g-docweb-display Portlet

Parere su schema parere sullo schema di decreto ministeriale previsto dall’art. 62-quinquies del Codice dell’amministrazione digitale di cui al d.lgs. n. 82, del 2005 che istituisce l’ l’Anagrafe nazionale dell’istruzione superiore (ANIS) - 2 dicembre 2021 [9731869]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9731869]

Parere su schema parere sullo schema di decreto ministeriale previsto dall’art. 62-quinquies del Codice dell’amministrazione digitale di cui al d.lgs. n. 82, del 2005 che istituisce l’ l’Anagrafe nazionale dell’istruzione superiore (ANIS) - 2 dicembre 2021

Registro dei provvedimenti
n. 428 del 2 dicembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTO l’art. 1-bis del decreto legge 9 maggio 2003, n. 105, convertito, con modificazioni, dalla legge 11 luglio 2003, n. 170, come successivamente modificato e integrato, che istituisce l’Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli Istituti tecnici superiori e delle istituzioni della formazione superiore (di seguito “ANS”);

VISTO il decreto del Ministro dell’istruzione, dell’università e della ricerca 30 aprile 2004, n. 9, recante l’individuazione dei dati da inserire nell’anagrafe nazionale degli studenti e dei laureati delle università sul quale, con il provvedimento del 7 aprile 2004 (doc. web n. 1341422) il Garante ha espresso il prescritto parere;

VISTO l’art. 62-quinquies, del decreto legislativo 7 marzo 2005, n. 82 e ss.mm.ii. (di seguito “CAD”), che prevede che:

- “Per rafforzare gli interventi nel settore dell'università e della ricerca, accelerare il processo di automazione amministrativa e migliorare i servizi per i cittadini e le pubbliche amministrazioni, è istituita, a cura del Ministero dell'università e della ricerca, l'Anagrafe nazionale dell'istruzione superiore (ANIS)” (comma 1);

- “L’ANIS è alimentata dalle istituzioni della formazione superiore, che mantengono la titolarità dei dati di propria competenza e ne assicurano l'aggiornamento, nonché tramite l'Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli istituti tecnici superiori e delle istituzioni della formazione superiore, di cui all'articolo 1-bis del decreto-legge 9 maggio 2003, n. 105, convertito, con modificazioni, dalla legge 11 luglio 2003, n. 170”. L'ANIS assicura alla singola istituzione la disponibilità dei dati e degli strumenti per lo svolgimento delle funzioni di propria competenza e garantisce l'accesso ai dati in essa contenuti da parte delle pubbliche amministrazioni per le relative finalità istituzionali. L'ANIS rende disponibili i dati necessari per automatizzare le procedure di iscrizione on line alle istituzioni della formazione superiore e assicura l'interoperabilità con le altre banche di dati di rilevanza nazionale che sono di interesse del Ministero dell'università e della ricerca per le relative finalità istituzionali.” (comma 2);

- “L’'ANIS è costantemente allineata con l'ANPR per quanto riguarda i dati degli studenti e dei laureati. I cittadini, per consultare i propri dati e ottenere il rilascio di certificazioni, possono accedere all'ANIS mediante le modalità di cui al comma 2-quater dell'articolo 64 del decreto legislativo 7 marzo 2005, n. 82, ovvero tramite il punto di accesso di cui all'articolo 64-bis del decreto legislativo 7 marzo 2005, n. 82,” (commi 3 e 4);

VISTO in particolare il comma 5 del predetto articolo che stabilisce che:

- “Con decreto del Ministro dell'università e della ricerca, di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e con il Ministro per la pubblica amministrazione, da adottare entro il 31 dicembre 2021, acquisito il parere del Garante per la protezione dei dati personali, sono stabiliti:

- i contenuti dell'ANIS, tra i quali i dati relativi alle iscrizioni degli studenti, all'istituzione di appartenenza e al relativo corso di studi, i titoli conseguiti e gli ulteriori dati relativi presenti nelle altre banche di dati di rilevanza nazionale di interesse del Ministero dell’Università e della Ricerca cui lo stesso può accedere per le relative finalità istituzionali;

- le garanzie e le misure di sicurezza da adottare nonché le modalità di alimentazione da parte delle istituzioni della formazione superiore nonché tramite l'Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli istituti tecnici superiori e delle istituzioni della formazione superiore, nel rispetto della normativa in materia di protezione dei dati personali e delle regole tecniche del sistema pubblico di connettività. L'allineamento dell'ANIS con l'Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli istituti tecnici superiori e delle istituzioni della formazione superiore, con l'ANPR e con le altre anagrafi di interesse del Ministero dell’Università e della Ricerca per le relative finalità istituzionali avviene in conformità alle linee guida adottate dall'AgID in materia di interoperabilità” (comma 5);

