Parere del Garante n. 525 del 16/11/2023

Sezione ITS Academy dell’ANIST e adeguamento della Banca Dati Nazionale

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro dell’istruzione e del merito adottato in attuazione degli artt. 12, commi 1 e 2, e 14, comma 6, della legge 15 luglio 2022, n. 99. Lo schema disciplina i criteri e le modalità della sezione dell’Anagrafe nazionale dell’istruzione relativa agli studenti iscritti ai percorsi ITS Academy, nonché l’adeguamento delle funzioni e dei compiti della Banca Dati Nazionale per il monitoraggio quantitativo e qualitativo del Sistema terziario di istruzione tecnologica.

Quadro normativo di riferimento

Il parere si colloca nel perimetro del Regolamento (UE) 2016/679 e del d.lgs. 30 giugno 2003, n. 196. La legge n. 99/2022 prevede che l’anagrafe degli studenti ITS Academy sia costituita presso il Ministero dell’istruzione secondo criteri e modalità stabiliti con decreto ministeriale, e che le funzioni della banca dati nazionale siano adeguate con analogo atto. La normativa di attuazione è prevista come decreto di natura non regolamentare, da adottarsi previo coinvolgimento delle amministrazioni competenti e previa intesa in Conferenza Stato-Regioni.

Contenuto dello schema di decreto

Lo schema, composto da dodici articoli, istituisce in prima attuazione la Sezione ITS Academy dell’ANIST, quale articolazione dell’ANIST di cui all’art. 62-quater del d.lgs. 7 marzo 2005, n. 82. La Sezione è funzionale a più obiettivi istituzionali: rendere disponibili i dati ai singoli ITS Academy per le attività di competenza, consentire la consultazione da parte degli utenti, automatizzare le iscrizioni online, favorire il riconoscimento dei titoli in ambito europeo ed estero mediante tecnologie idonee ad assicurarne l’autenticità, supportare le funzioni di valutazione e monitoraggio del Ministero, sostenere la qualificazione del sistema e consentire la rilevazione degli esiti occupazionali attraverso dati aggregati.

Tipologie di dati trattati e limiti di utilizzazione

La Sezione ITS Academy dell’ANIST comprende, tra gli altri, dati anagrafici dello studente, dati relativi al percorso di studi e ai titoli conseguiti, nonché dati sugli esiti occupazionali degli studenti iscritti e dei diplomati, trasmessi dal sistema SISCO del Ministero del lavoro e delle politiche sociali. Il Garante valorizza il criterio della conservazione per il tempo strettamente necessario all’erogazione dei servizi di consultazione e il principio secondo cui il trattamento deve essere limitato ai dati necessari rispetto a ciascuna finalità perseguita. In particolare, osserva favorevolmente il ricorso a dati aggregati ogni volta che le finalità istituzionali possano essere perseguite senza l’utilizzo di informazioni personali, come nel caso della quantificazione e ripartizione delle risorse da destinare ai percorsi formativi.

Ruoli dei soggetti coinvolti e accesso ai dati

Lo schema chiarisce i ruoli privacy dei soggetti coinvolti. ITS Academy e Ministero sono titolari dei trattamenti effettuati nell’ambito della Sezione per il perseguimento delle rispettive finalità istituzionali. Il Ministero svolge inoltre un ruolo di responsabile del trattamento, ai sensi dell’art. 28 GDPR, con riferimento alla gestione dell’infrastruttura alimentata dagli ITS Academy, vincolato alle indicazioni dei titolari. Per la realizzazione, la manutenzione tecnica e la gestione della Sezione, il Ministero si avvale del soggetto già individuato come responsabile nell’ambito dell’ANIST.

L’accesso ai dati è regolato in modo da essere consentito soltanto ai soggetti legittimati e nei limiti di quanto strettamente necessario al perseguimento delle finalità di competenza. Il Garante sottolinea che questa impostazione è coerente con i principi di liceità, correttezza, trasparenza, limitazione della finalità e minimizzazione dei dati di cui all’art. 5, par. 1, lett. a), b) e c), GDPR.

Valutazioni del Garante su rischi e garanzie

L’Autorità rileva che i trattamenti previsti presentano rischi elevati per i diritti e le libertà degli interessati, in quanto svolti su larga scala sia per numero di soggetti coinvolti sia per estensione territoriale, e perché riguardano studenti che si affacciano al mondo del lavoro. Per questo richiama espressamente la necessità di una valutazione di impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR e dei successivi aggiornamenti.

Il Garante evidenzia inoltre che lo schema recepisce le osservazioni formulate dall’Ufficio nel corso dell’istruttoria e che ciò consente di ritenere conformi i trattamenti, anche sotto il profilo della protezione dei dati fin dalla progettazione e per impostazione predefinita, in linea con l’art. 25 GDPR. Tra gli elementi positivamente valutati figurano la specificazione delle finalità, l’individuazione dei soggetti autorizzati ad accedere, la delimitazione delle tipologie di dati e l’utilizzo dei dati aggregati per le attività ministeriali e regionali.

Decreto successivo e piena operatività del sistema

Il Garante precisa che la Sezione ITS Academy dell’ANIST diventerà pienamente operativa solo dopo l’adozione di un successivo decreto, anch’esso da sottoporre al parere dell’Autorità, che dovrà disciplinare in modo puntuale:

• le specifiche tipologie di dati personali trattati e quelle rese disponibili ai singoli soggetti legittimati;
• le fonti di alimentazione dei dati;
• le operazioni eseguibili sui dati e le relative modalità di trattamento;
• le misure tecniche e organizzative per tutelare i diritti e le libertà degli interessati;
• le garanzie per il rilascio delle certificazioni, anche dei titoli di studio, da parte degli ITS Academy;
• i tempi di conservazione;
• il raccordo tra la Sezione ITS Academy dell’ANIST e la Banca Dati Nazionale di cui all’art. 13 del d.P.C.M. 25 gennaio 2008.

Conclusione

Pur evidenziando la necessità di una futura disciplina di dettaglio e della valutazione di impatto, il Garante non formula osservazioni sullo schema di decreto esaminato e rende parere favorevole, ritenendo che le indicazioni fornite in fase istruttoria siano state adeguatamente recepite.