Parere del Garante n. 84 del 20/02/2024

Parere sullo schema di decreto del MIM in materia di ANIST e BDN per gli ITS Academy

Il Garante per la protezione dei dati personali esprime parere sullo schema di decreto del Ministro dell’istruzione e del merito che disciplina il trattamento dei dati personali effettuato dal Ministero e dagli ITS Academy nell’ambito della Sezione ITS Academy dell’Anagrafe nazionale dell’istruzione e della Banca Dati Nazionale per il monitoraggio quantitativo e qualitativo del sistema terziario di istruzione tecnologica. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, in attuazione dell’art. 11, comma 3, del D.M. 30 novembre 2023, n. 227 e della legge 15 luglio 2022, n. 99.

Quadro normativo e contesto dell’intervento

Lo schema si inserisce nell’attuazione della legge n. 99/2022, che ha istituito il Sistema terziario di istruzione tecnologica superiore e previsto, agli artt. 12 e 14, la costituzione dell’anagrafe degli studenti ITS Academy presso il Ministero e l’adeguamento delle funzioni della banca dati nazionale. Il Garante dà atto che il Ministero ha trasmesso lo schema per l’acquisizione del parere, evidenziando l’urgenza connessa alla scadenza del 28 febbraio 2024 e agli obiettivi del PNRR. Per tale ragione, il procedimento viene gestito con particolare tempestività, fino alla ritenuta applicabilità delle regole sull’urgenza che consentono al Presidente di adottare il provvedimento nei casi in cui non sia possibile convocare il Collegio in tempo utile.

Oggetto dello schema di decreto

Lo schema, composto da tredici articoli e da un allegato tecnico, disciplina in modo dettagliato la Sezione ITS Academy di ANIST e la BDN. In particolare, il testo regola:

• il funzionamento della Sezione ITS Academy, costituita presso il Ministero e collocata in una specifica sezione di ANIST;
• le modalità di accesso e gli utenti abilitati;
• i dati contenuti nella Sezione e nella BDN;
• le fonti di alimentazione dei dati e i sistemi di interoperabilità;
• i servizi di consultazione, certificazione e rettifica;
• le misure tecniche e organizzative di sicurezza;
• i tempi di conservazione dei dati.

Accesso alla Sezione ITS Academy e autenticazione degli utenti

La Sezione ITS Academy di ANIST è accessibile alle ITS Academy, al personale amministrativo delle Direzioni competenti del Ministero, ai corsisti e diplomati ITS Academy, a INDIRE e alle Regioni. Per gli accessi individuali, l’allegato tecnico prevede autenticazione tramite SPID, CIE e CNS. Il Garante rileva che, per tale procedura, sono trattati solo i dati strettamente necessari, ossia nome, cognome e codice fiscale. L’accesso di corsisti e diplomati è limitato alla consultazione e certificazione dei propri dati, nonché alla presentazione di istanze di rettifica.

Dati trattati e soggetti coinvolti

Lo schema distingue i dati della Sezione ITS Academy e quelli della BDN. Nella Sezione sono compresi i dati dei corsisti, i dati di processo e i dati di completamento. Tra questi figurano, ad esempio, dati anagrafici e di contatto, esiti formativi, titolo di accesso e stato del corsista, esperienze formative ed esiti intermedi. La BDN include invece informazioni sulla struttura organizzativa, sul personale, sulle risorse strutturali e sulle reti di partenariato, con dati relativi ad anagrafiche e profili di soggetti coinvolti nelle attività direttive, gestionali e formative.

Il Garante dà atto che il Ministero e gli ITS Academy trattano i dati della Sezione nei limiti delle rispettive finalità istituzionali, mentre il trattamento nell’ambito della BDN è svolto da INDIRE ai sensi dell’art. 10, comma 3, del D.M. n. 227/2023. Viene inoltre segnalato che, per alcune categorie di dati, il Ministero ha chiarito la finalità di controllo dei presupposti di accreditamento tramite INDIRE.

