Prescrizioni del Garante n. 135 del 07/03/2024

Istituto comprensivo di Frascati: trattamento illecito e mancato accesso ai test degli alunni in un progetto di ricerca

Il provvedimento riguarda un istituto scolastico pubblico coinvolto, insieme a un’università, in un progetto di ricerca scientifica somministrato a studenti di scuola primaria. Il Garante valuta la liceità del trattamento dei dati raccolti tramite questionari e la legittimità del diniego di restituzione/accesso opposto ai genitori.

Origine del reclamo e fatti contestati

Il reclamo è stato presentato dai genitori di 18 alunni di una classe della scuola primaria Villa Sciarra, nell’Istituto comprensivo di Frascati. Essi lamentano che, nell’ambito del progetto "le competenze sociali in età scolare: correlati cognitivi, emotivi e comportamentali", siano stati somministrati questionari e svolti colloqui personali con i minori, anche su profili attinenti alla vita sessuale e a possibili abusi, con effetti ritenuti invasivi e non adeguatamente trasparenti.

Secondo quanto riportato nel reclamo, ai bambini sarebbero state chieste informazioni anagrafiche e familiari tramite "schede dati" e i test avrebbero riportato un codice identificativo collegato alle schede stesse. Dopo le contestazioni dei genitori, i plichi contenenti i test sono stati sigillati e custoditi nella cassaforte dell’istituto, in attesa di chiarimenti e di eventuali restituzioni.

Attività istruttoria e riscontri delle parti

L’Ufficio ha acquisito informazioni dall’Università e dalla scuola ai sensi dell’art. 157 del Codice. L’Università ha sostenuto che i dati fossero trattati in forma anonima, con sigle apposte solo per consentire l’abbinamento tra le diverse batterie di test, senza possibilità di riconoscere i bambini. Ha inoltre riferito che il personale di Ateneo non aveva mai avuto accesso ai nominativi degli alunni né ai registri di classe.

La scuola ha rappresentato che il Collegio dei docenti aveva approvato la partecipazione al progetto, che i genitori avevano prestato consenso tramite moduli raccolti dalla scuola e che la referente interna aveva curato l’apposizione di numero progressivo e sigla sui test. Ha inoltre evidenziato di aver sospeso la ricerca dopo le proteste dei genitori e di aver conservato i questionari sigillati fino alla consegna agli ispettori ministeriali.

Valutazioni del Garante sulla qualificazione del ruolo della scuola

Il Garante osserva che la ricerca è stata svolta dalla scuola per conto dell’Università, ma senza che il rapporto fosse disciplinato da un contratto o altro atto giuridico ai sensi dell’art. 28 GDPR. In particolare, la scuola non ha ricevuto istruzioni formali che la qualificassero come responsabile del trattamento.

Per le modalità concrete dell’attività, e anche alla luce del coinvolgimento diretto del personale docente nella somministrazione e nella gestione dei questionari, il Garante ritiene che l’istituto abbia operato, di fatto, come autonomo titolare del trattamento ai sensi dell’art. 24 GDPR. Tuttavia, tale trattamento non risultava sorretto da una valida base giuridica, poiché le operazioni svolte non erano riconducibili a una specifica competenza istituzionale della scuola idonea a legittimare il trattamento di dati personali, anche appartenenti a categorie particolari.

Natura dei dati: non anonimizzati ma pseudonimizzati

L’Autorità chiarisce che il dato anonimo è tale solo quando non consente l’identificazione diretta o indiretta dell’interessato, tenendo conto di tutti i mezzi ragionevoli disponibili. Nel caso esaminato, la sigla alfanumerica apposta ai test non è stata ritenuta sufficiente a escludere la re-identificazione dei minori: il numero progressivo poteva corrispondere alla posizione nell’elenco di classe e i nominativi erano comunque presenti nei moduli di consenso conservati dalla scuola.

Di conseguenza, i questionari non erano anonimi, ma contenevano dati personali, seppur sottoposti a una forma di pseudonimizzazione. Il Garante richiama anche il principio per cui la pseudonimizzazione non fa venir meno la natura di dato personale.

Violazioni accertate

Il Garante dichiara l’illiceità del trattamento effettuato dall’istituto scolastico per violazione degli artt. 6, 9 e 15 GDPR. In particolare, vengono evidenziate le seguenti criticità:

• assenza di una valida base giuridica per il trattamento;
• mancata disciplina del ruolo della scuola quale responsabile del trattamento ai sensi dell’art. 28 GDPR;
• trattamento di dati relativi a minori, potenzialmente anche di categorie particolari, in un contesto non adeguatamente regolato;
• illegittimo diniego di accesso/restituzione dei test ai genitori, fondato sull’erroneo presupposto dell’anonimato.

Il diritto di accesso ex art. 15 GDPR viene riconosciuto anche rispetto a dati pseudonimizzati quando l’interessato sia comunque re-identificabile.

Valutazione sanzionatoria e scelta dell’ammonimento

Pur confermando la violazione, il Garante valuta il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida del Gruppo di lavoro art. 29 sulle sanzioni amministrative pecuniarie. Rilevano, in senso attenuante, il carattere isolato dell’episodio, il numero esiguo di interessati, la limitazione del trattamento alla raccolta e custodia dei test, l’assenza di accesso diretto ai contenuti da parte del personale scolastico, la pronta secretazione dei plichi, la collaborazione prestata dall’istituto, l’assenza di precedenti e la vicinanza temporale ai primi mesi di applicazione del GDPR.

Poiché il trattamento non era più in corso e i test erano stati acquisiti dal Ministero, il Garante esclude ulteriori misure correttive e ritiene sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Dispositivo

Il Garante:

• dichiara l’illiceità del trattamento dei dati personali effettuato dall’Istituto comprensivo di Frascati;
• ammonisce l’istituto per la violazione degli artt. 6, 9 e 15 GDPR;
• prende atto della sussistenza dei presupposti di cui all’art. 17 del Regolamento n. 1/2019.

È inoltre indicata la possibilità di ricorrere all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.