VISTA la nota del 1° dicembre 2021, con la quale il Ministero dell’università e della ricerca ha sottoposto all’Autorità, ai fini di acquisire il prescritto parere  previsto dal Regolamento, lo schema di decreto del Ministro dell’università e della ricerca, concernente l’Anagrafe nazionale dell’istruzione superiore (di seguito “ANIS”), da adottare di concerto con il Ministro per l’innovazione tecnologica e la transizione digitale e il Ministro per la pubblica amministrazione, corredato dal relativo allegato (All. A), recante “Principali garanzie e misure di sicurezza” che ne costituisce parte integrante;

CONSIDERATO che lo schema di decreto si compone di dieci articoli che stabiliscono, in particolare, che l’ANIS

- mira ad assicurare, attraverso le relative componenti tecnologiche, la disponibilità dei dati e degli strumenti alla singola Istituzione della formazione superiore per lo svolgimento delle funzioni di propria competenza, con particolare riferimento alla finalità di certificazione; l'accesso ai dati in essa contenuti da parte delle pubbliche amministrazioni per le relative finalità istituzionali; la disponibilità dei dati necessari per automatizzare le procedure di iscrizione online alle istituzioni della formazione superiore; l'interoperabilità con le altre banche dati, anche di interesse nazionale ai sensi dell’articolo 60 del CAD; il riconoscimento nell’Unione Europea e all’estero dei titoli di studio i cui dati sono ivi contenuti; all’automazione delle procedure di iscrizione online ai corsi delle istituzioni della formazione superiore, anche attraverso l’accesso, in consultazione, alle banche dati di altre amministrazioni; alla disponibilità, per ciascuna istituzione della formazione superiore e per le pubbliche amministrazioni, dei dati necessari per lo svolgimento delle funzioni di competenza; alle specifiche finalità istituzionali in relazione alle quali possono accedervi determinate categorie di soggetti in relazione a determinate categorie di dati (art. 3 dello schema di decreto);

- contiene i dati relativi ai dati anagrafici degli interessati (nome, cognome, codice fiscale e, ove attribuito ai sensi di legge, all’ID ANPR), alle iscrizioni degli studenti, all'istituzione di appartenenza degli stessi, ai relativi corsi di studio, ai titoli conseguiti e che tali dati sono conservati “per il periodo di dieci anni dal conseguimento del più elevato titolo di studio conseguito dallo studente” (art. 4, commi 1 e 3 dello schema);

- al fine di assicurare l’esattezza e l’aggiornamento dei dati, questi sono costantemente allineati, in conformità alle linee guida adottate dall'AgID in materia di interoperabilità, con i dati contenuti nell’ANS e, con riguardo ai dati anagrafici, con l’ANPR, precisando che “tale allineamento non determina in alcun caso duplicazione del dato” (art. 5 dello schema);

- è alimentata dalle istituzioni della formazione superiore che ne assicurano “la correttezza, l’esattezza e l’aggiornamento attraverso l’ANS, in conformità alle linee guida di Agid in materia di interoperabilità” (art. 6 dello schema di decreto);

- offre agli interessati, “attraverso l’apposita interfaccia online con le modalità di cui al comma 2-quater dell’articolo 64 del CAD ovvero tramite il punto di accesso di cui al successivo articolo 64-bis”, servizi di consultazione dei propri dati personali e di certificazione che restano di competenza esclusiva delle istituzioni della formazione superiore (art. 7 dello schema di decreto);

- è dotata delle principali garanzie e le misure di sicurezza, descritte nell’Allegato A, finalizzate a tutelare i diritti fondamentali e gli interessi delle persone fisiche i cui dati sono coinvolti nelle attività di trattamento previste nello schema di decreto, al fine di garantire l’integrità e la riservatezza dei dati; la sicurezza degli accessi e il tracciamento delle operazioni effettuate (art. 9 dello schema di decreto);

- sarà pienamente operativa nella data indicata da un successivo decreto volto a individuare, inoltre, le specifiche informazioni trattate in relazione alle categorie di dati indicate nel presente schema di decreto e i relativi tempi di conservazione; le altre banche dati, anche di interesse nazionale, ai sensi dell’articolo 60 del CAD, i cui dati siano necessari per lo svolgimento delle funzioni di competenza del Ministero o per l’allineamento degli ulteriori dati contenuti nell’ANIS; i soggetti, diversi dagli interessati, o le categorie di soggetti che, in relazione a determinate tipologie di dati e per specifiche finalità, possono accedere all’ANIS; le specifiche tecniche e le modalità operative di alimentazione e aggiornamento dei dati nonché la descrizione delle modalità di funzionamento, delle caratteristiche tecniche e delle regole tecniche di realizzazione e di funzionamento dell’interfaccia online e delle interfacce con cui l’ANIS interagisce; le modalità per assicurare il rilascio di certificazioni da parte delle istituzioni della formazione superiore, attraverso l'ANIS; le ulteriori finalità dell’ANIS (art. 10 dello schema di decreto);

CONSIDERATO che lo schema di decreto in esame tiene conto delle osservazioni dell’Ufficio del Garante fornite nel corso delle interlocuzioni informali e delle riunioni, aventi carattere d’urgenza, con i rappresentanti delle amministrazioni coinvolte, al fine di rendere conformi i trattamenti ivi disciplinati alla normativa in materia di protezione dei dati personali, con particolare riguardo alla necessità di individuare, nel rispetto dei principi di liceità, correttezza e minimizzazione nonché di protezione dei dati fin dalla progettazione e per impostazione predefinita (artt. 5, par. 1, lett. a), b) e c), 25 del Regolamento):

