libertà fondamentali. In materia di trattamento dati connesso a limitazioni di diritti fondamentali, l'Autorità richiama la riserva di legge statale e gli artt. 6, par. 2 e 9 GDPR, nonché gli artt. 2-ter e 2-sexies del Codice privacy. La raccolta di documentazione sanitaria da parte delle scuole e l'obbligo di produzione da parte di studenti e famiglie sarebbero quindi ammissibili solo nei limiti di una disciplina nazionale uniforme e rispettosa del principio di proporzionalità.

Principi di liceità, minimizzazione e proporzionalità

Il provvedimento richiama l'art. 5, par. 1, lett. a) e c), GDPR e osserva che la finalità dichiarata dalla Regione - promuovere informazione e sensibilizzazione sulla vaccinazione anti-HPV - potrebbe essere perseguita con strumenti meno invasivi. La raccolta generalizzata, studente per studente, di informazioni sulla vaccinazione, sul rifiuto o sul colloquio informativo è ritenuta potenzialmente sproporzionata e non necessaria rispetto allo scopo perseguito, anche in ragione della delicatezza dei dati trattati e della presenza di minori tra i soggetti interessati.

Valutazione del Garante e avvertimento

Il Garante precisa che, qualora la Corte costituzionale dovesse dichiarare l'illegittimità della legge regionale, i trattamenti effettuati in attuazione dell'art. 4-bis risulterebbero privi di idonea base giuridica sin dall'origine, con conseguente violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-sexies del Codice. Anche a prescindere da tale eventuale pronuncia, ritiene che i trattamenti non appaiano conformi ai principi di necessità e proporzionalità.

Dispositivo

Ai sensi dell'art. 58, par. 2, lett. a), GDPR, il Garante avverte la Regione Puglia e tutti i soggetti coinvolti che i trattamenti di dati personali effettuati in attuazione dell'art. 4-bis della legge regionale n. 1/2024 possono violare la normativa privacy richiamata. Inoltre:

• trasmette copia del provvedimento al Presidente del Consiglio dei ministri e alla Conferenza delle Regioni e delle Province autonome;
• dispone la pubblicazione del provvedimento nella Gazzetta Ufficiale della Repubblica italiana ai sensi dell'art. 154-bis, comma 3, del Codice.