Trattamento dei dati personali nel caso di reti di scuole...

In qualità di Dirigente della Scuola Capofila della Rete di Scopo “xxxx”, costituitasi in data xx febbraio 2019 all’interno della Rete di Ambito, si richiedono chiarimenti riguardo alla legittimità del passaggio di informazioni sugli esiti scolastici degli alunni fra le Istituzioni Scolastiche interessate, ovvero relativamente ad eventuali limiti e restrizioni che potrebbero interessare la cessione dei suddetti dati attraverso gli Uffici di segreteria e i docenti Referenti per l’orientamento. Nello specifico, la Rete si propone di gestire in maniera sistematica, strutturale ed organizzata il complesso delle procedure relative al passaggio di ordine di scuola degli alunni in uscita dagli Istituti Comprensivi iscritti alle ISA presenti sul territorio di riferimento, attraverso lo svolgimento delle seguenti attività istituzionali: - orientamento al termine del I Ciclo di Istruzione obbligatoria; - continuità nel passaggio di ordine di scuola; - monitoraggio esiti a distanza sino al sedicesimo anno di età (termine I biennio della Scuola Secondaria di II grado); - progetti e attività comuni; - forme di raccordo amministrativo correlate agli adempimenti previsti dalle iscrizioni; - integrazione scolastica e progetti di inclusione nel passaggio di ordine di scuola di alunni in disabilità certificata e/o con bisogni educativi speciali (unica attività soggetta, sino ad ora, a forme di particolare tutela nel trattamento di dati sensibili). Nel quadro delineato dallo svolgimento delle suddette attività, le Istituzioni Scolastiche interessate possono pertanto disporre di una serie di dati utili alla predisposizione del Bilancio Sociale e al perseguimento di obiettivi e traguardi stabiliti dal proprio Piano di Miglioramento. Nella consapevolezza che il Garante della Privacy nelle Linee Guida 2016 si era già espresso favorevolmente riguardo alla pubblicità dei voti e degli esiti finali degli studenti, si richiede una disanima approfondita della materia alla luce dell’evoluzione normativa, con particolare riguardo alle attività collegate al perseguimento delle finalità di Rete.

Con riferimento al quesito posto, vanno ricordate alcune regole di carattere generale da rispettare nella predisposizione del trattamento dei dati personali correlati alla attuazione del progetto descritto. 1) Il Regolamento UE 2016/ 679 conferma la speciale “base giuridica” atta a legittimare il trattamento di dati personali da parte della PA. Il titolo di legittimazione al trattamento è costituito dalla “necessità di esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, lett. e) Regolamento), che esprime lo stesso concetto in precedenza contenuto nell’art. 18 del Codice antecedente le modifiche (“Qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali”). La previsione di un diverso titolo di legittimazione al trattamento dei dati personali (compito di interesse pubblico o esercizio del pubblico potere invece che consenso dell’interessato), si giustifica in ragione della prefissazione in fonti comunque legislative (o ad esse riferibili) delle finalità dell’azione amministrativa (l’ente pubblico non è libero di scegliere la propria finalità ed è tenuto a comportarsi secundum legem), fonti e finalità pubblicistiche, d’interesse generale che costituiscono ad un tempo la ragione dell’esistenza di ogni ente e ad un tempo garanzia sufficiente di tutela dell’identità personale degli interessati, anche in ragione delle fonti (leggi o regolamenti) che ne regolano l’azione. Se l’esercizio del pubblico potere è il titolo di legittimazione del trattamento di dati personali da parte dell’ente pubblico, esso ne costituisce anche il limite: nel senso che in tanto l’esercizio del pubblico potere costituirà idonea copertura al trattamento di dati personali in quanto l’ente pubblico si muova al suo interno e non oltre o al di fuori di essa. 2) Il Regolamento conferma altresì il rilievo essenziale dell’informativa da fornire agli interessati e, anzi, nell’ampliare il novero delle informazioni sul trattamento che essa deve contenere pone l’attenzione sulla sua comprensibilità ai non tecnici (art. 12 Regolamento). 3) Il Regolamento conferma altresì tra i principi generali del trattamento (art. 5) quello di minimizzazione dei dati e delle operazioni che devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono raccolti e trattati. 4) L’art. 96 del D.Lgs. n. 196/2003 nel testo risultante dopo le modifiche apportate dal D.Lgs. n. 101/2018 (come noto, essendo ora la regolamentazione della materia contenuta in un Regolamento europeo, allo Stato nazionale spetta un potere di adeguamento molto ristretto che è stato esercitato attraverso tale decreto legislativo), proprio con riferimento alla funzione di orientamento (che costituisce lo scopo della rete indicata), dispone “1. Al fine di agevolare l'orientamento, la formazione e l'inserimento professionale, anche all'estero, le istituzioni del sistema nazionale di istruzione, i centri di formazione professionale regionale, le scuole private non paritarie nonché le istituzioni di alta formazione artistica e coreutica e le università statali o non statali legalmente riconosciute su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti formativi, intermedi e finali, degli studenti e altri dati personali diversi da quelli di cui agli articoli 9 e 10 del Regolamento, pertinenti in relazione alle predette finalità e indicati nelle informazioni rese agli interessati ai sensi dell'articolo 13 del Regolamento. I dati possono essere successivamente trattati esclusivamente per le predette finalità. 2. Resta ferma la disposizione di cui all'articolo 2, comma 2, del decreto del Presidente della Repubblica 24 giugno 1998, n. 249, sulla tutela del diritto dello studente alla riservatezza. Restano altresì ferme le vigenti disposizioni in materia di pubblicazione dell'esito degli esami mediante affissione nell'albo dell'istituto e di rilascio di diplomi e certificati”. 5) Con riferimento al trattamento dei dati sensibili (la locuzione come è noto si è persa per essere sostituita da quella di “particolari categorie di dati” in base ai sopra citati artt. 9 e 10 del Regolamento, deve essere considerato ancora vigente il D.M. Istruzione n. 305 del 2006 che consente di ritenere legittimo (scheda n. 5, sezione I) il trattamento di dati sensibili, ivi inclusi quelli idonei a rivelare lo stato di salute, “per le attività di valutazione periodica e finale, per l’attività di orientamento e per la compilazione della certificazione delle competenze” con il limite del principio di indispensabilità. Da tale complesso quadro normativo, se si è ben compreso quanto rappresentato nel quesito in ordine alla iniziativa, occorre che sia attentamente valutato quali azioni delle scuole implichino inevitabilmente un flusso di informazioni personali tra scuola e scuola (per es., così sarà una volta completata l’iscrizione dello studente nel passaggio di ciclo), per invece ricorrere a forme di anonomizzazione dei dati e di trattamento in forma aggregata degli stessi in ogni altro caso (per es. allorché si vogliano offrire informazioni sulle scelte degli studenti, o sul loro rendimento a distanza). Il tutto, dopo avere dato una adeguata e pertinente informativa nel senso sopra detto della informativa.