Prescrizioni del Garante n. 136 del 07/03/2024

Università degli Studi di Roma "La Sapienza" - progetto di ricerca scolastica su minori

Il Garante ha esaminato un reclamo relativo a un progetto di ricerca scientifica svolto presso una scuola primaria, nell’ambito del quale erano stati somministrati test e raccolte informazioni personali di alunni di età compresa tra 7 e 8 anni. Il procedimento ha riguardato la liceità del trattamento, l’adeguatezza dell’informativa, il consenso dei genitori e la corretta individuazione dei ruoli tra Università e Istituto scolastico.

Origine del reclamo e fatti contestati

Il reclamo era stato presentato dai genitori di diciotto alunni della classe 3ª sez. A della scuola primaria Villa Sciarra, Istituto comprensivo di Frascati. Veniva lamentata la somministrazione di tre questionari e di colloqui personali nell’ambito del progetto di ricerca denominato "le competenze sociali in età scolare: correlati cognitivi, emotivi e comportamentali", condotto dalla Cattedra di psicologia dello sviluppo e dell’educazione dell’Università La Sapienza.

I reclamanti segnalavano che:

• i test sarebbero stati percepiti come invasivi e idonei a raccogliere informazioni anche sulla vita sessuale dei minori;
• alle schede di raccolta dati e ai test erano associati codici identificativi alfanumerici;
• la pretesa anonimizzazione non consentiva in concreto di escludere la riconducibilità dei test ai singoli alunni;
• la scuola aveva rifiutato la restituzione dei questionari sostenendo che fossero anonimi;
• successivamente il plico contenente i test era stato acquisito dal Ministero dell’Istruzione e custodito in busta chiusa.

Attività istruttoria e riscontri delle parti

L’Ufficio del Garante ha chiesto informazioni sia all’Università sia all’Istituto scolastico ai sensi dell’art. 157 del Codice privacy.

L’Università ha sostenuto, in sintesi, che:

• la ricerca era stata autorizzata dalla scuola e dal Collegio dei docenti;
• era stato richiesto il consenso ai genitori per un trattamento "assolutamente anonimo" e per soli fini di ricerca;
• le schede erano anonime e i test erano siglati solo per consentire l’abbinamento delle diverse batterie di questionari;
• il personale universitario non aveva potuto identificare gli alunni;
• i plichi erano rimasti sigillati presso la presidenza dell’Istituto;
• i risultati non erano mai stati consegnati alla laureanda o all’Ateneo;
• le regole deontologiche per i trattamenti a fini statistici e di ricerca scientifica richiamate dall’Università erano state pubblicate successivamente ai fatti.

La scuola ha invece dichiarato che:

• il Collegio dei docenti aveva approvato la partecipazione al progetto senza un’analisi approfondita;
• una docente interna aveva apposto su ogni test una sigla e un numero progressivo, identici a quelli riportati sulle schede di osservazione;
• i test erano stati compilati con la supervisione di più insegnanti;
• dopo la rilevazione erano stati imbustati e sigillati;
• la ricerca era stata interrotta a seguito della richiesta dei genitori;
• il plico era stato poi consegnato al collegio ispettivo del Ministero.

Qualificazione del trattamento e ruoli privacy

Il Garante ha ritenuto che l’Università fosse il titolare del trattamento, ai sensi dell’art. 24 GDPR, poiché aveva determinato finalità e mezzi della ricerca scientifica, anche se non aveva svolto materialmente tutte le operazioni sui dati.

L’Istituto scolastico, che aveva partecipato alla somministrazione dei test e alla raccolta dei moduli, avrebbe dovuto essere preventivamente designato responsabile del trattamento ai sensi dell’art. 28 GDPR. Il Garante ha rilevato che mancavano:

• un contratto o altro atto giuridico idoneo;
• istruzioni specifiche sulle modalità di trattamento;
• la definizione puntuale di durata, natura, finalità, tipologia di dati, categorie di interessati e obblighi del responsabile.

