Parere del Garante n. 334 del 06/06/2024

Parere sullo schema di decreto MIM su "Unica" e "Knowledge area"

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro dell’istruzione e del merito relativo alla disciplina del trattamento dei dati personali effettuato dal Ministero e dalle istituzioni scolastiche nell’ambito dell’abilitazione di nuove utenze per l’accesso all’area privata della piattaforma "Unica" e del servizio digitale "Knowledge area". Il parere è adottato ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, in attuazione dell’art. 11, comma 4, del D.M. 10 ottobre 2023, n. 192, e nel quadro dell’art. 21, commi 4-ter e 4-quinquies, del d.l. 75/2023.

Contesto normativo e rapporto con il D.M. n. 192/2023

Lo schema esaminato si colloca in continuità con il D.M. n. 192/2023, che aveva già disciplinato il trattamento dei dati personali nell’ambito della piattaforma "Unica" e su cui il Garante si era già espresso. Il nuovo decreto interviene per integrare la piattaforma con nuove categorie di utenti e con un ulteriore servizio digitale, mantenendo il quadro di garanzie già ritenuto conforme dalla precedente valutazione dell’Autorità.

Nuovi utenti abilitati all’accesso alla piattaforma

Lo schema individua i "Nuovi utenti" che possono accedere alla piattaforma, in aggiunta agli utenti già previsti dall’art. 4, comma 3, del D.M. n. 192/2023. Le nuove categorie comprendono:

• studenti non frequentanti che sosterranno l’esame di Stato da privatisti presso un’istituzione scolastica;
• studenti che abbiano conseguito il diploma a partire dall’anno scolastico 2023/2024;
• genitori o esercenti la responsabilità genitoriale dei predetti soggetti.

Lo schema specifica anche le operazioni consentite a tali utenti, in particolare per l’accesso al servizio E-Portfolio e al Curriculum dello studente.

Il servizio digitale "Knowledge area"

Il decreto introduce nella piattaforma il servizio "Knowledge area", finalizzato a favorire la digitalizzazione dei documenti detenuti dagli studenti, dai genitori/esercenti la responsabilità genitoriale e dalle istituzioni scolastiche. Il servizio raccoglie dati e documenti relativi allo studente e ai genitori e ne assicura la disponibilità in un’apposita sezione ai soggetti individuati dallo schema. Il trattamento è disciplinato anche sotto il profilo delle modalità operative di alimentazione del servizio.

Ruoli privacy e responsabilità del trattamento

Lo schema chiarisce il riparto dei ruoli ai fini privacy:

• il MIM è titolare del trattamento per le finalità istituzionali, con particolare riferimento alla gestione degli accessi alla piattaforma e ai trattamenti di cui all’art. 6, comma 2, del D.M. n. 192/2023;
• le istituzioni scolastiche sono titolari dei trattamenti svolti per l’erogazione del servizio "Knowledge area", ciascuna per la propria utenza di riferimento;
• nell’ambito di tale servizio, il MIM opera come responsabile del trattamento ai sensi dell’art. 28 GDPR per la gestione dell’infrastruttura;
• Sogei S.p.A., quale affidataria dei servizi infrastrutturali, di gestione e sviluppo applicativo del sistema informativo del MIM, è responsabile del trattamento rispetto alle finalità di cui sopra e sub-responsabile per i trattamenti relativi al servizio "Knowledge area".

Garanzie privacy, sicurezza e tutela dei diritti

Il Garante evidenzia che lo schema tiene conto delle osservazioni formulate dall’Ufficio nel corso delle interlocuzioni con il Ministero, così da rendere i trattamenti conformi al GDPR e ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, ai sensi dell’art. 25 GDPR.

In particolare, il testo recepisce o dettaglia:

• le procedure di identificazione e autenticazione informatica per l’accesso dei nuovi utenti;
• le specifiche tecniche e le misure tecniche e organizzative adeguate a tutela dei diritti degli interessati, in linea con gli artt. 5, par. 1, lett. f), e 32 GDPR;
• l’obbligo di informazione reciproca e tempestiva tra titolari in caso di violazioni di sicurezza o minacce che comportino rischi per la sicurezza e per i diritti e le libertà degli interessati, anche ai fini degli obblighi di notifica e comunicazione previsti dagli artt. 33 e 34 GDPR;
• la disciplina dei tempi di conservazione dei dati personali, inclusi i log di navigazione, nel rispetto dei principi di limitazione della finalità e di limitazione della conservazione di cui all’art. 5, par. 1, lett. b) ed e), GDPR;
• la previsione di informative agli interessati ai sensi degli artt. 13 e 14 GDPR e la garanzia dell’esercizio dei diritti di cui agli artt. 15 e seguenti GDPR.

Valutazione finale del Garante

Il Garante ritiene che lo schema di decreto sia conforme al quadro di protezione dei dati personali, anche perché inserito nel percorso di attuazione di misure rientranti nel PNRR e soggetto al termine accelerato di cui all’art. 9, comma 3, del d.l. 139/2021. Alla luce delle garanzie previste e delle integrazioni introdotte rispetto al precedente assetto regolatorio, l’Autorità esprime quindi parere favorevole sullo schema di decreto ministeriale.