Fonti dei dati e interoperabilità con altre banche dati

Lo schema prevede un’architettura interoperabile con diverse banche dati e sistemi pubblici: ANIST, BDN, ANPR, ANIS, sistema delle comunicazioni obbligatorie, UNIMARE e INPS. Per alcune di queste fonti, i dati vengono acquisiti in forma aggregata. La BDN è alimentata sia dalla Sezione ITS Academy, con dati previamente pseudonimizzati e trasferiti tramite web-service sulla PDND, sia dagli ITS Academy tramite applicazione web e form dedicati.

Il Garante evidenzia positivamente che il testo esplicita le fonti di alimentazione e valorizza il ricorso a dati aggregati quando sufficiente a perseguire le finalità, in coerenza con i principi di liceità, correttezza, trasparenza e minimizzazione.

Certificazioni, rettifica e servizi resi disponibili

La Sezione ITS Academy consente ai corsisti e ai diplomati la consultazione, la certificazione dei dati e la presentazione di istanze di rettifica. Inoltre, il Ministero può rilasciare, su richiesta degli interessati, certificazioni relative ai dati e alle informazioni riferiti a ciascuno, per conto degli ITS Academy, sempre sulla base dei dati contenuti nella Sezione. Il Garante rileva che lo schema individua il servizio di certificazione e ne chiarisce il meccanismo operativo, ma richiama l’esigenza di definire correttamente i ruoli privacy rispetto ai trattamenti sottesi.

Valutazioni del Garante su liceità, minimizzazione e sicurezza

Nel complesso, il Garante osserva che lo schema recepisce le precedenti indicazioni dell’Ufficio. In particolare, risultano apprezzate:

• l’esplicitazione delle finalità e delle categorie di soggetti autorizzati all’accesso;
• l’individuazione delle tipologie di dati necessari per ciascuna finalità;
• la preferenza per dati aggregati ove sufficiente;
• la descrizione delle tecniche di pseudonimizzazione e della separazione dell’informazione aggiuntiva;
• l’allineamento delle procedure di autenticazione del personale ministeriale agli standard degli altri utenti;
• l’individuazione dei soli dati necessari per l’autenticazione;
• l’esplicitazione dei servizi web via PDND;
• la previsione di misure tecniche e organizzative adeguate e di tempi di conservazione.

Tali elementi sono ritenuti coerenti con gli artt. 5, 25, 32 e, per i profili lavoristici, con l’art. 88 del GDPR e l’art. 113 del Codice privacy.

Rilievo decisivo sui ruoli del trattamento per l’accreditamento

Il profilo su cui il Garante interviene in modo prescrittivo riguarda il trattamento dei dati personali dettagliati nel punto 4.1 dell’allegato tecnico, relativi alle categorie di soggetti che compongono la struttura organizzativa degli ITS Academy. L’Autorità distingue tra:

• i trattamenti svolti da INDIRE per le proprie finalità istituzionali nell’ambito della BDN;
• i trattamenti svolti da INDIRE per conto del Ministero, in qualità di responsabile del trattamento, per le attività di accreditamento previste dal D.M. 4 ottobre 2023, n. 191.

Secondo il Garante, i dati in questione devono essere trattati da INDIRE come responsabile del trattamento per conto del Ministero, e tale qualificazione deve essere espressamente recepita nello schema e nell’allegato tecnico.

Conclusioni

Il Garante formula parere favorevole sullo schema di decreto, ma a condizione che esso e il relativo allegato tecnico siano modificati per chiarire il ruolo di INDIRE quale responsabile del trattamento per conto del Ministero, con riferimento ai dati della struttura organizzativa degli ITS Academy impiegati per le finalità di accreditamento. Si tratta, quindi, di un parere favorevole con condizione, finalizzato a garantire la corretta qualificazione dei ruoli privacy e la coerenza del testo normativo con il GDPR e con il quadro nazionale di settore.