La mancata designazione della scuola ha determinato un assetto organizzativo non conforme al GDPR e ha contribuito a ingenerare l’erronea rappresentazione di un trattamento svolto in modo autonomo dalla scuola.

Valutazione sulla natura dei dati e sull’anonimizzazione

L’Autorità ha richiamato i principi generali degli artt. 5, 12, 13, 24, 25, 28 e 29 GDPR, oltre all’art. 89 GDPR e alle disposizioni del Codice privacy sui trattamenti per fini di ricerca scientifica.

Ha chiarito che i dati in questione non potevano considerarsi anonimi, poiché:

• erano accompagnati da sigle alfanumeriche e numeri progressivi;
• il numero progressivo sembrava corrispondere alla posizione dell’alunno nell’elenco di classe;
• i nominativi erano comunque disponibili nei moduli di consenso firmati dai genitori;
• la codifica consentiva almeno una pseudonimizzazione, non un’anonimizzazione effettiva.

Il Garante ha inoltre ribadito che l’anonimizzazione richiede l’impossibilità di identificare direttamente o indirettamente l’interessato, tenendo conto di tutti i mezzi ragionevolmente disponibili, e non la mera non intellegibilità del codice utilizzato.

Informativa, consenso e base giuridica

Il provvedimento afferma che il trattamento è avvenuto senza un’idonea informativa e senza un valido presupposto di liceità.

In particolare, il modulo di consenso predisposto dall’Università è stato ritenuto inidoneo perché non forniva tutti gli elementi richiesti dall’art. 13 GDPR, con riferimento soprattutto a:

• corretta individuazione del titolare del trattamento;
• tipi di dati trattati;
• tempi di conservazione;
• esercizio dei diritti;
• chiara rappresentazione dello scopo del trattamento.

Secondo il Garante, il consenso espresso dai genitori non era quindi sufficientemente libero, informato e specifico, anche alla luce della successiva revoca dell’adesione da parte delle famiglie non appena venute a conoscenza di ulteriori aspetti del progetto.

Violazioni accertate e norme violate

Il Garante ha dichiarato l’illiceità della condotta dell’Università per violazione degli artt. 6, 9, 13 e 28 GDPR. In sintesi, le criticità riscontrate riguardano:

• assenza di una valida base giuridica per il trattamento;
• trattamento di dati personali di minori nell’ambito di una ricerca scientifica senza un’informativa adeguata;
• raccolta di dati potenzialmente rientranti nelle categorie particolari, con riferimento anche a profili relativi alla salute e alla vita sessuale;
• mancata designazione della scuola quale responsabile del trattamento;
• carenze organizzative e di compliance sin dalla progettazione dell’iniziativa.

Valutazioni sull’istruttoria e sulla gravità della violazione

L’Autorità ha ritenuto che le difese dell’Ateneo non fossero sufficienti a superare i rilievi formulati in avvio del procedimento.

Tuttavia, nel valutare la misura da adottare, il Garante ha considerato che:

• l’Università non aveva mai materialmente elaborato i dati;
• il plico con i test era stato sequestrato dagli ispettori del Ministero dell’Istruzione;
• il numero degli alunni coinvolti era esiguo;
• si trattava di un caso isolato;
• l’Ateneo aveva collaborato con l’Autorità;
• non risultavano precedenti specifici analoghi;
• i fatti risalivano a pochi mesi dopo l’entrata in vigore del GDPR.

Per tali ragioni il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida europee sulle sanzioni amministrative pecuniarie.

Provvedimento finale e conseguenze

Il Garante ha:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità della condotta dell’Università degli Studi di Roma "La Sapienza";
• ammonito l’Università, quale titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, per la violazione degli artt. 6, 9, 13 e 28 GDPR;
• ritenuto ricorrenti i presupposti dell’art. 17 del Regolamento del Garante n. 1/2019.

Non sono state disposte ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti e i test erano stati sottratti alla disponibilità dell’Ateneo e della scuola.

Rimedi esperibili

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.