Parere del Garante n. 468 del 10/10/2023

Piattaforma "famiglie e studenti" del Ministero dell’istruzione e del merito

Il Garante per la protezione dei dati personali esamina, in via d’urgenza, lo schema di decreto del Ministro dell’istruzione e del merito recante la disciplina del trattamento dei dati personali effettuato dal Ministero e dalle istituzioni scolastiche ed educative statali nell’ambito della Piattaforma "famiglie e studenti". Il parere è reso ai sensi dell’art. 21, comma 4-quinquies, del d.l. 75/2023, in un contesto segnato dall’avvio dell’anno scolastico 2023/2024 e dalla necessità di attivare tempestivamente la Piattaforma.

Quadro normativo di riferimento

L’art. 21 del d.l. 75/2023 prevede la progettazione e realizzazione della Piattaforma come canale unico di accesso al patrimonio informativo detenuto dal Ministero e dalle istituzioni scolastiche, quale infrastruttura tecnica per l’interoperabilità dei sistemi informativi e per la semplificazione dell’accesso ai servizi. La norma stabilisce inoltre che il Ministero, sentito il Garante, definisca con decreto non regolamentare i servizi digitali, gli standard tecnologici, i criteri di sicurezza, accessibilità, disponibilità e interoperabilità, i limiti e le condizioni di accesso, le garanzie per gli interessati, i tempi di conservazione e le misure di sicurezza.

Contenuto dello schema di decreto

Lo schema in esame configura la Piattaforma come un sistema interoperabile con i sistemi informativi del mondo dell’istruzione, con interconnessione con l’ANS e, quando operativa, con l’ANIST. La Piattaforma è articolata in un’area pubblica e in un’area privata, accessibile previa identificazione e autenticazione informatica a studenti sopra i dieci anni della scuola secondaria di primo e secondo grado, genitori o esercenti la responsabilità genitoriale, docenti, docenti tutor, dirigenti scolastici/coordinatori e personale amministrativo scolastico e ministeriale.

I servizi digitali disciplinati sono, in particolare:

• E-Portfolio, per visualizzare dati e informazioni sul percorso di istruzione e supportare le scelte formative e professionali;
• Docente Tutor, per agevolare il docente tutor e supportare studenti e famiglie, anche tramite la calendarizzazione dei colloqui;
• Gite Scolastiche, per la presentazione delle domande di contributo per viaggi d’istruzione e visite didattiche e per la ripartizione delle risorse tra le istituzioni scolastiche.

Ruoli dei soggetti coinvolti nel trattamento

Lo schema attribuisce al Ministero la titolarità dei trattamenti per la gestione e manutenzione tecnica della Piattaforma, la gestione degli accessi, l’assistenza tecnica, la ripartizione dei contributi per Gite Scolastiche, il monitoraggio e governo generale della Piattaforma e il supporto alle decisioni nel settore dell’istruzione. In tale ambito, il Ministero tratta dati personali dei singoli utenti solo se strettamente necessari e, per finalità di monitoraggio e governo, utilizza esclusivamente dati aggregati e report con metriche e indicatori tecnici e organizzativi.

Le istituzioni scolastiche sono titolari dei trattamenti effettuati per l’erogazione dei singoli servizi digitali E-Portfolio, Docente Tutor e Gite Scolastiche, ciascuna per la propria utenza. Il Ministero opera come responsabile del trattamento ex art. 28 GDPR per l’infrastruttura attraverso cui le scuole erogano tali servizi. SOGEI S.p.A. è qualificata come responsabile del trattamento per le finalità infrastrutturali. L’accesso ai dati è riservato ai soggetti autorizzati e istruiti da titolari e responsabili.

Valutazioni generali del Garante

Il Garante evidenzia che la Piattaforma, per sua natura, comporta trattamenti su larga scala, sia per numerosità degli interessati sia per estensione geografica, e coinvolge soggetti vulnerabili, in particolare studenti prevalentemente minori, oltre a personale scolastico. Per questo presenta rischi elevati e richiede misure adeguate a tutela dei diritti e delle libertà degli interessati, da individuarsi alla luce della valutazione d’impatto trasmessa dal Ministero ai sensi dell’art. 35 GDPR.

L’Autorità osserva che l’ultima versione dello schema tiene conto delle indicazioni fornite nel corso dell’istruttoria, in coerenza con il principio di privacy by design e by default di cui all’art. 25 GDPR. In particolare, il testo disciplina in modo più puntuale:

• i sistemi interoperabili e la distinzione tra dati già presenti negli archivi e dati conferiti dagli utenti, evitando duplicazioni;
• i ruoli di Ministero, istituzioni scolastiche, INPS e SOGEI;
• le modalità di aggregazione dei dati per ridurre il rischio di re-identificazione;
• la facoltatività dei dati inseriti nel servizio Docente Tutor e la limitazione delle finalità di accesso;
• la disciplina del servizio Gite Scolastiche, inclusi i flussi con INPS e la cifratura dei codici meccanografici;
• i tempi di conservazione;
• le misure tecniche e organizzative e di sicurezza, tra cui autenticazione, autorizzazioni, scambio dati con INPS, sistemi di conservazione documentale, app di accesso e backup.

Dati particolari e dati relativi a condanne e reati

Lo schema prevede che nella Piattaforma siano trattati soltanto dati comuni e che non sia richiesto il conferimento di dati particolari o relativi a condanne e reati. Tuttavia, il Garante rileva che i dati inseriti volontariamente dagli utenti nei campi di testo libero possono comunque ricomprendere categorie particolari di dati ai sensi degli artt. 9 e 10 GDPR, come dati sulla salute, opinioni politiche o convinzioni religiose, soprattutto in relazione all’assistenza tecnica.

Per tale ragione, l’Autorità ritiene necessario integrare lo schema con:

• l’indicazione dei tipi di dati che possono essere trattati;
• la specificazione delle operazioni eseguibili;
• misure appropriate e specifiche per tutelare diritti e interessi fondamentali degli interessati.

Tali misure devono essere individuate in base a un’adeguata valutazione dei rischi elevati del trattamento, in conformità all’art. 2-sexies del Codice privacy e all’art. 35 GDPR.

Esito del parere

Il Garante esprime parere favorevole sullo schema di decreto, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR, nonché dell’art. 21, comma 4-quinquies, del d.l. 75/2023, ma a condizione che il testo sia integrato nei termini indicati, cioè con l’indicazione dei tipi di dati trattabili, delle operazioni eseguibili e delle misure appropriate e specifiche di tutela previste dall’art. 2-sexies del Codice privacy.