- i dati personali relativi agli interessati che il Ministero, in qualità di titolare del trattamento, tratta in relazione alle singole finalità perseguite mediante l’istituzione dell’ANIS (art. 4 dello schema);

- le finalità dell’ANIS (art. 3 dello schema);

- i soggetti o le categorie di soggetti che, con riguardo a ogni categoria di dati, possono accedere all’ANIS in relazione alle specifiche finalità istituzionali;
- i tempi di conservazione delle diverse categorie di dati in relazione a ciascuna finalità perseguita (artt. 3 dello schema);

- il ruolo assunto dai soggetti coinvolti nel trattamento di dati personali in questione, in relazione alla specifica finalità perseguita, anche al fine di assicurare la trasparenza nei confronti degli interessati, nonché consentire una chiara ripartizione degli obblighi e delle responsabilità previste dal Regolamento, precisando, in proposito, che il Ministero opera in qualità di titolare del trattamento dei dati contenuti nell’ANIS - analogamente alle istituzione della formazione superiore con riguardo ai dati di loro competenza - e che il rapporto tra il Ministero ed eventuali fornitori o soggetti terzi incaricati della realizzazione e gestione dell’ANIS sarà disciplinato, nell’ambito di un autonomo decreto su quale sarà acquisito il parere del Garante, nel rispetto dell’art. 28 del Regolamento (art. 8 dello schema);

- le misure a tutela degli interessati, tenuto conto dei rischi elevati che presenta il trattamento, realizzato su larga scala, sia in termini di numerosità degli interessati che di estensione geografica, nonché le adeguate misure tecniche e organizzative e i congrui tempi di conservazione dei dati, effettuando una valutazione di impatto ai sensi dell’art. 35 del Regolamento (art. 9 dello schema);

- le garanzie per assicurare il rilascio agli interessati delle certificazioni anche relative ai titoli di studio da parte delle istituzioni della formazione superiore - cui la funzione certificatoria è attribuita dalla normativa di settore - anche attraverso la specifica interfaccia online di ANIS (art. 7 dello schema);

CONSIDERATO che l’ANIS “non contiene dati relativi a iscrizioni antecedenti alla data di avvio della predetta operatività” (art. 4 dello schema);

CONSIDERATA la concomitante operatività dell’ANS (istituita con l’art. 1-bis del decreto legge 9 maggio 2003, n. 105, convertito, con modificazioni, dalla legge 11 luglio 2003, n. 170 e successive modificazioni e integrazioni) con cui l’ANIS si allinea per assicurare l’esattezza e l’aggiornamento dei dati in essa contenuti, facendo salva “la distinta disciplina dei tempi di conservazione dei dati contenuti nell’ANS” (art. 4, comma 4 dello schema di decreto), deve essere osservato che - sebbene lo schema di decreto stabilisca che “ tale allineamento non determina in alcun caso duplicazione del dato” (art. 5, comma 1 dello schema di decreto) -, occorre evitare la sovrapposizione delle anagrafi ANS e ANIS con effetto duplicativo dei dati personali in esse contenuti e, a tal fine, è auspicabile che il quadro normativo di settore venga integrato regolando l’utilizzo di tali anagrafi e le modalità di interazione tra le stesse;

CONSIDERATO che la piena operatività dell’ANIS e l’avvio dei conseguenti trattamenti di dati, avverranno solo a seguito della completa definizione del quadro giuridico di riferimento mediante l’emanazione del successivo decreto, da sottoporre al parere del Garante -  cui è demandata, anche, l’individuazione di ulteriori elementi di dettaglio del trattamento e degli aspetti di natura tecnologica e di sicurezza -, e della effettuazione della valutazione di impatto da sottoporre, anch’essa, a consultazione del Garante ai sensi degli articoli 35 e 36 del Regolamento prima dell’avvio del trattamento (artt. 9 e 10 dello schema di decreto);

RITENUTO di non dover formulare osservazioni sullo schema di decreto trasmesso, atteso che le indicazioni fornite con carattere d’urgenza dall’Ufficio del Garante sono state tenute in debita considerazione;

RITENUTO di adottare il presente parere con urgenza in ragione della rappresentata esigenza di assicurare, entro il termine del 31 dicembre 2021 previsto dalla legge, l’adozione in tempi rapidi dello schema di decreto in esame nell’ambito della piena e tempestiva attuazione del programma di Governo;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 57, par. 1, lett. c), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro dell'università e della ricerca, di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e con il Ministro per la pubblica amministrazione, l’art. 62-quinquies, comma 5, del decreto legislativo 7 marzo 2005, n. 82 e ss.mm.ii., concernente l’Anagrafe nazionale dell’istruzione superiore (“ANIS”).

Roma, 2 dicembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei